Google は Pixel の「マークアップ」ツールで発見された脆弱性 (CVE-2023-21036) を 3 月のアップデートで修正したが、これを利用するエクスプロイト「aCropalypse」が公開されている (エクスプロイト作者のブログ記事、 9to5Google の記事、 Android Police の記事、 Simon Aarons 氏のツイート)。

マークアップはスクリーンショット撮影時に表示され、画像のクロップや書き込み・塗りつぶし等を可能にする。CVE-2023-21036 では編集の結果を保存する際にファイルサイズを切り詰めずに新しい画像データを上書きするため、元のデータが一部残されてしまう。具体的な処理を知ることは難しいが、エクスプロイト作者の David Buchanan 氏は Android 10 以降で 2021 年に修正された ParcelFileDescriptor.parseMode のバグとみているようだ。

脆弱性が修正されても既に保存したファイルが更新されるわけではない。このような画像をソーシャルメディアアプリやメッセージングアプリなどで送信する場合、読み取れない元の画像データはメタデータとともに削除されるが、Discord では 1 月までこのような処理が行われていなかったという。そのため、それ以前にアップロードしたスクリーンショットでは、隠したつもりの部分が復元されてしまう可能性がある。

エクスプロイトの作者が過去に使用していた Pixel 3XL のスクリーンショットを Discord からダウンロードして復元処理を行ってみたところ、eBay の確認メールのスクリーンショットから自宅住所全体が復元されたそうだ。なお、復元処理はすべてローカルで行われるとのことだ。

日本シノプシスは14日、研究機関「Cybersecurity Research Center（CyRC）」が、企業の合併・買収の際に棚卸しした1703のソフトウェアを対象に匿名化したデータを分析したオープンソース·セキュリティ＆リスク分析レポートに関する説明会を開催した（オープンソース·セキュリティ＆リスク分析レポート、ZDNET Japan、IT Leaders）。

この分析によると、リスク診断を実施した1480のコード中、既知の脆弱性を一つ以上含んでいた割合は84％あったという。これは昨年比で4％の上昇だったそうだ。また、4年以上前のコードを含む割合は89％（こちらは昨年比4％上昇）だった。また、CyRCが2022年中に調査した企業が使用するソフトウェア1703本中、OSS（オープンソースソフトウェア）を含む割合は96％におよび、全コードにOSSが占める割合は76％だった。脆弱性を含むOSSの割合は84％で、ライセンスの競合が見つかったOSSは54％など増加傾向にあるとされる。

日本シノプシスの吉井雅人氏は「OSSを信頼すると同時に検証せよ。OSSのセキュリティはビジネスリスクに直結する。自らの責任でセキュリティを確保すべきだ。SBOM（ソフトウェア部品表）によるコンポーネントの可視化」が重要だと述べていたとのこと。

headless 曰く、

英国のリシ・スナク首相は 13 日、英国政府の新たなセキュリティ組織 National Protective Security Authority (NPSA) を MI5 内に設立すると発表した (プレスリリース、 NPSA の About ページ、 The Register の記事)。

NPSA は Center for the Protection of National Infrastructure (CPNI) が発展したもので、今日の英国が直面する脅威を反映し、国家の重要なインフラにとどまらずより幅広い権限を持つという。NPSA では現在の脅威を反映したガイダンスをセキュリティ知識がない人でもわかりやすく作成し、組織の規模や業種を限定せずにトレーニングなども提供していくとのことだ。

headless 曰く、

2023 SpyCloud Identity Exposure Report によると、SpyCloud の研究者は 2022 年に流出した認証情報 7 億 2,150 万件を発見したそうだ (ニュースリリース、 Neowin の記事)。

2020 年にマルウェアに感染したデバイスは 2,200 万台が見つかっており、SpyCloud が確認した認証情報 7 億 2,150 万件の半数はボットネットから来たものだという。また、220 億台近いデバイスでは多要素認証のバイパスに利用可能なセッションクッキーが取得可能な状態にあり、14 億人分のフルネームや 3 億 3,200 万件の社会保障番号、6,700 万件のクレジットカード番号などを含む 86 億件の個人を特定可能な情報 (PII) が入手可能だったとのこと。

パスワードの安全性は相変わらず向上しておらず、2022 年にパスワードが流出したユーザーの 72 % が過去に流出したパスワードを再利用しており、話題の人物や出来事、製品等に関連するパスワードの人気も高い。SpyCloudが復元したパスワードのうち 327,000 件以上が歌手テイラー・スウィフトやバッド・バニーに関連する語句を含み、Netflix や Hulu に関連する語句を含むパスワードは 261,000 件以上、英国のエリザベス女王逝去や王室に関連する語句を含むパスワードも 167,000 件以上に上る。

政府関連組織では、昨年 2 件以上のパスワードが流出したユーザーのパスワード再利用率が 61 % に上り、最も多いパスワードは「123456」「12345678」「password」だったそうだ。政府関連組織は企業と比べてマルウェア感染デバイスによるリスクが高く、全世界の政府関連組織から 2022 年に流出した認証情報の 74 % 近くはマルウェアが送り出したものだったとのことだ。

ブラジルの電気通信庁（Anatel）がオープンソースのマルチツールデバイス「Flipper Zero」の輸入を差し止めたという。Flipper Zeroは「ギーク向けのポータブル・マルチツール・デバイス」として販売されている製品で、電子回路図やファームウェアがオープンソース化されている（Electronic Frontier Foundation、GIGAZINE）。

Kickstarterでクラウドファンディングで資金調達に成功したFlipper Zeroは、2022年1月から順次注文した人への出荷が開始されていたそうだ。しかし、ブラジルの購入者からは「Flipper Zeroが届かない」という報告が相次いでいたという。Flipper Zeroは、その玩具のような外観に反して、NFC・Bluetooth・赤外線通信など多数の無線通信規格に対応する本格的な性能を備えており、デジタルキーをクローニングしたり、RFIDをエミュレーションしたりできる機能がある。このため第三者が自動車や玄関のスマートロックを解除するといった犯罪に使われることが懸念され、ブラジル当局により差し止められたようだ。

headless 曰く、

インド政府が主要なスマートフォンOSについて、アップデートの一般リリース前に審査の実施を義務付けることを検討していると報じられている (Neowin の記事、 Reuters の記事)。

Reutersによればインド政府ではスパイや個人情報の不正利用を懸念しており、プリインストールアプリをアンインストール可能にすることを義務付ける計画を進めているという。インドでは中国製アプリを中心に多数のアプリを禁じているが、プリインストールアプリはアンインストール不可のものも多い。新ルールではスマートフォンメーカーにプリインストールアプリのアンインストールオプション提供を義務付け、新モデルはインド規格局が検査を行うことになる。

OSアップデートの審査はプリインストールアプリのアンインストールオプションの義務付け計画とともに検討されているものだが、リリースまでの期間が長くなることを懸念する声も出ているとのこと。実際に現実的な時間で審査できるのだろうか。

米フォルクスワーゲン (VW) は 8 日、2020 年式 ～ 2023 式の多くの車両で Car-Net Safe & Secure サービスを 5 年間無料化すると発表した (VW の Facebook 投稿、 Ars Technica の記事)。

VW の Car-Net サービスは 2 月、子供を乗せたまま盗まれた VW Atlas の追跡を保安官事務所から要請されたが、試用期間が終了しているとして料金が支払われるまでサービスの有効化を拒否。捜査官がクレジットカード番号を入手して料金を支払い、GPS の位置情報を入手した時には既に子供が発見されていた。VW では追跡拒否が誤りであったことを認め、顧客の安全を重視していると述べていたが、無料化はそれを具体化するものとなる。

Safe & Secure 無料サービスの対象となるのは Car-Net ハードウェア搭載車に限られ、盗難車両追跡機能はガソリン車に限られるという。たとえば、2020 年式の Passat は多くが Car-Net ハードウェアを搭載しておらず、電気自動車の ID.4 は盗難車両追跡に対応しない。無料サービスは米国内限定で、6 月 1 日から有効になる。6 月 1 日時点で有料の Safe & Secure サブスクリプションが残っている場合、終了後に無料サービスが有効化されるとのことだ。

Google は 8 日、Windows 版 Chrome が搭載する望ましくないソフトウェア (UwS) の削除機能「Chrome Cleanup Tool」の廃止を明らかにした (Google Online Security Blog の記事、 The Verge の記事、 9to5Google の記事、 Android Police の記事)。

スラドでは Chrome Cleanup Tool を 2017 年に新機能として紹介しているが、Google によると予期せず変更された設定の復元や UwS を削除できるようにするため、2015 年に導入されたものだという。しかし、ここ数年は UwS に関する Chrome ユーザーからの苦情の減少や、UwS を事前に防ぐ Google セーフブラウジングのような積極的なセキュリティへの移行、拡張機能へ移行する UwS を防ぐための Chrome ウェブストアでのレビュー強化、マルウェアのトレンド変化などもあり、Chrome Cleanup Tool の廃止を決めたという。

Chrome 111 では設定の「リセットとクリーンアップ > パソコンのクリーンアップ (Chrome Cleanup Tool)」が削除されており、「プライバシーとセキュリティ > 安全確認」実行時にも「パソコンのクリーンアップ」が呼び出されなくなっている。定期的なスキャンを実行するコンポーネントも削除されるとのこと。Chrome Cleanup Tool がなくてもユーザーはセーフブラウジングで保護され、セーフブラウジングのオプション (設定 > プライバシーとセキュリティ > セキュリティ) で「保護強化機能」を有効にすることも可能とのことだ。

セキュリティベンダーであるLayerXが公開した2023年のWebブラウザに関するセキュリティレポートによると、企業のWebブラウザの半数以上は設定ミスをしているという。レポートではプロファイルの不適切な使用やパッチ適用ルーチンの不備などが主な設定ミスとして挙げられており、設定を誤ったWebブラウザからデータが盗まれる可能性があるとしている（2023 Browser Security Annual Report、TECH+）。

またサードパーティ製のSaaSアプリの利用やそのアプリでのIDの利用はデータ損失の第一の原因になると警告している。このほか、従来のセキュリティツールは攻撃者が侵入できる経路の半分以上を見逃しており、標的型攻撃が企業侵入の主要因になっていると分析。結果として、脆弱なパスワード、設定ミス、SaaSの脆弱性によってデジタルIDの盗難リスクが高まっており、Webブラウザのリスクのほとんどが、企業のアキレス腱となっているとしている。

中国は現在、Android OSのスマートフォンユーザー数が最も多い国となっている。複数の大学のコンピューター科学者が、静的および動的なコード解析技術を組み合わせて実施したプリインストールされたシステムアプリによって送信されたデータを調査したところ、XiaomiやOnePlus、Oppo Realmeなど中国で人気の高いスマホのメーカーすべてで、ユーザーデータが大量に収集されていることが判明したという（Android OS Privacy Under the Loupe、GIZMODO）。

これらのパッケージが多くが、ユーザーのデバイス (永続的な識別子)、位置情報 (GPS座標、ネットワーク関連の識別子)、ユーザープロファイル (電話番号、アプリの使用状況)、および通話履歴などのプライバシーに関わる情報を、同意や通知なしに多数の第三者ドメインに送信していたとされる。

headless 曰く、

オーストラリアでは政府支給スマートフォンでのTikTok使用禁止措置が省庁ごとに進められているが、専門家からは米国製アプリを含む他のソーシャルメディアアプリにも対象を拡大すべきとの意見が出ているそうだ (The Guardian の記事)。

The Canberra Times の記事によれば 140 近くある連邦政府機関のほぼ半数が政府所有デバイスでの TikTok 使用を禁じているという。アプリを禁止すべきという意見は TikTok に集中しているが、内務省ではサイバーセキュリティ大臣を兼任するクレア・オニール内務大臣の指示を受け、すべてのソーシャルメディアプラットフォームについてセキュリティリスクと政府における正しい利用法を評価しているそうだ。

政府支給端末でのソーシャルメディアアプリ利用について、専門家は TikTok が「悪」で米企業が「善」というような単純な分け方はできないと指摘する。Apple や Google ではアプリの取得できる個人情報を徐々に制限し、ユーザーによるコントロールを強めているが、位置情報を無効にしてもアップロードした写真から GPS データを取得できる。そのため、以前よりは改善されたとはいえ、問題が完全に解決したわけではないとのこと。また、別の専門家は私物デバイスから外部に送られる情報にも注意すべきだと述べている。

問題を根本的に解決するには1本のアプリを禁止するかどうかではなく、オーストラリア人のプライバシーとセキュリティを強化する必要がある。それにはより強力な個人情報保護法やプライバシー教育、エンドツーエンド暗号化の推奨、そして暗号化が小児性愛者だけのものだなどという馬鹿げた考えを終わらせる必要があるとのことだ。

昨年 8 月に発生した LastPass の開発環境への不正アクセスは 11 月の不正アクセスにつながり、攻撃者は顧客のパスワード保管庫のバックアップを保存したクラウドストレージにアクセスしているが、この 2 回目の攻撃は DevOps エンジニアがサードパーティソフトウェアを更新していれば防げた可能性があるようだ (PCMag の記事、 Android Police の記事)。

LastPass は 2 月 27 日に不正アクセスに関する更新情報を公開し、攻撃者が 2 回目の不正アクセスに必要な復号鍵を DevOps エンジニアの自宅 PC への不正アクセスを通じて入手したことを明らかにした。それによると、攻撃者は DevOps エンジニアの自宅 PC でサードパーティのメディアソフトウェアパッケージの脆弱性を利用してキーロガーをインストールし、復号鍵を保存した保管庫のマスターパスワードを入手したのだという。

LastPass はソフトウェアの名称を明らかにしなかったが、Ars Technica が Plex Media Server だという情報を入手。Plex も昨年 8 月にセキュリティ上の問題が確認されてユーザー全員にパスワード変更を要請しているが、それとの関係は不明だった。その後、問題の脆弱性は 2020 年 5 月に修正済みの CVE-2020-5741 であることが判明する。Plex は PCMag に対し、脆弱性はおよそ 75 バージョンも前に修正されていたが、LastPass の従業員がソフトウェアを更新することはなかったなどと語ったとのことだ。

Microsoft は 2 日、Windows 11 Insider Preview ビルド 25309 を Dev チャネルでリリースした (Windows Insider Blog の記事、 Neowin の記事)。

Windows Insider Blog の記事ではアナウンスされていないが、本ビルドでは VBScript がオプション機能としてアンインストール可能になっている。VBScript 機能をアンインストールするには、「設定」の「アプリ>オプション機能」で「VBSCRIPT」を選択して「アンインストール」をクリックすればいい。これにより、VBS ファイルの関連付けは削除され、HTA ファイルの VBScript も機能しなくなる。アンインストール後にオプション機能として再度追加することは可能だ。

VBScript は Internet Explorer (IE) でスクリプティングエンジンの一つとして導入されたが、Microsoft Edge を含めて他のブラウザーではサポートされず、2019 年には IE11 でも無効化された。現在もローカルの Windows Scripting Host スクリプトや HTML アプリケーション (HTA) などで実行可能だが、脆弱性を含む可能性があり、Microsoft では代替がない場合を除き使用を推奨していない。

このほか本ビルドでは、ビルド 25281 で発見された新しい音量ミキサーのロールアウトが始まっている。ただし、現在は一部のデバイスで有効にしてフィードバックを受け付けている段階であり、Dev チャネルの全デバイスで利用可能になるまでには少し時間がかかるようだ。

米バイデン-ハリス政権は 2 日、すべての米国人が安全なデジタルエコシステムのすべての利点を確実に享受できるようにする国家サイバーセキュリティ戦略を発表した (ファクトシート、 The Verge の記事、 Ars Technica の記事、 戦略全文: PDF)。

現在のサイバーセキュリティ防御では個人や中小企業、地方自治体などの負担が大きい。どのように優れたセキュリティソフトウェアでもすべての脆弱性を防ぐことはできないことを認識したうえで、ソフトウェア開発時に適切な注意を怠った者に責任を負わせる必要があるという。ソフトウェアを開発する企業には革新を行う自由が必要なのと同時に、消費者や企業、重要なインフラ提供者への注意義務を果たせなければその責任を負う必要もある。

その責任はエンドユーザーや、商用製品に組み込まれたオープンソースコンポーネントの開発者ではなく、被害を減らすための対策を実施する能力の最も高い利害関係者に移動する必要があるとのこと。これにより、イノベーションとスタートアップ企業や中小企業が市場のリーダーと競うことのできる能力を維持しつつ、市場がより安全なソフトウェアを作り出すようになるとのことだ。

漫画スラムダンクの映画「THE FIRST SLAM DUNK」用に用意されていたLINEスタンプが、準備段階で一部の暴露サイトがURLを公開してしまいツイッターなどで拡散された。その結果、準備段階のまま多くの人の目に触れたとして話題となっている。結局、同映画の公式Twitterが流出したLINEスタンプを本物だと追認するコメントを出している。なおスタンプは全8種類で、配布期間は5月23日までとのこと（THE FIRST SLAM DUNK　LINEスタンプ公式リンク）。流出の経緯などについてはひさろぐ分館の記事が詳しい（スポニチ、ITmedia、ひさろぐ分館）。

このLINEスタンプは、通常検索では検索されないよう設定をしていたとされる。そのため公式の発表段階ではLINEスタンプショップの新着には表示されないなどの問題も起きていたようだ。こうした混乱により、リークサイトや拡散したユーザーのせいで公式が予定していた企画が潰れたかもしれないなどと批判する声も出ている模様。