Last modified: Wed Jun 21 20:22:14 2006 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
》 日本原燃の海洋への放射能放出に抗議する (美浜の会, 4/29) (下線は小島)
日本原燃はついに海に放射能を放出した。４月２８日の午前１１時から約６時間にわたって、６００トンすなわち約６００ｍ３の放射性廃液を放出したという。１時間当たり約１００ｍ３は予定どおりの放出率を示している。直径７．５ｃｍの放出口から毎秒約６ｍの速度で放出したことになる。約６００ｍ３の廃液中に、トリチウムは年間放出量の１億分の１程度が含まれていたという。すなわち約１億８千万ベクレルのトリチウムが廃液６００ｍ３中に含まれていたことになる。放射能濃度にすれば、廃液１ｃｍ３当たり０．３ベクレルとなる。
(中略)
もし本格操業になると、２日に１回は廃液６００ｍ３を放出することになるという。すなわち年に約１８３回放出する。年に放出するトリチウムは１．８× １０の１６乗ベクレル（１億の１．８億倍ベクレル）だから、１回放出分の廃液６００ｍ３中に約１７００億ベクレルのトリチウムが含まれることになり、濃度にすれば１ｃｍ３当たり１７万ベクレルとなる。これは原子力施設に適用されている濃度限度である１ｃｍ３当たり６０ベクレルの２８００倍にも相当する。もし原子力施設一般に適用されている濃度規制が六ヶ所再処理工場からの海洋放出にも適用されるならば、年間予定使用済み核燃料８００トンの２８００分の１程度しか再処理できないことになり、事実上再処理は不可能になる。そのために再処理工場については、２０００年(平成１２年)科技庁告示第１３号で、濃度規制を取り払ってしまったのである。
こういうのをダブル・スタンダードというのでしょうね。
》 元NHK職員が２ちゃんねるにスレを立て内部告発 (裏２ちゃんねる, 4/16)。確かにすごい……
[SA19738] Internet Explorer "mhtml:" Redirection Disclosure of Sensitive Information の話。詳細は hoshikuzu さんの解説を参照。
プロトコルハンドラの無効化については、たとえば VU#323070 (これ自体は MS04-013 で修正された話) の III. Solution の Disable ITS and MHTML protocol handlers を参照。 今回の件では mhtml の無効化だけで ok なようです。
[Full-disclosure] MSIE Nested Object Vulnerability Is Exploitable。Secunia の中の人による post。Secunia の内部では攻略コードの作成に成功しており、Microsoft にも 2006.04.26 に送付済だそうだ。
The advisory rating of "Highly critical" and "System access" impact is therefore fully justified.
というわけで、MSIE (mshtml.dll) OBJECT tag vulnerability の話 ([SA19762] Internet Explorer "object" Tag Memory Corruption Code Execution, CVE: CVE-2006-1992) はすこぶる危険な模様。
》 横田さん拉致解決訴え、ブッシュ大統領が協力約束 (読売, 4/28)
「信じがたいのは北朝鮮が国家として拉致を許したことだ。国際社会から尊敬を得たいのなら、人権を尊重することだ」
さすがブッシュさん、いいこと言うねえ。CIA にもそう言ってね。
》 平野総合調整局長、「メール」問題の外部調査報告書を発表 (民主党, 4/28)。「党の検証チームの報告書」はこちら: 民主党 「メール」問題検証チーム報告書 (3/31)
》 《ESPIO!》 公安が「Ｖサイン」！「共謀罪」強行採決中止の裏事情—「教育基本法改正案」審議ともリンク。 ふむん……アクセンチュアですか……。
snort signature 出てます: and little flaws in IVE (SANS ISC)
》 入門 PHPセキュリティ (オライリー) なんて本が出るんですね。いけてる内容なんだろうか。 そういえば、Windowsサーバークックブック (オライリー) という本も出るそうで。
技術書翻訳者の養成講座を開講します！ なんて話もあるそうで。
》 耐震偽装・第2ラウンド、耐震基準はダブルスタンダードなのか (日経 BP, 4/26)
Q すると、どうなるのか。
A 限界耐力計算には危うい面があるのだが、法律違反ではないために、確認審査が形式的に行われている限り、決して見とがめられることはない。結果として、合法的に大地震に弱い建物がつくられることになる。JSCAはそれを問題視している。
Q JSCAは限界耐力計算に反対しているのか。
A いや、そうではない。計算法自体に問題があるわけではなく、地震力の大きさと使用の仕方に問題があると指摘している。
付け加えると、日本建築学会の耐震設計小委員会では現在、「建築物の終局耐震性能評価手法の現状と課題─限界耐力計算・エネルギー法・時刻歴解析法の比較─」と題した本の原稿を執筆中だ。要するに、適材適所の精神で計算法を使い分けるべきだと考えている。
Q JSCAは具体的にどうしろと言っているのか。
A 限界耐力計算やエネルギー法で計算された建物はピアチェックすべきだと主張している。
関連: 「構造計算書偽造事件」 関連情報 (JSCA)
しかし、PSE といいこれといい、役人の視野の狭さが目立ってきている気が。
》 特集：【Winny体験】Winnyで漏らしてしまいました (日経 BP, 4/28)
》 ウィニー：受刑者情報流出で刑務官を減給処分 法務省 (毎日, 4/28)。減給 1/5、6 か月。
》 IPAX2006 プレゼンテーション枠が確定 (水無月ばけらのえび日記, 4/26)
》 日本の情報収集活動はどこが抜けているのか(前編) (日経 BP, 4/24)
》 昨日の今日なのですが、 http://www.mainichi-msn.co.jp/ には影も形もありませんね。 http://www.mainichi.co.jp/ にはちゃんと top にあるのですが。
毎日開発センター のホームページは MY AREA NET ということになっているけど、ここも、 毎日フレンド にアクセスしないと情報が得られないし……。
それにしても、個人情報が流出しても 500 円すら払わず詫びるだけになったのって、いつごろからでしたっけ。しかも Winny や Share の場合、流出情報の回収 / 根絶は困難なわけですが、そういった側面は正しく説明されているんですかね。
……ikegami さんから (ありがとうございます)
2005年10月の「ロマンスカー＠クラブ」事件では、 500円相当の金券を配ったようです。
http://www.d-cue.com/program/info/data.info/1292_2724476_.pdf
最近でも 500 円配った例があったんですね。逆に言うと、これくらいしかない?
Cisco Security Advisory: Cisco VPN 3000 Concentrator Vulnerable to Crafted HTTP Attack (Cisco, 2006.04.26)。 攻略 HTTP パケットによって、該当装置全体への DoS が可能。 また 80/tcp へのコネクションを張りまくっても DoS が可能。
INFIGO IS Security Advisory #INFIGO-2006-04-02: Multiple PHP4/PHP5 vulnerabilities (INfigo.hr, 2006.04.24)。 PHP 4.4.2 / 5.1.2 に欠陥。 wordwrap() で heap overflow したり、array_fill() や substr_compare() で DoS になったりするそうだ。 まだ修正されていない。 山崎さん情報ありがとうございます。
SYM06-008: Symantec Scan Engine Multiple Vulnerabilities の日本語版 advisory 出ました: SYM06-008: Symantec Scan Engine に複数の脆弱性 (シマンテック)。
Symantec Scan Engine 5.0 に関しては、日本では販売をしておりません。
Symantec Scan Engine アップグレードは、プラチナムサポート契約のお客様は Platinum Support Web Site から、またライセンス契約のすべてのお客様は FileConnect のソフトウェアのダウンロード・サイトから入手できます。
》 ＣＩＡ機の違法飛行、欧州域内で１０００回超 (読売, 4/26)
》 「ネットの中立性」問題：米下院、民主党の通信法改正法案を否決 (CNET, 4/27)
》 「F-Secureインターネットセキュリティ2006」優待パッケージを発売 (エフ・セキュア, 4/27)。ムーミン優待版。5/1 から。 まずは 体験版 を試しましょう。
》 913800 - FIX: Windows Media Digital Rights Manager protected files may not correctly play back on Windows XP Media Center Edition 2005-based computers that have Update Rollup 2 installed (Microsoft)、 patch が出てますね。
》 900485 - Error message in Windows XP Service Pack 2: "Stop 0x7E" (Microsoft) の patch が自動更新に流れてきているようですね。
》 916106 - Internet Security and Acceleration Server 2004 Service Pack 2 の HTTP 問題に対する更新 (Microsoft)、patch が出てますね。
》 毎日新聞の読者情報約65,000人分が流出 (slashdot.jp, 4/27)。うわ……。 Re:６万５５３６人分 (slashdot.jp, 4/27)。うーむ。 毎日新聞、大失態…読者１０万人？の個人情報流出 (ZAKZAK, 4/27) より:
夕刊フジが入手したデータを解析した結果、毎日の子会社「毎日開発センター」の関係者がシャレを使用したものとみられる。毎日開発センターは愛読者組織を管理するほか、毎日新聞の販売をサポートする業務を行っている。
流出させた人物は通称「シャレタマ」と呼ばれるウィニーのウイルスとよく似た暴露ウイルスに感染し、フロッピーディスク約３５枚分のデータを流出させた。
関連:
》 The Empire Hacks Back Challenge: Test Your Windows Command-Line Kung Fu (SANS ISC, 4/26)。君のカン・フーでミレニアム・ファルコンを救え! (そーかー、Windows Server 2003 が動いていたのかー (^^;))
》 「脆弱性」を正しく理解している人は1割、用語の平易化が必要〜IPA調査 (Internet Watch, 4/26)。 報告書は 情報セキュリティに関する新たな脅威に対する意識調査 (IPA ISEC) を。全体としてたいへん興味深い。 「10 代」は、実際には「15〜19 歳」を意味する模様。 「15〜19 歳」の実際のアンケート回答人数は 232 人。20〜40 代がそれぞれ 1000 人を越えているのに比べると、「10 代」は人数が少ない気が。10 代といっても、15 歳と 19 歳とでは状況はすごく違うだろうしなあ。「10 代」という切り方が適切なのかどうか。
(株)マクロミルのリサーチモニタを対象にクローズド型ウェブアンケートを実施した。(同社では、全国のインターネット利用者を代表するよう常時モニタ会員を募集、また、定期的にモニターのクリーニングを実施している)
ふむん……。
理解度確認テスト (報告書の p.22 以降と、p.98 以降) はいろいろとツッコミどころがあるような気がするし。
》 政府、ウィニー対策ソフトを開発へ 実用化は不透明 (asahi.com, 4/26)。日本政府製の Virtual Machine-based Rootkit (VMBR) でしょうか?
》 「ネット詐欺は『ワンクリック』から『ツークリック』へ」，セキュアブレイン星澤氏 (日経 IT Pro, 4/26)
》 「ボットネットを“飼って”みました」，Telecom-ISAC Japan (日経 IT Pro, 4/26)。興味深い。
「OSがデバッグ・モードになっていたり，VMwareが起動していたりすると，ボット・プログラムは自動終了した」（小山氏）という。VMwareに反応するのは，ボットの調査用に設けられた罠である「ハニーポット」においてVMwareが使われているケースが多いためである。つまりボットは，自らに対する調査を“拒む”機能を備えている。
逆に言うと、普段も VMware 上で生活していれば、bot の方で勝手に避けてくれることがある、と。一部のウイルスとかもそういう動きをするようだし、普段から VMware なのも悪くなさそう。バックアップも手軽だし。VMware じゃなくて Virtual PC でもいいだろうけど。
関連: あなたのパソコンに侵入しているかもしれない−ボットの驚くべき実態が明らかに (日経 IT Pro, 4/26)
》 Re:そもそも (slashdot.jp, 4/27, 電気ショッカー船スレから)。どひゃ〜〜。ギル大繁殖のおおもとが「やんごとなき方」だった説 (匿名希望さんからのご意見を参考に、記述を修正)。 ブルーギル (消えゆく日本の淡水魚たち) から:
【分布】
１９６０年に日米修好１００周年を記念して、訪米した当時の皇太子に、事前に注文していた４種類の魚がシカゴ市長から贈られました。（*1）
そのうちの１種類が本種です。
ブルーギルが含まれていたのは偶然ではなく、皇太子自らが「非常に釣りやすい魚なので、都会地で子ども達が釣りを楽しむのに好適な種と考えた」ためです。（*2）
(中略)
（*1） １９６０年１０月５日 朝日新聞朝刊 より引用
（*2） 淡水魚第３号 （１９７７） 「特別寄稿 『淡水魚について』東宮御所で伺ったこと」 木村英造 より引用
》 ぷららのWinny遮断は是か非か（後編） (日経 IT Pro, 4/24)
トレンドマイクロの VSAPI 8.000 以上 + 2006.05.09 以降のパターンにおいて、
という新しいパターンが追加されるのだそうだ。中山さん情報ありがとうございます。
このうち Generic パターンについては、「トレンドマイクロの推奨処理」における一時処置が「放置(DoNothing)」となるので注意。
Generic パターンの場合は誤検出もあり得るのでこうなっているのだそうだ。 Generic パターンでひっかかったものは、検体として提出してください。と。 試しに virustotal や Jotti's malware scan にアップロードしてみるのも吉でしょう。
MS06-016 を適用すると unable to open address book. Address book may not be installed correctly
と言われたりする話があるそうで、KB が出ました:
原因のほとんどは、アドレス帳が、patch 適用前の OE では検出しないような形で壊れているためだそうだ。解決方法としては、MS06-016 patch (911567) のアンインストールが示されている。(アドレス帳は修復できないということ?)
DDoS の実体と対策で、IIJ の齋藤さんが、実態に基づいた解説をされています。「ある Web サーバ」って、……。 なお、お寿司やさんについては、このあたりにフォローされているようです。
動的なセキュリティ保護: IE7 のセキュリティ強化の検証ですか。やっぱり IE 7 入れてみるかなあ。
MVP 方面では、はなずきんさんが紹介されている。
Juniper Networks の SSL-VPN クライアントに欠陥。 JuniperSetup.ocx ActiveX コントロールから読み込まれる JuniperSetupDLL.dll に buffer overflow する欠陥があるため、攻略 web ページから任意のコードを実行可能。高橋さん情報ありがとうございます。
Juniper からも Advisory が出ている:
修正版があるのでアップグレードすればよい模様。
Recommended Actions:
Upgrade the IVE software to any of the following fixed versions:
* 5.3r2.1
* 5.2r4.1
* 5.1r8
* 5.0r6.1
* 4.2r8.1
snort signature 出てます: and little flaws in IVE (SANS ISC)
》 「医療記録改ざん、偽証」 医師が教授ら告発 金沢大病院 (asahi.com, 4/26)
》 MS、海賊版Windows/Officeのデスクトップに警告表示するツールの提供拡大 (MYCOM PC WEB, 4/25)。これかな: The Continuing Fight for Genuine Software: Microsoft's Genuine Software Initiative expands programs to help customers identify counterfeit software. (Microsoft)
》 Winnyに代わり「Share」が情報漏洩で狙われる危険性、トレンドマイクロ警告 (Internet Watch, 4/25)
》 「Winnyユーザーは減っていない」，ネットエージェントが調査 (日経 IT Pro, 4/25)。そんなもんなんだろうなあ……。
多分この話:
[Full-disclosure] MSIE Nested Object Vulnerability Is Exploitable。Secunia の中の人による post。Secunia の内部では攻略コードの作成に成功しており、Microsoft にも 2006.04.26 に送付済だそうだ。
The advisory rating of "Highly critical" and "System access" impact is therefore fully justified.
というわけで、MSIE (mshtml.dll) OBJECT tag vulnerability の話 ([SA19762] Internet Explorer "object" Tag Memory Corruption Code Execution, CVE: CVE-2006-1992 ) はすこぶる危険な模様。
Firefox 1.5.0.3 が登場しました。 Firefox Remote Code Execution and DoS 1.5.0.2 (CVE: CVE-2006-1993) が修正されています。
Firefox 利用者はアップデートしましょう。 なお、この問題は Firefox 1.5〜1.5.0.2 にしか影響しないそうです。
CVE-2006-2218 も、だそうです。
EUR：イーユーアールにおけるSQLインジェクションの脆弱性 (日立, 2006.04.26)
JVN#72225922: Apache Struts において Validator による入力値検査が回避される脆弱性 (JVN, 2006.04.26)。CVE: 2006-1546
SYM06-008: Symantec Scan Engine Multiple Vulnerabilities (Symantec, 2006.04.21)。これの話:
Symantec Scan Engine 5.1 で修正されている。
Mac OS Xに危険なセキュリティ・ホール，修正パッチは未公開 (日経 IT Pro, 2006.04.22)。これの話: [SA19686] Mac OS X Multiple Potential Vulnerabilitie
AIX 方面:
SYM06-008: Symantec Scan Engine Multiple Vulnerabilities の日本語版 advisory 出ました: SYM06-008: Symantec Scan Engine に複数の脆弱性 (シマンテック)。
Symantec Scan Engine 5.0 に関しては、日本では販売をしておりません。
Symantec Scan Engine アップグレードは、プラチナムサポート契約のお客様は Platinum Support Web Site から、またライセンス契約のすべてのお客様は FileConnect のソフトウェアのダウンロード・サイトから入手できます。
Ethereal 0.99.0 登場。 リリースノートには大量の fix が。CVE: CVE-2006-1932 CVE-2006-1933 CVE-2006-1934 CVE-2006-1935 CVE-2006-1936 CVE-2006-1937 CVE-2006-1938 CVE-2006-1939 CVE-2006-1940
複数の DNS 実装に欠陥。PROTOS DNS Test Suite によるテストの結果、欠陥のある DNS 実装がみつかった模様。
以下、いろいろ:
DeleGate - 9.0.5 / 8.11.5 以前に欠陥があり、DoS 攻撃を受ける。 8.10.3 以前の場合には、任意のコードの実行も可能。 9.0.6 / 8.11.6 以降で修正されている。
ISC - BIND に欠陥があり、DoS 攻撃を受ける。 BIND の TSIG を使ったゾーン転送において、
が供給されると、named が異常終了してしまう。BIND の将来のバージョンで修正される予定。
Juniper Networks - JUNOSe に欠陥があり、 5-3-5p0-2, 6-0-3p0-6, 6-0-4, 6-1-3p0-1, 7-0-1p0-7, 7-0-2, 7-1-0p0-1, 7-1-1 で修正されている。JUNOS, ScreenOS には欠陥はない。
古河電気工業 - DNSに関する脆弱性の問題について
pdnsd - 1.2.4 で修正されている。
MyDNS -
1.1.0 で修正されている。Fixed a critical denial-of-service vulnerability
だそうだ (from ChangeLog)
DNSに関する脆弱性への対応について（NetShelter/FWシリーズ） (富士通)。NetShelter/FW シリーズに欠陥があるそうです。
MS06-015 の新 patch 出てます。
patch 本体には変化はなく、HP 製品や nVidia 製品での不具合を回避するために「exception list」のレジストリを自動的に設定するようになっただけ。KB918165 には nVidia に関するレジストリ設定も記載されている。
》 映画「大統領のカウントダウン」 または、置き換えられる記憶 (チェチェンニュース, 4/22)
》 [AML 6745] 松下電器はパソコン兵器の回収を！。 この手の人達は、戦場にある全ての民生品を回収したいんですかねえ。 「民兵組織が DATSUN を使っているのは問題だ! 日産はすぐさま回収しなさい」とか?
》 ぷららのWinny遮断は是か非か（前編） (日経 IT Pro, 4/24)
5月をめどにWinnyの通信を一切通さないようにする計画で，現在総務省の判断を待っている段階だという。
その結果によっては中止もあるわけか。
》 サイボウズ、ライブドアからネットアンドセキュリティ総研を買収 (ITmedia, 4/24)。おぉ〜?!
》 Password checker (Microsoft) の日本語版だという パスワードチェッカー (Microsoft) ですが、「BEST」に対応する日本語が表示されないバグがあるような気が。英語版では 4 つあるマスが、日本語版では 3 つしか表示されないぞ?! id="idSMT4" に対応するモノがないようですね。
ランダムパスワード生成プログラムでてきとうにつくったパスワードを入れてみたら、こうなった。
えっ 14? 15 じゃなくて?
あと、自分が使っているホンモノのパスワードで試してみたい方は、念のため https なページで試した方がいいでしょう。 これ自体は「情報を収集、保存することは ありません」だそうですが (ヤマガタさん情報ありがとうございます)、やっぱり念のため。 なお、パスワード検査コードの実体は http://www.microsoft.com/athome/security/includes/passwdcheck.js みたいです。
Microsoft helps you choose “good passwords”. (SANS ISC) も参照?
関連: The Great Debates: Pass Phrases vs. Passwords. Part 2 of 3 (Microsoft)
As an additional argument for longer passwords, it is often cited that passwords longer than 14 characters do not generate LM hashes.
日本語版: パスフレーズ vs. パスワード Part 2 (Microsoft)
より長いパスワードについての追加の論点として、14 文字以上のパスワードは LM ハッシュ値を生成しないことが頻繁に引き合いに出されます。
Microsoft は、14 文字以上なのか 15 文字以上なのか、はっきりしてください。
eEye Advisory 日本語版出ました (高橋さん情報ありがとうございます):
exploit が出ているようです。また、Winnyp v2.0b7.27 では修正されているようです。
……鵜飼さん自身による決定版的記事が出ています:
たとえばこのあたり:
Winnyのリサーチを開始して2日後にこの脆弱性を発見したのです (中略)。この脆弱性は非常に簡単に発見できるものであり、いつ問題が表面化してもおかしくない状況であると思いました。
しかも、金居が1日でWinnyノードの収集用プログラムをほぼ完成させ、数時間でほぼすべてのノード情報を取得できることが確認できました。これは、Winnyネットワークへの一斉攻撃が、非常に短期間で実現できることを意味します。
開発者の方は、諸般の事情で修正版を配布できない可能性があるにもかかわらず、現在も数十万の脆弱なノードが実働しているという状況は、まさに危機的であると感じました。
つまり、その気にさえなれば、たとえば数十万台規模の botnet をかんたんにつくれる、と。
eEyeでは、内規により実働する攻撃コードの外部提供が一切禁止されています。そのため、コード実行が可能であることを示すため、Windowsシステムにおけるヒープ・オーバーフロー脆弱性のメカニズムに関する技術解説、および、本脆弱性を利用した任意コード実行の手順をIPAにお送りしました。しかし、開発者の方にこれらを十分お伝えできませんでした。今後も、IPAからの要請があれば、引き続き情報提供を続けたいと思います。
そういうことでしたか……。IPA に再現能力がないという意味では同じなんだろうけど。
本脆弱性を利用した攻撃や、ワームなどによるさらなる情報流出事件が発生する可能性があると考え、本脆弱性を修正するためのバイナリ・パッチを試験的に開発し、ヒープ・オーバーフロー攻撃に対して有効であることを確認しました。
しかし、パッチの一般提供は、社会的影響を考慮するとやはり困難であると判断せざるを得ません。また、各関係機関より、「パッチ提供という行為そのものが日本の法律に抵触する可能性がある」との見解が示されたこともあり、現在のところ、一般提供の見通しは全く立っていません。
なにしろ、ソフトウェア開発者を著作権法違反幇助容疑で逮捕する国ですからねえ。 危ない橋は渡れません。
Thunderbird 1.0.8 英語版が出ました。日本語版はまだです。
Firefox 1.0.8、Thunderbird 1.5.0.2 / 1.0.8、Mozilla 1.7.13 出てます。
Firefox 1.0.8 と Thunderbird 1.5.0.2 は日本語版も出てます。 Thunderbird 1.0.8 はまだですが、日本語版も登場する予定のようです。 Mozilla 1.7.13 についても日本語版の作業が進められているそうです (アイヴァーンさん情報ありがとうございます)
Thunderbird については こちらの記事も参照。
》 竹島問題：衝突回避 土壇場一転決着 (毎日, 4/23)。しかし、とりあえず回避しただけだからなあ。
》 アイフル：同名の住宅会社に問い合わせ続々 商談延期も (毎日, 4/23)。 アイフルホームは Eyefulhome で aiful とはぜんぜんつづりが違いますね。
》 ＪＲ西：文書ずさん管理、部署で異なる図面 事故調指摘 (毎日, 4/23)
》 First virus for Matlab (F-Secure blog, 4/22)。へぇ〜。
eEye から Advisory 出ました:
どれどれ……
We can pass a long string argument with some commands into a heap buffer. There is no checking of the length of this input. Depending on the input, this strcpy() will cause one of the following exploitable conditions:
(1) 0052290A mov dword ptr [edx],eax ; We can control both of EDX and EAX
(2) 00406011 call dword ptr [ebx+0ch] ; We can control EBX
In both cases, we confirmed the ability to execute our own code. This is a common heap overflow vulnerability and can be exploited easily.
な、なんだってー。 eEye は任意コードの実行が可能であることを確認してるんじゃん!! しかも can be exploited easily だそうですよ奥さん! 一般論どころの話じゃない。
4/11/2006: IPA responds to our notice. The author of Winny insists that code execution is impossible. We choose to continue to work with the IPA and send additional detailed information about this heap overflow and how heap overflows are exploited.
IPA や JVN は詳細を知っているにもかかわらず誤報を流してるってことなのか? IPA には、脆弱性情報流通体制において受付機関だけではなく分析機関としての役割もあるのだが、分析機関としての能力ははなはだ低いってことなのか?
》 アップルvsブロガー裁判、審理開始へ--ネットジャーナリストの権利はどうなる？ (CNET, 4/21)
》 ウェブアプリケーション開発者向けセキュリティ実装講座の開催について (IPA)。開催は既に終了していますが、講演資料が公開されています。
》 海自のインド洋派遣、半年延長を閣議決定 (読売, 4/21)。 だらだらと延長中。
》 共謀罪創設の法案審議入り、政府・与党成立目指す (読売, 4/21)。そしてついに、その日がやってまいります (声: 松平アナ) ……ということになるのか。
》 Army Report on ESP in Animals (The Memory Hole)。ESP ですか……。
》 「Winny問題」について意見交換しませんか (日経 IT Pro, 4/19)。 匿名P2Pネットワークにおける情報漏洩対策を考える会議の話。
》 イランは核攻撃される？ (田中宇の国際ニュース解説, 4/18)。核バンカーバスターですか……。
》 「Yahoo!は中国での反体制活動家弾圧に関与」，言論の自由の擁護団体が報道 (日経 IT Pro, 4/20)。国境なき記者団ねた。
》 「出張してWinny検出します」、三井物産セキュアディレクションがサービス提供 (日経 IT Pro, 4/20)
》 OCNサービスにおける迷惑メール対策 およびセキュリティ対策の強化について (NTT Com, 4/5)
ISPのメールサーバを経由しない等のいわゆる動的IPアドレス^*1」からOCN会員（ocn.ne.jpドメイン利用者）^*2宛のメールを規制する「Inbound Port 25 Blocking^*3」を平成18年4月下旬より開始します。
また、不正な通信を遮断するために送信元IPアドレスの正当性を検証するuRPF（unicast Reverse Path Forwarding）^*4について全OCNサービスを対象に平成18年4月5日より順次採用し ます。
》 空自の緊急発進、０５年度は６割増 対中国機は８倍に (asahi.com, 4/20)
Winny 2.0 b7.1 以前に欠陥。攻略パケットによって buffer overflow が発生するため、remote から Winny を異常終了させることが可能。報告者は eEye の鵜飼さん。
Ｗｉｎｎｙの制作者の金子勇です。
私自身は、諸般の都合により、Ｗｉｎｎｙのアップデートおよび 脆弱性の具体的な検証が困難な状況にあります。
というわけで patch は今のところ存在しない。 公権力によってセキュリティ脆弱性の修正が禁止されたソフトウェアというのは、世界的に見ても例がないのでは。京都府警はまたひとつ金字塔を打ち立てましたね。おめでとう。
ところで、JVN 的にはあくまで「異常終了」に止まっているのですが、IPA ISEC は、 「Winny（ウィニー）の安全上の問題箇所（脆弱性）の公表について」において
一般的に、バッファオーバーフローの脆弱性は、悪用されると、当該プログラムを実行しているユーザアカウントの権限で、ソフトウェアの異常な動作停止や、ウイルスの感染行動、スパイウェアやボットといった不正プログラムのインストールなどが行われる可能性があります。
と飛ばしまくりです。おまけに、
開発者による修正方法は公表されていませんので、回避方法は「Winny利用の中止」です。
一方で開発を中止させておきながら、もう一方で「開発者による修正方法は公表されていません」ですか。.go.jp って最高ですね。
eEye から Advisory 出ました:
どれどれ……
We can pass a long string argument with some commands into a heap buffer. There is no checking of the length of this input. Depending on the input, this strcpy() will cause one of the following exploitable conditions:
(1) 0052290A mov dword ptr [edx],eax ; We can control both of EDX and EAX
(2) 00406011 call dword ptr [ebx+0ch] ; We can control EBX
In both cases, we confirmed the ability to execute our own code. This is a common heap overflow vulnerability and can be exploited easily.
な、なんだってー。 eEye は任意コードの実行が可能であることを確認してるんじゃん!! しかも can be exploited easily だそうですよ奥さん! 一般論どころの話じゃない。
4/11/2006: IPA responds to our notice. The author of Winny insists that code execution is impossible. We choose to continue to work with the IPA and send additional detailed information about this heap overflow and how heap overflows are exploited.
IPA や JVN は知っているにもかかわらず誤報を流してるってことなのか? IPA には、脆弱性情報流通体制において受付機関だけではなく分析機関としての役割もあるのだが、分析機関としての能力ははなはだ低いってことなのか?
eEye Advisory 日本語版出ました (高橋さん情報ありがとうございます):
exploit が出ているようです。また、Winnyp v2.0b7.27 では修正されているようです。
鵜飼さん自身による決定版的記事が出ています:
たとえばこのあたり:
Winnyのリサーチを開始して2日後にこの脆弱性を発見したのです (中略)。この脆弱性は非常に簡単に発見できるものであり、いつ問題が表面化してもおかしくない状況であると思いました。
しかも、金居が1日でWinnyノードの収集用プログラムをほぼ完成させ、数時間でほぼすべてのノード情報を取得できることが確認できました。これは、Winnyネットワークへの一斉攻撃が、非常に短期間で実現できることを意味します。
開発者の方は、諸般の事情で修正版を配布できない可能性があるにもかかわらず、現在も数十万の脆弱なノードが実働しているという状況は、まさに危機的であると感じました。
つまり、その気にさえなれば、たとえば数十万台規模の botnet をかんたんにつくれる、と。
eEyeでは、内規により実働する攻撃コードの外部提供が一切禁止されています。そのため、コード実行が可能であることを示すため、Windowsシステムにおけるヒープ・オーバーフロー脆弱性のメカニズムに関する技術解説、および、本脆弱性を利用した任意コード実行の手順をIPAにお送りしました。しかし、開発者の方にこれらを十分お伝えできませんでした。今後も、IPAからの要請があれば、引き続き情報提供を続けたいと思います。
そういうことでしたか……。IPA に再現能力がないという意味では同じなんだろうけど。
本脆弱性を利用した攻撃や、ワームなどによるさらなる情報流出事件が発生する可能性があると考え、本脆弱性を修正するためのバイナリ・パッチを試験的に開発し、ヒープ・オーバーフロー攻撃に対して有効であることを確認しました。
しかし、パッチの一般提供は、社会的影響を考慮するとやはり困難であると判断せざるを得ません。また、各関係機関より、「パッチ提供という行為そのものが日本の法律に抵触する可能性がある」との見解が示されたこともあり、現在のところ、一般提供の見通しは全く立っていません。
なにしろ、ソフトウェア開発者を著作権法違反幇助容疑で逮捕する国ですからねえ。 危ない橋は渡れません。
日本語版出ました。http://otn.oracle.co.jp/security/ を参照。
SquirrelMail 話関連: JVN#83263796: SquirrelMail におけるクロスサイトスクリプティングの脆弱性 (JVN)
MS06-015 の件、MSRC blog に続報が出ています:
More information on the MS06-015 issue (MSRC blog, 2006.04.21)
Up until now there have been several solutions: Upgrade to the newest version of the affected software, a manual registry key fix, uninstall the third party software (NVIDIA Drivers versions 61.94 and prior or the Hewlett Packard Share-to-web software) or uninstall the update.
不具合の出る nVidia ドライバーは 61.94 以前だそうです。
So what we have done is re-engineered the MS06-015 update to avoid the conflict altogether with the older Hewlett Packard and NVIDIA software. We're going to run a test pass on it and we will release this new update on Tuesday, April 25th. What the new update essentially does is simply add the affected third party software to an "exception list" so that the problem does not occur. The revised update automates the manual registry key fix.
4/25 に patch の新版が出るそうです。問題の発生する 3rd party ソフトについては「exception list」に登録する、ですか。 exception list という言葉は KB918165 にはないのですが……。
…… MS06-015 が改訂されてました。
更新されたセキュリティ更新プログラムには最初のセキュリティ更新プログラムに含まれていたバイナリに対する変更はありません。更新されたセキュリティ更新プログラムはマイクロソフト サポート技術情報 918165 同様に、以下の一覧のエントリを追加します。
HP Share-to-Web
{A4DF5659-0801-4A60-96071C48695EFDA9}
NVIDIA グラフィック ドライバ
{1E9B04FB-F9E5-4718-997B-B8DA88302A47}
{1E9B04FB-F9E5-4718-997B-B8DA88302A48}
{1CDB2949-8F65-4355-8456-263E7C208A5D}
KB918165 のレジストリ設定が「exception list」だということか。
Internet Watch の記事にリンクが出てたからわかったけど、 るるぶ.com の top ページにはなにもないんですね。るるぶ.comからのおしらせにもないしなあ。
》 ソニー、メモリースティック模造品について警告 (PC Watch, 4/20)、 ソニー製メモリースティックの模倣品が市場に出回る (slashdot.jp, 4/21)
》 マカフィー、ホスト型不正侵入防止ソリューションを発売: 複合的な検知技術によりゼロデイ対策を実現 (Enterprise Watch, 4/20)。McAfee Host Intrusion Prevention 6.0 の話。 しかし、WAP よりは安い、と言われてもなあ。
》 BitTorrentやウィジェットを実装した「Opera 9」のベータ版 (Internet Watch, 4/20)
》 周波数解析法で登録拒否率0％、DDSがUSBメモリ型指紋認証ユニット (Internet Watch, 4/20)
》 止めるぞ！情報漏えいセミナー (ascii-business.co)。2006.05.02、東京都千代田区、5,250円。
》 「仮想マシン・ベースのルートキット」に関するレポートが公開 (日経 IT Pro, 4/17)
》 シマンテック、脆弱性管理やバックアップ監査に対応したポリシー監査ソフトの新版 (Enterprise Watch, 4/19)。 Symantec Enterprise Security Manager 6.5 だそうです。
》 原発耐震検討：委員の過半数が業界団体委員 安全委分科会 (毎日, 4/20)
どうしてもイーホームズを悪者扱いしたい人がいるってことなのかなあ、とか思っちゃうよなあ。 彼らが公表したからこそ全てがはじまったということだけは、忘れてはいかんと思いますけどねえ。
》 「プール熱」大流行の兆し 国立感染症研究所調べ (asahi.com, 4/20)
そろそろいじってみるべきなのかなあ。
》 警察の私物パソコン１６６台にウィニー 内部情報も保存 (asahi.com, 4/20)
》 「HP Compaq nx4800 Notebook PC」付属 バッテリパック不具合による回収と無償交換について - 日本で未発売の機種含む - (HP, 4/20)
》 NTTドコモ、FOMA「P702i」を一時販売停止--ソフト不具合で電源が入らなくなる恐れ (CNET, 4/19)
JVN#84091359: Trac におけるクロスサイトスクリプティングの脆弱性 (JVN)。 0.9.5 で修正されたそうです。
CISCO ねた:
[SA19725] AWStats "config" Cross-Site Scripting and Full Path Disclosure 。自分で直せ、ですか。
1.5.0.2 登場しています: ftp.osuosl.org。 1.5 日本語版で「ソフトウェアの更新」を試してみたら、「接続がタイムアウトしました」と言われてしまった。
FreeBSD の AMD 話 (FreeBSD-SA-06:14.fpu) のつづき。
[SA19724] Linux Kernel x87 Register Information Leak。Linux にも同様の話があったみたい。ただしこちらは AMD K7/K8 CPU のみ。カーネル 2.6.16.9 で修正されたそうだ。 CVE: CVE-2006-1056
AMD Background/Response (freebsd.org)。FreeBSD-SA-06:14.fpu に関する詳細情報。
》 [tomoyo-users 60] TOMOYO Linux 1.1 公開しましたそうです。ダウンロード。 関連:
》 ウィニー：対策ソフト、産官学チームで開発へ 政府が決定 (毎日, 4/18)
対策ソフトは、パソコンから情報が流出する可能性を事前に察知し、問題ソフトを停止させる仕組み。ウィンドウズやリナックスなど基本ソフト（ＯＳ）に関係なく使えるようにする。
これだけではよくわからんなあ。……杉原さんに、4/17 の日経夕刊にもうちょっと詳しい記事が出ていたと教えていただきました (ありがとうございます)。 ……うわ、1 面トップですね。 読んでみましたが……やっぱりよくわからないですね。
》 [memo:9008] [ANN] SELinux勉強会:Russell。 SELinux のキーマンの一人 Russell Coker 氏による講演と議論。 2006.04.27、東京都港区、無料。エイゴデキナクテモ ok デスカ?
こんな話もあるようです: [selinux-users:01528] Russell Coker氏にTOMOYO Linuxを紹介する会？
》 IPAX 2006。 これも 2006.05.17〜19 だよ。つくづくこの週なのね。5/19 は、 特別講演に畑村先生の「失敗学のすすめ」があったり、IPA の中の人による連続セキュリティ話があったりするみたい。 出展者プレゼンテーションでも、 シャープの「デジタル複合機のセキュリティ評価（仮題）」というのがなんとなくおもしろそう。
関連: IPAX2006 受賞者プレゼン枠 (水無月ばけらのえび日記, 4/18)。
》 世田谷のハト大量死、死因は農薬 混ぜた餌与える？ (産経, 4/19)
》 カナダで５例目のＢＳＥ感染牛を確認 (CNN, 4/17)
》 青少年の健全な育成のためのコンテンツ流通研究会報告書について (経産省, 4/18)
》 ゴールデンウィークにおけるテロ対策の徹底について (国土交通省, 4/17)
》 ゆりかもめ車輪脱落：破断部分、さび十数センチ 国交省、９社に緊急点検指示 (毎日, 4/18)、 案内軌条式鉄道の運行に係る安全確保について (国土交通省, 4/17)
■今回の対象となる超高速船の範囲について
→ ３５ノット以上で、翼走しているものに事故が集中しており、それを議論の対象に集中していきたい。
》 閉じ込め事故防止：エレベーターにＰ波停止装置を義務化へ (毎日, 4/18)、 エレベーターの地震防災対策の推進について （社会資本整備審議会建築分科会建築物等事故・災害対策部会報告） (国土交通省, 4/18)
》 サイバー攻撃防御で協力、日米両政府が交換公文締結 (読売, 4/19)
具体的内容を定める了解覚書（ＭＯＵ）によると、ウイルス対策や互いのセキュリティーの問題点などに関し、安全保障上の観点から、日本側は統合幕僚監部が、米側は米太平洋軍司令部が窓口となり、在日米軍経由で情報交換する。こうした情報は、他国などに伝える際には書面による事前同意を必要とする。
というわけで、おもいっきり軍事話。
》 住基ネットのプライバシー侵害認めず、名古屋高裁 (読売, 4/19)
》 ＮＹ原油、初の７１ドル台 イラン核問題を懸念 (asahi.com, 4/19)。止まりませんね……。
》 警察、私物パソコンを一掃へ: ウィニー情報流出対策 ２年間で切り替え (中日, 4/19)
》 匿名P2Pネットワークにおける情報漏洩対策を考える会議。 2006.05.15、東京都千代田区、一般 5,000円 / 2006.05.17、兵庫県神戸市、一般 2,000円。……つくづくこの週なのね……。
》 Open Source Revolution! (日経 BP)。2006.05.15、東京都港区、無料。 『セキュリティ強化Linux「TOMOYO Linux」の商用システム導入事例紹介』 という話があるそうです。 ……つくづくこの週なのね……。
》 マーチン・ヴァン・クレヴェルト 「補給戦〜ナポレオンからパットン将軍まで〜」 が、 「補給戦〜何が勝敗を決定するのか〜」 として復刊されるそうです。やったぁ。
》 汚された大地で 〜チェルノブイリ ２０年後の真実〜 (NHK スペシャル)。チェルノブイリ事故が仕掛けた時限爆弾がいよいよ炸裂し始めており、十分な調査と手当が今こそ必要という印象を持ったのだが、IAEA という組織は、人災をさらに広げているようですね。 関連:
FreeBSD-SA-06:14.fpu - FPU information disclosure。 FreeBSD 4.x / 5.x / 6.x で最近の AMD 製 CPU (Athlon, Duron, Athlon MP, Athlon XP, Athlon64, Athlon64 FX, Opteron, Turion, Sempron) を使っている場合の欠陥。patch あり。 CVE: CVE-2006-1056
J2SE 5.0 Release 4 のセキュリティコンテンツについて (apple)。 Sun Alert 102170、 Sun Alert 102171 の件に加え、「Java インプットメソッドのマイナーなセキュリティ関連の修正」が加えられているそうな。
[SA19683] avast! Insecure Temporary File Creation。 Avast Linux Home Edition (vulnerability on a temporary folder creation) の話。
Cyrus SASL DIGEST-MD5 Pre-Authentication Denial of Service。Cyrus SASL Library 2.1.21 で修正されているそうな。
[SA19709] Linux Kernel "ip_route_input()" Denial of Service Vulnerability。 Linux 2.6.16.8 で直っているそうな。
[SA19599] PHP "phpinfo()" Cross-Site Scripting and Security Bypass 。phpinfo() に XSS 欠陥がある話など。 PHP 4.x / 5.x に影響。CVS 版では直っている。 CVS: CVE-2006-0996 CVE-2006-1494 CVE-2006-1608
FreeBSD の AMD 話 (FreeBSD-SA-06:14.fpu) のつづき。
[SA19724] Linux Kernel x87 Register Information Leak。Linux にも同様の話があったみたい。ただしこちらは AMD K7/K8 CPU のみ。カーネル 2.6.16.9 で修正されたそうだ。 CVE: CVE-2006-1056
AMD Background/Response (freebsd.org)。FreeBSD-SA-06:14.fpu に関する詳細情報。
[SA19599] PHP "phpinfo()" Cross-Site Scripting and Security Bypass は PHP 5.1.3 以降で直っています。
LiveUpdate 話、日本語版出ました: SYM06-007: Symantec LiveUpdate for Macintosh にローカルでの権限昇格の脆弱性 (シマンテック)
Release notes だけ読んで書いてしまいました系の記事。
【4月19日追記】Mozilla Japanによると，「Thunderbird release notes」には「Release Date: April 18, 2006」と記載されているものの，リリース日時は米国時間4月19日昼（日本時間4月20日朝）に延期されたという。このため，バージョン 1.5.0.2は現時点（日本時間4月19日）では未公開。米国時間4月19日昼（日本時間4月20日朝）には，英語版と同時に日本語版なども公開される予定である。【以上，4月19日追記】
というわけで、明日出るようです。
1.5.0.2 登場しています: ftp.osuosl.org。 1.5 日本語版で「ソフトウェアの更新」を試してみたら、「接続がタイムアウトしました」と言われてしまった。
Thunderbird 1.0.8 英語版が出ました。日本語版はまだです。
SymEvent ファイルのバージョンが 12.0.0.21 のときに、問題が発生するそうだ。
(b) LiveUpdateを実行すると、SymEvent ファイルがバージョン12.0.0.21 にアップグレードされる製品
- Norton AntiVirus 2006
- Norton Internet Security 2006
- Norton SystemWorks 2006
- Norton Personal Firewall 2006
こういうのはやっかいだなあ……。
第 2 報出ました:
SymEvent ファイルを 12.0.3.1 に更新すればよいそうです。
2006 年 4 月版 Oracle patch 出ました。
SANS ISC の記事
に Of interest is the updated version of password checking utility (Oracle Default Password Scanner) that was originally released in January
と書かれているので
Oracle Critical Patch Update - April 2006 をよく見てみると、これですか。
Default Account and Password Checking Utility
The password checking utility announced in the January 2006 Critical Patch Update has been significantly updated and renamed. The Oracle Default Password Scanner assists customers with securing Oracle-provided default database schema accounts that use default passwords. The MetaLink article titled Frequently Asked Questions about Oracle Default Password Scanner (MetaLink Note 361482.1) provides detailed information for this utility, including instructions for downloading the utility and its accompanying documentation, the Oracle Default Password Scanner User's Guide.
日本語版出ました。http://otn.oracle.co.jp/security/ を参照。
》 2006/04/14 15:22 - http://www.chial.jp (Zone-H.org)。個人情報漏洩のセキュリティ対策はチアルアンドアソシエイツだそうですが……。 おおかわさん情報ありがとうございます。
》 中国調査業界裏話 第 15 回: 社内の怪文書や噂にどう対処するか (日経 BP, 4/13)
怪文書や悪い噂に接したときは、そこで語られる内容の真偽を調べることよりも、その背景にある問題を処理することが大切です。間違っても、それらの内容を頭から信じ込んではいけません。 (中略)
私個人としては、怪文書や悪い噂のターゲットになった人物であっても、その人物が実績を出している、あるいは実績を出すためのシステムを作り出している人間であり、会社にとって必要な人材であるのなら、その人物を支持する必要があると思います。なんといっても、我々は利益を出すために中国に進出しているのですから。
》 うっかりだまされてしまう8つの質問 (ITmedia, 4/17)
》 Symantec、企業向けメールセキュリティソフト発表 (ITmedia, 4/18)。 Symantec Mail Security for SMTP 5.0 Protects Against Risk of E-mail Threats and Spam (Symantec) の話。
》 進化するrootkit、「オープンソース環境」を整える悪質なハッカーら--マカフィー調べ (CNET, 4/18)。 これの話:
rootkit 3 部作の part 1 だそうです。 AVERT Technical White Papers (McAfee) には、Virus Bulletin とか用に書かれた文書とかも掲載されているんですね。
》 NISC NEWS (内閣官房情報セキュリティセンター) なんですけど、
》 情報処理試験でNUL文字攻撃の問題など (水無月ばけらのえび日記, 4/17)
》 ...and one giant step for PHP security (securiteam blog, 4/17)。PHP 6 ですか……。
》 2.4.4 Binaries and 2.6.0RC1 Available (snort.org, 4/17)
》 SpywareGuardによるスパイウェア感染の防御 (アダルトサイト被害対策の部屋) が 4/18 付で「導入非推奨」に変更されています。
》 「偽サイトへは“偽”の画像を送信してフィッシング対策に」，F-Secure (日経 IT Pro, 4/17)。でも Referer は「セキュリティソフト」がぶち切ってるコトもあったりするし。サポセンが死ぬ気でがんばる覚悟がないとできないよなあ。
》 情報解析ツール（McAfeeMinimumEscalationResouceTool) (インフラ管理者の独り言, 4/17)。 McAfee Minimum Escalation Resouce Tool (MERTool) が報告するファイルの中身の話。
》 Perl Winny Scanner (shag の日記, 4/13)
CVE-2006-1550。
Dia 0.87 〜 0.95-pre5 に複数の buffer overflow 欠陥。
xfig から持ってきたコードに問題があったみたい
xfig で作った図を import するコードに問題があったみたい
(新出さんの指摘を受けて修正: ありがとうございます)。
dia-0.95-pre6: 21-Mar-2006
で修正されている。(ソースコード)
mailman 話:
CVE-2006-0052。 mailman 2.1.5 以前に欠陥。 Scrubber.py に欠陥があり、DoS 攻撃を受ける。mailmain 2.1.6 で修正されている。
CVE-2006-1712。 mailman 2.1.7 に XSS 欠陥。mailmain 2.1.8 で修正されている。
SYM06-007: Symantec LiveUpdate for Macintosh Local Privilege Escalation (シマンテック, 2006.04.17)。LiveUpdate 経由で直るようです。
[SA19531] OpenVPN LD_PRELOAD Environment Variable Pushing Vulnerability。 OpenVPN 2.0〜2.0.5 の欠陥。2.0.6 で修正されている。 CVE: CVE-2006-1629
[SA19495] Linux Kernel Sysfs Local Denial of Service Vulnerability。 CVE: CVE-2006-1055。 fill_write_buffer() 方面。 2.6.16.2 で直っているそうな。
[SA19573] Linux Kernel "__keyring_search_one()" Denial of Service。 CVE: CVE-2006-1522。 __keyring_search_one() 方面。 2.6.16.3 で直っているそうな。
LiveUpdate 話、日本語版出ました: SYM06-007: Symantec LiveUpdate for Macintosh にローカルでの権限昇格の脆弱性 (シマンテック)
この patch を適用すると、Windows XP / Server 2003 で副作用が発生することがある模様:
KB896180 英語版 によると、有償サポートからさらなる修正プログラムを入手できる模様。
MS06-015 patch と nVidia ドライバーの件、MSRC blog に記載されています。
Update to the MS06-015 issue. (MSRC blog, 2006.04.18)
Turns out that under certain circumstances, changes introduced in MS06-015 could cause an application to stop responding during specific interactions with older versions of Hewlett Packard's “Share-to-web” software utility, or older NVIDIA video card drivers. In the case of the Hewlett Packard software, their new version known as “HP Image Zone Version 5” is not affected. Neither are the most recent NVIDIA graphics card drivers.
古い nVidia ドライバーはだめなことがあるようですね。 nVidia も HP のも、最新はだいじょうぶ。 nVidia、どのくらい古いとだめなのかがいまいち不明ですが……。
4/14 付で新版が公開されたようです: SAVCE 10.0.2 MR2 MP1、SCS 3.0.2 MR2 MP1 公開中止のお知らせ（2006年4月14日更新） より:
シマンテックは、この問題を修正した MR2 MP1/MR2 MP2 をリリースしました。最新版のシマンテックエンタープライズ製品の入手方法に関しては以下の文書をご参照ください。
シマンテック エンタープライズ製品の最新バージョンの入手方法 -- 文書番号: 20020616173448953
》 ウィニー 入札巡る国会議員への「口利き依頼文」流出 (毎日, 4/17)
》 Winnyネットワーク崩壊への最終シナリオ (高木浩光＠自宅の日記, 4/16)。 Winny.exe 単体の話をしているのかウィニーネットワークの話をしているのか。 高木さんはウィニーネットワークの危険性の話をしているように私には見えるけど、 Winnyが残したもの (アンカテ(Uncategorizable Blog)) は Winny.exe 単体 (あるいは Winny.exe 配布パッケージ) の話をしているように私には見える。
Winny.exe それ自体はマルウェアではない、というのは、現時点でのごく一般的な見解。だからこそ、日本政府も歯切れの悪い「呼びかけ」「お願い」でお茶を濁すしかないわけで。
それはともかくとして、
まず、個人情報を流出させた者もしくはその代理人、あるいは被害者（漏らされた情報の主体）の代理人が、これらのツールを使って、そのファイルを持っているWinnyノードのIPアドレスを洗い出し、プロバイダ責任法に基づいてISP経由で当該ノードのWinny利用者にファイルの削除を要請する。
著作権管理団体や政府機関がこれを行うのが基本かなあ。
》 McAfee VirusScan Enterprise 8.5i Beta Refresh (McAfee)。なんだかベータテストしてるっぽいです。Cynosさん情報ありがとうございます。
》 ブラックウォームの警告・WinAntiSpywareとWinAntiVirusProは winfixer.comの新商法 (Semplice, 4/17)。Luca さん情報ありがとうございます。
》 IAjapan 第3回 迷惑メール対策カンファレンス (IAjapan)。2006.05.16、東京都港区、2000円。ローソンチケットで販売。 しかしなぜ、ことごとくこの週なのだ。
》 第08回の募集開始 (まっちゃだいふくの日記, 4/17)。2006.05.20、京都府京都市、2000円。 詳細: [openmya:033912] FYI：第０８回まっちゃ１３９勉強会のご案内
》 駐車違反：どう変わる取り締まり ６月から民間監視員 (毎日, 4/17)
》 「外務省が懸念を通知」、中国の航行禁止通告問題 (asahi.com, 4/17)。うーむ。後手後手ですなあ。
》 ＮＹ原油、７カ月半ぶり７０ドル台 イラン情勢など懸念 (asahi.com, 4/17)、ガソリンが最高値更新…製油所事故相次ぎ (読売, 4/17)。うーむ。
》 ひまわり６号が姿勢に異常、観測休止 (asahi.com, 4/17)。うーむ。 ……ひまわり６号、画像送信を再開 観測停止は約２０時間に (asahi.com, 4/17)。
》 IPサービスで障害続発のNTT西日本，フレッツ・オフィスでまたトラブル (日経 IT Pro, 4/16)
》 Windowsが使えるもう1つのMac環境 「Parallels Workstation」 (PC Watch, 4/17)。 VM 方面では Xen 3.0.2 released (slashdot.jp, 4/16) という話もあるそうで。
》 マイクロソフト、打ち間違えたURLの悪用を防止するツールを発表 (CNET, 4/14)。Strider URL Tracer with Typo-Patrol (Microsoft Research) だそうです。
》 Win9x系のサポートは7/11で終了 (slashdot.jp, 4/15)。 あと、 Debianの2.2系＆2.4系安定リリースだった 'woody' は、5月でサポートが切れるそうです。
》 ジェネリック医薬品に切り替えた場合の薬品名・価格(削減効果)が 一目で分かる『ジェネリック医薬品促進通知書』提供サービスを開始 (NTT データ, 4/5)
FreeStyleWiki 3.5.10 以前に XSS 欠陥があり、Wiki に任意のスクリプトを埋め込める。 FreeStyle Wiki 3.5.11 で修正されている。
MS06-013 出ました。
Internet Explorer 用の累積的なセキュリティ更新プログラム (912812) (MS06-013) (Microsoft)。ActiveX まわりの仕様変更が適応されるのは以下のプラットホームのみ。KB912812 も参照。
917425 - Mshtml.dll に関する Internet Explorer ActiveX 互換性修正プログラム (Microsoft)
あと、Web サイト側の対応に関するリソース:
副作用方面:
Windows XP SP2で、Windows Updateに含まれる「Windows XP用Internet Explorerの累積的なセキュリティ更新プログラム(KB912812)」を適用すると、Canon Easy-WebPrintからの「印刷」及び「プレビュー」を実行した場合に、スクリプトエラーが発生することがあります。対応策について、現在調査中です。それまでの間、「印刷」及び「プレビュー」を行う場合は、Microsoft Internet Explorerの機能を使用してください。対応策が判明次第、情報を掲載します。 (2006年４月)
答えてねっとでの QA (info from はなずきんさんち) では、KB912812 patch のアンインストールでしか解決できなかった模様。 かといって、この patch のアンインストールは危険だし……。
Q629610334571: Easy-WebPrintで印刷時に「スクリプトエラー」と表示され印刷できない (キヤノン) にもうちょっと詳しい情報があります。
こんな話も: cssText修正の余波? (水無月ばけらのえび日記)
MS06-015 副作用の件、KB 出ました:
HP ものの他、Kerio Personal Firewall でも問題が発生するそうで。
Microsoft Updateしたときにageるスレ 24からたどったページに、MS06-015 patch と HP の hpgs2wnd.exe や hpgs2wnf.exe で不具合になる話が:
上記 2ch.net スレには nVidia ドライバーという話も出てくるが、いまいち裏が取れず。
あと、MDAC のセキュリティ修正についてよくまとまった情報が出てます:
》 【レビュー】「Windows Live OneCare」を試す（第1回） (日経 IT Pro, 4/13)
》 ボットネットの知られざる「内側」を探る (日経 IT Pro, 4/13)。
》 Microsoftの「Windows Defender」ベータ版、日本語版もうすぐリリース (Internet Watch, 4/14)
》 携帯電話向け迷惑メール対策 「Outbound Port25 Blocking」の実施について (ウィルコム, 4/14)
》 日本ベリサイン、三井住友銀行にメガバンクとして初めて電子メール署名用電子証明書「ベリサイン セキュアメールID」を提供: 全ての顧客向け電子メールに署名、送信元の実在性を認証し、なりすましを防止 (日本ベリサイン, 4/14)
》 国境なき記者団、中国事業を米ヤフー本社に抗議--報道番組の撮影クルーを引き連れ (CNET, 4/13)。アポなし突撃取材? 関連: Yahoo ! employees get chance to see Chinese detainee videos outside company's headquarters (国境なき記者団, 4/12)
》 ISO/IEC国際暗号標準Camelliaソース公開 (slashdot.jp, 4/13)
》 アイフルに業務停止命令 「取り立て強引」 金融庁方針 (asahi.com, 4/14)。どうする、アイフル。
》 Ｈ５Ｎ１型鳥インフルエンザ、指定感染症に 厚労省 (asahi.com, 4/14)
》 国交省発注工事で落札率急落、朝日新聞調査 (asahi.com, 4/14)。3 か月で 20% 下がりますか。
「いわゆる CSSXSS 脆弱性」は、残念ながら健在だったことが確認された模様。
あと、副作用方面:
Firefox 1.5.0.2 登場 (ダウンロード)。Firefox 1.5 以降なら、[ヘルプ] メニューの [ソフトウェアの更新を確認...] から更新できる。 8 種類のセキュリティ修正が行われている。内 Critical 分類が 5 つ。MFSA 2006-21, MFSA 2006-26, MFSA 2006-27 はまだ公開されていないようだ。
Firefox 1.0.8 と Seamonkey 1.0.1 も登場しているようだ (ana-log さん情報ありがとうございます)。Thunderbird 1.5.0.2 / 1.0.8 はまだ出ていないと理解していいのかな。
なお、Firefox 1.0.x, Thunderbird 1.0.x, Mozilla 1.7.x は打ちどめだそうです。 ana-log さん情報ありがとうございます。
Firefox 1.0.8、Thunderbird 1.5.0.2 / 1.0.8、Mozilla 1.7.13 出てます。
Firefox 1.0.8 と Thunderbird 1.5.0.2 は日本語版も出てます。 Thunderbird 1.0.8 はまだですが、日本語版も登場する予定のようです。 Mozilla 1.7.13 についても日本語版の作業が進められているそうです (アイヴァーンさん情報ありがとうございます)
Thunderbird については こちらの記事も参照。
「QUICK CART」における OS コマンドインジェクションの脆弱性 (IPA ISEC, 2006.04.13)
「QUICK CART」におけるクロスサイト・スクリプティングの脆弱性 (IPA ISEC, 2006.04.13)
「CAFEMILK ショッピングカート CGI」におけるクロスサイト・スクリプティングの脆弱性 (IPA ISEC, 2006.04.10)
》 日本語アダルトサイトへの代金振込を強要するトロイの木馬「Hachilem.B」 (Internet Watch, 4/13)。こーゆーハデな奴は講習用のデモとかに使えそうだなあ。どこかに転がってないかな。 (使う場合は、目立った変化が発生しないようなデモも見せましょう)
》 ［WSJ］ クレジットカードを「レンジでチン」する人たち (ITmedia, 4/13)。RFID ねた。
》 オンラインDVDレンタルの「ぽすれん」が音楽CDの取り扱いを開始 (Internet Watch, 4/11) の「ぽすれん」が、リニューアル後のシステムでトラブっているようです。PAPA さん情報ありがとうございます。 株式会社ぽすれんからのご案内 (ぽすれん, 4/13) より:
[今後の方針について]
現在、リニューアル前のシステムに戻す方針で対応しております。サービスの再開日程は現在調整中です。本日中に確定の上でご案内させていただきます。
》 だます人の視点 -- 「自分はだまされない」が通用する？ (ITmedia, 4/13) (typo fixed: SEAWorks さん感謝)
》 [AML 6653] Fwd: TAKE ACTION ！イスラエル／占領地域：ガザ地区における人権侵害を防ぐため、緊急の行動が必要。from アムネスティ。
》 ぷららの「Winny遮断」はISPの産業革命だ (日経 IT Pro, 4/12)。革命ねぇ……。
NetBSD 方面:
NetBSD-SA2006-006 はまだ出ていないようです。
[SA19633] Plone "member_id" Parameter Portrait Manipulation Vulnerability。 hotfix が用意されている他、2.0.6 / 2.1.3 / 2.5-beta3 で修正されているそうな。
[SA15924] Adobe Document Server for Reader Extensions Multiple Vulnerabilities。patch がある模様。
[SA19620] Adobe LiveCycle "OBSOLETE" User Information Disclosure。patch がある模様。
[Full-disclosure] SEC Consult SA-20060314 :: Opera Browser CSS Attribute Integer Wrap / Buffer Overflow。 Opera 8.54 / 最新の 9.0 (Technology Preview 2 か?) で修正されているそうな。
最大深刻度 : 緊急
CVE: CVE-2006-1359 CVE-2006-1245 CVE-2006-1388 CVE-2006-1185 CAN-2006-1186 CVE-2006-1188 CVE-2006-1189 CVE-2006-1190 CVE-2006-1191 CVE-2006-1192
最大深刻度 : 緊急
CVE: CVE-2006-0003
最大深刻度 : 緊急
CVE: CVE-2006-0012
最大深刻度 : 重要
CVE: CVE-2006-0014
最大深刻度 : 警告
CVE: CVE-2006-0015
2ch.net を見ると、MS06-015 に関する不具合が散見されるようだ。 相性の悪い 3rd party プログラムがあるのかな。
Microsoft Updateしたときにageるスレ 24からたどったページに、MS06-015 patch と HP の hpgs2wnd.exe や hpgs2wnf.exe で不具合になる話が:
上記 2ch.net スレには nVidia ドライバーという話も出てくるが、いまいち裏が取れず。
あと、MDAC のセキュリティ修正についてよくまとまった情報が出てます:
MS06-015 副作用の件、KB 出ました:
HP ものの他、Kerio Personal Firewall でも問題が発生するそうで。
MS06-015 patch と nVidia ドライバーの件、MSRC blog に記載されています。
Update to the MS06-015 issue. (MSRC blog, 2006.04.18)
Turns out that under certain circumstances, changes introduced in MS06-015 could cause an application to stop responding during specific interactions with older versions of Hewlett Packard's “Share-to-web” software utility, or older NVIDIA video card drivers. In the case of the Hewlett Packard software, their new version known as “HP Image Zone Version 5” is not affected. Neither are the most recent NVIDIA graphics card drivers.
古い nVidia ドライバーはだめなことがあるようですね。 nVidia も HP のも、最新はだいじょうぶ。 nVidia、どのくらい古いとだめなのかがいまいち不明ですが……。
MS06-015 の件、MSRC blog に続報が出ています:
More information on the MS06-015 issue (MSRC blog, 2006.04.21)
Up until now there have been several solutions: Upgrade to the newest version of the affected software, a manual registry key fix, uninstall the third party software (NVIDIA Drivers versions 61.94 and prior or the Hewlett Packard Share-to-web software) or uninstall the update.
不具合の出る nVidia ドライバーは 61.94 以前だそうです。
So what we have done is re-engineered the MS06-015 update to avoid the conflict altogether with the older Hewlett Packard and NVIDIA software. We're going to run a test pass on it and we will release this new update on Tuesday, April 25th. What the new update essentially does is simply add the affected third party software to an "exception list" so that the problem does not occur. The revised update automates the manual registry key fix.
4/25 に patch の新版が出るそうです。問題の発生する 3rd party ソフトについては「exception list」に登録する、ですか。exception list という言葉は KB918165 にはないのですが……。
…… MS06-015 が改訂されてました。
更新されたセキュリティ更新プログラムには最初のセキュリティ更新プログラムに含まれていたバイナリに対する変更はありません。更新されたセキュリティ更新プログラムはマイクロソフト サポート技術情報 918165 同様に、以下の一覧のエントリを追加します。
HP Share-to-Web
{A4DF5659-0801-4A60-96071C48695EFDA9}
NVIDIA グラフィック ドライバ
{1E9B04FB-F9E5-4718-997B-B8DA88302A47}
{1E9B04FB-F9E5-4718-997B-B8DA88302A48}
{1CDB2949-8F65-4355-8456-263E7C208A5D}
KB918165 のレジストリ設定が「exception list」だということか。
MS06-015 の新 patch 出てます。
patch 本体には変化はなく、HP 製品や nVidia 製品での不具合を回避するために「exception list」のレジストリを自動的に設定するようになっただけ。KB918165 には nVidia に関するレジストリ設定も記載されている。
MS06-016 を適用すると unable to open address book. Address book may not be installed correctly
と言われたりする話があるそうで、KB が出ました:
原因のほとんどは、アドレス帳が、patch 適用前の OE では検出しないような形で壊れているためだそうだ。解決方法としては、MS06-016 patch (911567) のアンインストールが示されている。(アドレス帳は修復できないということ?)
Windows MDACの脆弱性を突く攻撃コード出回る (ITmedia, 2006.06.09)。 MS06-014 の攻略コードだそうで。
結局、Windows エクスプローラの脆弱性により、リモートでコードが実行される (908531) (MS06-015) の Windows 9x / Me 用 patch は提供されない……というか、提供できないのだそうで。
Microsoft Windows 98、Microsoft Windows 98 Second Edition (SE) および Microsoft Windows Millennium Edition (ME) が影響を受ける製品とされていますが、どうしてマイクロソフトはこれらの製品ためにセキュリティ更新プログラムをリリースしないのですか?
Windows 2000 の開発の際に、Windows エクスプローラの基本のアーキテクチャに対して著しい強化が行なわれました。Microsoft Windows 98、Microsoft Windows 98 Second Edition (SE) および Microsoft Windows Millennium Edition (ME) の Windows エクスプローラのアーキテクチャは最新の Windows のアーキテクチャに比べて強固なものではありません。この基本的な相違のために、マイクロソフトが幅広い調査を行ったところ、Microsoft Windows 98、Microsoft Windows 98 Second Edition (SE) および Microsoft Windows Millennium Edition (ME) 上の Windows エクスプローラに必要な変更をさらに行なうことが実現可能ではないと確認しました。 それを行なうには、かなり多くのオペレーティングシステムの重要な中核となるコンポーネントを再設計する必要があります。そのような設計のし直しの努力を行なった後、これらのプラットフォームで実行されるように設計されているアプリケーションが引き続き更新されたコンピュータで確実に実行される保証がありません。
2 か月も経ってから、そんなこと言われてもなあ。最初からわかった上で黙ってたんじゃないの?
MS06-015 Fiasco, Chapter Three (securiteam blog, 2006.06.11)
917783 - FIX: Internet Explorer does not enable ActiveX controls that are dynamically inserted into an HTML page by a binary behavior after you install security update MS06-013 (Microsoft)。MS06-013 patch に binary behavior がらみの不具合があったようで、hotfix があるそうです。でも、 Internet Explorer 用の累積的なセキュリティ更新プログラム (916281) (MS06-021) の patch の方がバージョンが上なので、そちらを入れればいいんじゃないのかなあ。
》 検出ツールの開発者が語る，「Winnyを検出する方法」 (日経 IT Pro, 4/11)。
私が所属する米eEye Digital Securityでも、遅ればせながらWinnyに関する本格的なリサーチを数週間前に開始しました。具体的には、Winnyのコード解析やWinny ネットワークの分析を通して、情報漏えいを防止するための手段など、Winnyにまつわる様々な事柄についてリサーチを進めています。後述するように、検出ツールも開発および公開しました。これらについては、主に私ともう一人の日本人エンジニアの金居が担当しています。
つまり、リサーチ開始からツール公開まで数週間しかかかってない、と。さすがです。
》 Design Flaw in Human Brain Prevents Detection of Phishing Websites (F-Secure blog, 4/12)。ログイン画面自体をパーソナライズするわけですか。 Implicit Attentional Selection of Bound Visual Features (neuron) については、ぐぐるとなにやら出てきますね。
》 NEC、ラック収納にも対応した小型セキュリティアプライアンス: 無許可PCのネットワークへの接続を検知・遮断 (Enterprise Watch, 4/12)。こういう「簡易検疫ネットワーク」的なものには一定の需要があるのでしょうね。 WebSAM SecureVisorVer2.2 の値段を考えると、トータルでは L2Blocker の方が安そう。
》 [openmya:033832] HTML_MHTREDIR.GMの検出。 トレンドマイクロのパターン 3.335.00 で 2ch.net の「スレッド一覧からスレッドを開く」と HTML_MHTREDIR.GM の 誤検出が発生する模様。 HTML_MHTREDIR.GM (トレンドマイクロ) から:
ウイルスパターン3.335.00で誤警告を確認しました。現在修正パターンを作成中ですのでしばらくお待ちください。
ちいちゃんさんも情報ありがとうございます。……3.339.00 が出たようですね。
ウイルスパターン3.335.00で誤警告を確認しました。この誤警告は、ウイルスパターンファイル 3.339.00以降で修正されています。
》 秘密電子計算機情報流出等再発防止に係る 抜本的対策の具体的措置について (防衛庁, 4/12)。安田さん情報ありがとうございます。
》 「国家戦略としての情報セキュリティ計画」とは (日経 BP, 4/5)。山崎補佐官のおことば。
CVE 一覧:
その他:
例の特許対応話による ActiveX まわりの仕様変更が適応されるのは、
のみ。KB912812 に明記されている。 Windows 2000 Professional / Server では ActiveX まわりは変更されない。
ActiveX まわりの仕様を元に戻す 「互換性修正プログラム」が必要な場合は、 KB917425 を参照。
「いわゆる CSSXSS 脆弱性」が「修正」されている模様。
しかし副作用があるそうで:
サイトAの正当なコンテンツ管理者が自分のHTML等のコンテンツの修飾の為に、サイトBに保持されたスタイルシートを利用したとします。 この時に、期待通りスタイルは適用されます。
しかしながら、上の場合で、cssTextを使って、正当に読み込まれたスタイルシートの内容をアクセスしようとしても、出来なくなりました。従来出来ていたものです。
「いわゆる CSSXSS 脆弱性」は、残念ながら健在だったことが確認された模様。
あと、副作用方面:
副作用方面:
Windows XP SP2で、Windows Updateに含まれる「Windows XP用Internet Explorerの累積的なセキュリティ更新プログラム(KB912812)」を適用すると、Canon Easy-WebPrintからの「印刷」及び「プレビュー」を実行した場合に、スクリプトエラーが発生することがあります。対応策について、現在調査中です。それまでの間、「印刷」及び「プレビュー」を行う場合は、Microsoft Internet Explorerの機能を使用してください。対応策が判明次第、情報を掲載します。 (2006年４月)
答えてねっとでの QA (info from はなずきんさんち) では、KB912812 patch のアンインストールでしか解決できなかった模様。 かといって、この patch のアンインストールは危険だし……。
Q629610334571: Easy-WebPrintで印刷時に「スクリプトエラー」と表示され印刷できない (キヤノン) にもうちょっと詳しい情報があります。
こんな話も: cssText修正の余波? (水無月ばけらのえび日記)
Q629610334571: Easy-WebPrintで印刷時に「スクリプトエラー」と表示され印刷できない (キヤノン) が改訂されています。 Easy-WebPrint の件、version 2.6.3 で修正されたそうです。
あと、Windows Update KB912945を適用した場合のHODへの影響について (HostInteg-06-005) (IBM, 2006.04.21) というのが出てました。
MS06-013 に伴う IE (ActiveX) 仕様変更の副作用が Exchange で発生するそうで、Exchange 2003 については patch が無償公開されています。
手元の WSUS には「クラスタ用」と「非クラスタ用」の 2 種類の patch が流れてきているのですが、上記がどちらなのかはよくわかりません。
Exchange 2000 については、有償サポートから入手しなければならないようです。
[BuHa-Security] MS06-013: HTML Tag Memory Corruption Vulnerability in MS IE 6 SP2
CVE 情報をようやく追加。
ネットワークプリンタでできる、あんなことやこんなことの解説。 Media セクションには、Notacon 2006 でのプレゼンビデオやスライドなどもある。
読みもの風のものがほしい向きには、スティーリング・ザ・ネットワーク の第 4 章「不思議なネットワークの国のh3X」がいいかも。なにしろ FX 氏が書いていますし。
》 MPS、英国最大規模の海賊行為現場を摘発--海賊版DVDを1日最大64,800枚製造 (MYCOM PC WEB, 4/11)。家内制手工業風味。
現場からは、50台のDVDデュプリケーターが押収され、各DVDデュプリケーターは、PCに接続せずに利用できるスタンドアローン方式となっており、約10分間で9枚のDVDを複製する性能を有していたとされる。MPSは、この犯行現場だけで1時間に2,700枚の海賊版DVDを違法製造することができたとしており、
入れかえ時間は? 「約10分間」に含まれているのかなあ。
24時間フル稼働させたならば、理論上は毎日64,800枚の海賊版DVDが製造されていたことになるだろうと評している。
あやしげな if だなあ。
》 CSRF対策に「ワンタイムトークン」方式を推奨しない理由 (高木浩光＠自宅の日記, 4/9)
》 企業を悩ませるIMのセキュリティ対策に乗り出すSymantec (ITmedia, 4/11)
》 「Winny商法」にご用心 (日経 IT Pro, 4/6)
》 住商情報システムは、米 eEye Digital Security 製無償 Winny 検出・通信遮断ツール (日本語版) を提供いたします (住商情報システム, 4/11)。eEye キターー。
》 eEye Security Forum / Spring 2006 〜国内外における新たなセキュリティ脅威とWinnyの解析〜 (住商情報システム)。 2006.05.12、東京都港区、無料 (定員 200 人)。 行きたい人はおおいそぎで登録しませう。くぅ、行きたいけど、5 月は……(T_T)
》 愛媛県警、ＧＰＳ情報端末を参考人の車に無断で設置 (asahi.com, 4/11)。いろいろ明るみに出て興味深いですね。
》 バーチャルの弊害を研究 警察庁 (asahi.com, 4/11)。 はじめに結論ありき系?
》 もしベンダーのサポートが突然打ち切られたら---米BorlandのIDE部門売却に思う (日経 IT Pro, 4/5)。
オープンな標準さえあれば，ベンダーへの依存性がなくなるわけではないことにも注意が必要だ。たとえ標準化されていても，そのベンダーがサポートを中止したときに，代わりとなるツール/環境がなければ意味がない。この点で，ECMAに始まってISO/IEC，JISまで標準化がなされたとはいえ，本家Microsoft以外のコンパイラが弱いC#には現時点では不安がある。Borland SoftwareのC#統合開発環境も，コンパイラ自体はMicrosoft製だ。
》 高速船事故 けが人は１０４人に 船底が大きく損傷 (asahi.com, 4/10)
右側の最後尾に座っていた男性（４７）は、事故の瞬間、腰のベルトを軸として、体が二つに折れ曲がった。ベルトが腰に食い込み、手が床に着くほど体が前屈。腰椎（ようつい）と肋骨（ろっこつ）の骨折と診断された。首もムチウチになった。
80km/h で 2 点式シートベルトではねえ。
Oracle read-only user can insert/update/delete data via specially crafted views。 4 月の Oracle patch で修正される予定の模様。
IE6 Crash、 Re: IE6 Crash。metasploit.com、なんだかつながらないなあ。
[SECURITY] [DSA 1030-1] New moodle packages fix several vulnerabilities。moodle に同梱されている ADOdb Database Abstraction Library for PHP (and Python) に CVE-2006-0146 CVE-2006-0147 CVE-2006-0410 CVE-2006-0806 という欠陥があり、 Debian の moodle パッケージで修正されたそうだ。
CVE-2006-0146 CVE-2006-0147 は ADOdb 4.70 で修正、 CVE-2006-0410 は ADOdb 4.71 で修正、 CVE-2006-0806 は ADOdb 4.72 で修正されているみたい。 ADOdb の最新版は 4.80。 ADOdb は ACID, Mantis, PostNuke, Moodle, Cacti, Xaraya, Mambo, eGroupWare など、いろんなところで使われているようなので注意。
[Overflow.pl] Clam AntiVirus Win32-UPX Heap Overflow (not default configuration)。 ClamAV 0.88.1 で修正された件のひとつ。CVE-2006-1614? PoC コードあり。
なお、ClamAV 0.88.1 で修正された件については、 CVE-2006-1614 CVE-2006-1615 CVE-2006-1630 が該当するそうだ。
[Full-disclosure] Microsoft Internet Explorer Content-Disposition HTML File Handling Flaw。IE における Content-Disposition の処理において、HTML ファイルをうまく扱えないという話。PoC コードあり。 関連:
関連記事の方が興味深いような気が……
》 kArp, the Kernel ARP hijacking patch for Linux。 linux-2.6.16-rc6 / linux-2.6.16 に対応しているそうな。
》 国民生活センターがスパム送信 (それが世の中ってものだから…, 3/20)。結局今だに、国民生活センターにも生活ニューネットマガジンにも何もありませんね。 まつださん、遠藤さん情報ありがとうございます。
》 EFF，「米AT＆Tの米政府盗聴プログラムへの関与を裏付ける証拠を提出」 (日経 IT Pro, 4/10)
》 ファイル共有ソフトで感染を広げる「Alcan.B」，米MSのツールで25万件駆除 (日経 IT Pro, 4/10)。 Antinny に初対応したときは 11 万台の PC から 20 万以上の亜種を駆除したようなので、その倍以上なのですね。
》 アブラヤシ：「環境にやさしい」は誤解生む、変更求める (毎日, 4/10)。「パーム油は環境にやさしい」と言わないで: ライオン「新トップ」のCMに関する要請書を提出 (地球・人間環境フォーラム, 4/7) のことのようです。 持続可能な原材料調達に関する調査中間報告会 (地球・人間環境フォーラム, 2005.11, 12) も関連かな。 「アブラヤシ 環境」でぐぐるだけでも、いろいろ出てきますね。
電車内でケータイでべらべら喋ってる若い女性をみかけても、放っておきましょう。
高速船がクジラと衝突？ ９３人が重軽傷 鹿児島 (asahi.com, 4/10)
高速船を運航している鹿児島商船（鹿児島市）によると、乗員・乗客１１４人のうち９３人がけが、少なくとも１２人が顔の骨が折れるなどの重傷を負い、３６人が入院した。
高速船事故：クジラと衝突？ ９３人けが 鹿児島県沖 (毎日, 4/10)
鹿児島商船によると、高速船は事故当時、時速約８０キロで航行中だった。
いまどきの船ってそんなに速いのか。 この画像によると、ふつうに 43 ノットのようだ。
高速船事故：多数のけが人、次々 乗客ら船内の混乱語る (毎日, 4/10)
仕事のため鹿児島市に向かっていた (中略) さん（５３）は前の座席で顔面を強打し、歯を折るなどして口の中が出血。
うーむ。衝突時の衝撃解析とか、されているんだろうか。
運輸局 シ−トベルト着用通達 (NHK, 4/10)。といっても、そのシートベルトは 3 点式になっているんだろうか。シート間距離は十分あるんだろうか。チャイルドシートは?
高速船トッピー (鹿児島商船)。 船内・設備案内を見ても、どんな座席なのか、シートベルトはどうなっているのか、はよくわからないなあ。 ぐぐってみると、 ジェットフォイル・高速船トッピー (buttobi.net) に画像を発見。3 点式ではないですね。シート間距離はそれなりにありそう? でも「女性の席とその前席」と「女性の席とその後席」とでは、座席間距離がずいぶん違うような気がしないでもない。
この話:
patch があるので適用すればよい。
》 ＢＳＥ質問主意書、農水省が原因調査結果を公表 (asahi.com, 4/7)
》 ９・１１の２年後、生還者の５７％に呼吸器系の障害 (asahi.com, 4/8)
》 ログイットがSnortベースのセキュリティ装置，「Winnyトラフィックも検知」 (日経 IT Pro, 4/5)
》 チェチェンニュース Vol.06 No.07 2006.04.07 (チェチェンニュース, 4/7)。プーチン博士論文ねつ造話、人間の安全保障基金による「チェチェンの児童・教師に対する統合的リハビリに係るキャパシティー・ビルディング・プロジェクト」への支援について (外務省, 3/28) 話など。
そういえば、大統領のカウントダウンというロシア映画が公開されているのだそうで。ストーリーバックグラウンドがおもいっきりチェチェンねた。なにしろロシア映画なので当然ながらチェチェンは悪役、頭が痛い。 ロシア映画なら、ナイト・ウォッチを観る方がいいかも。 eiga.com の記事も参照。
》 Keynote video from HITBSecConf2005 (F-Secure blog, 4/7)
》 Cross platform virus PoC (SANS ISC, 4/7)。Windows / Linux 両対応だそうで。
》 phpBB 2.0.20 upgrade time (SANS ISC, 4/7) だそうです。phpBB 利用者はアップグレードしましょう。
》 《 ESPIO! 》ウィニー流出捜査資料にみる警察と各プロバイダの協力関係。 確かに興味深いですね。
作成時期は不明。真実性の如何も定かでないし、現況がこのとおりかどうかも分からないが、興味深い内容となっている。
特に「捜査関係事項照会書」のみで照会に答えているケースが注目される。これは、令状によらず、警察が事実上自由に情報収集が行えることを意味している。
OCN, DION, IIJ, hi-ho, interQ, YAHOO! Japan, ……ですか……。 「通信記録等の保存期間」の項も興味深いなあ。
》 日本＼(＾o＾)／オワタ。Winny ねた。あーるさん情報ありがとうございます。
》 ライフカードTV-CM 「スキミングに気をつけて！」篇 2006年4月2日より全国でオンエア開始 (ライフ, 3/31) だそうです。www.lifecard-safety.com もどうぞ。
》 第 15 回セキュリティ解説 (@police)。奥天師匠発見。
》 Hilarious: 32 Farts are Better than One! (securiteam blog, 4/7)。NOD32 ですか……。
》 鳥インフル：養鶏場元会長を再逮捕へ 陽性反応届け出ず (毎日, 4/7)
》 ＣＩＡ容疑者拉致：イタリアで使用の小型機、大阪に飛来？ (毎日, 4/7)
》 インド陸軍司令官、「グーグル・アース」を非難 (CNN, 4/4)
》 家畜追跡調査システム、米が０９年の完成目指す (読売, 4/7)
》 貨物船に海賊、日本人船長ら縛り強盗 インドネシア沖 (asahi.com, 4/6)
》 「ストップ、暴走自転車」 警察庁が取り締まり強化へ (asahi.com, 4/6)
》 人権擁護法案：大幅修正し来年再提出へ 法相が検討チーム (毎日, 4/7)、 人権擁護法案、今国会提出断念・杉浦法相 (日経, 4/7)
》 個人情報保護法：見直し求め意見書提出 日本新聞協会 (毎日, 4/7)
Windows x 4 (最大: 緊急) + Windows / Office x 1 (最大: 警告)。
今月は、既報の通り、セキュリティアドバイザリ 917077 で言及している "CreateTextRange" の脆弱性に対応する Internet Explorer の累積的な更新プログラムもリリースする予定です。
また、この Internet Explorer の更新には、KB 912945 で説明している ActiveX に関する脆弱性対応以外の変更も含まれます。 この ActiveX の変更について対応が完了していない場合は、Compatibility Patch をダウンロードセンターから入手し、追加で適用することで ActiveX の変更に関する部分を一時的に無効化することが可能です。 企業や組織で展開する場合は、必ずセキュリティ情報の警告欄に目を通してから展開することをお勧めします。
ということで、
ということみたいですね。
》 自動チェックディスク時の待ち時間を変更する (MYCOM PC WEB: Windows XPスマートチューニング, 4/6)
》 米McAfee、Webサイトの危険性警告プラグインの米SiteAdvisorを買収 (Internet Watch, 4/6) だそうです。
》 ココログの仕様改悪にみる、@niftyによる視覚障碍者の軽視 (hoshikuzu | star_dust の書斎, 4/1) の話が続いているみたい。 個人的には、出資元の富士通は web アクセシビリティを考えている会社のようなのに、どうして @nifty がこうなってしまったのかがよくわかりません。
》 NIMDA 対策 ( ネタ ) (hoshikuzu | star_dust の書斎, 4/6)。くすくす。
》 Changelog for Opera for Windows 8.54 (opera.com)。同梱の Flash が 7.0.63.0 になったそうです。 あと「Fixed stability issue reported by SEC-Consult Unternehmensberatung GmbH」というのもあります。たぶん DoS ねたの fix でしょう。
》 開発者のための正しいCSRF対策 (金床さん)、version 1.2 出ました。
》 [Clamav-announce] announcing ClamAV 0.88.1 (clamav.net) だそうです。
VeriSign な人がこう言っているそうです:
VeriSign reports that many public-facing Web sites continue to implement an older and less secure version of VeriSign's popular security mark. Because the old VeriSign site seals were created and distributed prior to the rise of phishing, they did not contain the full set of anti-spoofing measures available in the newest version of the VeriSign Secured Seal.
この話か: ベリサイン セキュアシールについて (estore.co.jp 素材ダウンロード)
2004年11月9日より、ベリサイン社の「Secure Siteシール」が名称も新たに「ベリサイン セキュアシール」としてデザインと機能が変更されました。 (中略) 誤った使用を防止するため、シールを掲載しているサイトのドメイン名をチェックする機能が導入されました。この機能により、「ベリサイン セキュアシール」の掲載が可能なページは、ベリサインのIDを取得しているドメインのサイトに限られます。
この変更にともない、以前のベリサイン社「Secure Siteシール」の使用期限が、2005年11月までとなりますので、以下の掲載条件と掲載方法をお読みいただき、早めに新しい「ベリサイン セキュアシール」へ張り替えることをお勧めいたします。
シール用スクリプトは、 VeriSign Secured Seal Program (VeriSign) や ベリサイン セキュアシール (日本ベリサイン) でつくれます。
Cisco もの
[SA19054] NOD32 Privilege Escalation Vulnerabilities (secunia)。 2.51.26 で修正されているそうです。 Latest News (eset) によると、April 4, 2006 に 2.51.26 が出ていますね。 CVE: CVE-2006-0951 CAN-2006-1649
[SA19284] avast! Antivirus Insecure Default File Permissions (secunia)。 "ORIGINAL ADVISORY" の項にある URL に修正方法が示されている。
[Full-disclosure] Buffer-overflow in Ultr@VNC 1.0.1 viewer and server。現在修正作業中のようだ。
[SA19493] Struts Multiple Vulnerabilities (secunia)。 Struts 1.2.9 で修正されているそうだ。
Another Internet Explorer Address Bar Spoofing Vulnerability (bugtraq)。IE アドレスバー詐称ねた。PoC コードが示されている。
関連: IEにアドレス・バーを偽装される問題，URLとは異なるFlashコンテンツを表示 (日経 IT Pro, 2006.04.05)
[SA19455] Samba Exposure of Machine Account Credentials (secunia)。 samba 3.0.21〜3.0.21c の欠陥。3.0.22 で修正されている。 samba 3.0.21[a-c] 用の patch が用意されている。
》 米原発配管にドリル穴…故意か過失か、ＦＢＩ調査 (読売, 4/5)。豪快だなあ。
》 「ココログ」不具合、社長がブログでまた謝罪 (ITmedia, 4/4)
》 ヴイエムウェア、仮想マシン用ディスクフォーマットをオープン化 (Enterprise Watch, 4/4)。
》 マイクロソフト幹部、「マルウェア感染からの復旧は不可能になりつつある」 (ITmedia, 4/5)。
珍しいことに、MicrosoftがWindowsマルウェアが引き起こす問題の危険性について口を開いた。同社のセキュリティ部門関係者が、マルウェアに感染した状態から復旧する現実的な方法としての、ハードディスクドライブのフォーマットおよびオペレーティングシステムの再インストールについて、企業はそのプロセスを自動化する取り組みに投資を行うことを検討すべきだと発言したのである。
(中略)
「検知は困難だし、復旧に至っては不可能な場合がままある」と、同氏は断言している。また、「マルウェアがシステムをクラッシュさせたり、フリーズさせたりしないとすれば、その存在をどうやって把握したらよいのだろうか。これには、把握しようがないという答えしか出せない。多くの場合、感染が起こる瞬間を目撃することはないし、マルウェアの痕跡を確認したり、バックグラウンドで動作しているのを目にしたりすることもない」という。
》 「山田オルタネイティブ」の動作を知る (ITmedia, 4/4)。名前にこだわってますね。
》 海外情報セキュリティ関連文書の翻訳・調査研究（NIST文書など） (IPA ISEC) で NIST SP 800-53 Annex1〜3 の翻訳文書が公開されています。
》 これでいいのか？ ブログ世界の理不尽な未成熟さ (日経 BP, 4/4)。スタージョンの法則が成立しているだけなのでは。ブログに根拠のない期待をする方が間違ってるし。
》 「情報システムの信頼性向上に関するガイドライン（案）」に対する意見募集について (経済産業省, 4/4)。匿名希望さん情報ありがとうございます。
インストールすると不幸になることがあるようです。
SAVCE 10.0.2 MR2 MP1、SCS 3.0.2 MR2 MP1 をインストールすると、以下のエラーが発生して一部の環境でサーバーグループにアクセスすることができません。
(中略)
すでに SAVCE 10.0.2 MR2 MP1、SCS 3.0.2 MR2 MP1 をインストールして本障害が発生しているお客様は、この問題を解決するためにご契約のサポートセンターまでご連絡ください。
(中略)
シマンテックは、SAVCE 10.0.2 MR2 MP1、SCS 3.0.2 MR2 MP1 の修正項目を含んだ SAVCE 10.0.2 MR2 MP2、SCS 3.0.2 MR2 MP2 を 2006年4月上旬頃にリリースする予定です。
4/14 付で新版が公開されたようです: SAVCE 10.0.2 MR2 MP1、SCS 3.0.2 MR2 MP1 公開中止のお知らせ（2006年4月14日更新） より:
シマンテックは、この問題を修正した MR2 MP1/MR2 MP2 をリリースしました。最新版のシマンテックエンタープライズ製品の入手方法に関しては以下の文書をご参照ください。
シマンテック エンタープライズ製品の最新バージョンの入手方法 -- 文書番号: 20020616173448953
》 東大、第一次大戦期のプロパガンダポスターをアーカイブ化して一般公開 (Internet Watch, 4/4)。ほぉぉ。
》 パズル・パレス (上)。 どこかで見たような著者名だと思ったら、ダ・ヴィンチ・コードの人ですね。 パズル・パレス -- 超スパイ機関NSAの全貌 とは別の本なので注意 (ブラウン本の原題は DIGITAL FORTRESS だし……)。バムフォード本を買う場合は、 すべては傍受されている -- 米国国家安全保障局の正体 の方が内容が新しいです。
評判よくないなあ > DIGITAL FORTRESS。
》 マスコミと情報収集家が悪化させる「Winny問題」 (日経 IT Pro, 4/3)。これだけ報道されれば、ふつうは動かしたくなりますよねえ。
Winnyウイルスについては，その被害を詳しく報じれば報じるほど，新たな被害者／加害者を生む悪循環となっている。悩ましい限りだ。とはいえ，危険が存在するのに，報じないわけにはいかない。考えた末に出した答えが「今までどおり，地道に注意を呼びかける」という，ありふれたものだった。
メッセージが悪いんじゃないのかなあ。「どうしても Winny を使いたいのなら、Winny 専用の PC を用意しましょう」とかの方がいいのでは。 仁義なきキンタマ・ヲチツール (仁義なきブログ) の方がもっと詳しいですけど。
》 アークン、約80種のWinnyプログラムを検知・削除するソフトを無償提供 (Internet Watch, 4/4)
北海道武蔵女子短期大学方面:
外部に出すテストデータに安易に本物を使うのはやめましょう。
愛媛県警が架空捜査報告書 ウィニーで流出 (asahi.com, 4/4)
愛媛県警捜査１課の男性警部（４２）の私有パソコンからファイル交換ソフト「ウィニー」を介して捜査情報などがインターネット上に流れた問題で、流出した捜査報告書の中で０２年に未解決殺人事件の情報を提供して謝礼を受け取ったと記載された住民２人が、県警から事情をまったく聴かれていなかったことが３日、関係者の証言で分かった。捜査報告書通りに捜査報償費が支払われていれば、実態のない捜査報告書に基づいて公費を支出していたことになる。
》 韓国で個人情報７７１万人分流出、ネット加入の６割強 (読売, 4/3)
》 開発者のための正しいCSRF対策 (金床さん) の公開が中止されてしまった。その理由というのが、 このコメントなのだそうだ。 はぁ……。
ところで、「ピッキーな人」ってどういう人?
》 Yahoo! JAPAN、米クラリア、ソフトバンクの3社合弁による インターネット広告事業新会社の設立について (Yahoo, 4/3)。
＜CLARIA CORPORATION（クラリアコーポレーション）＞ http://www.claria.com/
1998年設立のクラリアはオンライン行動マーケティングおよびウェブのパーソナル化技術のリーダー及びパイオニア的な存在です。クラリアの特有技術である行動マーケティングプラットフォームは、消費者がウェブブラウジングやサーチをする行動に準じて、それに関連付けたコンテンツや広告を提供する事を可能にします。この技術はオンライン上での嗜好に準じてカスタマイズされたホームページを自動的に制作・管理する「PersonalWeb」サービスの基ともなっています。クラリアは米国カリフォルニア州レッドウッドを本社とし、ロサンゼルス、シカゴ、ニューヨーク、ワシントンDC、東京にオフィスを構えています。
CLARIA CORPORATION って…… Gator ですよ奥さん! だいじょうぶなのか Yahoo! JAPAN。
》 au電話 [W41H (日立製)] をご利用中のお客様へのお詫びとお願い (KDDI, 4/4)。マイナートラブルが発生しているようで。
》 Kaspersky、「Winny」をリスクウェアとして検知 (japan.internet.com, 3/29)。西畑さん情報ありがとうございます。
マカフィーの Extra.dat もそういうもののようです: Winny対策用Extra.datについてのQ&A (マカフィー) によると、さんざん設定した上で「不正な可能性のあるプログラム」として検出されるようです。
》 日本ベリサイン，セキュリティ情報の配信サービスを提供開始 (日経 IT Pro, 4/3)。iDefense ベースのようです。
》 マイクロソフト，「Virtual Server 2005 R2」を無償に (日経 IT Pro, 4/3)。きてますねえ。
》 [Announce] GnuPG 1.4.3 released (gnupg.org)。iida さん情報ありがとうございます。いろいろ機能が増えたりしているようですが、個人的にはこれかな:
Added "gpg-zip", a program to create encrypted archives that can interoperate with PGP Zip.
Mac OS X 10.4.6 が登場。Intel Mac において、ファームウェアパスワードが回避される欠陥が修正されているそうです。 CVE: CVE-2006-0401
こんな文字列が……
Version 1.4.7 - CVS
-------------------
- Security: Possible cookie theft in src/redirect.php if
register_globals is enabled, and malicous site is running
in same domain.
SYMSA-2006-002: McAfee WebShield SMTP Format String Vulnerability (2006.04.04)
McAfee WebShield SMTP 4.5 MR1a に format バグがあり、任意のコードを実行可能。Webshield SMTP 4.5 MR2 で修正されている。 CVE: CVE-2006-0559
[SA19451] McAfee VirusScan DUNZIP32.dll Buffer Overflow Vulnerability (2006.03.30)
McAfee VirusScan 10.x / SecurityCenter 6.x (たぶんコンシューマ向け製品) に含まれている DUNZIP32.dll に buffer overflow する欠陥があるという話。 CVE: CVE-2004-1094。 RealPlayer および RealOne Player のセキュリティ脆弱性に対応するアップデートをリリース と同じ話。オンラインアップデートにより解決するそうだ。
Barracuda Spam Firewall における、zoo / lha アーカイブの扱いに欠陥。
[Full-disclosure] Barracuda ZOO archiver security bug leads to remote compromise
CVE-2006-0855 ([Full-disclosure] zoo contains exploitable buffer overflows) が直っていなかった模様。 spamdef #3.0.9388, firmware #3.3.03.022 で直っているそうな。
[Full-disclosure] Barracuda LHA archiver security bug leads to remote compromise
CVE-2004-0234 ([RHSA-2004:179-01] An updated LHA package fixes security vulnerabilities の話) が直っていなかった模様。 spamdef #3.0.10045, firmware #3.3.03.022 で直っているそうな。
zoo はともかく、lha は 2 年前の話だからなぁ……
HS06-006: 添付ファイルによりGroupmax Mailクライアントが使用不能になる脆弱性
JVN#89344424: 複数のメールクライアントソフトにおける、添付ファイルによりメールクライアントソフトが使用不能になる脆弱性 への対応だそうです。 HS06-006-01 によると、「本脆弱性については，サーバ製品であるGroupmax Mail-SMTPで対策致します」そうです。
どちらも対策版が出ていますので、適用すればよいです。
》 プライバシーマーク制度における欠格性の判断基準の設定と運用について (JIPDEC プライバシーマーク事務局, 3/31)。 欠格レベルが 5 以上になると「認定取消し」だそうです。
》 Winny悪用ウイルス専用駆除ツール (トレンドマイクロ) が公開されています。
》 第 10 回 コンピュータ犯罪に関する白浜シンポジウム。 2006.05.25〜27、和歌山県田辺市、シンポジウム参加費 10,000 円。 安田さん情報ありがとうございます。
》 報告書「IPv4アドレス枯渇に向けた提言」公開にあたって (JPNIC, 4/3)。いよいよ現実味を帯びてきたようです。
》 溜っていたメールを読んでいるところなのだが、 Microsoft MVP 方面の、とても興味深い案件のメールを読み逃していたことを発見。しかも締切過ぎてるし。orz
》 続・深刻なシステムの引き継ぎ問題 (日経 IT Pro, 3/27)。 ドキュメントは重要なのですが、忙しくなるとまず削られるのがドキュメントのための時間なんだよなあ。
》 Winny (ウィニー)は使わない！使わせない！ (セキュリティログ)。Antinny / Winny 対策ツールのまとめ。西畑さん情報ありがとうございます。ただし、全てが含まれているわけではないので注意。
》 ISP 規制情報 Wiki (oshietekun.net)。Winny に対する規制状況のまとめ。 トラフィックについては既にいろんなところで絞ってるということなのかな。
Winny については、まずは「著作権法に違反している利用者を愚直に検挙」するのが筋だと思うんですけどなあ。調べられないわけではないんですよね?
》 フィッシング問題は表面化していないだけ -- セキュアブレイン星澤氏 (ITmedia, 3/31)
》 他人事ではない？ 「ワンクリックウェア」の実態 (ITmedia, 3/31)
桜井弁護士は、ワンクリック詐欺について「非合法なものを見せて支払いを請求しても契約は成立しない。法で保護されるべき債権は発生しない」と、こうした請求は非合法であると指摘。さらにスパイウェアについては「ものの本来の用法を損なわせるという意味で器物損壊に当たり、十分取り締まりの対象になる。また、これを用いてお金を詐取すれば、電算機使用詐欺罪に当たる」と述べた。
しかし、今のところ十分な取り締まりが行われているとは言いがたい。その理由として「件数が多く、被害額が少なく、かつ相手の住所氏名を調べるのが面倒だから」と桜井氏は言う。しかし、「世間で『こうした問題は取り締まるべき』という機運が高まれば変わるだろう」と述べた。
AN HTTPD 1.42n 以前に欠陥。外部からスクリプトファイルのソースを取得できてしまう。 AN HTTPD 1.42p で修正されている。
崎山さんから (情報ありがとうございます: 紹介が遅くてすいません)
Cambridge大CSGブログにFrank Stajano さんが書いているところによると
http://www.lightbluetouchpaper.org/2006/03/16/cat-with-computer-virus/
受賞したのは "best paper for high impact” (RFID Virus のページだと "the Best Paper Award for Most Impact" )という、この論文の反響を鑑みて即席で作られた賞で、PerCom の事前に予定されていた Best Paper 賞 に相当する "Mark Weiser award" は、別の論文に対して贈られた、ということのようです。
上記にあわせて記述を修正しました。_o_
》 警察庁 殺人依頼や銃器売買…違法・有害サイト、「ホットライン」で監視 (毎日, 3/30)
》 Virtual Machine-based Rootkits (WindowsIT Pro, 3/22)、SubVirt: Implementing malware with virtual machines (umich.edu)
》 情報セキュリティ管理の新基準「ISO27001」の認証を取得 の件なのですが、
ということみたいです。まっちゃだいふくさん情報ありがとうございます。 関連: UKASがISO/IEC 27001:2005の移行指針を発表しました (BSI ジャパン)
》 リーボック鉛ねた。 鉛含有のブレスレット回収指示 米国で幼児の死亡例 の話。
杉原さん情報ありがとうございます。
》 チャイルドシート金具、新車に義務付けへ (asahi.com, 4/2)
》 ココログの仕様改悪にみる、@niftyによる視覚障碍者の軽視 (hoshikuzu | star_dust の書斎, 4/1)。 CAPTCHA には重大な副作用があるわけで。
》 インタビュー：OpenBSDのTheo de Raadtに聞く (japan.linux.com, 3/31)
ここで敢えて言わせてもらいます。OpenSSHに欠陥が見つかり、それがSunSSHに引き継がれていたとしても、Sunには教えません。ひょっとすると、そうした欠陥がすでにあるかもしれません。
》 F-Secure first to make the Internet as safe as Moominvalley (F-Secure, 3/31)。ムーミン UI、英語版もちゃんとあるようです。
"The world is a very exciting place", says Moominpappa, the modest patriarch of the Moomin family, "and it is good to go and explore it, and learn more about it. But you should be cautious, and remember that it is better to be safe than sorry." Good advise indeed, considering the increased activity around the internet, which is a bit like the electrical charge around Hattifatteners in a thunderstorm.
》 デジタル・フォレンジックに関するワークショップ(2006.3.27東京・グランドアーク半蔵門) (上原哲太郎, info from tessyの日記)
関連して、Sea Surfers ML (freeml) ができています。
》 国家が認定するビンテージ品リスト? (slashdot.jp, 3/31) から、リスト以外一切を認めない訳ではない (slashdot.jp, 3/31)。 特別承認制度（いわゆるビンテージものの特別承認） (経産省) はつまり、「とにかくどんどんリストに載せるので情報ちょうだい」というスキームなのか?
また、「楽器等一覧」に掲載されていない電気楽器等についても、申請の際に頂戴したご意見に基づいて、順次、「楽器等一覧」に追加してまいります。
なんかもう、究極命題「バータリー」そのものってかんじ。
あと、http://pc8.2ch.net/test/read.cgi/dtm/1143199126/191 からまるまる引用:
191 ：名無しサンプリング＠48kHz：2006/03/30(木) 00:50:51 ID:DI+tw/+r
（KKKが出した新聞広告に）電気用品の不具合が原因で、平成16年には
「約1000件の事故が発生しています。」
と書いてあります。
今、問題になっているのは中古の電気用品ですから、この1000件という数字は、
如何にも中古に関わる数字のように感じる訳ですが、これは「ごまかしの数字」です。
経産省が出典にしている独立行政法人製品評価技術基盤機構の、平成16年度「事故情報収集制度報告書」を調べてみました。
http://www.jiko.nite.go.jp/reports/H16/toukeiH16.html
家庭用電気製品の平成16年度の事故報告件数は、確かに1,024件です。
↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓
しかし経年劣化いわゆる「中古」であることに起因する事故は、
22件しかなく、そのうち更に人的被害（死亡・重傷・軽傷）が発生している事故は0件です。
↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑
この報告から分かることは、経年劣化を理由としてPSEマークを貼付することを
強制する立法事実は無い、ということです。
http://blog.goo.ne.jp/kawauchi-sori/e/4a41f1afaac539c5acea23aadb7168e5
http://pc8.2ch.net/test/read.cgi/dtm/1143199126/192-193 も興味深い。
》 民主党：前原執行部が総退陣へ 偽メール問題で (毎日, 3/31)。最後までどたばただなあ。
》 Windows Command-Line Kung Fu with WMIC (SANS ISC, 3/30)。だれか dojo 開いてください。
![[セキュリティホール memo]](/%7Ekjm/security/memo/sechole-memo.gif){kind=small}
私について