Last modified: Mon May 23 17:04:24 2022
+0900 (JST)
短縮 URL: http://goo.gl/pwSG QR コード:
http://goo.gl/pwSG.qr
Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。
ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容をくれぐれも鵜飲みにしないように。 間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。
このページの情報を利用される前に、注意書きをお読みください。
[ 定番情報源 ] 過去の記事: 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998
![]() |
「Scan Security Wire」 主催の SCAN Security Wire NP Prize 2001 を受賞しました。 |
|
「ネットランナー」の ベスト・オブ・常習者サイト 2003 で金賞を、ベスト・オブ・常習者サイト 2004 で銀賞を受賞しました。 |
復刊リクエスト受付中:
ジェイムズ.F.ダニガン「 新・戦争のテクノロジー」(現在58票)
中山信弘「ソフトウェアの法的保護」 (現在112票) (オンデマンド購入可)
陸井三郎訳・編「ベトナム帰還兵の証言」 (現在109票)
林克明「カフカスの小さな国 チェチェン独立運動始末」 (現在175票)
田中徳祐「我ら降伏せず−サイパン玉砕戦の狂気と真実」 (復刊決定)
RSS に対応してみました。
小ネタは含まれていません。「政治ねたウゼェ」という人は RSS ベースで読むと幸せになれるでしょう (ウザくない人は こっちの RSS がよいかもしれません)。
RSS 1.0 ですので、あくまで RDF Site Summary です。
現在は Really Simple Syndication には対応していません。
今すぐ Really Simple Syndication がほしい人は、のいんさんによる
Web サイトの RSS を勝手に出力するプロジェクト
……のものがうまくいっていないようなので、
セキュmemoのRSS生成
をご利用ください。Tamo さん情報ありがとうございます。
》 電気自動車からの給電で停電時のエレベーター継続利用を可能とするV2Xシステムの実証を開始 (日立ビルシステム, 5/23)
本システムは、停電発生時に、V2X対応充放電装置であるハイブリッドPCS*2を使用してエレベーターなどのビル設備の電源を電気自動車からの給電に切り替えるとともに、エレベーターについて分速30mの低速運転に変更する制御を行うもので、最大で10時間程度*3エレベーターを継続運転させることを可能にし、災害に対するレジリエンスを向上します。
関連:
GSユアサ京都事業所にV2Xシステムを導入 (GSユアサ, 2021.06.08)
太陽光発電、蓄電池、電気自動車、V2X機能付きマルチPCSを活用した非常時の安定的な電力供給の実現に向けた実証試験について (東電, 2021.10.08)
》 米ブロードコムがヴイエムウェア買収交渉、ソフト強化へ-関係者 (ブルームバーグ, 5/23)
》 定番メールソフト「Becky! Internet Mail」がついにWindows 8.1以前のサポートを終了 (窓の杜, 5/18)。いよいよ 8.1 以前がガンガン捨てられる時代に突入か。
》 ライセンスビジネスに見る「Arm」と「RISC-V」の関係 (PC Watch, 5/23)
ArmからIPを買ってSoCを作っている限りは、CPU構築のスキルが手元に残らないことになる。 CPUを設計/製造できるスキルを保とうとした場合、Armアーキテクチャに固執することはあまり賢明とは言えない。これが、大手のメーカーがRISC-Vを志向する大きな理由の1つである。
》 偽造困難な「呼気」で生体認証する実証に成功。東大/JSTら (PC Watch, 5/23)。うひー。
》 思わぬところに抜け道? MSアカウントなしでWindows 11をセットアップする裏技が報告される (Internet Watch, 5/19)
今回新たに見つかったのは、Microsoftアカウントの入力を求められたときに存在しないメールアドレスとパスワードを入力し続けると、一定回数を経過したところでそれらがロックされ、ローカルアカウントでのセットアップ画面に切り替わるというもの。
》 個人情報流出事故を防止可能になったOutlookアドイン「おかん for Outlook」v2.7.0.0 (窓の杜, 5/20)
Firefox 100.0 / ESR 91.9.0、Firefox for Android 100、Thunderbird 91.9.0 公開 (2022.05.06)
Firefox 100.0.2 / ESR 91.9.1、Thunderbird 91.9.1 公開。Pwn2Own Vancouver 2022 で攻略された欠陥を修正。iida さん情報ありがとうございます。
Firefox 100.0.2、Firefox for Android 100.3.0 がリリースされた (mozillaZine, 2022.05.21)
Thunderbird 91.9.1 がリリースされた (mozillaZine, 2022.05.21)
Pwn2Own Vancouver 2022 - The Results (ZDI, 2022.05.18)
》 Internet Weekショーケース 徳島・オンライン。 2022.06.23〜24、オンライン / 徳島県徳島市、無料。 ハンズオンが無料とか、太っ腹すぎる企画。
》 福島第一原発 処理水審査事実上合格 残された課題は (NHK 解説委員室, 5/19)
》 When Your Smart ID Card Reader Comes With Malware (Krebs on Security, 5/17)
》 善意のハッキングを行うセキュリティ研究では訴えられない新方針を司法省が発表 (gigazine, 5/20)
【独自】北朝鮮技術者、日本のスマホアプリ開発…自治体防災アプリなど7件の業務請け負う (読売, 5/18)
北朝鮮技術者のアプリ開発、2年前の事件でも仲介サイト使用 (読売, 5/20)
関連:
米 “北朝鮮がIT技術者利用し外貨獲得 ミサイル開発資金源に” (NHK, 5/17)
》 ブランドのチーズ「パルミジャーノ・レッジャーノ」はチーズ詐欺と戦うため小さなトラッカーを付けている (gigazine, 5/20)
》 【訃報】「ブレードランナー」「炎のランナー」で知られる音楽家ヴァンゲリス氏死去 (gigazine, 5/20)。合掌。
》 SpaceXがイーロン・マスクのセクハラを隠蔽するために客室乗務員に3000万円以上を支払ったという報道 (gigazine, 5/20)
サル痘とは (名古屋検疫所)
サル痘ウイルスが属するウイルスのグループ「オルソポックスウイルス属」には、かつて世界で猛威をふるった痘そう(天然痘)ウイルスも含まれ、実際サル痘と痘そう(天然痘)は症状もそっくりです。
ただし、サル痘での致死率は下記のとおり痘そう(天然痘)よりは低く、かつ、痘そうと違って連続したヒト-ヒト感染はこれまで報告されていません。
(中略)
サル痘に特化したワクチンはないものの、痘そう(天然痘)ワクチン(別名:種痘)に一定の予防効果があります。 (中略) 1980年の根絶宣言以降、痘そうワクチンは市場に流通しておらず国家備蓄となっているため、接種機会は限られています。
天然痘に似た症状「サル痘」イギリス アメリカなど患者相次ぐ (NHK, 5/19)
サル痘に詳しい岡山理科大学の森川茂教授は「天然痘の根絶によって若い世代はワクチンを接種していないので、基礎疾患があり、免疫力が低い人は重症化するおそれがある。新型コロナウイルスのように飛まつ感染で広がりやすいウイルスではないので、世界中に一気に広がる可能性は低いと思うが、海外の感染が広がっている地域で、野生動物にむやみに触れるようなことは避けてほしい」と話しています。
「サル痘」カナダなどでも感染報告 欧米中心に感染拡大懸念 (NHK, 5/20)
欧米で「サル痘」の報告相次ぐ アフリカ渡航歴ない例も WHO警戒 (朝日, 5/20)
アフリカで散発的に発生する病気だが、アフリカへの渡航歴のない人での感染例が続き、各国の保健当局は感染経路などを調べている。
「サル痘」の感染報告、欧米などで相次ぐ 保健当局が調査 (BBC, 5/20)
オーストラリアは20日に、ヨーロッパへの旅行から戻ってきた男性がサル痘に感染していたと発表した。
ヨーロッパやアメリカ大陸で拡大中の感染症「サル痘」とはどういう病気なのか? (gigazine, 5/20)
》 EmoCheck v2.3.0 (JPCERT/CC / GitHub)。出てます。
》 顔認証技術に基づく誤認逮捕が狂わせた3人の男の人生 (WIRED, 5/17)
》 ネットに流れたゼレンスキー大統領の自殺説、ロシア側が情報作戦に重点 (CNN, 5/20)
ワシントン(CNN) 米サイバーセキュリティー企業のマンディアントは19日、ロシア軍がウクライナに侵攻した数週間後、ウクライナのボロディミル・ゼレンスキー大統領が自殺したという偽情報をロシア側の工作員が流していたと伝えた。
こちらの記事: The IO Offensive: Information Operations Surrounding the Russian Invasion of Ukraine (Mandiant, 5/19)
Apple、Windows版「iTunes 12.12.4」を公開 ~5件の脆弱性に対処 (窓の杜, 2022.05.19)
Fixed in 7.83.1 (curl, 2022.05.11)
Vulnerabilities in curl 7.83.0 (curl)。この 6 件が 7.83.1 で修正された。
2022 年 5 月のセキュリティ更新プログラム (月例) (2022.05.11)
不具合情報:
イベントビューアーが動作しない不具合。KB5013942やKB5013943インストール後に発生 [Update 1: 更新プログラムをアンインストールしない回避策を加筆] (ニッチなPCゲーマーの環境構築Z, 2022.05.15)。 これも 『.NET Framework 3.5 (.NET 2.0 および 3.0を含む)』『Windows Communication Foundation HTTP アクティブ化』『Windows Communication Foundation 非HTTP アクティブ化』 の有効化で対応できる事例。
Microsoft Storeアプリのインストールに失敗する不具合。KB5013942等が原因。修正プログラムKB5015020を緊急リリース (ニッチなPCゲーマーの環境構築Z, 2022.05.20)。 Windows 10 20H2 / 21H1 / 21H2 で発生。 KB5015020 を個別に適用すれば対応できる。
サービスの認証に失敗する不具合の修正を緊急リリース。Windows Server 2022用KB5015013など (ニッチなPCゲーマーの環境構築Z, 2022.05.20)。
2022年5月11日に公開・配信されたWindows Server用の更新プログラムをドメインコントローラーにインストールすると、Network Policy Server (NPS)、Routing and Remote access Service (RRAS)、Radius、Extensible Authentication Protocol (EAP)、Protected Extensible Authentication Protocol (PEAP)などのサービスに対して、サーバーまたはクライアント上で認証に失敗するという不具合が発生しています。
各サーバー用の更新プログラムを個別に適用すれば対応できる。 記事にリンクあり。
iOS 15.5 では「iPhone SE (第3世代)が予期せずシャットダウンする問題を修正」しているそうです。
iOS 15 のアップデートについて (Apple)
BIND 9.18 系列、および開発版である BIND 9.19 系列の DNS over HTTPS (DoH) 実装に欠陥があり、 DoH 機能が有効な場合、 remote から DoS 攻撃を実施できる。
BIND 9.18.3 / 9.19.1 で修正されている。
関連:
CVE-2022-1183: Destroying a TLS session early causes assertion failure (ISC, 2022.05.18)
4. BIND 9 Configuration Reference (BIND 9 Administrator Reference Manual (v9_18_0))
If a TLS configuration is specified, named will listen for DNS-over-TLS (DoT) connections, using the key and certificate specified in the referenced tls statement. If the name ephemeral is used, an ephemeral key and certificate created for the currently running named process will be used.
If an HTTP configuration is specified, named will listen for DNS-over-HTTPS (DoH) connections using the HTTP endpoint specified in the referenced http statement. If the name default is used, then named will listen for connections at the default endpoint, /dns-query.
Use of an http specification requires tls to be specified as well. If an unencrypted connection is desired (for example, on load-sharing servers behind a reverse proxy), tls none may be used.
If a port number is not specified, the default is 53 for standard DNS, 853 for DNS over TLS, 443 for DNS over HTTPS, and 80 for DNS over HTTP (unencrypted). These defaults may be overridden using the port, tls-port, https-port and http-port options.
》 LibreSSL 3.5.3 Release Notes (OpenBSD, 5/18)
NVIDIA、GeForceドライバセキュリティ情報を公開。計10件の脆弱性 (ニッチなPCゲーマーの環境構築Z, 2022.05.17)
》 カンヌ映画祭「キャメラを止めるな!」で開幕 ゼレンスキー大統領も (朝日, 5/18)。「カメラを止めるな!」のフランス版リメイクだそうで。
この作品はフランスのタイトルは「Z」だったが、「Z」はロシア支持を表すとしてウクライナの映画界が抗議。「COUPEZ!(カット!)」に改められた。
こんなところにもロシア軍の影響が。
》 「張り子の虎」だったロシア 韓国元陸軍中将が見た弱体化の理由 (朝日, 5/17)。申源湜議員 (元陸軍中将)。 核兵器保有コストがロシア軍の弱体化を招いたのではないかと述べており、興味深い。
――韓国には、核武装や原潜の保有を主張する人も大勢います。
私は、核武装は必要ないと考えています。米国は、自分たちの「核の傘」を含む「拡大抑止力」を信じない動きだと受け止めるでしょう。核不拡散条約(NPT)を破壊する行為だと評価され、国際社会から制裁される可能性があります。
これは日本もそのとおりなのだけど、 申議員、原潜については無回答ですね。実際、韓国は原潜取得を目指しているそうだし。
イーロン・マスクのTwitter買収、何が問題なのか (p2ptk.org, 5/15)
世界有数の金持ちがオンラインの「公共広場」をコントロールすることは、中央集権的なインターネットのトレンドを強化するだけにしかならない。今日のインターネットは、初期の分散・多様なインターネットとはかけ離れている。この規模の権力、資金、個人データの集中は、民主主義やオンラインの人権の行使を危うくするだけである。
イーロン・マスクの「表現の自由」は我々に何をもたらすのか (p2ptk.org, 5/15)
Twitterのアクティブアカウントの約20%がスパム・偽アカウントであるという調査結果 (gigazine, 5/17)
イーロン・マスクがウンチの絵文字「💩」をTwitterのCEOにたたきつけアンチスパムポリシーを非難 (gigazine, 5/17)
イーロン・マスクが「Twitterのボットが5%未満であると証明されるまでTwitter買収は前進できない」とツイート (gigazine, 5/18)
》 iOS/Androidで広告IDのトラッキングを停止する方法と、今すぐそうすべき理由 (p2ptk.org, 5/17)
》 経済産業省 産業構造審議会 知的財産分科会 不正競争防止小委員会 中間報告書、秘密情報の保護ハンドブック等 (まるちゃんの情報セキュリティ気まぐれ日記, 5/18)
ちなみに、秘密情報の保護ハンドブックは300ページ弱もあります。。。
》 トラブルで初号機打ち上げ延期 期待に応えられるか 新型H3ロケット開発 (NHK 解説委員室, 5/17)。エンジン開発はかように難しいわけですが、
H3の開発で今のH2Aはあと5回の打ち上げで運用終了することが決まっている。
H3 ができてもいないのに H2A 終了が決まっているのがねえ。 このせいでウクライナ危機需要もゲットできてないし。
》 ヒアリ・アカミミガメ・アメリカザリガニ 外来生物法こう変わる! (NHK 解説委員室, 5/16)
暗号資産「テラ」の暴落が、不可避だったと言えるこれだけの理由 (WIRED, 5/14)
99.99%下落した「Terra(LUNA)」のビットコイン積立金が行方不明に、創設者の自宅には不審人物が出没 (gigazine, 5/16)
一夜にして価値ゼロになった「Terra(LUNA)」の4500億円以上あったビットコイン準備金がたった12億円になっていたことが判明 (gigazine, 5/17)
テラUSD(UST)のディペッグ騒動 Terraform Labs社や取引所の対応まとめ (coinpost.jp, 5/16)
「テラ(LUNA)をフォークする」 エコシステム存続に向けた復興プランが投票へ (coinpost.jp, 5/14)
「アルゴリズム型ステーブルコインなしでフォークする」 LUNAの復興プラン2が投票へ (coinpost.jp, 5/17)
》 FIRSTの加盟手続きが変わりました (JPCERT/CC, 5/12)
》 iPhoneの電源がオフの場合でもマルウェアが侵入するおそれがあると専門家が警告 (gigazine, 5/17)
》 サブスク・定期購入を自動更新にしているとAppleのアプリ開発側で自動値上げが可能に (gigazine, 5/17)
Firefox 100.0 / ESR 91.9.0、Firefox for Android 100、Thunderbird 91.9.0 公開 (2022.05.06)
Firefox 100.0.1 公開。
Firefox 100.0.1 がリリースされた (mozillaZine, 2022.05.17)
Windows: コンテンツプロセスが Win32k API にアクセスすることを Firefox のセキュリティサンドボックスがブロックするようになった (bug 1767999)
Bug 1767999 - Re-enable Win32k Lockdown by Default (Mozilla) によると security.sandbox.content.win32k-disable のデフォルト値が true になったのだそうで。
PostgreSQL 14.3, 13.7, 12.11, 11.16, and 10.21 Released! (PostgreSQL, 2022.05.12)。セキュリティ修正 CVE-2022-1552: Autovacuum, REINDEX, and others omit "security restricted operation" sandbox を含む。
JVNDB-2022-001806 Apache Tomcat における WebSocket 接続の実装に関する問題 (JVN, 2022.05.17)。 Tomcat 9.0.21 (2019.06.07) / 8.5.76 (2022.02.28) で修正された件が 2022.05.12 になって公開された話。 iida さん情報ありがとうございます。
パッケージ版 Garoon 脆弱性に関するお知らせ (サイボウズ, 2022.05.13)
Moodle 4.0.1 and other minor versions released today (Moodle, 2022.05.09)。 Moodle 4.0.1 / 3.11.7 / 3.10.11 / 3.9.14 公開。MSA-22-0010 〜 MSA-22-0014 を修正。
出てました。
About the security content of iOS 15.5 and iPadOS 15.5 (Apple, 2022.05.16)
About the security content of watchOS 8.6 (Apple, 2022.05.16)
About the security content of tvOS 15.5 (Apple, 2022.05.16)
macOS
About the security content of macOS Monterey 12.4 (Apple, 2022.05.16)
About the security content of macOS Big Sur 11.6.6 (Apple, 2022.05.16)
About the security content of Security Update 2022-004 Catalina (Apple, 2022.05.16)
Safari 15.5 のセキュリティコンテンツについて (Apple, 2022.05.16)。iida さん情報ありがとうございます。
Xcode 13.4 のセキュリティコンテンツについて (Apple, 2022.05.16)
iOS 15.5 では「iPhone SE (第3世代)が予期せずシャットダウンする問題を修正」しているそうです。
iOS 15 のアップデートについて (Apple)
》 HUI Loaderの分析 (JPCERT/CC Eyes, 5/16)
》 スウェーデンとフィンランド、NATO加盟申請を正式決定 (BBC, 5/16)。次の焦点はトルコの出方か。
一方、アメリカのアントニー・ブリンケン国務長官とNATOのイエンス・ストルテンベルグ事務総長は、トルコによる加盟反対を乗り越える自信があると述べた。
》 5つの病院の医師が白内障手術の画像データを医療機器メーカーに無断で第三者提供していたことを個人情報保護法的に考えた (なか2656のblog, 5/15)
》 【Windows 11】自動サインインができなくなった? いいえできます、でも[設定]アプリで設定が必要です (@IT, 5/16)
Microsoftアカウントでサインインしている場合、[ユーザーアカウント]ダイアログに「ユーザーがこのコンピューターを使うには、ユーザー名とパスワードの入力が必要」が表示されないことがある。
この場合、[ユーザーアカウント]ダイアログをいったん閉じて、[設定]アプリを起動、左ペインで[アカウント]を選択し、右ペインで[サインインオプション]画面を開き、「追加の設定」欄の「セキュリティ向上のため、……Windows Helloサインインのみを許可する」のスイッチを「オフ」にする。
この面倒くささは、もはや嫌がらせであろ。
》 SpaceX、最新の「Starlink」対象地域マップを公開--32カ国で利用可能に (CNET, 5/17)。北米、ヨーロッパ、ニュージーランドのかなりの部分、オーストラリアの一部、南米の一部など。 「日本は2022年第3四半期にサービス開始となっている」。
》 “スマホのマイクでこっそり盗聴”を妨害する技術 静かな音で会話内容を改ざん (ITmedia, 5/17)
》 通販サイトの商品画像がおかしい? 金爆・鬼龍院さんの検証ツイートが話題 販売元に問い合わせてみた (ITmedia, 5/14)。進撃の巨人。
》 DeepLの“珍誤訳”が話題に 「I'm sorry」の日本語訳は?→「アイム・ソーリー・ヒゲソーリー」 (ITmedia, 5/16)。ゴミを学習してしまっている、修正が困難であるようだ (なかなか直らない)、 という問題。 学習元データが糞なのだろうなあ。
》 「ゆっくり茶番劇」商標登録者が方針転換 使用料は不要も「権利は当社のもの」 (ITmedia, 5/17)
》 Apple製品はどこから来ている?地図で見るサプライヤー:世界編 (iPhone Mania, 5/15)
》 Twitter、パクツイ撲滅につながる新ポリシーを発表。見つけ次第、誰でも報告が可能 (やじうま Watch, 5/16)。ようやくですか。
》 FreeBSD 13.1-RELEASE Announcement (FreeBSD, 5/16)
2022 年 5 月のセキュリティ更新プログラム (月例) (2022.05.11)
Windows 11 + Sophos Home で 2022.05 Microsoft 定例 patch (KB5013943) を入れるとブルー画面になるそうで。 Sophos Homen の更新プログラムが公開 (自動アップデート) されています。 Sophos Homen に含まれる hmpalert.sys が原因だそうで。
FIXED- Windows 11 Bluescreen/stop error after Windows Update KB5013943 (Sophos, 5/17更新)。 Product version 3.8.4.46 で修正されている。 回避方法として、KB5013943 のアンインストールの他、 hmpalert.sys を rename して起動時に読み込ませないようにする、が紹介されている。
》 [gnutls-help] gnutls 3.7.5 (Gnu, 5/13)。「bug fix and enhancement release」。iida さん情報ありがとうございます。
》 Chrome 拡張機能がブロックされたときに "ブラウザ侵入防止は正しく機能していません" の警告が表示される (broadcom, 4/20)。SEP ねた。
注: 上記の変更はクラウド登録された SES クライアントのみです。オンプレミスの SEPM で管理されている SEP クライアントは、バージョン 14.3 RU5 でこの機能を搭載する予定です。
》 ロシア海軍 Elbrus 級 (Project 23120) 兵站支援艦 Vsevolod Bobrov、炎上
Ukraine lines up Russia’s Vsevolod Bobrov ship off coast of Snake Island (UKRINFORM, 5/12)
最新鋭ロシア艦船に新たな損害か ウクライナが炎上と発表 (産経, 5/13)
Project 23120 (RussianShips.info)
Elbrus Class (Project 23120) Logistics Support Vessels (Naval Technology, 2017.07.05)
》 フィンランド外相“早ければ来週半ばにもNATO加盟申請へ” (NHK, 5/13)
加盟が認められるまでの間にロシアが軍事的な行動をとるのではないかという見方については、「確かに危険な時期だ」としたうえで、イギリスなどヨーロッパの国々が力強い支援を申し出てくれているとし、「混乱が起きるとは考えていないが、そうした事態にも準備は怠ってはいけない」と述べました。
関連:
ロシアが報復を警告、フィンランド首脳のNATO加盟支持表明を受け (CNN, 5/13)
ロシア、フィンランドのNATO加盟に「報復措置」と警告 欧米は全面支持 (BBC, 5/13)
フィンランドのNATO加盟は想定外 いらだつロシア、領空侵犯も (朝日, 5/13)
フィンランド加盟申請、NATOは歓迎 極寒の地での軍事作戦秀でる (朝日, 5/12)
》 Windows Sysinternals 更新情報 (2022 年 5 月 12 日) - AccessChk 6.15、RAMMap 1.61、Sysmon 13.34 (山市良のえぬなんとかわーるど, 5/12)
業務にアマチュア無線を常用していた (やっちゃ駄目)
<知床の観光船遭難事故>事実解明が待たれる「アマチュア無線で交信」の疑問点 (hamlife.jp, 4/28)
<ようやく新聞各紙が“不正使用”を報道>遭難事故を起こした知床遊覧船、「連絡手段として日常的にアマチュア無線を用いていたことが判明」と毎日新聞が報じる (hamlife.jp, 5/10)
知床沖 観光船沈没 アマチュア無線使用で国から行政指導 (NHK, 5/11)
あの日「カズワン」に何が起きたのか カズスリー甲板員の混乱と後悔 (朝日, 5/5)
カズワンの船長「不安なんだ…」 仕出屋配達員が知床で船を操るまで (朝日, 5/10)
》 「ロシアがウクライナの衛星通信ネットワークにサイバー攻撃を仕掛けた」とアメリカ・イギリス・EUが公式に非難 (gigazine, 5/11)
》 英国、フィンランド・スウェーデンと安全保障強化で合意 (BBC, 5/12)。これ自体は、相互防衛ではなく相互支援にとどまる内容みたい。 まあ、NATO 入りを目指しているわけだしね。
フィンランド首相 1週間以内にNATO加盟申請に向け決断 (NHK, 5/11)。マリン首相、日本に来てるんですね。
NATO、フィンランド・スウェーデン加盟を迅速承認へ (ロイター, 5/12)
NATO急接近、マリン首相が歴史的転換 ロシアは痛いオウンゴール (朝日, 5/12)。鶴岡路人・慶応大准教授インタビュー。
》 2021年に報告されたフィッシングサイトの傾向と利用されたドメインについて (JPCERT/CC Eyes, 4/25)
JPCERT/CCでは、2021年に44,242件のインシデント報告が寄せられ、そのうちフィッシングサイトに関するインシデント件数は、23,104件でした。本ブログでは、JPCERT/CCに報告されたフィッシングサイトの情報をもとに、報告件数の推移やかたられたブランドの業種別割合、フィッシングサイトに利用されたドメインの傾向について解説します。
インシデント報告、単純平均で 121件/day ですか。平日/土日で偏りあるだろうしなあ。
》 「ブラザーオンライン」で不正ログイン発生、最大12万6676件のアカウントが被害 (Internet Watch, 5/11)、 会員向けサービスサイト「ブラザーオンライン」における 不正ログインの発生について (ブラザー, 5/10 更新)
不正ログインをした第三者がお客様の保有する「トク刷るポイント」*1を不正に利用したこと、あわせてお客様のご登録情報が不正ログインをした第三者により閲覧できる状況にあったことを確認しております。
インテルのCPU/SSD製品などに脆弱性 ~最大深刻度は「HIGH」 (窓の杜, 2022.05.12)
「Qt」で開発されたWindowsアプリに権限昇格の問題、アプリの権限で任意コードが実行されるおそれ (窓の杜, 2022.05.10)
JVNVU#92669710 - Qt製Windowsアプリケーションにおける権限昇格の脆弱性 (JVN, 2022.05.09)。モジュール検索パスが qt_prfxpath にハードコードされているため、そこに悪意あるモジュールを配置されると任意のコードが実行される。
対応するには、Qt 5.14 以降でアプリを作り直すか、あるいはパッケージ化ツール windeployqt を最新版に更新してアプリを作り直す。
JVNVU#98578492 - Apache TomcatのEncryptInterceptorのドキュメントにおける記載誤りの問題 (JVN, 2022.05.11)、 EncryptInterceptor only provides partial protection on untrusted network (github)。 iida さん情報ありがとうございます。 Tomcat 8.5.79 / 9.0.63 / 10.0.21 / 10.1.0-M15 の ドキュメントで以下を明記。
The EncryptInterceptor provides confidentiality and integrity protection but it does not protect against all risks associated with running a Tomcat cluster on an untrusted network, particularly DoS attacks.
信頼できないネットワーク上の Tomcat クラスターに対して、 EncryptInterceptor は CIA の C と I しか提供しない、特に DoS 攻撃への耐性は提供しないと。
CVE-2022-24903: rsyslog < 8.2204.1 heap buffer overrun (oss-sec ML, 2022.05.05)。8.2204.1 (最新版) では直っていると。
Adobe 月例は 5 件。 Character Animator、 ColdFusion、 InDesign、 Framemaker、 InCopy。 Priority はいずれも 3。
》 ウクライナ侵攻協力の現職敗北 親ロ派「大統領選」で―ジョージア (時事, 5/10)。南オセチア方面。
》 経済制裁でロシアは一体どれほどのダメージを受けているのか? (gigazine, 5/8)。 関連:
ロ軍の疲弊鮮明 制裁で兵器調達困難に―西側情報筋 (時事, 5/10)
ロシアへの経済制裁は関係なかった!!? 上昇傾向だった中古車価格が下落に転じた真相 (ベストカー, 5/8)
》 ロシアでGoogle Playの有料アプリのダウンロード&アップデートが不可能に (gigazine, 5/9)
》 Windowsイベントログを利用したファイルレスマルウェアの手法が観測される (gigazine, 5/10)、 A new secret stash for “fileless” malware (securelist, 5/4)
2022.05 Microsoft 定例。
- .NET and Visual Studio
- Microsoft Exchange Server
- Microsoft Graphics Component
- Microsoft Local Security Authority Server (lsasrv)
- Microsoft Office
- Microsoft Office Excel
- Microsoft Office SharePoint
- Microsoft Windows ALPC
- Remote Desktop Client
- Role: Windows Fax Service
- Role: Windows Hyper-V
- Self-hosted Integration Runtime
- Tablet Windows User Interface
- Visual Studio
- Visual Studio Code
- Windows Active Directory
- Windows Address Book
- Windows Authentication Methods
- Windows BitLocker
- Windows Cluster Shared Volume (CSV)
- Windows Failover Cluster Automation Server
- Windows Kerberos
- Windows Kernel
- Windows LDAP - Lightweight Directory Access Protocol
- Windows Media
- Windows Network File System
- Windows NTFS
- Windows Point-to-Point Tunneling Protocol
- Windows Print Spooler Components
- Windows Push Notifications
- Windows Remote Access Connection Manager
- Windows Remote Desktop
- Windows Remote Procedure Call Runtime
- Windows Server Service
- Windows Storage Spaces Controller
- Windows WLAN Auto Config Service
悪用あり (0-day):
情報公開済み、悪用なし:
Windows Hyper-V Denial of Service Vulnerability CVE-2022-22713 (Microsoft)。「Exploitation Less Likely」
Insight Software: CVE-2022-29972 Magnitude Simba Amazon Redshift ODBC Driver (Microsoft)。「Exploitation More Likely」
patch をあてただけでは解決しない問題:
Exchange の件:
Microsoft Exchange の脆弱性 CVE-2022-21978 からシステムを保護するためには、セキュリティ更新プログラムの適用に加え、追加の作業を実施する必要があります。 Microsoft Exchangeの管理者は、CVE-2022-21978 および Microsoft Exchange チームブログ Released: May 2022 Exchange Server Security Updatesを参照し、必要な作業を実施してください。
Active Directory の件:
[5/11 追記] 今月のセキュリティ更新プログラムで修正した脆弱性 CVE-2022-26931 および CVE-2022-26923 は、Active Directory 環境における証明書ベースの認証動作に存在する特権昇格の問題です。2022 年 5 月のセキュリティ更新プログラムを適用することで、“互換モード (Compatibility Mode)” になります。このモードでは、従来通り証明書ベースの認証は動作しますが、認証時に監査ログが記録されます。脆弱性からシステムを保護するためには、KDCでレジストリを変更し、証明書ベースの認証を強化する必要があります。証明書ベースの認証を強化は、2023 年 5 月のセキュリティ更新日までに、設定を強化する更新プログラムを配信する予定です。
KB5014754—Certificate-based authentication changes on Windows domain controllers (Microsoft) に従って変更する必要があると。
SSU 更新:
Latest Servicing Stack Updates ADV990001 (Microsoft)。 Windows 7 / Server 2008、Server 2012、Windows 8.1 / Server 2012 R2、 Windows 10 Version 1607/Server 2016 で更新。
不具合情報:
【Windows11】 WindowsUpdate 2022年5月 不具合情報 - セキュリティ更新プログラム KB5013943 [Update 2] (ニッチなPCゲーマーの環境構築Z, 2022.05.11)
KB5013943にアプリが起動しない・動作しない不具合。多数の不具合報告で阿鼻叫喚。対処方法あり (ニッチなPCゲーマーの環境構築Z, 2022.05.11)。 .NET Framework 3.5 なアプリで発生する模様。 『.NET Framework 3.5 (.NET 2.0 および 3.0を含む)』『Windows Communication Foundation HTTP アクティブ化』『Windows Communication Foundation 非HTTP アクティブ化』 の有効化で対応できる。
Microsoft: Windows 11 KB5012643 update will break some apps (bleepingcomputer, 2022.05.04)。コマンドラインだとこうなるようです:
dism /online /enable-feature /featurename:netfx3 /all
dism /online /enable-feature /featurename:WCF-HTTP-Activation
dism /online /enable-feature /featurename:WCF-NonHTTP-Activation
【Windows10】 WindowsUpdate 2022年5月 不具合情報 - セキュリティ更新プログラム KB5013942 [Update 1] (ニッチなPCゲーマーの環境構築Z, 2022.05.11)
【Windows8.1】 WindowsUpdate 2022年5月 注意事項と各KBメモと直リンク KB5014011 / KB5014001等 (ニッチなPCゲーマーの環境構築Z, 2022.05.11)
関連:
Microsoft May 2022 Patch Tuesday (SANS ISC, 2022.05.10)
May 2022 Security Updates (Microsoft)
Vulnerability mitigated in the third-party Data Connector used in Azure Synapse pipelines and Azure Data Factory (CVE-2022-29972) (Microsoft, 2022.05.09)
Windows 11 + Sophos Home で 2022.05 Microsoft 定例 patch (KB5013943) を入れるとブルー画面になるそうで。 Sophos Homen の更新プログラムが公開 (自動アップデート) されています。 Sophos Homen に含まれる hmpalert.sys が原因だそうで。
FIXED- Windows 11 Bluescreen/stop error after Windows Update KB5013943 (Sophos, 5/17更新)。 Product version 3.8.4.46 で修正されている。 回避方法として、KB5013943 のアンインストールの他、 hmpalert.sys を rename して起動時に読み込ませないようにする、が紹介されている。
不具合情報:
イベントビューアーが動作しない不具合。KB5013942やKB5013943インストール後に発生 [Update 1: 更新プログラムをアンインストールしない回避策を加筆] (ニッチなPCゲーマーの環境構築Z, 2022.05.15)。 これも 『.NET Framework 3.5 (.NET 2.0 および 3.0を含む)』『Windows Communication Foundation HTTP アクティブ化』『Windows Communication Foundation 非HTTP アクティブ化』 の有効化で対応できる事例。
Microsoft Storeアプリのインストールに失敗する不具合。KB5013942等が原因。修正プログラムKB5015020を緊急リリース (ニッチなPCゲーマーの環境構築Z, 2022.05.20)。 Windows 10 20H2 / 21H1 / 21H2 で発生。 KB5015020 を個別に適用すれば対応できる。
サービスの認証に失敗する不具合の修正を緊急リリース。Windows Server 2022用KB5015013など (ニッチなPCゲーマーの環境構築Z, 2022.05.20)。
2022年5月11日に公開・配信されたWindows Server用の更新プログラムをドメインコントローラーにインストールすると、Network Policy Server (NPS)、Routing and Remote access Service (RRAS)、Radius、Extensible Authentication Protocol (EAP)、Protected Extensible Authentication Protocol (PEAP)などのサービスに対して、サーバーまたはクライアント上で認証に失敗するという不具合が発生しています。
各サーバー用の更新プログラムを個別に適用すれば対応できる。 記事にリンクあり。
Chrome 101.0.4951.64 公開。13 件のセキュリティ修正を含む。
》 認知症の人が見ている世界 (NHK 解説委員室, 5/9)。補助 AI がほしい。
》 海賊版サイト 漫画の被害深刻 無くならないワケ (NHK 解説委員室, 4/29)
》 ビットコインの価格がピーク時から55%下落し一時390万円を下回る、ステーブルコインUSTの価格も不安定に (gigazine, 5/10)
》 ロシアのチップメーカーがArmアーキテクチャへのアクセスをイギリス政府によって禁止される (gigazine, 5/9)
》 ロシアのテレビがハッキングされ全番組名が「あなたの手はウクライナの子どもの血で汚れている」に (gigazine, 5/10)
》 Amazonで購入の中国製バッテリー出火 責任の所在は (産経 / ITmedia, 5/9)
一方、Amazonで購入した欠陥商品のトラブルを巡る同種訴訟は、米国では消費者側が勝訴する判決が相次いでいる。その背景にあるのは「製造物責任」に対する日米の考え方の違いだ。
製造物責任法(PL法)に詳しい久留米大法学部の朝見行弘教授によると、日本では製造業者のみが責任を負うのに対し、米国では製造業者を含めた販売業者が負うとされ、AmazonのようなDPF事業者も、販売を仲介する「流通の直接的な環」と評価されるようになったという。
》 TIS、「PCI DSSv4.0」への準拠支援コンサルティングサービスを提供 (クラウド Watch, 5/10)。PCI DSS 4.0 が出ていたのですね。 知らんかった。
Securing the Future of Payments: PCI SSC Publishes PCI Data Security Standard v4.0 (PCI Security Standards Council, 3/31)
PCI DSSv4.0を読む② v4.0の印象とタイムスケジュール (Fox on Security, 4/27)
ページ数が多くなるとは事前にPCI SSCから聞いてはいたのですが、v4.0の英語版をダウンロードされた方は300ページを超える資料を見て、そっとファイルを閉じたくなった方も多かったのではないでしょうか。(中略) 実はv3.2.1に比べて圧倒的に良い点があります。それが、
・丁寧な解説が加わった
という点です。
PCI DSSv4.0を読む③ カスタマイズドアプローチ (Fox on Security, 5/3)
》 どんな仕組み? Googleアシスタントがパスワードを自動的に変更する機能が新登場 (やじうま Watch, 5/9)
Chromeに搭載された、流出済みパスワードをそのまま使用していることを検知すると警告する機能の延長線上にあるもので、Googleアシスタントが自動的に新しいパスワードに書き換えてくれるという機能。 (中略) 今のところAndroid版のChrome限定
》 Amazon、偽レビューの大手ブローカーを提訴。協力していたユーザーの情報提出も要求 (やじうま Watch, 5/10)
対象となっているのは香港を拠点とするExtreme Rebate社で、同社はユーザーに提供した無料製品に関して写真や動画を含んだ15語以上からなる5つ星のレビューを投稿すると、最大4ドルをメンバーに支払うスキームを実行しているとされる。(中略) AmazonはExtreme Rebate以外にも、同じく偽レビューのブローカー3社に対して法的措置を取り、約35万人を対象に行われていた不正スキームをすでに停止させたことを明らかにしている。
Extreme Rebate 社は Amazon に抵抗したため提訴、ということか。
Unauthorized gem takeover for some gems (GitHub, 2022.05.06)。CVE-2022-29176
rubygems CVE-2022-29176 explained (Greg Molnar, 2022.05.06)
Updates regarding Rubygems ‘Unauthorized gem takeover for some gems’ vulnerability CVE-2022-29176 (GitLab, 2022.05.09)
RubyGems supply chain rip-and-replace bug fixed – check your logs! (Sophos, 2022.05.09)
IPCOM シリーズのコマンド操作端末/Webブラウザ端末とIPCOM間通信における脆弱性について (富士通, 2022.05.09)
FUJITSU Network IPCOMの運用管理インタフェースの脆弱性に関する注意喚起 (JPCERT/CC, 2022.05.09)
》 「Zoom」が無料アカウント主催の全ミーティングを40分に制限 (窓の杜, 5/9)
》 著作権侵害の監視をプロバイダーに強制する「SMART著作権法」案に対してInternet Archiveや電子フロンティア財団が反対意見を表明 (gigazine, 5/7)
》 Googleドキュメントに「And. And. And. And. And.」と入力するとクラッシュしてしまうバグが発見される (gigazine, 5/6)
》 ランサムウェアスポットライト:Conti (トレンドマイクロ セキュリティ blog, 5/9)。関連:
米国務省、ランサムウェア「Conti」の指導者に超高額の報奨金 (マイナビニュース, 5/9)、 Reward Offers for Information to Bring Conti Ransomware Variant Co-Conspirators to Justice (state.gov, 5/6)
Contiランサムウェアの内部構造を紐解く (MBSD, 4/13)
》 Apple・Google・Microsoftがパスワードなしの認証システム「パスキー」の利用拡大に合意 (gigazine, 5/6)、 Apple, Google and Microsoft Commit to Expanded Support for FIDO Standard to Accelerate Availability of Passwordless Sign-Ins (FIDO, 5/5)。 FIDO 標準への対応を拡大すると。 OS レベルで対応されるようになるのかな。
》 NATOサイバー防衛協力センターに韓国が参加--アジアの国で初 (ZDNet, 5/9)。Member nation (Contributing Participant) になったということ。 日本は Member nation には含まれないが、 職員と資金を提供しているのかな。
About us (CCDCOE)
The Centre is staffed and financed by Austria, Belgium, Bulgaria, Canada, Croatia, the Czech Republic, Denmark, Estonia, Finland, France, Germany, Greece, Hungary, Ireland, Italy, Japan, Latvia, Lithuania, Luxembourg, Montenegro, the Netherlands, Norway, Poland, Portugal, Romania, Slovakia, Slovenia, South Korea, Spain, Sweden, Switzerland, Turkey, the United Kingdom, and the United States.
The CCDCOE held a flag-raising ceremony for new Members (CCDCOE, 5/5)。カナダ、韓国、ルクセンブルグ。
Japan to Join the NATO Cooperative Cyber Defence Centre of Excellence in Tallinn (CCDCOE, 2018.01.12)
先月も演習やってたみたい。
NATOサイバー防衛協力センターによるサイバー防衛演習「ロックド・シールズ2022」への参加について (防衛省, 4/19)
Finland Wins Cyber Defence Exercise Locked Shields 2022 (CCDCOE, 4/22)
》 トレンドマイクロ Apex One での誤検知 (5/3)。 対応済み。
[復旧済み][誤警告情報][TROJ_FRS.VSNTE222の検出について] (トレンドマイクロ, 5/4)。Microsoft Edge のファイルを誤検出。
》 東映アニメーションへの不正アクセスについてまとめてみた (piyolog, 4/30)
》 Ubuntu 22.04 LTSの新機能,リモートデスクトップのRDPサポートを使用する (Ubuntu Weekly Recipe, 4/27)
OpenSSL Security Advisory (OpenSSL, 2022.05.03)。OpenSSL 1.0.2ze / 1.1.1o / 3.0.3 で修正。
iida さん情報ありがとうございます。
JVNVU#93032579 - OpenSSLに複数の脆弱性 (JVN, 2022.05.06)
QSA-22-07 - Vulnerability in QVR (QNAP, 2022.05.06)。QVR 5.1.6 build 20220401 以降で対応。
QSA-22-16 - Multiple Vulnerabilities in QTS, QuTS hero, and QuTScloud (QNAP, 2022.05.06)。remote から任意のコマンドを実行できたり、 悪意あるコードを挿入できたりするなど。最新のファームウェアで対応されている。
Netatalk 3.1.13 (Netatalk, 2022.03.23)。7 件のセキュリティ修正を含む。
Synology-SA-22:06 Netatalk (Synology, 2022.04.28)。DSM 7.1-42661-1 以降で対応。DSM 7.0 / 6.2 等はまだ。
Multiple Vulnerabilities in Netatalk (QNAP, 2022.04.25)。QTS 4.5.4 系は QTS 4.5.4.2012 build 20220419 以降で対応。 他はまだ。
Cisco Enterprise NFV Infrastructure Software Vulnerabilities (Cisco, 2022.05.04)。 Cisco Enterprise NFVIS 4.7.1 で修正。
F5 BIG-IP Unauthenticated RCE Vulnerability (CVE-2022-1388) (SANS ISC, 2022.05.08)
K23605346: BIG-IP iControl REST vulnerability CVE-2022-1388 (F5, 2022.05.04)
K55879220: Overview of F5 vulnerabilities (May 2022) (F5, 2022.05.04)。CVE-2022-1388 の件の他にもいろいろ。
Google、Androidの2022年5月セキュリティ更新を発表 (窓の杜, 2022.05.06)
ClamAV 0.105.0, 0.104.3, 0.103.6 released (ClamAV, 2022.05.04)。6 件のセキュリティ修正を含む。
CVE-2022-20803: Fixed a possible double-free vulnerability in the OLE2 file parser. Issue affects versions 0.104.0 through 0.104.2. Issue identified by OSS-Fuzz.
CVE-2022-20770: Fixed a possible infinite loop vulnerability in the CHM file parser. Issue affects versions 0.104.0 through 0.104.2 and LTS version 0.103.5 and prior versions. Thank you to Michał Dardas for reporting this issue.
CVE-2022-20796: Fixed a possible NULL-pointer dereference crash in the scan verdict cache check. Issue affects versions 0.103.4, 0.103.5, 0.104.1, and 0.104.2. Thank you to Alexander Patrakov and Antoine Gatineau for reporting this issue.
CVE-2022-20771: Fixed a possible infinite loop vulnerability in the TIFF file parser. Issue affects versions 0.104.0 through 0.104.2 and LTS version 0.103.5 and prior versions. The issue only occurs if the "--alert-broken-media" ClamScan option is enabled. For ClamD, the affected option is "AlertBrokenMedia yes", and for libclamav it is the "CL_SCAN_HEURISTIC_BROKEN_MEDIA" scan option. Thank you to Michał Dardas for reporting this issue.
CVE-2022-20785: Fixed a possible memory leak in the HTML file parser / Javascript normalizer. Issue affects versions 0.104.0 through 0.104.2 and LTS version 0.103.5 and prior versions. Thank you to Michał Dardas for reporting this issue.
CVE-2022-20792: Fixed a possible multi-byte heap buffer overflow write vulnerability in the signature database load module. The fix was to update the vendored regex library to the latest version. Issue affects versions 0.104.0 through 0.104.2 and LTS version 0.103.5 and prior versions. Thank you to Michał Dardas for reporting this issue.
Firefox も 3 桁になりました。セキュリティ修正を含みます。
Firefox 100 がリリースされた (mozillaZine, 2022.05.04)
Firefox for Android 100 がリリースされた (mozillaZine, 2022.05.04)
Thunderbird 91.9.0 がリリースされた (mozillaZine, 2022.05.04)
Firefox 100.0.1 公開。
Firefox 100.0.1 がリリースされた (mozillaZine, 2022.05.17)
Windows: コンテンツプロセスが Win32k API にアクセスすることを Firefox のセキュリティサンドボックスがブロックするようになった (bug 1767999)
Bug 1767999 - Re-enable Win32k Lockdown by Default (Mozilla) によると security.sandbox.content.win32k-disable のデフォルト値が true になったのだそうで。
Firefox 100.0.2 / ESR 91.9.1、Thunderbird 91.9.1 公開。Pwn2Own Vancouver 2022 で攻略された欠陥を修正。iida さん情報ありがとうございます。
Firefox 100.0.2、Firefox for Android 100.3.0 がリリースされた (mozillaZine, 2022.05.21)
Thunderbird 91.9.1 がリリースされた (mozillaZine, 2022.05.21)
Pwn2Own Vancouver 2022 - The Results (ZDI, 2022.05.18)
過去の記事: 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998