Microsoftは6日、EU域内の民間・公共部門の顧客が利用する同社のオンラインサービスについて、すべてのデータをEU域内で処理・保存可能にする「EU Data Boundary for the Microsoft Cloud」計画を発表した(EU Policy Blogの記事、 Microsoft Tech Communityのブログ記事、 Neowinの記事、 Windows Centralの記事)。

Microsoftのオンラインサービスの多くは既に顧客が指定した地理的な場所に顧客のデータを保存するオプションを提供しており、Azureサービスの多くで顧客のデータを処理・保存する地理的な場所を選択可能になっている。2022年末までに完了するEU Data Boundaryはこれをさらに進めるもので、EU域内の組織ユーザーはデータをEU域内から一切出さずにMicrosoftの主要なクラウドサービス(Azure/Microsoft 365/Dynamics 365)を利用できるようになる。

headless 曰く、

Dellは4日、ファームウェア(BIOS/Thunderbolt/TPM/ドッキングステーション)更新プログラムに同梱されていたドライバーに不十分なアクセス制御の脆弱性(CVE-2021-21551)が存在することを公表した(DSA-2021-088、 FAQ、 SentinelLabsの記事)。

問題のドライバー「dbutil_2_3.sys」はファームウェア更新プログラムまたはDellのアップデートツールにより、一時フォルダー(%temp%または%windir%\temp)に展開されるもので、権限を確認せずにIOCTLリクエストを受け付けてしまうという。この脆弱性を悪用することで、ローカルでの権限昇格やサービス拒否、意図しない情報開示が行われる可能性がある。

このドライバーは遅くとも2009年からPCやドッキングステーションのファームウェア更新プログラムで使われており、影響を受けるモデルは現在もサービスが行われている381モデルに加え、既にサービスが終了している195モデルと幅広い。SentinelLabsによれば、影響を受けるPCは数億台に上るという。381モデルの最新ファームウェア更新プログラムでは脆弱性が修正されているが、dbutil_2_3.sys自体は削除されないようだ。なお、ドライバーサービス「DBUtil_2_3」のレジストリ設定は最初のWindows再起動時に削除されるため、実際にどの程度影響があるのかは不明だ。

対処方法としては「Dell Security Advisory Update - DSA-2021-088」を実行または手作業でdbutil_2_3.sysを削除し、現在もサービスが行われているモデルでは再導入を防ぐために最新のファームウェアをインストールする。サービスの終了しているモデルではファームウェア更新プログラムを実行するたびにdbutil_2_3.sysの削除が必要になる。

pixivが安全なパスワードへの変更のお願いという案内を掲示している。第三者に推測されやすいパスワードを使用している場合、2021年5月10日からpixiv及び関連サービスにログインできなくなくなるという。発表文によると、ログインできなくなったアカウントで接続すると「セキュリティ上の理由により、お使いのパスワードはご利用いただけません」などとする案内が表示されるとしている（pixiv）。

パスワードの変更が必要なアカウントに関しては、現時点でパスワード変更の案内画面が表示されるように変更されているという。案内が表示されないユーザーに関しては変更の対象外であるとしている。ねとらぼが安全なパスワードの判定基準についてpixivに取材したところ、他社におけるデータ侵害により漏えいしたパスワードのハッシュ値のデータベースを元に判定しているという（ねとらぼ）。

あるAnonymous Coward 曰く、

4月29日、ダークウェブに関する研究や報道を目的とした複数のウェブサイトのドメインが乗っ取られ、フィッシングサイトへの誘導が行われるという事件が発生した（NjallaのPeter Sunde氏のツイート、dark.failによる警告、dark.failを所有するdark.fail氏のツイート、TechNadu、VICE）。

被害を受けたのはdark[.]failとdarknetlive[.]com。
dark[.]failの場合、攻撃者は掲載されていたTor hidden serviceへのリンクをフィッシングサイトのものに置き換えたページを作成し、乗っ取ったドメインでホストしていた。

両サイトがNjallaという共通のドメインリセラーを使用していたことや、乗っ取られたサイトの運営者が2FAを使用していたことから、NjallaやレジストラであるTucowsへの不正アクセスが疑われたが、実際には偽の裁判所令状を用いてTucowsから乗っ取りに必要な情報を聞き出すという手口であることが明らかになった。

Njallaの創業者であるPeter Sunde氏によると、乗っ取りの時系列は以下の通りである。
https://twitter.com/brokep/status/1389314362561777665

1. 4月28日、Tucowsがドイツ・ノルトライン＝ヴェストファーレン州の地方裁判所を装った偽の令状を受け取る。
令状にはTucowsがレジストラとなっている複数のドメインを引き渡すよう書かれており、メールの発信元は正式なドメインであるag-koeln[.]nrw[.]deによく似たagkoeln-nrw[.]deで、agkoeln-nrw[.]deにアクセスするとag-koeln[.]nrw[.]deにリダイレクトされるようになっていた。

2. 古典的なフィッシングメールに騙されたTucowsの担当者がドメインの乗っ取りに必要な情報（移管用のコードと思われる）を返信する。

3. 攻撃者がdark[.]failをNamecheapに、darknetlive[.]comをepik.comに移管する。

4. 攻撃者が各ドメインのレコードを偽のサイトのものに書き換える。

偽の令状は過去にkino[.]toというドメインを差し押さえる際に使用されたものをベースにしており、フィッシングにありがちなスペルミスが無く、ドイツ語話者であるTucowsの担当者が見抜けなかったほど精巧に作られたものとのことだ。また令状には偽のGag order（箝口令）が添付されており、リセラーであるNjallaには一切の通知が無かった。

この件に関しては、epik.comが乗っ取りに関する情報提供を受け速やかにドメインを返還したのに比べ、令状が偽物である点やドメインがフィッシングに悪用されていることを頑なに認めず、結果的にドメインの返還に4日もかかったNamecheapが批判を受けている。

----
もしこのタレコミを読んでいる方の中に各種サービスのabuse対応をされている方がいらっしゃいましたら、令状や照会書が真正なものであるのかについて対応前に重々確認するようお願い申し上げます。

情報元へのリンク

headless 曰く、

MicrosoftはサポートされるすべてのWindowsバージョンに同梱された(Internet Explorer/レガシーEdge用の)Flash Playerを7月に削除する計画のようだ(Microsoft Edge Blogの記事、 Windows Centralの記事、 The Vergeの記事、 BleepingComputerの記事)。

MicrosoftはFlash Playerを削除する更新プログラム(KB4577586)をMicrosoft Update Catalogで昨年10月に提供開始し、2月には自動更新での提供を開始している。これまでKB4577586は単体の更新プログラムとして配布されていたが、今後は累積更新プログラムに組み込まれることになる。

まず、6月にはWindows 10 バージョン1809以降のプレビュー版累積更新プログラムにKB4577586が組み込まれ、以降の累積更新プログラムに含められる。7月にはWindows 10 バージョン1507/1607の累積更新プログラムやWindows 8.1/Server 2012/Embedded 8 Standardのマンスリーロールアップ/セキュリティのみの更新プログラムにもKB4577586が含められるとのことだ。

Microsoft Edge Canaryの最新版で、HTTPでのナビゲーション時に自動でHTTPSへ切り替える「自動HTTPS」オプションが使用できるようになっている(Ghacksの記事)。

このオプションを使用するには、「試験段階の機能 (edge://flags/)」「Automatic HTTPS」を「Enabled」に設定する。Microsoft Edgeを再起動すると設定画面の「プライバシー、検索、サービス」に「自動HTTPSを使用してセキュリティで保護された接続に自動的に切り替える」というオプションが追加され、機能のオン/オフのほか、すべてのWebサイトで常にHTTPからHTTPSに切り替えるか、HTTPSをサポートしている可能性が高いWebサイトでのみ切り替える(デフォルト)かを選択可能になる。

なお、動作を確認するにはHTTPSをサポートし、かつHTTPアクセス時にHTTPSへリダイレクトしないWebサイトを使用する必要がある。たとえばInternet Archiveや首相官邸、総務省統計局のWebサイトが該当するが、これらのサイトはHTTPSをサポートしている可能性が高いとは判定されなかった。常にHTTPSへ切り替えるオプションを選択すれば問題なく切り替えが行われるが、この設定ではHTTPSをサポートしないサイト(例: Vine Linux ML)にアクセスするとエラー画面が表示される。HTTPSをサポートしている可能性が高いと判定されるWebサイトを発見したらお教え頂きたい。

英情報コミッショナー事務局(ICO)が英最高裁に対し、ユーザーが自分のデータをコントロールできなくなることを「損害」と認めなければデータ侵害を取り締まれなくなると示唆しているそうだ(The Registerの記事[1]、 [2]、 HackReadの記事)。

本件はGoogleがiPhoneのSafariでデフォルト設定のサードパーティcookieブロックを迂回し、ユーザーを追跡していたことについて2017年に提起された代表訴訟に関するものだ。一審では訴えが認められなかったが、二審で逆転したため、Googleが上告していた。ICOは訴訟当事者ではないが、代理人の弁護士が第三者として訴訟に加わっている。

オプトイン方式の日本の集団訴訟とは異なり、英国(イングランドとウェールズ)の代表訴訟は同じ損害を受けたすべての人を原告代表が代表する点で米国のクラスアクション訴訟に近いものだが、代表される全員がまったく同じ利害関係を持つ必要があるという。そのため、Google側はユーザー追跡による損害を受けた人が何人いるか確認しようがなく、訴訟は棄却されるべきだと主張しているとのこと。

しかし、ユーザーの意図に反してWebアクセスを追跡すれば、ユーザーが自分のデータをコントロールできなくなることになる。そのため、ユーザーの意図に反する追跡自体が損害と認められなければ、データ侵害が発生してもデータの悪用による被害が発生しない限り取り締まれなくなる、というのがICOの弁護士の見解のようだ。

MicrosoftはHTTPでのナビゲーション時に自動でHTTPSへアップグレードする機能をMicrosoft Edge 92に追加すべく開発を進めているそうだ(Microsoft 365 ロードマップ、 On MSFTの記事、 BleepingComputerの記事)。

詳細は記載されていないが、セキュリティ向上のためHTTPSをサポートする可能性のあるドメインにHTTPでアクセスした場合、自動でHTTPSにアップグレードするオプションを追加する計画だ。さらにすべてのドメインでHTTPSアクセスを試行する設定も可能になるという。よりセキュアな接続を使用することで、中間者攻撃などを防ぐことが可能になる。なお、Microsoft Edge Canaryは既にバージョン92となっているが、オプションはまだ追加されていないようだ。

現在では多くのWebサイトがHTTPSをサポートしており、HTTPプロトコルを指定またはプロトコルを省略してアクセスした場合に自動でHTTPSにリダイレクトするWebサイトも多いが、Internet ArchiveのようにリダイレクトしないWebサイトもある。ブラウザー側でHTTPSへの自動アップグレードをサポートすればセキュリティは向上するが、エラー発生時の処理も必要となる。Google Chromeではプロトコルを省略してURLを入力した場合のデフォルトをHTTPSにする計画が進められている。

アカウント情報流出を確認できるWebサイト「Have I been pwned?」(HIBP)を運営するトロイ・ハント氏は4月27日、マルウェアEmotetにより盗み出された400万件以上の認証情報がHIBPで確認できるようになったと発表した(ハント氏のブログ記事、 HIBP - Emotet、 BetaNewsの記事)。

欧州刑事警察機構(Europol)に最も危険なマルウェアと呼ばれたEmotetだが、1月に各国の捜査機関が合同でサーバー差し押さえなどの作戦を実行し、4月25日には自己削除プログラムが起動して終息した。サーバー差し押さえの実行後、米連邦捜査局(FBI)がHIBPに連絡し、影響を受けた個人や企業に警告できないか相談したのだという。

これにより、Emotetのサーバーから押収した4,324,770件の電子メールアドレスとパスワードがHIBPで検索可能になった。これらの認証情報はEmotetが被害者のアカウントを通じてスパム送信に使用していた電子メールアカウントの認証情報と、Webブラウザーから収集したWebサイトの認証情報の2種類に分けられるとのこと。

HIBPが捜査機関からデータ提供を受けるのは今回が初めてではなく、2018年にはエストニア中央警察がデータを提供している。

各メディアの報道によると、大手ゼネコンの鹿島建設の海外子会社がサイバー攻撃を受けて、取引先の情報といった機密情報が流出した可能性があるという。鹿島建設本体は28日にメディア向けにコメントを出しているようだが、今のところリリースは出していない（NHK、読売新聞、日経新聞）。

メディアの報道によれば、REvil（レビル）と呼ばれる犯罪グループにより、ダークウェブ上に取引先の収支計画書などが公開されているという。NHKによれば、大手テーマパークの運営会社との秘密保持契約書のほか、労働契約書、それにメールや取引先のリストなどが含まれているとしている。

このREvilは鹿島建設の情報を130万件盗んだと書き込んでおり、5月1日までに身代金を支払わないと売却するとの内容の犯行声明を出している模様。鹿島建設側は情報などの詳細を「当局の捜査に協力中」として明らかにしていないとのこと。

headless 曰く、

GoogleのCOVID-19接触通知システムで、プライバシーリスクにつながるデータがサードパーティーのプリインストールアプリから読み取れる状態になっていたそうだ(The AppCensus Blogの記事、 The Markupの記事、 The Vergeの記事、 SlashGearの記事)。

問題のデータは近くにいるユーザー同士が送受信する近接識別子「Rolling Proximity Identifier (RPI)」と、RPIを送ってきたユーザーのMACアドレスだ。GoogleのシステムではこれらのデータをAndroidのシステムログへ書き込むようになっていたという。ユーザーがインストールしたアプリはシステムログを読み取ることはできないが、プリインストールアプリは読み取り可能だ。発見者のAppCensusによれば、システムログ読み取りのパーミッションを得たプリインストールアプリは数多くあるようだ。

RPIは公開されるデータなので一見問題なさそうだが、MACアドレスと組み合わせて大量のデータを照合すればユーザー同士の相関図を作ることができる。また、RPIは10～20分ごとに更新されるものの、陽性者が保健当局に秘密鍵「Temporary Exposure Key (TEK)」を提供し、診断鍵として公開された場合、その陽性者に複数のRPIを結び付けることも可能になる。さらに、ユーザーに接触の有無を通知する際、そのデータもシステムログに記録されるとのこと。そのため、個人を特定可能なデータをログに記録しない、というAndroidのベストプラクティスをGoogle自身が守っていないとAppCensusは批判する。

AppCensusは今回の調査を米国土安全保障省(DHS)科学技術局(S&T)から受注して実施しており、この問題を2月に報奨金プログラムを通じてGoogleへ報告したという。しかし、Googleは報告を却下し、自らバグ報告後の修正期限として推奨する60日以上経過しても修正する様子がなかったため、倫理面について議論した末に開示を決めたとのこと。一方、Googleは報告を受けて数週間前に修正をロールアウトし、今後数日中に完了する見込みだとThe Markupに伝えたとのことだ。

あるAnonymous Coward 曰く、

バッファロー製Wi-Fiルーターに複数の脆弱性が見つかったとのこと。

JPCERTによると
CVE-2021-3511：第三者により、当該機器の設定情報等を窃取される
CVE-2021-3512：第三者により、当該機器の telnet サービスを有効化され、root 権限で任意のOSコマンドを実行される
CVE-2021-20716：第三者によって当該製品のデバッグ機能にアクセスされ、当該製品上で任意の OS コマンド実行や不正なコード実行、設定の変更、サービス運用妨害 (DoS) 攻撃等が行われる可能性
といった、深刻な内容ばかりのようだ。

基本的には最新パッチを適用すればよいが、サポートが終了している機器についてはパッチが提供されることはなく
使用を停止し、代替商品への買い替えを促している。

JVNVU#99235714 バッファロー製ルータにおける複数の脆弱性
JVNVU#90274525 バッファロー製の複数のネットワーク機器においてデバッグ機能を有効化される問題

内閣府は4月22日、内閣府の職員らが使用しているファイル共有サーバー（FileZen）に不正アクセスがあり、231人の個人情報が流出した可能性があると発表した。このFileZenはソリトンシステムズが提供しているもので、内閣府、内閣官房、個人情報保護委員会、復興庁の職員がファイルの送受信を行うために使用していた。内閣府のネットのワークの外に設置されていたものであるという（内閣府、piyolog、ITmedia）。

今回の不正アクセスは1月に発生したものであるという。ストレージの脆弱性を突く形で発生しているとしている。内閣府のリリースによると、

開発元において3月までに修正パッチの提供等所要の対応がとられました（同社から公表済み）。

ソリトンシステムズは昨年12月にFileZenの脆弱性が含まれていることを確認しており、至急アップデートするよう求めていた（ソリトンシステムズ）。タレコミによると、セキュリティアナリストのhiro_(@papa_anniekey)氏は、そのリリースの翌日となる12月3日に内閣府のFileZenに数年間パッチが当たっていない可能性を指摘していた模様。この対策をしていなかったことが原因となっている可能性が高そうだ。なおpiyologの記事によれば、FileZenは主に国内で約1100台が稼働、その内6割は地方自治体など公共系組織が利用しているとのこと。

あるAnonymous Coward 曰く、

なお、セキュリティアナリストのhiro_(@papa_anniekey)氏は昨年12月3日に内閣府のFileZenに数年間パッチが当たっていない可能性を指摘していた。

情報元へのリンク

あるAnonymous Coward 曰く、

各国現地時間の25日正午、世界各地で猛威を振るったマルウェア「Emotet」の自己削除プログラムが起動し、最恐と呼ばれたコンピュータウイルスが根絶された記念すべき日となった。

既報の通り、欧州刑事警察機構を中心とした欧米8か国の合同捜査チームが今年1月27日に「Operation LadyBird」を実行。ウクライナにある活動拠点とオランダにあるC&Cサーバの制圧に成功していた。この時、オランダの警察当局は押収したC&Cサーバから世界中のEmotetを無害化、さらに時限的な自己削除を行うプログラムを配信。Emotetの感染端末に別のマルウェアを注入する攻撃が確認されていたことから、感染端末を特定し、別途注入されたマルウェアを駆除するための猶予期間として、2021年4月25日12時00分が活動限界に設定されていた（ZDNet）。

なお、Emotetの感染拡大防止にあたっては海外の「Cryptolaemus」と日本の「ばらまきメール回収の会」という有志のグループが大きく貢献しており、後者についてはNHKが13日付でその活動を詳しく報じて讃えている（NHKニュース）。

headless 曰く、

米連邦最高裁は22日、連邦取引委員会法(FTC法)第13条(b)は詐欺被害者への返金を詐欺師から確保する権限を連邦取引委員会(FTC)に与えていないとの判断を示した(Ars Technicaの記事、 The Registerの記事、 FTCの声明、 裁判所文書: PDF)。

この裁判は契約した7倍の利息を消費者に支払わせていたペイデイローン会社をFTCが訴えていたもの。第13条(b)はFTCが管轄する違法行為について、違法行為者への一時的な禁止命令や事前差止命令を出す権限をFTCに与えている。しかし、FTCでは過去40年にわたり、この条項で被害者への返金を確保してきたという。一審・二審ともにFTCの請求を認めていたが、連邦最高裁はFTCに権限がないと判断し、下級審へ差し戻した。

連邦最高裁の意見書では第5条と第19条で返金を確保することは可能だと指摘しつつ、議会が動けば容易に抜本的な解決が可能だと述べている。この判決についてFTC委員長代行のRebecca Kelly Slaughter氏は、FTCが消費者を助ける最も強力なツールを奪ったと批判する一方、被害にあった消費者を助ける権限をFTCに与えるよう議会に要請している。