(cache) セキュリティホール memo

Last modified: Sat Mar 20 23:17:49 2010 +0900 (JST)

　Security Watch さんが店じまいされてしまったので、個人で追いかけてみるテストです。備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。

　ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。各自で 1 次情報源の内容を確認してください。このページの内容をくれぐれも鵜飲みにしないように。間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。

　このページの情報を利用される前に、注意書きをお読みください。

　[ 定番情報源 ] 　過去の記事: 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998

	「Scan Security Wire」主催の SCAN Security Wire NP Prize 2001 を受賞しました。
	「ネットランナー」のベスト・オブ・常習者サイト 2003 で金賞を、ベスト・オブ・常習者サイト 2004 で銀賞を受賞しました。

復刊リクエスト受付中:

ジェイムズ.Ｆ.ダニガン「新・戦争のテクノロジー」(現在27票)
中山信弘「ソフトウェアの法的保護」 (現在119票) (オンデマンド購入可)
リデル・ハート「戦略論　間接的アプローチ」 (復刊決定)
陸井三郎訳・編「ベトナム帰還兵の証言」 (現在103票)
林克明「カフカスの小さな国　チェチェン独立運動始末」 (現在166票)

RSS に対応してみました。小ネタは含まれていません。「政治ねたウゼェ」という人は RSS ベースで読むと幸せになれるでしょう (ウザくない人はこっちの RSS がよいかもしれません)。 RSS 1.0 ですので、あくまで RDF Site Summary です。現在は Really Simple Syndication には対応していません。
今すぐ Really Simple Syndication がほしい人は、のいんさんによる Web サイトの RSS を勝手に出力するプロジェクトを参照してください。(のいんさん情報ありがとうございます)

2 刷が出ました。オライリーで注文し、備考覧に「必ず2刷であること」と書くと 2 刷を確実に入手できるそうです。

■ 2010.03.20

》 x64 ベースの Windows Server 2008 を実行しているコンピューターが応答を停止します。 (Microsoft KB 980081)。VM 環境でデッドロックする話。

A thread on one processor owns a network device interface specification (NDIS) Read lock or Write lock. This thread waits for a spinlock. However, a thread on another processor owns the spinlock. However, the thread on the second processor waits for the same NDIS Read or Write lock that is owned by the first thread. This creates a deadlock situation. Therefore the computer stops responding.

　Hotfix 出てます。
》 High-tech copy machines a gold mine for data thieves (thestar.com, 3/18)。複合コピー機ねた。だからこそ、世界初*1、リコーの複合機が情報セキュリティに関する国際的な規格で認証を取得 (リコー, 3/11) なんてのが売り文句にもなるわけで。
》 Sophos Email Security Applianceが、VBSpam認証を受賞、SC Magazine 誌で5つ星受賞と「Best Buy」に指定 (Sophos, 3/10)。 VBSpam は 2009 からはじまっているのですね。
》ブランク・プラスチック (エフセキュアブログ, 3/19)。原材料。
》オンライン株取引は危険 (エフセキュアブログ, 3/17)

　（彼にとって）残念なことに、Maltsev氏は昨日、米証券取引委員会に起訴された。
　証券取引委員会は、 Maltsev氏が時々行ったNASDAQおよびNYSE株の取引が、驚異的な利益を得ているのは単なる偶然ではないと主張している。Maltsev氏は、他の人々のオンライン取引口座にアクセスするべく、キーロガーを搭載したマルウェアを使用したように見える。そうした口座を用い、彼は暴騰した価格で株を買い、自分の本当の口座を使って、同じ株を売って即座に利益を上げていた可能性がある。
》「安全なSQLの呼び出し方」を公開～深刻な被害が発生しているSQLインジェクション攻撃への具体的な対策書～ (IPA, 3/18)
》 Meet skipfish, our automated web security scanner (Google Online Security Blog, 3/19)。オープンソースな Web アプリケーションセキュリティスキャナだそうです。
》 60％の仮想サーバが物理サーバより“危険”な状態――Gartnerが指摘　セキュリティ・チームの介在なしに仮想化プロジェクトが進行したことが原因 (ComputerWorld.jp, 3/16)
》米国特許商標庁、グーグルの「Nexus One」の商標登録を拒否　理由は「インテグラ・テレコムの『Nexus』サービスとの混同を避けるため」 (ComputerWorld.jp, 3/18)。確かになあ。
》マイクロソフト、Windows 7とWindows Server 2008 R2のSP1を発表　ただし、リリース日は不明。第4四半期リリースとのうわさも (ComputerWorld.jp, 3/19)。gold でも十分安定してますけどね。
》 HTC、アップルの提訴に徹底抗戦の構え　自社のイノベーションを強調しつつ、他社の特許を尊重してきた姿勢をアピール (ComputerWorld.jp, 3/19)
》「非実在青少年」規制：目に見える形で反論を提示する (山本弘のSF秘密基地BLOG, 3/18)

　これを見ていただきたい。アメリカの指標犯罪（凶悪犯罪や窃盗犯）の件数をグラフにしたものだ。
　まさに一目瞭然！　コミックス・コードが施行された54年以降、アメリカの犯罪は減るどころか、急カーブを描いて上昇しており、1980年には３倍にもなっている！
(中略)
　ちなみにこのアメリカの指標犯罪のグラフは、前田雅英『少年犯罪』（東京大学出版会）という本から引用したものである。
　そしてこの前田雅英氏こそ、今回の「東京都青少年の健全な育成に関する条例」の改正案を出した東京都青少年問題協議会の専門部会長なのである。
http://www.metro.tokyo.jp/INET/KONDAN/2010/01/40k1e101.htm
　どうなってるんだろうか。前田氏は自分の本に載せたグラフの意味を理解していないのか。
　つまり、マンガの表現と青少年の犯罪の間には、規制推進派が主張するような正の相関関係ではなく、負の相関関係（表現が過激になれば犯罪が減る）があるのだ。
》「表現規制」を都議会と国会で議論する素地が生まれた (保坂展人のどこどこ日記, 3/19)
》「今後のICT分野における国民の権利保障等の在り方を考えるフォーラム」のヒアリングに参加予定 (情報流通促進計画 by ヤメ記者弁護士（ヤメ蚊）, 3/18)

ヒアリング第１回（通算第３回）では、フォーラム構成員である音教授に続いて、ＮＨＫ、民放各社、新聞協会が意見を述べた。
　その一部始終がネットで配信されているので（http://www.soumu.go.jp/main_sosiki/kenkyu /kenri_hosyou/25418.html）、ぜひ、確かめて欲しい。既存メディアの本音が垣間見られるといっても過言ではない。
　マスメディアに不満がある人、マスメディアに就職しようとしている人、マスメディアに満足している人、一度でもマスメディアに抗議しようと考えたことのある人、そういう人には、何があっても、見て欲しいと思う。
》レーダーに映りにくく超音速で飛べる次世代戦闘機F-35B、垂直着陸実験にも成功 (gigazine, 3/19)。おめでとうございます。

実験機を飛ばした元英国空軍で現在はBAE社のテストパイロット、グラハム・トムリンソンは「垂直着陸におけるコックピットでの作業量がこれまで S/VTOL機と違って圧倒的に少ない。低速でも扱いやすいため、空母艦隊の能力を飛躍的に拡大するだろう」とコメントしています。

　つまり、ハリアー / AV-8B はけっこうたいへんということですかね。
》米国で「不正侵入」により車100台が停止する事件発生 (slashdot.jp, 3/20)

米国では代金未払いなどの対策として、遠隔から車のエンジンをスタートさせられなくしたり、警笛を鳴らせる仕組みがあるそうで、これを悪用したとのこと。
》 McAfee Agent 4.5 Hotfix 542703 for Windows Release Notes (Addendum) (McAfee, 3/10)。 Event ID: 7022 The McAfee McShield service hung on starting が修正されている。この Hotfix は、McAfee Agent 4.5 patch 1 ではなく 4.5 patch 2 に含まれる予定だそうで。

■ Finding Malware on your network via cached DNS entries
(innismir.net, 2010.03.18)

　zeusdnsscrape.pl を使って、DNS キャッシュサーバを調べてみるてすと。($filelocation は、安全を確認できる場所に変更した方がいいような気がするなぁ)

■ 2010.03.19

》ユダヤ人の起源　歴史はどのように創造されたのか (ランダムハウス講談社, 3/26 発売)。 4/1 に出版記念イベントあります。
》 100 体のマルウェアでセキュリティソフトを比較してみた (slashdot.jp, 3/18)。Nakamura さん情報ありがとうございます。しかし、「いつ、どうやって集めてきたマルウェアなのか」が明示されていないので、このテストには何の意味もないですね。せっかくのテストなのに、もったいない。

　100体という数字は多いんでしょうか？少ないんでしょうか？と言っている人がいますが、たとえば、「2010.03.10～19 に社内で発見したマルウェア 100 個でセキュリティソフトを比較してみた」なら、少なくともその組織にとっては意味のある比較テストでしょう。特に、社内で使用しているアンチウイルスソフトでは検出・駆除できていなかった場合には。多ければ意味があるとか、少なければ意味がないとかいう話では必ずしもありません。
》標的型攻撃
- PDFベースの標的型攻撃が増加 (エフセキュアブログ, 3/10)
- 標的型攻撃メールはどのようなものか？ (エフセキュアブログ, 3/16)。あくまで一例でしょうけれど。
》厚子さん、第１４回公判傍聴記　by　ナミねぇ (prop.or.jp, 3/19)
》それにしても林谷検事の小さい声で超早口の証言には参りました。(中略) 取調室で大声出すなら、法廷でも大きな声ではっきり証言して欲しいわ～。 (@amneris84, 3/18)
》 What we know (and learned) from the Waledac takedown (Microsoft Malware Protection Center, 3/15)
》 VodafoneがMariposaボットネットを拡散 - パート2 (Panda Security Japan オフィシャルブログ, 3/18)。同様事例を発見話。
では、この全てのことから私達はどのような結論を導き出せるでしょうか？
- Vodafoneは単独のインシデントとしたが、その論理は"p0wn3d"（「降参しろ」というような意味）とあなたがすぐに言えるほど弱っている。
- 当初、私は特定の修理調整された電話での問題だと思っていました。しかし、全く同じ名前のボットネットクライアントで全く同じ特徴を持ち、マルウェアがロードされたのとクライアントに届けられたのがほんの僅かの時間差で、全てが同じ週に起きているということは、もっと大きな問題がQAまたは電話の特定のロットのどちらかにあるのかもしれないと思わせます。
- あなたがヨーロッパにいて、数週間前または2010年3月1日以降にVodafoneからHTC Magicを購入していたとして、もし私があなたの立場なら自分のPCとHTCのmicroSDカードを再確認するでしょう。
　p0wn3d って、どう訳すのがいいんだろう。 …… https://twitter.com/lilyfanjp/status/10727790507。なるほど。
》 Zeus Trojan Campaign Warning (US-CERT, 3/17)
》 Security Wars: エピソード 2 - ボット大戦 - 匿名軍団の攻撃 - (日本のセキュリティチーム, 3/19)。bot, bot, bot, bot, ...。イメージとしては、Star Wars のクローン兵よりも、新造人間キャシャーンのアンドロ軍団のような気がする。 (ロボットなのに「アンドロ軍団」なんだよなぁ……)
》民放側が本音の議論　バラエティー番組　ＢＰＯ意見書巡り (asahi.com, 3/16)、シンポジウム：民放連「バラエティー向上委員会」、視聴者と白熱議論 (毎日, 3/19)

　番組制作者が並ぶステージ上が、大いに沸いた瞬間が２度あった。

　２人の視聴者代表が意見を述べたときだ。１人目は「昔に比べ、今のバラエティーは面白くない」と言う若い男性。かつてよく見た番組名を挙げ「下ネタから学ぶものがあった」。ちょうど会場に、ＢＰＯ意見書に盛り込まれた「バラエティーが嫌われる５つの瞬間」が掲示されていた。その筆頭は「下ネタ」。２人目は３０代の女性で「芸人がバスに閉じ込められ、海へ沈められるような番組が面白かった」。いじめを助長しかねないとの配慮から、現在はそうした演出を見ることはまずない。イジメは「５つの瞬間」の２番手。この発言にも拍手や爆笑が起きた。

　ステージ上の反応は、制作者たちの気持ちがにじみ出たものと思えてならない。ＢＰＯが分類した「視聴者意見」とは正反対の感想が会場から出たことに、勇気づけられたのではないか。その根底には「もっと自由に番組を作りたい」という願望が垣間見える。

　朝日と毎日とでは、記事のニュアンスがずいぶん違っていて興味深い。
》環境アセス法改正案を決定　計画段階で複数案を検討 (中日, 3/19)。プラン B は常に用意しましょう。
》 Confickerワームの検知状況（2009年4月~2010年2月） (IBM ISC Tokyo SOC Report, 3/19)。かなり減ってはいるものの、あいかわらずいるみたい。
》北デノミで生活に絶望した自殺相次ぐ　 (中日, 3/19)
》 Explorer.exe does not run after installing Patch 3 for VirusScan Enterprise 8.7i with Standard Protection: Prevent Windows Process spoofing enabled (McAfee, 3/18 更新)。patch 3 に付属する vscan.bof に問題があったようで。新しい vscan.bof を含むモノが VSE87HF557464.zip として KB に添付されている他、標準の DAT 更新として、新しい vscan.bof をあらかじめ配信しておくことで、patch 3 を適用しても、patch 3 に付属する vscan.bof が使用されないようにしたみたい。
》２次元児童ポルノ規制で橋下知事「大阪府も検討」 (産経 MSN, 3/19)。今度は大阪か……やれやれ。
》東京都議会総務委員会 2010.03.19
- 漫画の性描写規制案を継続審議に　東京都議会委決定 (asahi.com, 3/19)。あくまで「継続審議」ですから。
- 漫画などの性表現規制条例、都が継続審議へ (読売, 3/19)
  
  都議会総務委員会で継続審議の方針が全会一致で決まり、
  
  結局自民・公明も継続審議に賛成したのね。
》亀井氏、「報酬開示」強行の構え　経済界には異論 (asahi, 3/19)。経済界に「だけ」は異論、という感じかな。

　金融庁は経済界の予想に反して、報酬額の開示義務づけ案を２月１２日に公表した。取締役や執行役、監査役が、１年間で１人総額１億円以上の報酬を得る場合に開示させる。１億円未満でも、「取締役」など役職ごとに総額を開示。金額の算定方法も明らかにさせる。上場企業を中心に、有価証券報告書を出す約４５００社が対象となる。
(中略)
　大和総研制度調査部の横山淳総括次長は「金額が独り歩きする懸念はあるが、報酬の透明性を高めることは、企業のガバナンス（統治）を重視する流れに沿った対応だ」と肯定的だ。個人情報保護に詳しい堀部政男・一橋大名誉教授も「役員は民間人でも社会的な影響を持っており、一般の会社員とは個人情報保護の観点が違う」と理解を示す。
(中略)
　金融市場関係者は「自民党政権だったら、経団連がこれだけ反対する政策はできなかった。良くも悪くも、強引に政策を進める新政権の姿勢を表している」と話す。
》衆議院外務委員会: 2010.03.19
- 日米密約：衆院委で参考人質疑「文書破棄の可能性」 (毎日, 3/19)
- 日米密約：西山さん「裁かれてしかるべき者裁かれず…」 (毎日, 3/19)。西山太吉・元毎日新聞政治部記者の証言。
  
  服部良一委員（社民）から「ある意味人生をむちゃくちゃにされた。国や外務省に言いたいことはないか」と問われた西山さんは「公平なる裁き、法の下の平等、その原則が完全に破られてしまった。本来、裁かれてしかるべき者が全く裁かれずに今まできている」と心情を吐露した。西山さんは「政府の密約は今まで全く追及されてこなかったが、ようやく三十数年たって検証された。日本の構造や日本全体を覆っているグレードの低さが問題。司法も政府権力もマスコミも。そして主権者の政治意識も全部その中に入ってくる」と訴えた。
- 【核密約】抄録（１）　衆院外務委員会参考人質疑（森田一元自民党衆院議員意見陳述） (産経 MSN, 3/19)
- 【核密約】抄録（２）　衆院外務委員会参考人質疑（西山太吉元毎日新聞記者意見陳述） (産経 MSN, 3/19)
- 【核密約】抄録（３）　衆院外務委員会参考人質疑（斉藤邦彦元外務事務次官意見陳述） (産経 MSN, 3/19)
- 【核密約】抄録（４）　衆院外務委員会参考人質疑（東郷和彦元外務省条約局長意見陳述） (産経 MSN, 3/19)
- 【核密約】抄録（５）　衆院外務委員会参考人質疑（鈴木宗男委員長の総括質疑） (産経 MSN, 3/19)
  
  　――　５８点のリスト中、１６点、二重丸をつけて出したといわれた。重要な二重丸をつけた１６点は出てますか
  
  　東郷氏「私が数えましたところでは、二重丸をつけた文書のうち８点、今回発表されました。残り８点は私は見ておりません」
  
  　――　先ほどの証言の中でも、メディアに昨年８月以降、自分の考えを伝えたといわれた。雑誌では、情報公開法が施行される前に破棄されたという話が耳に入っていたと述べている。その認識は今も変わりないか
  
  　東郷氏「当時、外務省の内情をよく知っていると思われる人から、情報公開法の施行の前に本件に関連する文書も破棄されたという話を聞いたことがありました」
- 【核密約】抄録（６）　衆院外務委員会参考人質疑（斎藤議員） (産経 MSN, 3/19)。西山太吉元毎日新聞記者の証言など。
  
  　ですから、そういう落差が激しすぎるんです。米国の文書管理とそれに対する認識と、日本側の文書の対応と認識は、あまりにも激しすぎる。それを埋めるのは、やはり国会における国政調査権を発動していただかなくちゃ、官僚機構のペースの中では到底その問題は解決されないというのが私の認識です。
- 会議録 (衆議院)。第174回国会: 外務委員会の 3/19 の分はまだありません。
- その通りです、と大きく頷いてみる。 QT @harrier1970 この凄い委員会を中継しないＮＨＫ、密約問題を追求しなかった記者クラブも共犯だった事が分かった　RT @uesugitakashi いよいよ「歴史の破壊者の犯罪が明らかになる、と感動してみる。衆院外務委員会なう (@uesugitakashi, 3/19)
- 密約文書廃棄について。未来の日本人は永遠に自らの歴史を知る術を失った。50年後、100年後の日本人に外交の武器はない。今後、この昭和史については米国の文書を元に歴史を作成しなければならない。これこそ「売国」だ、と産経新聞あたりに向けてつぶやいてみる興奮中の私。さ、テレ朝行こうっと (@uesugitakashi, 3/19)
》「非実在青少年」問題とは何なのか、そしてどこがどのように問題なのか？まとめ (gigazine, 3/19)。さすが gigazine。
》電子書籍の課題や制度を検討、3省合同の懇談会が初会合 (Internet Watch, 3/18)
》「この条例案の真の目的は匿名のネット書き込みによる世論形成を嫌う為政者側の言論統制ではないか」 (ディストピア TOKYO, 3/19)。「インターネット端末利用者営業の規制に関する条例」の件。
》 2010年に最も警戒すべきセキュリティ脅威は「DNSリバインディング」「検知が困難でたちが悪い」と調査会社が注意を呼びかけ (ComputerWorld.jp, 3/17)
》東京都議会総務委員会 2010.03.18
- 総務委員会名簿 (東京都議会)
- 総務委員会の記録 (東京都議会)。無いなあ。
- 「条例で携帯の推奨制度を作るが基準はまだ」と都が回答、都議会審議より (日経 IT Pro, 3/18)
- アニメ、漫画の児童ポルノ規制で都議会が混乱 (産経 MSN, 3/18)。産経的には、シャンシャンではないと「混乱」なんだろうか。
- 都議会：性描写規制の条例改正案で３会派が継続審議で合意 (毎日, 3/18)
　関連: 東京都、「非実在青少年」に関する条例案の解釈など見解を発表 (Internet Watch, 3/18)、東京都青少年健全育成条例改正案について (東京都青少年・治安対策本部, 3/17)
》「都青少年条例・ニコ生」放送後の「一問一答」 (保坂展人のどこどこ日記, 3/17)
》日本ペンクラブ：児童ポルノ規制の都条例改正案に反対声明 (毎日, 3/18)、日本ペンクラブ声明　東京都青少年条例改定による表現規制強化に反対する (日本ペンクラブ, 3/18)
》都・マンガ規制の問題点を読売新聞が身を呈して実証 (PJ ニュース / livedoor ニュース, 3/16)

■読売新聞は権力の犬か
会見では、質疑に入っても記者クラブ加盟社からの挙手はなし。3人つづけて、記者クラブに加盟していないフリーランサーが質問してから、ようやく加盟社のフジテレビが挙手。続いて、同じく加盟社の『読売新聞』記者から、こんな発言が出た。

「18歳未満と判断されるキャラクターのセックスが全部ダメなのかという疑問に対して都側は『みだりに、というなどの限定をしていて、決してそうではない』と説明している。現行の条例で、実際に(漫画家の)先生方が委縮している例があるのか。また、今回の改正案によって、具体的にどのように影響があるのか。先ほど永井(豪)先生が、『ハレンチ学園』も影響するとおっしゃっていましたが、将来の危険は別として、現状の都の見解ですと『ハレンチ学園』は当然、該当しないという判断を示すと思うんですが、その点の改正案の危険性をお聞きしたいと思います」(読売新聞の記者)

「弁護士の立場から言うと、『みだりに』という言葉は、実務上の運用では『必然性がないのに』程度の意味です。東京都の役人が、『この作品にこのシーンに必然性があるや否や』ということを判断すること自体が、そもそもいかがなものか」(山口弁護士)

会見後、ほかの記者が出席者に囲み取材をしていたが、読売の記者は早々に姿を消してしまった。東京都の主張を代弁しただけの読売記者にかんして、我々フリー記者の間で「なんだあれ?」「東京都のサクラか?」「まあ、読売らしいっちゃ読売らしいが」と地味に話題に。

会見後のイベントで、山口弁護士はこう語った。

「先ほどの会見で読売の記者が、永井先生の『ハレンチ学園』は今回の改正でも大丈夫ですよ、と言うんですね(会場、笑)。こういう発言をできてしまうということが、改正案の条文がいかに恣意的に決定できてしまうか、ということでもある。正直、この条文通りだと『ハレンチ学園』も何となく当てはなりそうな気がすると、法律家として自信を持って言えちゃうくらいなんですけど(笑)。その点について永井先生、どう思われますか(会場、爆笑と拍手)」

「40年前に『ハレンチ学園』でボコボコに叩かれて、またこういうことで出てくるとは思わなかった(笑)。当時こういう条例が通っていたら、『ハレンチ学園』は世に出ていなかったろうし、私の運命も大きく変わっていたと思います。『マジンガーZ』でも、『ハレンチ学園』のヒロインは継承されているし、色っぽいシーンは売りになっている。(今回の条例改正案は)それも規制しようと思えばできてしまう。日本のコンテンツは、自由に描けることが基盤になって発展しているのに」(永井豪氏)

読売新聞の記事は、<都青少年・治安対策本部は「すべての性描写が規制されるわけでなく、大人への流通も制限されない」として、漫画家の創作活動には影響しないと反論している。>とする都側の言い分を掲載した。しかし、都の言い分に対する山口弁護士の会見コメントは一文字も紹介していない。
》平和神軍観察界裁判で最高裁がネット書き込みの有罪判決 (低気温のエクスタシーｂｙはなゆー, 3/16)。グロービートジャパン（らあめん花月）・日本平和神軍事件の件。高裁判決 (「検察側の求刑通り30万円の罰金」) が確定。関連:
- ネットの市民言論が危ない！　グロービート裁判の行方（１） (PJニュース / livedoor ニュース, 2009.01.31)。高裁判決 (「検察側の求刑通り30万円の罰金」) が出たときの記事。
  
  　「二審での検察側の求刑は、公共性、公益性、真実性のすべてを否定した上でのもの。しかし東京高裁は、公共性と公益性を認めておきながら量刑については求刑通りとした。極めて重い刑だと言える。一審は、平和神軍側が橋爪氏に対して大々的に反論し、さらには脅迫めいたことまでしていたという事情も検証した上での判決だったが、二審は『（ネット上での名誉毀損被害者が）誰でも反論できるわけではない』という一般論で一審の判断を否定した。それは一般論としては正しいが、この事件の個別事情を無視している。一般的予防効果を狙った判決としか思えない。これでは、一般市民の立場での企業批判などができなくなる。ネット上の表現に壊滅的効果をもたらすのではないかと危惧する」と橋爪被告の弁護人・紀藤正樹弁護士は語った。
- 新聞が報じない平和神軍の真実＝ネットの市民言論が危ない！グロービート裁判の行方（2） (PJニュース / livedoor ニュース, 2009.02.16)
  
  　橋爪被告を有罪とした高裁判決の当日と翌日、新聞各紙はネット上でこのニュースを配信した。その中で読売・産経・日経は「中傷」という表現を用いた。おかしなことに、一審の無罪判決が出たときでさえ、読売・毎日・東京・産経は橋爪氏のサイトを「中傷」呼ばわりしている。
  　おかしなものについてネット上で「おかしい」と書き、しかもそれが公共性をもつ情報だったのに、そのサイトの運営者が民事裁判で損害賠償を命じられ、刑事裁判の二審で有罪判決を受けた。そして主要な新聞の半数以上が、何の説明もなく橋爪被告のサイトを「中傷」呼ばわりしている。これがグロービート裁判である。
　あと、飛び火:
- 匿名性が問われていない事件を元ネタにネットの匿名性を批判するマスメディア雨後の竹の子社説群 (木走日記 / livedoor ニュース, 3/18)。マスメディアには匿名とペンネームの区別がつかないのかな。その一方で、「新聞の匿名性」への批判はたいていスルーだしなあ。
》「かんぽの宿」売却手続き不透明　会計検査院が批判 (中日, 3/17)。「簡易生命保険の加入者福祉施設等の譲渡等に関する会計検査の結果」の件。
- 簡易生命保険の加入者福祉施設等の譲渡等に関する会計検査の結果についての報告書（要旨） (会計検査院, 3/17)
- 会計検査院法第30条の3の規定に基づく報告書「簡易生命保険の加入者福祉施設等の譲渡等に関する会計検査の結果について」 (会計検査院, 3/17)
- 別表 (会計検査院, 3/17)
》汚染地を外した調査で基準検討　カドミウム厚労省審議会 (asahi.com, 3/17)

　有害重金属カドミウムについて、畑作物の安全基準を設けるかどうか検討していた厚生労働省の審議会に、汚染地を除いた調査が、国内の畑作物の実態として報告されていたことがわかった。調査は農林水産省が行った。審議会は、この調査をもとに日本人のカドミウム摂取量を「十分低い」と判断し、基準づくりの先送りを決めた根拠の一つとしていた。
》元秘書として鳩山邦夫氏に苦言を呈す　信念の見えない離党に意味はあるのか？ (週刊・上杉隆, 3/18)

■ Google Chrome - Stable Channel Update
(Google Chrome Releases, 2010.03.17)

　Google Chrome 4.1.249.1036 for Windows 登場。初の $1337 級欠陥を含む、9 件の欠陥が修正されている。 Encouraging More Chromium Security Research (The Chromium Blog, 1/28) によると、 $1337 はこんな対象に贈られるそうで。

Q) What reward might I get?
A) As per Mozilla, our base reward for eligible bugs is $500. If the panel finds a particular bug particularly severe or particularly clever, we envisage rewards of $1337. The panel may also decide a single report actually constitutes multiple bugs. As a consumer of the Chromium open source project, Google will be sponsoring the rewards.

■ 追記

いろいろ (2010.02.23): 　[SA38608] Mozilla Firefox Unspecified Code Execution Vulnerability (secunia, 2010.02.18) の件、 Update on Secunia Advisory SA38608 (Mozilla Security Blog, 2010.03.18) によると、 Mozilla.org で欠陥の存在が確認され、 2010.03.30 (US 時間か?) にリリースされる予定の Firefox 3.6.2 で修正される模様。

■ 2010.03.18

》「実はフィッシングでした」対策協議会が閉鎖サイト跡地に警告文 (Internet Watch, 3/18)。フィッシングサイトがあった場所に設置する「差しかえコンテンツ」。
》 bind のあたらしいのが出ているようで。 BIND 9.6-ESV、 BIND 9.4-ESV-R1、 BIND 9.7.0-P1、 BIND 9.6.2-P1、 BIND 9.5.2-P3。

2852. [bug] Handle broken DNSSEC trust chains better. [RT #15619]

■ 2010.03.17

》日本郵政、非正規の半数１０万人を正社員に (読売, 3/17)
》ホリプロ元契約社員、芸能人ブログに侵入・改ざん容疑 (asahi.com, 3/17)、芸能人ＩＤ流出の元社員、公共無線ＬＡＮ悪用か (読売, 3/17)。「Ameba」オフィシャルブログ、不正アクセス被害 (slashdot.jp, 1/2) の件。

　関連: 当社元契約社員による不祥事について (ホリプロ, 3/17)。3/10 付で懲戒解雇ですか。
》朝鮮学校無償化除外の動きに懸念　国連人種差別撤廃委 (asahi.com, 3/17)
》開港２日目の「茨城空港」で見たものは (JANJAN, 3/16)

　ロビー前のＮＨＫテレビが「ウェルかめ」になってやっと（着陸したのは１２時１０分！）３人ほどの利用客が降りはじめたが、いくら入国審査に時間がかかるといっても大半はツアー客だし、日本の空港ではとても考えられないことではないか。翌日フジテレビの「めざましどようびメガ」を見たら、その３人のうちの一人がインタビューで「こんな国際空港最悪だ！もう２度と来ない！」とコメントしていたのはもっともだと思った。
　そしてツアー客すべてがロビーにそろったのは着陸してから２時間３０分後。

　これはすさまじい……。うん国際空港。
》【催し案内】「イラク戦争なんだったの！？」　開戦から７年　検証シンポジウム (JANJAN, 3/17)。2010.03.21、東京都千代田、たぶん無料。
》金銭着服事件発表の東急コミュニティーでは文書流出も (JANJAN, 3/17)
》映画『ポチの告白』＋「高知白バイ事件」　上映会と講演、高知で (JANJAN, 3/17)

　『ポチの告白』は、３時間１５分の長い社会派映画だったが、実直だった警官とその家庭が、警察組織の腐敗に巻き込まれていく物語である。発端から５年後に悲劇的に崩れていく主人公の様に、はらはらさせられた。かわいそうで、退屈している暇はなかった。いわゆる有名人は出ていないが、それ故に、いかにもそれらしい人がピタリとはまっていて、エンターテインメントとしてもなかなかの出来映えだと思った。
　
　監督も仙波さんも「現実の日本の警察はこんな甘いもんじゃないですよ」と話していたが、この映画以上とすると、常識人には考えられないような腐敗の進行である。マスコミの腐敗、司法の腐敗も、警察の腐敗と一体のものとして随所に描かれていて、心底うんざりさせられた。こんなことなら、「高知白バイ事件」が起こるのは当たり前だろう、と思った。片岡さんの白バイ事故は、この映画が作られたのと同じ２００６年に起こっていたのだ。
》韓国で２０００万件分の個人情報が漏洩！国民の２人に１人の割合 (韓フルタイム / livedoor ニュース, 3/12)
》会誌「情報処理」 Vol.51 No.3 目次 (情報処理学会電子図書館オンデマンドサービス)。特集は「マルウェア」。
》中国政府、Googleに対し「我々に従わないのなら消えろ」と警告 (slashdot.jp, 3/16)。なぁんだ、東京都と同じじゃん。
》ポルノは人間にとって悪いものではない (slashdot.jp, 3/16)

■ Virtual PC Hypervisor Memory Protection Vulnerability
(Core Security, 2010.03.16)

　Virtual PC、Virtual PC 2007 gold / SP1、Virtual Server 2005 gold / R2 SP1 に欠陥。ハイパーバイザーのメモリー管理に欠陥があり、物理ハードウェア上では攻略できないような欠陥が、仮想マシン上では攻略できてしまう。 DEP、SafeSEH、ASLR といった Windows のセキュリティ機構も飛び越えられる模様。 Windows 7 の XP Mode もこの欠陥の影響を受ける。 Hyper-V にはこの欠陥はない。

　patch はまだない。Core Security は 2009.08 に Microsoft に通知済だが、まだ直ってない。

■ 2010.03.16

》大阪市地下鉄、衝突寸前で急停止　ＡＴＣ故障・指示忘れ (asahi.com, 3/16)。これ、「いざという時には、普段やっていることしかできない」の典型事例なのでは。運転指令員は「ATC 故障時対応訓練」をどのくらいやっているのだろう。

　関連: 資料４：緊急時における情報提供のあり方について (食品安全委員会　第１５回緊急時対応専門調査会, 2005.10.27)。「いざという時には、普段やっていることしかできないW = ドライブ理論の件。プレゼン資料の説明は、議事録で読める。p.30 から。
》キヤノン、gTLD「.canon」取得を目指すと表明 (Internet Watch, 3/16)
》国境なき記者団が「ネットの敵」発表　中国など12カ国 (ITmedia, 3/15)。ミャンマー、中国、キューバ、エジプト、イラン、北朝鮮、サウジアラビア、シリア、チュニジア、トルクメニスタン、ウズベキスタン、ベトナム。
》 AppleとGoogleの戦いは「第3次世界大戦」――関係者語る (ITmedia, 3/16)。1 回目と 2 回目は何だったことになっているんだろう。
》オーストラリアでマジコンを初の押収 (Yahoo! JAPAN, 3/15)、 Australian Authorities Confiscate Illegal Game Copiers and Counterfeit Nintendo Products (nintendo.com.au, 3/11)
》 U.S. Intelligence planned to destroy WikiLeaks (WikiLeaks, 3/18)
》東京消防庁：地下鉄でテロ対策訓練　サリン事件から１５年 (毎日, 3/16)。なんつーか……。シャンシャンテロ対策、にしか見えないんだが。違うシナリオは思いつかないの?
》「東京都青少年の健全な育成に関する条例」、「改正」案
- 「表現規制の闇」の扉の前に立ちはだかる人々 (保坂展人のどこどこ日記, 3/16)
- 「文化が滅びる」――都条例「非実在青少年」にちばてつやさん、永井豪さんら危機感 (ITmedia, 3/15)
- ネット事業者らが一斉反対--東京都「青少年健全育成条例」改正は何をもたらすか (CNET, 3/16)
- ちばてつやさんらが反対アピール　都の児童性描写規制案に (47news.jp, 3/15)
- 都の青少年健全育成条例改正、グーグルやMS、楽天なども反対意見 (Internet Watch, 3/15)
  - 「東京都青少年の健全な育成に関する条例」改正に関する意見 (ネットビジネスイノベーション研究コンソーシアム, 3/15)
  - 東京都青少年健全育成条例改正案に対する当社見解 (楽天, 3/15)
- 都青少年健全育成条例：改正案、都議会で審議　「フィルタリング」に重点　／東京 (毎日, 3/15)。毎日的には何の問題もない改正案らしい。
》国会ロビイスト関義友との北海道交流会日程 (関組長の東京・永田町ロビー活動日記【ブログ版】, 3/15)。2010.03.25・北海道札幌市 / 2010.03.27・北海道旭川市、カンパ。
》司法制度改革審議会元会員が合格者３０００人維持という的外れの議論を…こんな人にさせたのが間違いだった (情報流通促進計画 by ヤメ記者弁護士（ヤメ蚊）, 3/16)

　問題は、弁護士の増員ではなく、裁判官、検察官の増員であり、弁護士会費の値下げではなく、リーガルエイドの充実だろう。
(中略)
　それなしに、ただ、弁護士を増やせと言ってきたのが、これまでの司法制度改革だし、今回の提言も、その域をまったく超えていない。
　考えて欲しい。あなたが、昼間依頼した弁護士と夜居酒屋で出くわすシーンを。
　もちろん、あなたがお客で、弁護士がアルバイト店員だ。
　そういう弁護士に依頼したいと考えますか？
　いままさに、そういう状況が始まっている。
》「共通番号制」賛否割れる　朝日新聞世論調査 (asahi.com, 3/16)
》３０年経過の外交文書を自動公開　外務省、規則に明記へ (asahi.com, 3/16)
》築地市場：豊洲移転暗礁に　都議会民主が用地削減案提出へ (毎日, 3/16)
》シー・シェパード船籍剥奪、オランダが「困難」 (読売, 3/16)。スティーブ・アーウィン号の件。
》「運転者の説明に矛盾」　プリウス急加速問題でトヨタ会見 (CNN, 3/16)

トヨタ幹部によれば、車載コンピュータのデータからは、男性がこの出来事の間、ブレーキとアクセルペダルを交互に少なくとも２５０回踏んでいたとみられることが判明したといい、「この出来事に関する男性の証言は、さらによく調べる必要があることが分かった」と結論付けている。

　いまどきのクルマはデジタル・フォレンジック可能なんですね。
》「はやぶさ」の帰還とカプセルの再突入・回収にむけて (JAXA ISAS, 3/9)

この帰還と再突入のイベントが、やり直しのきかない1回かぎりの運用だという点は、あまり認識いただいていないかと思います。ロケットの打ち上げも、また軌道上での通常の衛星の運用も、不具合が起きれば翌日に延期して対処が可能です。しかし、この再突入の運用には待ったがありません。どこか途中で運用できない状態が起きれば、その原因が、搭載系であればもちろん、かりに地上系にあったとしても、再試行ができないか、あるいは再試行が間に合わないことになって、失敗してしまいます。スペースシャトルの再突入では、地上系に問題があれば、また着陸点の天候が悪ければ延期すればよいわけですが、この「はやぶさ」の再突入には延期はないのです。ですから、地味ではありますが、この「はやぶさ」の帰還・再突入は、大変に厳しい運用で、とりわけ傷を負った「はやぶさ」にとっては、かなりの難関になります。
》『クシエルの矢(1～3)』（ジャクリーン・ケアリー[著]／和爾桃子[訳]、早川書房） (みやきち日記, 3/15)。ローカス賞取ってるのは伊達じゃないらしい。
》「偽ウイルス対策ソフト」流行に注意～改ざんサイト経由での被害が多数 (so-net セキュリティ通信, 3/15)、オンライン・サポート・サービス付きの偽ウイルス対策ソフト (日経 IT Pro, 3/16)、偽ウイルス対策ソフトのビジネス、50社で3億ドル超の規模に (ITmedia, 3/16)
》ウイルスバスター2010　ビルド1647 のおもな修正内容 (トレンドマイクロ, 3/15)。bug fix リリースのようですね。

■ 追記

Apache HTTP Server (httpd) 2.2.15 Released: 　関連: Apache HTTP Server Vulnerability Advisory for Adobe Flash Media Server Customers (Adobe PSIRT blog, 2010.03.15)。Adobe Flash Media Server 3.5.x (Windows 版のみ) には Apache 2.2.9 が同梱されているので、mod_isapi.so をコメントアウトして対処してね話。
Microsoft 2010 年 3 月のセキュリティ情報: 　Windows XP にはムービーメーカー 2.6 をインストールできないので記述を修正。Maeda さん情報ありがとうございます。
[Full-disclosure] Spamassassin Milter Plugin Remote Root: 　来ているようです: Spamassassin Milter Plugin Remote Root Attack (SANS ISC, 2010.03.15)

■ 2010.03.15

》日本の携帯電話はいつになったらアドレスバーを付けてくれるの？ (高木浩光＠自宅の日記, 3/14)
》 JPNICによる、IDN ccTLD「.日本」に関するご意見募集について (JPNIC, 3/11)。締切: 2010.03.24 12:00。
》欠陥ソフトウェアの経済学その高すぎる代償 (オーム社)。 Geekonomics の邦訳版。まもなく発売のようです (amazon によると 3/17 だそうで)。森田さん情報ありがとうございます。
》シー・シェパード船、オランダに船籍登録申請 (読売, 3/15)。ボブ・バーカー号の件。

バーカー号は、日本政府の要請に基づいてアフリカ・トーゴが２月に船籍を剥奪(はくだつ)して無国籍となってから、豪南部ホバートに停泊して外洋での活動を自粛している。(中略) 日本政府は世界１９０か国の政府に、シー・シェパードからの新たな船籍申請に応じないよう外交ルートで要請している。オランダ政府に対しては、１５日にも改めて申請を容認しないよう申し入れる方針だ。

　関連: 外務大臣会見記録（平成22年2月19日（金曜日）15時00分~　於：本省会見室）: 調査捕鯨（シー・シェパードによる妨害行為等） (外務省, 2/19)

【NHK　禰津記者】先程、トーゴ政府に対して日本が申し入れを行った結果、トーゴ政府が船籍をはく奪したとのことですが、それについてもう少し詳しくお伺いしたいのと、トーゴ政府は今回そういった措置をとったことに対する評価というものをお伺いできますでしょうか。

【大臣】我が国政府としては、「旗国として然るべき措置を取るように」要請をしたところであります。そのことも一つも理由だったというか、そのことがきっかけになったと思いますが、トーゴ政府としては、ボブ・パーカー号の船籍をはく奪するということを決定されたと聞いております。我が国としてその要請に対して結果を出していただいたことに対しては、感謝申し上げたいと思います。もう一隻のスティーブ・アーウィン号についてはオランダ籍でありますが、船籍はく奪について今、法改正を審議中であると聞いています。

【読売新聞　川崎記者】日本政府がトーゴ政府に要請していた内容は「旗国として然るべき措置」と今仰いましたが、その然るべき措置とは今回の船籍はく奪、これを明確に挙げてそれを要請していたという意味なのでしょうか。

【大臣】具体的に外交の内容まで立ち入ってお話しするつもりはありませんが、我々としては、然るべき措置を取るように要請したということであります。
》仮想化されたネットワークの運用は難しい──JANOG25で感じたクラウドの“実際” (日経 IT Pro, 3/3)
》「ガンブラー」
- 進化し続けるGumblarとは (日経 IT Pro, 3/9)
- 「ボット埋め込みや偽ソフト感染も」――ガ%s%V%i!<$N??$N6<0R!! 「パスワードを盗まれるだけではすまない」、シマンテックが解説 (日経 IT Pro, 3/10)
- ガンブラー攻撃に遭うことを前提にした対策を (日経 IT Pro, 3/10)
- いつまでもガンブラーと思うなよ - いわゆる「セキュリティ対策」と「ガンブラー対策」の温度差について考える (enterprisezine, 2/26)
- ガンブラー攻撃、ピークは過ぎたがまだまだ警戒は必要 - ラック・新井氏 (マイコミジャーナル, 3/15)
- 止まらないGumblarへの対策を考える　またもや国内で相次いだWeb改ざん (日経 IT Pro, 3/15)
》 2009年のインターネット犯罪総被害額は前年の倍以上　 FBI副局長の名をかたって金銭をだまし取ろうとするケースも (ComputerWorld.jp, 3/15)
》 “ダダ漏れ”と呼ばれるネット中継ケツダンポトフそらの氏（前編） (日経ビジネス, 3/9)。関連: このへん
》「参議院選挙比例」と「衆議院比例」の制度の違いとは (保坂展人のどこどこ日記, 3/15)。保坂氏、参議院比例区候補へ。
》対爆スーツの性能とは：映画『ハート・ロッカー』陰の主役 (WIRED VISION, 3/15)
》 Google と中国
- グーグル、中国撤退濃厚か　英紙報道、歩み寄りなく (中日, 3/13)
- Google to shut China search engine (Financial Times, 3/13)
　「バルス!」あるいは「ポチッとな」直前なんですかね。関連:
- グーグル、「Google.cn」閉鎖後も中国に留まるオプションを検討中か--WSJ報道 (CNET, 3/15)
- MSとモトローラ、「Android」端末への「Bing」搭載で提携--中国で提供開始へ (CNET, 3/15)
》なぜ情報セキュリティ対策は普及しないのか? - 求められるのは"人間2.0"!? (マイコミジャーナル, 3/15)。後付けだからでしょ。
》スズメの大量死、原因はやはりサルモネラ菌 (JANJAN, 3/15)

　今年発見されたスズメの死骸４羽からサルモネラ菌が発見された。多くの要因の中の一つとして、家庭の庭やベランダに設置している、餌台の不衛生によるものが考えられるようだ。
　旭山動物園の福井獣医師によると、餌台は毎日糞などを取り除き、市販されている消毒用アルコールなどで、しっかり消毒してほしいとのこと。
》ＣＯＰ１０に関わる「遺伝子ビジネス」の理不尽な話 (JANJAN, 3/15)。GM ナタネ話。日本でも、野生の GM ナタネが増えてたいへんらしい。

　もっと問題なのは、日本に自生しているナタネの仲間と交雑してしまうことです。
　川原などに生えている外来種のカラシナだけでなく、ブロッコリーやカブ、コマツナ、チンゲンサイ、ミズナなどもナタネの親戚ですから交雑できます。
　これらは花の咲く時期も近く、交雑は起こります。
　ブロッコリー、カラシナなどとの交雑種が既に見つかっています。
　普通は違う種同士の交雑はめったに起きないのですが、ナタネ科の植物は交雑しやすいのです。
(中略)
　このＧＭナタネはカナダやアメリカで栽培されているものですが、カナダなどでは、もともと何代も自家採種をしていた農家のナタネ畑に、花粉が飛んできたのでしょうか、ＧＭナタネの遺伝子が混じっているということで、ＧＭナタネの企業から「特許権の侵害」ということで訴えられて、裁判沙汰になった事例も発生しています。
》 Trend Micro Deep Security 7 サポート開始のお知らせ (トレンドマイクロ, 3/15)。なんだかいろいろ出ますねえ。
》フィッシング対策協議会、詐欺サイトURLを見抜く学習ゲーム (Internet Watch, 3/15)。たのしいさかなつりゲーム「フィッシングフィル」。
》神様の奇妙な愛情 (asahi.com, 3/15)。「手塚治虫　エロス１０００ページ」だそうです。
》都が「青少年ケータイ」推奨・フィルタリング強化　青少年育成条例改正案 (ITmedia, 3/12)

■ 追記

Microsoft 2010 年 3 月のセキュリティ情報

　Windowsの画面が中国語に――3月のMSパッチで一部に不具合 (ITmedia, 2010.03.15)。英語版 Windows + Excel 2002 / 2003 の場合に MS10-017 patch をあてると、コントロールパネルの「ソフトウェアの追加と削除」や「プログラムと機能」が、なぜか中国語表示になってしまうことがあるそうで。この現象が発生した場合は、一旦 patch をアンインストールし、次の KB にあるリンクから patch をダウンロードして直接適用すればよいそうだ。

MS10-017: Description of the security update for Excel 2002: March 9, 2010 (Microsoft KB 978471)
MS10-017: Description of the security update for Excel 2003: March 9, 2010 (Microsoft KB 978474)

■ 2010.03.14

》【特集】「性」は虹色　ゲイ・リブに欠かせないストレート（異性愛者）の支援 (JANJAN, 3/4)
》 2011年度より、台湾で同性愛が教育要綱に (みやきち日記, 3/12)
》 docomo ID 方面
- docomo IDスタートでiモードIDの利用範囲が広がる (水無月ばけらのえび日記, 3/14)
- docomo IDを作ると生でパスワードを保管されてしまう (高木浩光＠自宅の日記, 3/14)
》高校無償化法案と朝鮮学校
- 高校無償化法案の対象学校に関する会長声明 (日弁連, 3/5)
- 朝鮮学校を高校無償化制度から不当に排除することに反対する会長声明 (東京弁護士会, 3/11)
- 全ての外国人学校を「高校無償化」制度の対象とすることを求める会長声明 (第二東京弁護士会, 3/4)
- 平等な高校無償化制度の実施を求める会長声明 (大阪弁護士会, 3/10)
- 朝鮮学校除外問題、外国人参政権問題にみる近視眼的考え方の跋扈…日本市民は脳なしになったのか (情報流通促進計画 by ヤメ記者弁護士（ヤメ蚊）, 3/14)
  
  　話は少し変わるが、産経新聞は、朝鮮半島から強制徴用され、そのまま日本にとどまった人の数が実は少ないという報道をした。強制徴用された人は帰国し、それ以外の形で日本に来た人が自発的にとどまった人の方が圧倒的に多いのだという。
  　そのようなデータにいったい、何の意味があるのだろうか？
  　戦後、朝鮮半島は、内戦に陥り、北では非人道的な独裁体制国家が出現し、南では人権を無視した軍事政権が長く続いた。産経新聞の報道に賛同する人は、朝鮮半島出身者はそのような人権侵害国家に帰るべきだったというのだろうか。
  　そもそも、日本による韓国併合がなければ、朝鮮半島において、このような悲惨な事態は出現しなかった。また、強制徴用労働者以外の形で、日本に来ることもなかったはずだ。
  　ある意味、戦後日本にとどまることを決意した朝鮮半島出身者は、難民であり、その難民を作り出した責任は日本にあるといえる。そのような背景を考えれば、「自発的にどどまっただけだ」という議論の浅薄さが明らかになる。

■ Microsoft 2010 年 3 月のセキュリティ情報
(Microsoft, 2010.03.10)

　今回は 2 件。

MS10-016 - 重要: Windows ムービーメーカーの脆弱性により、リモートでコードが実行される (975561)

　Windows ムービーメーカー 2.1 / 2.6 / 6.0、Microsoft Producer 2003 に欠陥。 buffer overflow する欠陥があり、攻略 MSWMM / MSProducer / MSProducerZ / MSProducerBF ファイルによって任意のコードを実行できる。 CVE-2010-0265。 Exploitability Index: 1

　なお、Windows Live ムービーメーカーにはこの欠陥はない。

　Windows XP にはムービーメーカー 2.1、Windows Vista にはムービーメーカー 6.0 が同梱されている。Windows ~~XP /~~ Vista / 7 にはムービーメーカー 2.6 をインストールできる。

　ムービーメーカー 2.1 / 2.6 / 6.0 については修正プログラムが用意されているが、 Microsoft Producer 2003 の修正プログラムはまだない。 Producer 2003 というのは PowerPoint 2002 / 2003 向けのアドインなのだそうで、 Microsoft は Producer 2003 のアンインストールを推奨している。それができない場合は、 KB 975561 に掲載されている Microsoft Fix it を実行し、 MSProducer / MSProducerZ / MSProducerBF ファイルへの関連づけを解除するしてお茶を濁しておこう。

MS10-017 - 重要: Microsoft Office Excel の脆弱性により、リモートでコードが実行される (980150)

　Excel 2002 / 2003 / 2007、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac、Excel Viewer、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック、SharePoint Server 2007 に欠陥。

Microsoft Office Excel のレコードメモリ破損の脆弱性 - CVE-2010-0257

　Excel 2002 に欠陥、攻略 Excel ファイルによって任意のコードを実行される。Exploitability Index: 1
Microsoft Office Excel シートのオブジェクト型の混乱の脆弱性 - CVE-2010-0258

　Excel 2002 / 2003 / 2007、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac、Excel Viewer、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パックに欠陥。攻略 Excel ファイルによって任意のコードを実行される。 Exploitability Index: 2
Microsoft Office Excel の MDXTUPLE レコードのヒープオーバーフローの脆弱性 - CVE-2010-0260

　Excel 2007、Excel Viewer、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パックに欠陥。攻略 Excel ファイルによって任意のコードを実行される。 Exploitability Index: 1
Microsoft Office Excel の MDXSET レコードのヒープオーバーフローの脆弱性 - CVE-2010-0261

　Excel 2007、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パックに欠陥。攻略 Excel ファイルによって任意のコードを実行される。 Exploitability Index: 1
Microsoft Office Excel の FNGROUPNAME レコードの初期化されていないメモリの脆弱性 - CVE-2010-0262

　Excel 2003 / 2007、Office 2004 for Mac に欠陥。攻略 Excel ファイルによって任意のコードを実行される。 Exploitability Index: 2
Microsoft Office Excel の XLSX ファイル解析のコード実行の脆弱性 - CVE-2010-0263

　Excel 2007、Office 2008 for Mac、Open XML File Format Converter for Mac、Excel Viewer、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック、SharePoint Server 2007 に欠陥。攻略 Excel ファイルによって任意のコードを実行される。 Exploitability Index: 1
Microsoft Office Excel の DbOrParamQry レコード解析の脆弱性 - CVE-2010-0264

　Excel 2002、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac に欠陥。攻略 Excel ファイルによって任意のコードを実行される。 Exploitability Index: 1

2010.03.15 追記:

MS10-017: Description of the security update for Excel 2002: March 9, 2010 (Microsoft KB 978471)
MS10-017: Description of the security update for Excel 2003: March 9, 2010 (Microsoft KB 978474)

2010.03.16 追記:

　Windows XP にはムービーメーカー 2.6 をインストールできないので記述を修正。Maeda さん情報ありがとうございます。

■ 追記

いろいろ (2010.03.08)

　 Locate and Exploit the Energizer Trojan (metasploit blog, 2010.03.08)

マイクロソフトセキュリティアドバイザリ (981374) Internet Explorer の脆弱性により、リモートでコードが実行される

　英語版アドバイザリ、Microsoft Security Advisory (981374) Vulnerability in Internet Explorer Could Allow Remote Code Execution (Microsoft) が 2010.03.12 付で更新されて version 1.2 になっている。

「iepeers.dll のピアファクトリクラスを無効にする」方法が Microsoft Fix it になった。KB 981374 には「iepeers.dll のピアファクトリクラスを無効にする」Fix it 50386 と「DEP を有効にする」Fix it 50285 の 2 つが掲載されている。

なお、01:15 AM 現在、日本語版の KB 981374 には「DEP を有効にする」Fix it しかないので注意。

■ 2010.03.13

》チェチェン民族学序説－その倫理、規範、文化、宗教=ウェズデンゲル (高文研)

本書の原書「ウェズデンゲル」は、チェチェン人の行動規範を著したチェチェン語の高校教科書。著者自ら一般向けにグレードアップしたロシア語訳を、世界に先駆けて日本語に翻訳したものである。
》「東京都青少年の健全な育成に関する条例」、「改正」案
- 東京都条例で「非実在青少年・創作物規制」の動きが加速 (保坂展人のどこどこ日記, 3/12)。「自民・公明両党の推薦」の参考人、「首都大学東京の前田雅英教授」による、「事実を歪めて言ってもいないことを捏造」の証拠。
- 都青少年条例で16日夜、ニコニコ生放送に出演決定 (保坂展人のどこどこ日記, 3/12)
- 【３月１５日】【告知】東京都による青少年健全育成条例改正案と『非実在青少年』規制を考える。【記者会見とイベント】 (弁護士山口貴士大いに語る, 3/12)
- 東京都青少年健全育成条例に反対、民間団体と有識者が意見表明 (Internet Watch, 3/12)
- SNSは再び一律フィルタリング？　東京都の動きに事業者懸念 (Internet Watch, 3/12)
》密約報道の２日後、密約の当事者大平元首相を「良質の保守」と評価した朝日新聞は「良質のマスメディア」？ (情報流通促進計画 by ヤメ記者弁護士（ヤメ蚊）, 3/13)。ずいぶん前から朝日ってこういう調子だと思うのですが (だから私は講読するのをやめました)。ジャーナリスト宣言の耐えられない軽さ。
》「日勤教育」ＪＲ西への損賠支払い命令確定 (読売, 3/13)
》ネットカフェ規制に反対デモ　プライバシー侵害と東京・新宿で (中日, 3/13)。東京都「インターネット端末利用営業の規制に関する条例」案話。
- インターネットカフェ等rMxMQ$7$?HH:aEy$NKI;_BP:v$N:_$jJ}$K4X$9$kJs9p=q (警視庁インターネットカフェ等を利用した犯罪等の防止対策の在り方に関する有識者懇談会, 2009.11)
- けいさつのネットカフェ犯罪資料はとってもおもろいぞ。 (ディストピア TOKYO, 2/18)
  
  　警視庁の生活安全総務部が出した2009年10月16日の「インターネットカフェ等の現状と有識者懇談会の開催について」では刑法犯の発生状況（2009年１月?８月）として６７９件（窃盗５７９件、詐欺６７件、強盗７件、強制わいせつ６件、強姦２件）、窃盗が８５％、詐欺が１０％。この２罪種で全体の９５％を占めると書いてあり、ネットカフェでの犯罪を減らしたいなら、まず重点的に窃盗対策をとりゃいいわけじゃん。
  　そのためにカギのかかる個室とか、ちゃんとしたコインロッカーと作れといった対策を取らせようっていうならとにかく、本人確認の義務だって。バカじゃねーか。記帳させてる旅館やホテルで盗難がないとでもいうんか。
- 利用客の本人確認義務化＝ネットカフェ条例案提出へ－全国初、罰則も規定・警視庁 (時事, 2/17)
  
  運転免許証などによる利用客の本人確認や利用記録の作成、保存を義務付ける (中略) 記録するのは、どのパソコンを利用したかなどで、保存期間は３年間。
  
  3 年! 不正アクセス禁止法が「3 か月」であれだけモメて最終的には消えたのに、3 年ですか?!
- 賛同を!!! インターネットカフェ（漫画喫茶）規制に反対する共同声明 (ディストピア TOKYO, 2/17)
  
  ２．「ネットカフェは犯罪の温床」とする警視庁・有識者会議の意見は作為的である。
  　
  　「今回の条例はネットカフェでのハイテク犯罪防止が目的」とされるが、ネットカフェでのハイテク犯罪の件数は明らかにされていない。
  　警視庁のデータによれば、都内のネットカフェでの犯罪認知件数は半年に１件程度なのに、他の24時間営業の業種との比較データもなく、条例制定の根拠に乏しい。
  　「犯罪」というなら最も多いはずの「置き引き」等に対してはロッカーの整備などで対応できるはず。
  
  確かに、報告書には定量的な資料がないんだよね。
- ユーザー猛反発　ネットカフェ“市橋規制条例” (ディストピア TOKYO, 2/19)
  
  　んん？　市橋容疑者が利用したのは、「会員制」の「身分証が必要」なネットカフェ、ってことですね？
  　つまり、「本人確認」は、確信犯には通用しない、ってことですよね？
- 都合の悪いことは隠蔽するけいさつにネットカフェ規制をする資格はない！ (ディストピア TOKYO, 3/5)
  
  　2月22日の都議会・警察消防委員会で「インターネット端利用営業の規制に関する条例」の案文が配られた。これからネットカフェ規制について本格的な論議になるぞ、その前に警察の主張を確かめようと思って警視庁のHPを見たら、ネットカフェ規制関係のものがごっそりない。
  　「インターネット端末利用営業の規制に関する条例」案を策定するにあたって、市民の意見を集めるために告知した「インターネットカフェ等の対策に関する意見募集について」の文章がない。意見募集によって集められた市民の意見を表にした「意見募集の実施結果」もない。
  　警視庁ではなくて東京都のHPにあるのではと思って、確認をしたがこちらにもない。どうやらネット上の証拠隠滅を図ったようだ。
- 入手！『インターネット端末利用営業の規制に関する条例（案）』 (ディストピア TOKYO, 3/5)
》トヨタ急加速「米ＡＢＣが映像操作」　停止中の車で撮影 (中日, 3/13)。ウソかよ。
》 NTTレゾナントからdocomo IDについて回答「ドコレキでは、iモードIDの取得はしていないし、今後も取得する予定はない」 (高木浩光＠自宅の日記, 3/13)

OpenIDを使うのはよいのだが、しかし、独自機能によって、ログインした利用者（PCで通常のインターネット経由でログインした）について、その人の携帯電話のiモードID（契約者固有ID）を取得できる（個別の本人同意確認なしに）ようになっているのだという。

　関連: PCサイトからiモードサイトへの導線を短くしたい――docomo IDの狙い (ITmedia, 3/11)

　docomo IDには、大きく3つの特長がある。
(中略)
　2つめはPC向けサイトとiモード公式サイトとの連携が容易になること。docomo IDを利用すれば、ユーザーのiモードID（携帯電話番号とは異なるランダムな英数字）や、ユーザーがMy docomoに登録している携帯電話のUser-Agent情報（機種情報）が取得でき、PCサイトとiモードサイトのユーザー情報が簡単にひもづけられる。そのため連携サービスの提供も容易になる。
　3つめはケータイサイトのURLなどを、PCから簡単に送信できるようになること。docomo IDでログインしていれば、そのサイトから自分のiモードケータイにメールを送る場合に、メールアドレスを入力する必要がない。メールの送信はドコモのサーバを経由して行うので、サービスプロバイダはユーザーのメールアドレスを取得しなくてもメールが送れる。
》 NSFOCUSセミナーのUStream中継が決まりました(B (ockeghem(徳丸浩)の日記, 3/12)
》 APNICに新規に割り当てられた 1.0.0.0/8 と 27.0.0.0/8 3 (cNotes, 3/13)。アナウンス開始だそうで。
》リンクアグリゲーションがバグってる？ (ftp-adminの憂鬱, 3/13)

昨日はひどい一日でした。日本時間の早朝に、Mozilla.orgがFirefoxの3.0.xと3.5.xに3.6へのアップグレードをうながすダイアログを表示する指令を出したのですが、この件に関する事前の連絡が一切なかったのです。 (中略) 今回のアクセスは定例のアップデート以上でした。このことを伝えたら、「アップグレードが進んでうれしいよ」みたいな返事が返ってきて切れそうになりました。

　これはひどい。mozilla.org のノーテンキさは何。
》 DNSの安全性を疑問視するICANN CEOの発言が批判を呼ぶ　「各国政府の大きな不安を呼び起こしかねない」と支持組織 (ComputerWorld.jp, 3/12)。今現在において「大きな不安」を抱いていない方が問題でしょ。
》 FreeNASをセキュアにセットアップする方法，AsiaBSDCon2010開催中 - メインは明日からの2日間 (FreeBSD Daily Topics, 3/12)
》 Upgrading to SQL Server 2005 fails if .Net framework 3.5 SP1 or later is installed (Microsoft KB 2020426)。回避方法あり。

■ 2010.03.12

》イラク戦争への関与検証＝小泉政権の対応問題視－外相 (時事, 3/10)。今度はイラクだ!
》 Stop error message when you access shared files in Windows Server 2008 or in Windows Vista: 0x00000044 or 0x000000CC (Microsoft KB 977694)。hotfix あるそうです。
》 "A network error occurred. File cannot be played. Server is unavailable." error message when a domain user tries to access the publishing points of Windows Media Service 9 series which is installed on a Windows Server 2003 SP2-based computer (Microsoft KB 979280)。hotfix あるそうです。
》 Active Directory Rights Managementサービスを利用した情報漏えい対策 (日本のセキュリティチーム, 3/12)
》 Got Zbot? (Microsoft Malware Protection Center, 3/11)。いろいろ。
》「Bing」の2月米国検索シェアが微増--コムスコア調査 (CNET, 3/12)
》 Inside the mind of a Russian hacker (BBC, 3/11)
》 Password cracker 100 times faster with an SSD (h-online.com, 3/10)。rainbow table ねた。
》「サイバー攻撃に無防備、１９３自治体」だそうです。。。 (まるちゃんの情報セキュリティ気まぐれ日記, 3/12)

「安全性に問題がある」と指摘された自治体の２８％にあたる５４団体は、調査後に実施した自治体へのアンケートでも、「予算がない」「たいしたことではない」などの理由で、今後も対策をとらないと回答していた。
》 Allapleウイルスの作者に判決 (エフセキュアブログ, 3/11)。実刑、2 年 7 か月。 polymorphic encryption は、多型性暗号化じゃなくて、多形性暗号化。ネットワーク共有を介して、あるいはローカル HTML ファイルを改変することで拡散する。
》ネット上で健康食品の虚偽・誇大表示～消費者庁が320業者に指導 (so-net セキュリティ通信, 3/11)
》 Microsoft Windows 7 in Windows XP Mode and licensing (マカフィー, 3/4)。XP モードでは追加のライセンス不要。
》 VSE 8.7i patch 3 が出てますね。日本のダウンロードサイトにはまだないっぽいので、US のダウンロードサイトから入手しましょう。

　……うわ、こんな KB が: Explorer.exe fails to load after installing Patch 3 for VirusScan Enterprise 8.7i (McAfee KB68448)。出しなおし版 patch3 が出たりするかなあ。学内向けにアナウンスするのは、もうちょっと様子を見てからにしようかな。
》 FFR Blog がオープンしています。鵜飼さん情報ありがとうございます。奥天さん発見。

　FFRのやわらカテゴリー (FFR Blog, 3/12)。超がつく「セキュリティのプロ集団」だからなあ。
》ストリートビュー：県内ぐるっと　グーグルが公開始める　／滋賀 (毎日, 3/12)。龍大の周辺をうろついてみたが、何か月も前の画像のような気がするなあ。と思って記事を読み直すと、

今回の公開画像は約２年前に撮影したもので、琵琶湖を一周する湖周道路や大津、草津両市の市街地の様子が公開されている。

　えっ 2 年前?! フォレオ大津一里山がグランドオープンしたのは 2008.11.21 だから、それ以後であることは間違いないぜ? Google 的には、1 年 4 か月前でも「約２年前」って言うのかなあ。隣の住宅地の工事ぐあいと、瀬田駅前の龍大のバス停の工事ぐあいからすると、 2009 年初頭くらいなんじゃないかなあ。
》日本経済新聞電子版の価格設定から透けて見える日経のホンネ (A Successful Failure, 2/24)。私の選択は「その値段なら買わない」なので、どうでもいいのですが。
》「東京都青少年の健全な育成に関する条例」、「改正」案
- 東京都青少年の健全な育成に関する条例（一部改正） (東京都, 2/20)
  
  児童ポルノの根絶等に係る責務を規定するほか、青少年をみだりに性的対象とする漫画等のうち著しく悪質な内容のものを、青少年への販売等を規制する「不健全図書」の指定対象に追加する。
- 漫画・アニメの「非実在青少年」も対象に　東京都の青少年育成条例改正案 (ITmedia, 3/9)
  
  　「青少年を性的対象として扱う図書や映画がまん延させることで性的対象として扱う風潮」という内容が改正案には出てきます。この風潮を「助長すべきではないという機運の醸成に努める」とされているのですが、しかし、そもそもそんな風潮は存在するのでしょうか。
  　アダルトゲームメーカーはどこも経営がかつかつ。5000本売れたら大成功という、ささやかなペイラインでせめぎあっているのが実情です。
  　逆に一般ユーザーにまで話題になるほど売れている作品は、むしろ性表現はソフトです。漫画作品でも同様です。ハードなものも存在しますが、これらはむしろニッチといってよく、「青少年を性的対象として扱う図書や映画がまん延」という風潮が、本当に存在するかどうか大いに疑問を感じます。それで売れるのなら、むしろ自分も参入したいくらいですが、そんな簡単なものではないでしょう。
- 「青少年健全育成条例」改正の意図、東京都の担当者に聞く (Internet Watch, 3/11)
- 【表現規制反対！】東京都青少年の健全な育成に関する条例の改正案【問題多すぎ！】ver 2 (弁護士山口貴士大いに語る, 3/10)
- 東京都青少年健全育成条例改正問題のまとめサイト
》尾辻秀久 (参議院自由民主党議員会長) vs 与謝野馨
- 与謝野勉強会で尾辻参院議員会長が激怒 (news24.jp, 3/11) 映像あり。
- 自民・尾辻参院会長、与謝野元財務相の勉強会に現れ「いいかげんにしろ!」などと激怒 (FNN, 3/11)
- 与謝野氏、自民党議員らと会合 (news24.jp, 3/10)
　与謝野氏 + トリマキは、とっとと離党すればいいのに。その方がわかりやすいじゃん。
》調査捕鯨船に侵入容疑　シー・シェパードのメンバー逮捕 (asahi.com, 3/12)。アディ・ギル号のピーター・ベスーン (Peter Bethune) 船長。
》中国のネット検閲「強化された」　米国務省が人権報告書 (asahi.com, 3/12)。 2009 Country Reports on Human Rights Practices (state.gov) の件かな。中国についてだけ書かれているわけでは全くないにもかかわらず、こういうニュースにするのね。

　日本の項目も当然あり、日本の法執行状況に関する記述が長々とされている。米国民向けの文書ですから、米国の法執行状況との差異がよくわかるように記述してあるってことですかね。代用監獄は、そのまま英語でも通用するのか。
》韓米合同軍事演習：「北のWMDに備えた部隊が参加」 (朝鮮日報, 3/12)。Key Resolve '10 に Combined Joint Task Force for the Elimination of Weapons of Mass Destruction (CJTF-E) が参加してますよ話。まぁ、Key Resolve '09 にも参加してましたから: Key Resolve ‘09: CJTF-Elimination shines during Korean training event (army.mil, 2009.04.14)
》 Windows Vista(R) RTM / Windows(R) XP Service Pack 2 (SP2) / Windows 2000製品のサポート終了について (Microsoft, 3/10)。いよいよ最後。
》世界初*1、リコーの複合機が情報セキュリティに関する国際的な規格で認証を取得 (リコー, 3/11)。imagio MP 5000 SP/4000 SP が IEEE Std 2006.1-2009 適合 CC 認証を取得、だそうで。
》右と左で性が違う：「雌雄モザイク」ニワトリの研究 (WIRED VISION, 3/12)
ニワトリの場合!"S.F}N`$H0c$C$F!"%[%k%b%s$K$h$C$F@-JL$,7hDj$5$l$k$N$G$O$J$/!"@-JL$r7hDj$9$k$N$O:YK&$=$N$b$N$G$"$k$3$H$,J,$+$C$?!#BN$N??$sCf$K@~$,0z$+$l$F$$$k$+$N$h$&$K!"H>J,%*%9$GH>J,%a%9$H$$$&FC
　へぇ～。他のトリもみんなそうなのかなあ。

「鳥類のすべて、そしておそらくは下等な脊椎動物において、性は細胞で決定されていると思われる」とClinton氏は語る。「このシステムは哺乳類でもその名残は見られるが、それはホルモンの効果によって上書きされているのだろう」

[昆虫では雌雄モザイクが比較的良く観察されることから、「昆虫には性ホルモンは無く、細胞ごとに性別が決定する」という説が昆虫学では定説となっている。ヒトの場合、雌雄モザイク状態と間性状態を含めて半陰陽と呼ばれることがある]

　ふぅん……。ホルモンシステムの方が後付けなのかな。

》なぜそのソフトがクラッシュして強制終了したのか教えてくれるフリーソフト「AppCrashView」 (gigazine, 3/12)。Windows エラー報告で作成される WER ファイルの閲覧ソフトだそうで。

》暗号モジュール試験及び認証制度における試験機関の新規承認について (IPA, 3/12)。「一般社団法人 ITセキュリティセンター」を承認。

》ご案内：3月22日「40年目の、シコシコ模索舎」チェチェン総合情報 annex, 3/7)。2010.03.22、東京都新宿区、500円。

》集会のお知らせ　「日本と世界のチェチェン難民、離散地からの声」 (チェチェン総合情報 annex, 3/2)。2010.03.13 (明日)、東京都文京区、1000円。

》米国で3歳の少女が拳銃を発砲して死亡、Wiiリモコンと間違えた？ (slashdot.jp, 3/11)。子供の手の届くところに、装填済みの実銃を置くとは。

　これですかね: SW380 Pistol Owner's Manuals (smith-wesson.com)。

》知識を得て「エフセキュアインターネットセキュリティ」を6ヶ月間利用 (エフセキュアブログ, 3/11)。今回のは終っちゃったみたい。

》 Foxit Reader 3.2 for Windows (foxitsoftware.com, 3/11) が公開されています。ダウンロード。

》【インテル vPro テクノロジーで実現する“鉄壁ビジネス・モバイル” 第4回】泥棒も打つ手なし！？ ATでビジネス・モバイルのデータを守る［後編］ (ComputerWorld.jp, 3/12)。「アンチセフト・テクノロジー」の解説。
　これらの問題に対処するため、iATではローカルタイマーによる自律的なロック機能を用意している。このタイマー機能により、モバイルPCとリモートの管理サーバとの間で、定期的な通信が交わされる。
　モバイルPCのタイマーに設定された制限時間内に管理サーバとの通信が行われなかった場合は、モバイルPC側で自らを「盗難・紛失状態にある」と見なして自動的にロックを実行する。

　関連: Intel Anti-Theft Technology (Intel)。Intel の解説文書では「ランデブータイマー」って書かれてますね。逢引できないと自閉しちゃうと。

》 VMware製品のLife Cycle Polices (Eiji James Yoshidaの記録, 3/11)
》その男、ブライアン・サーティン (Verizon Business)
- 重要データを狙うサイバー犯罪、企業が注視すべき現実とは (ITmedia, 3/3)
- 情報漏えいは内部犯行よりパートナー企業によるものが多い (日経 IT Pro, 3/12)
  
  ―― 2009年版DBIRおよび補足版で、2008年のデータ漏えい／侵害事件についてどのようなことが分かったか。
  
  　データ漏えい／侵害事件の原因について興味深い見識を得た。情報漏えい事件は企業内部の人間による犯行が多いと思われているが、実はそうではない。当社の調査により、内部犯行よりも、被害企業と業務提携関係にあるパートナー企業による犯行の方が多いことがわかった。
  　2008年のデータ漏えい／侵害事件の原因として最も多かったのは、ハッカーや犯罪組織によるデータ盗難、自然災害によるデータ破損など、被害企業と直接関係のない外部要因によるものだった。外部犯行による事件は、全体の74％を占めた。その次に多かったのがパートナーによる犯行で、全体の32％に上った。それに対して、内部犯行による事件は20％程度だった。
》 FTPでダウンロードしたファイルが破損する (トレンドマイクロ, 3/10)

IWSSを2.5から3.1へアップグレードする際、FTP遅延検索ルールの情報が不正な値に変更されてしまい、IWSSを経由したFTPのダウンロードが正常に実行できなくなります。
この問題を改善するためには、IWSS 3.1 Patch 1の適用後、IWSSインストールフォルダにあるupgradeFTPRule.exe を実行し、データベースに登録されているFTP検索ルールの情報を適切な値に修正します。

■ 追記

マイクロソフトセキュリティアドバイザリ (981374) Internet Explorer の脆弱性により、リモートでコードが実行される

　関連:

IEにおける解放済みメモリを使用する脆弱性（CVE-2010-0806）に関する検証レポート (NTT データセキュリティ, 2010.03.12)
IE 6/7の脆弱性：深刻な状況、早急に対策を～掲示板に誘導書き込みのワナも (so-net セキュリティ通信, 2010.03.12)
Backdoor.Sykipot At Work (Symantec, 2010.03.11)

■ Safari 4.0.5 のセキュリティコンテンツについて
(Apple, 2010.03.11)

　Safari 4.0.5 登場。16 種類の欠陥が修正されている。関連:

Multiple Vendor WebKit HTML Element Use After Free Vulnerability (iDefense, 2010.03.11)

■ 2010.03.11

》『1000の風』と『千の風になって』　1 (南風椎の「森の日記」, 2009.11.11)。あまりにもあからさまな盗作の話。これはひどい。
》東京都、ドロップシッピング事業者2社に業務停止命令～虚偽説明や誇大広告 (so-net セキュリティ通信, 3/9)
》 Microsoft、プライバシ保護技術「U-Prove」のプレビュー版を公開 (日経 IT Pro, 3/3)

U-Proveは同社が2008年3月にカナダのセキュリティ・ソフト開発会社Credenticaから取得した技術で、その基盤となる特許もすべて買い取っている (中略)。インターネット・ユーザーがオンラインでやり取りする自身の個人情報を必要最小限にとどめながら、プライバシと安全性を確保できるようにする。
》「SpyEye」と「Zeus」の両ボットを比較 (日経 IT Pro, 3/10)
》 Windows 2000 Professionalの“延命”ソフトを発売、フォティーンフォティ技術研究所 (日経 IT Pro, 3/10)。「FFR yarai 脆弱性攻撃防御機能 for Windows 2000」。
》 PDFのフォント制限は無意味 (Okumura's Blog, 3/6)
》ミャンマーの新選挙法に世界から懸念 (国連情報誌ＳＵＮブログ対応版, 3/11)
》 New "Smart Meters" for Energy Use Put Privacy at Risk (EFF, 3/10)。スマート電力計によるプライバシー侵害の可能性。
》児童ポルノ方面
- ITエキスパートのための法律入門 : 「法規制強化」だけで違法／有害情報は減らせるか (ComputerWorld.jp, 3/10)
》フランス、トランスセクシュアリズムを精神障害の項目から外す (みやきち日記, 3/5)

同性愛が病気ではないとみなされるようになってから数十年、ようやくトランスも同じ位置に来たわけですね。とは言え、これはほんのスタートに過ぎないというのが同国のトランスセクシュアルの意見のようです。単に精神疾患とみなされなくなっただけでは、トランスセクシュアルの法的・医学的な権利は向上しないからです。
》「APECと同等のプラバシ・ポリシーを全社採用」、米Microsoft最高プライバシ責任者が説明 (日経 IT Pro, 3/1)。Microsoft とクラウドとプライバシー。
》 Telling their SDL stories: IE8 and Office 2007 (Microsoft SDL blog, 3/9)
》平成21年度新世代情報セキュリティ研究開発シンポジウム参加者募集のご案内 (みずほ情報総研)。2010.03.30、東京都千代田区、無料。セキュア VM とか、生体認証とか。
》第5回データベース・セキュリティ・コンソーシアム (DBSC) セミナー開催報告 (DataBase Security Consortium, 3/8)
》 BSD magazine 2010年3月号「BSD AS A DESKTOP」ダウンロード開始，AsiaBSDCon2010開催2日後 (FreeBSD Daily Topics, 3/9)。Build Your Own FreeBSD Update Server とか。読んでおかナイト。
》 http://www.browserchoice.eu/。横スクロールすると Sleipnir も並んでいるんですね。
》 Mariposaボットネットの感染状況 (Panda Security Japan ブログ, 3/10)
》セキュアブレイン、無料ウイルス対策ソフトに振る舞い検知機能 (Internet Watch, 3/10)。gred AntiVirus アクセラレータ 1.0.26。
》デジタル書籍の課題や制度を議論、総務・文科・経産省が懇談会開催 (Internet Watch, 3/10)
》ファイル共有ソフト「LimeWire」、AVGウイルス対策エンジン搭載 (Internet Watch, 3/10)。有償版 (LimeWire PRO) のみ。
》 Twitterが不正リンク検出サービス、DM経由のフィッシング対策で (Internet Watch, 3/10)。効果は未知数。
》「ストリートビュー」新たに21県、地上高245cmからの最後の画像

　新たに公開したのは秋田、岩手、山形、福島、栃木、群馬、茨城、長野、山梨、静岡、富山、石川、福井、和歌山、島根、山口、愛媛、香川、大分、佐賀、宮崎の21県。うち、山形、香川、宮崎以外は高速道路や幹線道路周辺のみとなっている。
(中略)
　グーグルは2009年5月、ストリートビューの画像について「個人宅の塀の内側まで写っている」という批判を受け、撮影車のカメラ位置を従来の約245cmから40cm低くする方針を示したが、今回公開した画像はカメラの高さを下げる前に撮影した最後の画像としている。
》核密約方面
- ついに歴代首相・外相を国会召致か？「核密約」を闇に葬った政・官・メディアの重い責任 (diamond.jp, 3/11)
  
  　本来、ジャーナリズムが機能していれば、とうの昔に判明していたはずの事実を、政治家に代行してもらう恥ずかしさを、筆者も含めて、すべての記者たちがかみ締めるべきではないか。とくに真相究明を行うどころか、逆に外務官僚の手先となって、結果として「国民共有の知的財産」を廃棄することを許した責任のいったんは間違いなく記者クラブにある。
  　そうであるにもかかわらず、きょうの産経新聞には相変わらずの記事が踊った。
  
  産経だからねえ。
- 「核密約」と「ウソの答弁禁止法」の必要性 (保坂展人のどこどこ日記, 3/10)
- 日米密約：真相究明へ前進　報告書は西山さんの指摘追認 (毎日, 3/9)
》資料公開『自分でできるWebアプリケーション脆弱性診断』 - デブサミ2010 (うさぎ文学日記, 2/23)
》【催し案内】政権交代の先輩・韓国に学ぶ女性政策 (JANJAN, 3/11)。「政権交代の先輩・韓国に学ぶ女性政策」2010.03.13、広島県広島市、500円。
》上村英明さんに聞く（１）　先住民族とＣＯＰ１０の意外な関係 (JANJAN, 3/10)、上村英明さんに聞く（２）　先住民族・土人の定義について (JANJAN, 3/11)
》グーグルCEO、中国政府との協議で「まもなく」決定を示唆--米報道 (CNET, 3/11)
》 Paypal freezes Cryptome (The Register, 3/8)
》【オムニバス】宇都宮健児氏、日弁連会長選挙当選の要因 (JANJAN, 3/11)
》その男、田中一隆
- 裁判官検索 > 田中一隆（タナカカズタカ） (e-hoki.com)
- 誰のための公益通報保護か (日経ビジネス, 1/29)
- 裁判官による人権侵害（前）～裁判官の捨てゼリフ～ (JANJAN,
- 裁判官による人権侵害（後）～再び、串岡弘昭氏に聞く～ (JANJAN, 3/9)
》「ありあけ」、解体作業中に高波を受けてバラバラに。ありあけ転覆事故方面のつづき。
- 横転４か月、フェリー海中に崩落…三重沖 (読売, 3/10)、座礁フェリー船体崩落撤去長期化に落胆、焦り (読売, 3/11)
- 座礁「ありあけ」高波でばらばら　三重・御浜沖 (東京新聞, 3/10)
- 三重の横転フェリー、高波でバラバラに　積み荷流出 (asahi.com, 3/11)
- 座礁：フェリー、荒波で崩落　三重・熊野灘 (毎日, 3/10)
- 深田サルベージ
》平成21年中のサイバー犯罪の検挙状況等について (警察庁, 3/4)、 2009年のサイバー犯罪：増加目立つ不正アクセス、児童ポルノ（警察庁） (so-net セキュリティ通信, 3/5)
》平成２１年の組織犯罪の情勢 (警察庁, 3/4)、平成２１年の暴力団情勢
》トヨタの電子制御問題に隠れた事実！アメリカ人特有のアクセルの踏み方 (diamond.jp, 3/9)、米国のおそるべき運転事情 (slashdot.jp, 3/11)。結局のところ、diamond.jp の記事はどのくらい現実を反映しているのだろう。
》インターネット安全警備隊・隊員アルバイト募集 (keibitai.jp)。3/28 まで。マイクロソフト新宿本社で講習を受ける必要があるけど、破格の報酬あり。
》 ATMスキマーはどのように設置されるか？ (エフセキュアブログ, 3/10)
》プリングルズにサルモネラ菌汚染の可能性があるためアメリカで2種類のフレーバーをリコール (gigazine, 3/10)。あらあら。
》編集長広河隆一より　存続キャンペーンの報告 (DAYSから視る日々, 3/10)。存続決定。おめでとうございます。

■ samba - CVE-2010-0728: Allowing all file system access even when permissions should have denied access
(samba.org, 2010.03.08)

　samba 3.3.11 / 3.4.6 / 3.5.0 のみに欠陥。 Linux の非同期 IO の処理に欠陥があり、 smbd が CAP_DAC_OVERRIDE ケーパビリティを継承して起動された場合に、全てのファイルシステムへのアクセスが、たとえパーミッションによって拒否されていた場合であっても、許可されてしまう。 CVE-2010-0728

　samba 3.3.12 / 3.4.7 / 3.5.1 で修正されている。

■ 追記

いろいろ (2010.03.08)

　脆弱性に対応した「PictBear 2.01」正式版がリリース (マイコミジャーナル, 2010.03.04)。JVNVU#576029 - libpng における圧縮された補助チャンクの処理に脆弱性 (JVN, 2010.03.04) 関連。

マイクロソフトセキュリティアドバイザリ (981169) VBScript の脆弱性により、リモートでコードが実行される

　IEにおけるVBScript と Windows Help ファイルの相互作用の方法に存在する脆弱性（CVE-2010-0483）に関する検証レポート（2010.03.05追記） (NTT データセキュリティ, 2010.03.05)

APSB10-07: Security Advisory for Adobe Reader and Acrobat

　関連:

APSB10-07 - Adobe ReaderおよびAcrobat用セキュリティアップデート公開 (Adobe)
PDFベースの標的型攻撃が増加 (エフセキュアブログ, 2010.03.10)。 CVE-2010-0188 attack が増えてきているのだそうだ。
CVE-2010-0188: Patched Adobe Reader Vulnerability is Actively Exploited in the Wild (Microsoft Malware Protection Center, 2010.03.08)

■ [Full-disclosure] Spamassassin Milter Plugin Remote Root
(Full-disclosure ML, 2010.03.08)

　SpamAssassin Milter Plugin に欠陥があり、-x オプションつきで起動した場合に、root 権限で任意のコマンドを実行できてしまう。 FreeBSD だと ports/mail/spamass-milter ですね。

2010.03.16 追記:

　来ているようです: Spamassassin Milter Plugin Remote Root Attack (SANS ISC, 2010.03.15)

■ マイクロソフトセキュリティアドバイザリ (981374) Internet Explorer の脆弱性により、リモートでコードが実行される
(Microsoft, 2010.03.10)

　IE 6 / 7 に 0-day 欠陥、攻略 Web ページを閲覧すると任意のコードを実行される。既に悪用されている。IE 5.01 / 8 にはこの欠陥はない。CVE-2010-0806。関連:

Internet Explorer 0-day targeted in spam runs (Sophos, 2010.03.10)
Targeted Internet Explorer 0day Attack Announced (CVE-2010-0806) (McAfee Labs Blog, 2010.03.09)
JVNVU#744549 - Microsoft Internet Explorer における解放済みメモリを使用する脆弱性 (JVN, 2010.03.10)
最新のIEゼロデイ脆弱性攻撃デモンストレーション (Panda Security Japan オフィシャルブログ, 2010.03.11)
Microsoft Internet Explorer iepeers.dll use-after-free exploit for the Metasploit Framework (exploit-db.com, 2010.03.10)
Zero-Day attack on IE6 - JS.Sykipot Doesn't Spare Retired Software (Symantec, 2010.03.10)

　複数の回避策が掲載されているが、KB 981374 的には「DEP の有効化」がオススメの模様。個人的には「IE 8 に移行する」を推奨。確実なのは、iepeers.dll に ACL を設定してアクセスを拒否する。

32bit Windows: Echo y| cacls %WINDIR%\SYSTEM32\iepeers.DLL /E /P everyone:N
64bit Windows: Echo y| cacls %WINDIR%\SYSWOW64\iepeers.DLL /E /P everyone:N

2010.03.11 追記:

　回避方法が追加された。「iepeers.dll のピアファクトリクラスを無効にする」ことでも回避できる模様。レジストリ設定方法が記載されている。

2010.03.12 追記:

　関連:

IEにおける解放済みメモリを使用する脆弱性（CVE-2010-0806）に関する検証レポート (NTT データセキュリティ, 2010.03.12)
IE 6/7の脆弱性：深刻な状況、早急に対策を～掲示板に誘導書き込みのワナも (so-net セキュリティ通信, 2010.03.12)
Backdoor.Sykipot At Work (Symantec, 2010.03.11)

2010.03.14 追記:

「iepeers.dll のピアファクトリクラスを無効にする」方法が Microsoft Fix it になった。KB 981374 には「iepeers.dll のピアファクトリクラスを無効にする」Fix it 50386 と「DEP を有効にする」Fix it 50285 の 2 つが掲載されている。

なお、01:15 AM 現在、日本語版の KB 981374 には「DEP を有効にする」Fix it しかないので注意。

■ 2010.03.09

》 Share暴露ウイルス「Kenzo」について (kaspersky)
》同性婚法方面
- 米国ワシントンDCで同性婚法が発効 (みやきち日記, 3/5)。社会システムの話。
- メキシコシティでラテンアメリカ初の同性婚法が発効 (みやきち日記, 3/5)
　参考文献: プロブレムＱ＆Ａ　同性パートナー生活読本［同居・税金・保険から介護・死別・相続まで］ (緑風出版)。最後にびっくりするような裏技が出てくるのだけど、コストがなぁ……。
》マカフィー、2 月のサイバー脅威の状況を発表 (マカフィー, 3/8)
》スパムの元凶--活発に活動する10大ボットネット (ZDNet, 3/9)
》 mixiでなく「mixy」　偽SNS、携帯で乱立　フィッシング詐欺も (産経 / ITmedia, 3/9)
》いわゆる「密約」問題の調査について (外務省)。調査結果が 3/9 付で公開されました。関連:
- 「核持ち込み黙認」歴代首相に説明　外務省密約調査公表 (asahi.com, 3/9)
》小沢問題に血道を上げる自民　町村　自分も政治団体資金で物件新築 (日刊ゲンダイ, 1/27)、自民党町村信孝　政治資金で不動産購入。みんなの党　江田憲司も同様 (ライジング・サン（甦る日本）, 1/27)。そんな話があったのですか。関連: ３２４政治団体が不動産保有＝陸山会が突出９億円総務省調査 (時事, 3/8)。 https://twitter.com/h_hirano/status/10206200643 は、時事に書かれている奴を集計するとそうなるってことなのかなあ。
》「２ちゃん」DDoS攻撃について米データセンター企業がFBIに報告 (Internet Watch, 3/8)
》 VodafoneがMariposaボットネットを拡散 (Panda Security Japan ブログ, 3/9)。bot つき電話。
》改正著作権法ガイドライン、壇弁護士らがネット事業者向けに作成 (Internet Watch, 3/8)
》山谷剛史のマンスリー・チャイナネット事件簿　 Google中国の撤退示唆で「谷歌」をもじった「谷姐」サイト登場　ほか　 2010年2月 (Internet Watch, 3/5)
》 iTunes不当請求問題で消費者庁が追加質問状、返金条件など不明瞭 (Internet Watch, 3/5)
》「マイミク通信簿」開発元サーバー改ざん、mixiプロフ閲覧で感染 (Internet Watch, 3/5)。soratobu.jp の件のつづき。
》海の向こうの“セキュリティ”　第42回：仏・豪で中国のようなWebフィルタリング導入　ほか (Internet Watch, 3/4)
》 2009年のサイバー犯罪は6690件、オークション利用詐欺は半減 (Internet Watch, 3/4)
》「デジタル放送専用DVDレコーダも私的録画補償金の対象内」との文化庁の見解に、経産省が異議 (slashdot.jp, 3/5)、私的録画補償金に関する、経済産業省の回答を受け取りました (MiAU, 3/4)、デジタルチューナーの私的録画補償金問題、文化庁の暴走であることが確定 (slashdot.jp, 3/5)

これがどういう意味を持つかというと、私的録画補償金問題はついに法廷へでSARVHが錦の御旗として担ぎ出していた文化庁見解書が実は文化庁の独断専行だったことが確定してしまったわけです。3/9に口頭弁論を控えた補償金訴訟で、SARVHにとってかなり不利な材料が出てきたことになります。

　関連: Amazon.co.ukでDVDを買うと安いという話 (西尾泰和のはてなダイアリー, 2009.01.28)。ふぅん。
》典型的な Windows ユーザは 5 日ごとにパッチが提供されている (slashdot.jp, 3/8)

Secunia では昨年、パッチ提供方法の標準化を提案したそうだが、ベンダーからの反応は薄かったとのこと。

　Windows Update を 3rd party にも解放するという計画があったはずなんだけど、いつのまにか消えちゃってるのが問題なんだよなあ。
》バージニア州司法長官「わが州の大学はゲイ差別を禁止してはいけない」 (みやきち日記, 3/8)。そういうこと言うんだ……。すさまじいな。
》 Announcing Elevation of Privilege: The Threat Modeling Game (Microsoft SDL blog, 3/2)。ゲームなんだよ。
》アカデミー賞を勝手に選定：SFの復権を！ (WIRED VISION, 3/9)

長編ドキュメンタリー賞は、『Food, Inc.』。

Robert Kenner監督とElise Pearlsteinプロデューサーが、食品という、一見もっとも日常的な世界について追求した『Food, Inc.』は、2009年においてかなり異彩を放った作品だった。そして、人口が増加して食糧難になった、暗鬱な未来社会を描いたSF映画『ソイレント・グリーン』よりもはるかに恐ろしかった。

ソイレント・グリーンでは人が人を食べるが、Food, Inc.では食べ物が人間を食べるからだ。

　おぉ……これは観てみたい。
》 PlaceEngineを利用したiPhoneアプリケーションの公開停止について (クウジット, 3/6)。既報と同じ内容、進展はない。
》人体“操作” ～再生医療の光と影～（仮） (NHK スペシャル, 3/28 放送予定)

中でも急速に進むのが、生殖医療との組み合わせ。子供の病気を治すために別の赤ちゃんが作られ、幹細胞が採取されて移植される。こうして作られる子は「救世主兄弟」と呼ばれ、米国を中心に既に200人以上生まれている。体外受精によって受精卵を複数作り、兄姉と遺伝子が適合するものだけを選び出して妊娠・出産するのだ。
》１億円以上の役員報酬開示　経団連会長が反対表明 (asahi.com, 3/8)。フーン。
》英国政府の「スリーストライクはない」は口先だけ？ (P2Pとかその辺のお話, 3/7)
》米国著作権団体：オープンソースソフトウェアはキャピタリズムの敵、知的創造への敬意を損ねる (P2Pとかその辺のお話, 3/7)。まだこんなこと言ってるのか。
》【速報版】2009年上半期情報セキュリティインシデントに関する調査報告書 (Security, time after time, 3/8)。JNSA 方面ねた。
》 Darkmarketアバター (エフセキュアブログ, 3/8)
》第82回アカデミー賞受賞作品がどのような内容か大ざっぱにわかる一覧まとめ (gigazine, 3/8)。「アバター」よりも」「ハート・ロッカー」の方がアカデミー賞好みの作品だったってことでしょう。まぁ実際、あれは娯楽映画だしねえ。「盗作だ!」とか言ってる中国人がいるらしいけど、ぶっちゃけ、オリジナリティをどうこう言えるような脚本じゃない。

日本で行われるイルカ漁を題材にした「The CoveW$,D9JT%I%-%e%a%s%?%j!<>^$r^!#$3$N1G2h$NIqBf$OOB2N;38)B@COD.$G!"?JF~6X;_6h0h$K;XDj$5$l$F$$$k>l=j$X@x$s$G1#$7;#$j$r9T$C$?$j!"%j%b%3%sHt9T5!$r6n;H$7$?$j$7$F$N;#1F$,CO85$N?M$H$N4V$G%H%i%V%k$K$J$j$^$7$?!#

　こういう作品が好きなのがアカデミー賞ということでしょう。

　「第9地区」は1部門も受賞できなかったようですね。
》会見参加求め仮処分申請　フリー記者「国が妨害」 (47news.jp, 3/8)

　中井洽国家公安委員長の記者会見に参加させないのは報道の自由の侵害だとして、フリージャーナリストの寺沢有氏が８日、国に会見参加を妨害しないよう求める仮処分を、東京地裁に申し立てた。

　民主党政権は、とっとと全面解放すればいいだけなのになあ。

■ All Your Apps Are Belong to Apple: The iPhone Developer Program License Agreement
(EFF, 2010.03.08)

　勝てない。引き分けられない。逃げられない。抵抗は無意味だ。

■ Q1 2010 Web Browser Comparative Test: Socially-Engineered Malware
(nsslabs, 2010.02)

　Web ブラウザが装備する URL フィルタリング機能について、対マルウェアという観点でリアルタイムテストを実施した結果。IE 8 (SmartScreen Filter) の優秀さが光っている。関連:

IE8 SmartScreen Filter - Protecting Users at Internet Scale (IEBlog, 2010.03.05)

■ 追記

いろいろ (2010.03.08): 　Using Nmap to detect the Arucer (ie, Energizer) Trojan (SkullSecurity, 2010.03.08)。 Vulnerability Note VU#154421: Energizer DUO USB battery charger software allows unauthorized remote system access (US-CERT, 2010.03.05) 関連ねた。

■ 2010.03.08

》 Error message when you access a Web site or a virtual directory that is hosted in IIS 6.0: "HTTP Error 401.1" (Microsoft KB 979892)
》 Reverse Engineering the Microsoft exFAT File System (SANS, 2/19)
》川口洋のつぶやき第2回 (LAC, 3/5)。Waledac 話。
》 Samurai WTF 0.8 (SANS ISC, 3/8)。Web Testing Framework だそうです。
》沖縄密約で日本が米国に無利子で預金した６０００万ドルの存在が明らかに～利息分１億ドル相当が米国へ：毎日 (情報流通促進計画 by ヤメ記者弁護士（ヤメ蚊）, 3/5)
》 NSFOCUSセミナー (ockeghem(徳丸浩)の日記, 3/8)。 2010.03.15、東京都新宿区、無料。
》 What’s the Juice on ZeuS? (trendmicro blog, 3/4)。 ZeuS: A Persistent Criminal Enterprise の紹介。
》「とんかつ和幸」を提訴する人の話を聞きたい (回答する記者団, 1/29)
》チリ大地震で「BlackBerry」が大活躍の理由　「BlackBerry Messenger」が唯一の通信手段 (ComputerWorld.jp, 3/2)
》 Windowsのセキュリティ機能「DEP」を回避する新手法が公開される (ComputerWorld.jp, 3/4)。 Internet Exploiter 2 - bypassing DEP (skypher.com, 3/1) の件ですかね。
》 False scare email proclaiming North Korea nuclear launch against Japan (SANS ISC, 3/5)。ふぅん。
》監査と検査 (Security, time after time, 3/4)

先日研究のためにひさしぶりに書店でISMS（ISO27000）の関連書籍を立ち読みしたのですが、コンサルタントの方が「まずは133の管理策に対してFIT/GAPを確認して現状を把握しましょう。」と書いていたりするのです。これはISMSの管理策を「チェックリスト」と考えているから出てくるやり方であって、リスクアセスメントを実施して、その結果に応じて管理策を取捨選択し、必要があれば管理策を追加・拡張するという本来の考え方からはずれているという違和感を覚えます。
》 FBI、サイバー犯罪捜査官をエストニア、&%/%i%$%J!"%*%i%s%@$KGI8/ (ComputerWorld.jp, 3/5)
》 “ボット40万台、ピーク・トラフィック124Gbps”の大規模DDoS攻撃にどう対処したか　アカマイの技術責任者が語る「分散型セキュリティ」の効能 (ComputerWorld.jp, 3/8)
》【インテル vPro テクノロジーで実現する“鉄壁ビジネス・モバイル” 第3回】泥棒も打つ手なし！？ ATでビジネス・モバイルのデータを守る［前編］ (ComputerWorld.jp, 3/8)。「アンチセフト・テクノロジー」だそうで。

　そこでATでは、こうした手動のロック機能に加え、「PCの盗難・紛失が疑われる状況（例えばPCが長時間使われずに放置されていた場合など）」をATが検知し、PCを自動的にロックする機能も備えている。なお、自動ロック時のための盗難や紛失の自律的な判断には、リモートの管理サーバとの定期的な通信や、ローカルPC上のAT自体が備えるタイマー機能などが使われる。同機能については次回で詳説しよう。

　へぇ、デッドマンスイッチつきですか。
》 OpenSSH 5.4 / 5.4p1 が公開されました。新規機能が複数登場のようです。
》本日朝日新聞夕刊 (DAYSから視る日々, 3/6)。まだ 100 人足りない模様。うぅむ。

■ いろいろ (2010.03.08)
(various)

[Security-announce] VMSA-2010-0004 ESX Service Console and vMA third party updates (vmware, 2010.03.03)
DSA-2006-1 sudo -- 複数の脆弱性 (debian, 2010.03.02)。 sudo 1.6.9p20 以前 / 1.7.2p3 以前に 2 つの欠陥。
- CVE-2010-0426
  pseudo-command 機能が有効になっている場合、sudo が任意のディレクトリで pseudo コマンドと実行ファイル名の対応付けを許してしまうため、細工した実行ファイルにより特権の昇格が可能です。
- CVE-2010-0427
  runas_default オプションを有効にしている場合、sudo が適切にグループメンバ権を設定していないため、ローカルユーザからの sudo コマンドを用いた特権の昇格が可能です。
sudo 1.6.9p21 / 1.7.2p4 で修正されている。
Vulnerability Note VU#154421: Energizer DUO USB battery charger software allows unauthorized remote system access (US-CERT, 2010.03.05)。バッテリ容量チェック用のソフトにトロイが。関連:
- Energizer Announces Duo Charger and USB Charger Software Problem (Energizer, 2010.03.05)
- Back Door Found in Energizer DUO USB Battery Charger Software (Symantec, 2010.03.05)
JVN#06874657 - OpenPNE におけるアクセス制限回避の脆弱性 (JVN, 2010.03.05)、【緊急リリース】携帯版かんたんログインの不備によりなりすましがおこなわれてしまう問題について (OpenPNE, 2010.03.05)。「かんたんログイン」ねたですか。
かんたんログイン機能の安全性を担保するための OpenPNE の IP アドレス帯域制限には以下の問題があります。そのため、なりすましログインをされる危険性があります。
- OpenPNE 2.14 (OpenPNE 2.13.2 以降) には、特定の操作をおこなうことで、携帯電話の IP アドレス帯域制限を回避されてしまう脆弱性が存在する
- IP アドレス帯域制限機能が OpenPNE 2.10 以降にしか存在しない
- OpenPNE 2.10 以降、 OpenPNE 3.0 以降の IP アドレス帯域制限機能がデフォルトで OFF (使用しない) になっている
OpenPNE 2.0 以降には patch が用意されています。 OpenPNE 1.6 ～ 1.8 では .htaccess で「携帯電話 IP 帯域制限機能」を実現することになるようです。
JVNVU#576029 - libpng における圧縮された補助チャンクの処理に脆弱性 (JVN, 2010.03.04)。libpng 1.4.1 / 1.2.43 / 1.0.53 で修正されている。
Cisco 方面
- Cisco Security Advisory: Cisco Unified Communications Manager Denial of Service Vulnerabilities (Cisco, 2010.03.03)
- Multiple Vulnerabilities in Cisco Digital Media Manager (Cisco, 2010.03.03)
- Cisco Security Advisory: Cisco Digital Media Player Remote Display Unauthorized Content Injection Vulnerability (Cisco, 2010.03.03)

2010.03.09 追記:

　Using Nmap to detect the Arucer (ie, Energizer) Trojan (SkullSecurity, 2010.03.08)。 Vulnerability Note VU#154421: Energizer DUO USB battery charger software allows unauthorized remote system access (US-CERT, 2010.03.05) 関連ねた。

2010.03.11 追記:

2010.03.14 追記:

　 Locate and Exploit the Energizer Trojan (metasploit blog, 2010.03.08)

■ Apache HTTP Server (httpd) 2.2.15 Released
(apache.org, 2010.03.07)

　CHANGES_2.2.15 によると、

SECURITY: CVE-2009-3555 (cve.mitre.org)
mod_ssl: Comprehensive fix of the TLS renegotiation prefix injection attack when compiled against OpenSSL version 0.9.8m or later. Introduces the 'SSLInsecureRenegotiation' directive to reopen this vulnerability and offer unsafe legacy renegotiation with clients which do not yet support the new secure renegotiation protocol, RFC 5746. [Joe Orton, and with thanks to the OpenSSL Team]
SECURITY: CVE-2009-3555 (cve.mitre.org)
mod_ssl: A partial fix for the TLS renegotiation prefix injection attack by rejecting any client-initiated renegotiations. Forcibly disable keepalive for the connection if there is any buffered data readable. Any configuration which requires renegotiation for per-directory/location access control is still vulnerable, unless using OpenSSL >= 0.9.8l. [Joe Orton, Ruediger Pluem, Hartmut Keil <Hartmut.Keil adnovum.ch>]

SECURITY: CVE-2010-0408 (cve.mitre.org)
mod_proxy_ajp: Respond with HTTP_BAD_REQUEST when the body is not sent when request headers indicate a request body is incoming; not a case of HTTP_INTERNAL_SERVER_ERROR. [Niku Toivola <niku.toivola sulake.com>]

SECURITY: CVE-2010-0425 (cve.mitre.org)
mod_isapi: Do not unload an isapi .dll module until the request processing is completed, avoiding orphaned callback pointers. [Brett Gervasoni <brettg senseofsecurity.com>, Jeff Trawick]

SECURITY: CVE-2010-0434 (cve.mitre.org)
Ensure each subrequest has a shallow copy of headers_in so that the parent request headers are not corrupted. Elimiates a problematic optimization in the case of no request body. PR 48359 [Jake Scott, William Rowe, Ruediger Pluem]

2010.03.16 追記:

　関連: Apache HTTP Server Vulnerability Advisory for Adobe Flash Media Server Customers (Adobe PSIRT blog, 2010.03.15)。Adobe Flash Media Server 3.5.x (Windows 版のみ) には Apache 2.2.9 が同梱されているので、mod_isapi.so をコメントアウトして対処してね話。

■ 2010.03.07

》もし高校野球の女子マネージャーがドラッカーの『マネジメント』を読んだら (ダイヤモンド社)。書店でたまたま手に取ってしまい、立ち読みしはじめたら、これが止まらない。ふと気がつくと 30 分以上経過していたので、「30 分以上立ち読みしたのなら諦めて今すぐ買え」ルールに従って購入。

　というわけで読了したわけですが、いやぁ、おもしろい。ちゃんと青春野球小説になっているし、伏線もちゃんと回収されるし、登場人物のキャラもちゃんと立っているし (だってそれがマネジメントだから!)。しかし、「イーチ、ニーイ、サーン」って本当にやられたら、これは嫌だろうなあ。
》モーフィングPDF (エフセキュアブログ, 3/5)。無害な PDF を Google にキャッシュさせてから、攻略 PDF に入れかえる、ですか。
》 Spamhaus: Microsoft's botnet cull had little effect (ZDNet, 3/5)。Waledac 話。
》【緊急速報】ダイエット系のSPAMツイート大量発生。数百アカウントがジャックされた模様！ (ITmedia, 3/7)
》 Viruses and Digital Signatures (Symantec, 3/4)。敵も手の込んだことをやるようになったので、署名をきちんと確認しよう話。
》管理画面を別ドメインに分ける (水無月ばけらのえび日記, 3/6)
》ガラパゴスに支えられる携帯サイトのセキュリティ (水無月ばけらのえび日記, 3/6)
》国内初　券面に一回だけ有効なパスワード「ワンタイムパスワード」が表示できるキャッシュカードを開発　 ATMの使用に必要な耐久性をクリア! (大日本印刷, 3/5)。OATH 準拠だそうで。関連:
- OATH - initiative for open authentication
- ［RFC 4226］HOTP：HMACに基づいたワンタイムパスワード (RFC NEWS, 2005.12.24)
- HP-UX AAA Server and OATH Support (HP)。HP-UX AAA サーバは OATH をサポートしているのだそうで。
- OATH：オープンスタンダードな認証基盤 (@IT, 2006.01.20)
- HOTP Toolkit。ライブラリ、コマンドラインツール、pam モジュールのセット。
- OpenSSOでワンタイムパスワード (Netforest Developer's Note, 2009.10.25)
- OpenSSO One Time Password Authentication is the One That I Want (DocTeger, 2009.06.15)
- エントラストがワンタイム・パスワードのハードウエア・トークンを出荷 (日経 IT Pro, 2007.06.21)
- ワンタイムパスワードソリューションによる認証の強化 (MSDN, 2008.05)。サンプル一式あります。
  
  コードサンプルを実行するには、IIS 7.0 を使用している Windows Vista または Windows Server 2008 (Windows Server 2008 のアプリケーションサーバーの役割が有効になっていること)、Visual Studio 2005、SQL Server 2005 または SQL Server Express、および OTP サンプルコードが必要です。デモを実行する場合は、I.
  Javascript HOTP (HMAC-Based One-Time-Password Algorithm) (gitorious.org, 2009.12.13)
　あと、OATH Submits TOTP: Time-Based One Time Password Specification to IETF (OATH, 2008.04.08) というのもあって、現在 TOTP: Time-based One-time Password Algorithm draft-mraihi-totp-timebased-04.txt という状態みたい。http://tools.ietf.org/draft/draft-mraihi-totp-timebased/ も参照。
》内閣府参与辞職にともなう経緯説明と意見表明、今後 (自立生活サポートセンター・もやい, 3/5)
》 http://twitter.com/hatakezo/status/10076190139 (@hatakezo 畠山理仁, 3/6)

記者クラブ問題をアジェンダから外せと主張したのは、中日新聞社論説委員の羽石保（はねいしたもつ）構成員と読売新聞東京本社論説委員の丸山淳一（まるやまじゅんいち）構成員です。
》 MEGAQUAKE 巨大地震 (NHK スペシャル)。第3回は長周期地震動話。E-ディフェンスでの再現実験の映像が出てましたね。固定されていない物が凶器となる様がよくわかりました。いやあ、コピー機怖い。関連:
- 平成20年度兵庫県・E-ディフェンス共同実験について (兵庫県)。想定南海地震長周期地震動、超高層建物（30階建て相当）の上層階。固定対策あり・なしの 2 バージョン。
- 平成19年度兵庫県・E-ディフェンス共同実験について (兵庫県)
- 平成18年度兵庫県・E-ディフェンス共同実験について (兵庫県)
- 長周期地震動を受ける高層建物のダンパー補強と室内対策に関する震動台実験(2009年9月) (兵庫耐震工学研究センター)
- 加震実験映像 (兵庫耐震工学研究センター) にもいくつか映像が公開されてます。
　それから、制振ダンパーを追加装備した新宿センタービル方面:
- 高さ216mの新宿センタービルに長周期地震動対策　テナントの事業継続を考慮 (日経 KEN-Plats, 2008.07.31)
- 新宿センタービルの長周期地震動対策、火気なしで288基のオイルダンパー設置 (日経 KEN-Plats, 2009.01.19)
　あと、「免震構造」と「長周期地震動」が相性がよくないことがある (免震構造にすると、長周期地震動の影響を受けやすくなってしまうことがある) という話があるようで。
- 粘り強く耐え続ける建物を造るには　第22回　長周期地震波対策 (日本地震情報研究会, 2004.10.01)
- 長周期地震動に対する高層免震建物の振動特性 (京都大学地盤環境工学分野研究室, 2005.02.22)
- 動きまわり転倒する医療機器、免震構造でも過信は禁物 (日経 KEN-Plats, 2009.02.09)

■ 2010.03.05

》放送記念日特集　激震マスメディア　～テレビ・新聞の未来～ (NHK スペシャル, 3/22 放送予定)

＜ゲスト＞
●日本新聞協会会長　　　内山斉　　
●日本民間放送連盟会長　広瀬道貞　
●ドワンゴ会長　　　　　川上量生　
●ＩＴジャーナリスト　　佐々木俊尚
●学習院大学教授　　　　遠藤薫　　
●ＮＨＫ副会長　　　　　今井義典　

　うーん、やる前からいまいち臭が……。
》自民党：「徴兵制検討」示唆　幹事長、慌てて否定 (毎日, 3/5)。匿名希望さん情報ありがとうございます。

　しかしねえ。「天皇元首」「外国人参政権」など検討　自民が憲法改正で論点整理 (産経 MSN, 3/4) を見ると、「民主主義国での兵役義務の意味と、軍隊と国民の関係を検討する必要があるのではないか」を「論点整理」することになっているわけで。 ■「記者クラブ制度はアジェンダから外せ」日本新聞協会が審議拒否 (お笑いみのもんた劇場, 3/2) を見てもわかるように、ふつうは、議題にすること自体に意味があるわけです。慌てて否定するくらいなら最初からそんな項目を入れるなと言いたくなりますが、大島理森幹事長にはそういう機微はないのでしょう。
》不祥事後に「××を徹底してまいる所存です。」という発言 (まるちゃんの情報セキュリティ気まぐれ日記, 3/4)

不祥事後に「××を徹底してまいる所存です。」という発言をする企業が多くありますが、

　日本語に訳すと「とりあえず何もしない」ですね。
》八ッ場ダム方面
- 八ッ場ダム：上流の堆積物に高濃度ヒ素　国交省、公表せず (毎日, 3/5)。衆議院国土交通委員会 2010.03.05。
  - 堆積土に砒素バリバリ話。保坂氏がさんざんやってた奴。関連:
    - 八ッ場ダムの深い闇、「品木ダムヒ素問題」を語る (保坂展人のどこどこ日記, 2/13)
    - 国交省、品木ダム堆積土砂ヒ素汚染の調査へ（八ッ場ダム問題） (保坂展人のどこどこ日記, 3/5)
      
      「遮水シートはあるのか」という熊田議員の質問に対して、「ありません。これは群馬県の判断によるものです。その理由は、①中和生成物（ヒ素を含む）は、自然状態にある河川から中和過程で取り込んだものだということ。②処分場がダム湖の上流に設置されることから、シートがなくても浸出した水はダムは湖に集まる。③たしかに基準値を超えた年もあったが、周辺河川ははるかに高い数値のため問題がない」との答弁だった。
      
      群馬県が判断したことだという答弁は本当だろうか。現在、民主党の群馬県議会議員の後藤克己さんは、群馬県庁の職員で国の「Ｃ土捨て場」の申請を受ける立場だったが、「浚渫土砂」の成分に「ヒ素」が高濃度に含まれているのを見て、遮水シートなどの手当てをしなけば許可出来ないとして許可を降ろさなかったと証言（2月11日前橋市でひらかれた市民団体の集会）していると熊田議員が指摘したように、実質的な「野積み状態」で許可してくれと頼み込んだのは国の方ではなかったのか。
      
      川内博史国土交通委員長は、三日月政務官から事実関係を精査して、ヒ素問題の数値と議論をどのように行なってきたのかを報告するように求めた。この結果に大いに注目したい。
  - 2008.04～2010.01 の関連工事で「1社応札」が 44 件あり、平均落札率も 96.11% だった件。
》元大阪高検・三井環氏が語る《検察の裏金》
- 元大阪高検・三井環氏が語る《検察の裏金》（前） (JANJAN, 3/4)
- 元大阪高検・三井環氏が語る《検察の裏金》（後） (JANJAN, 3/5)
  
  　三井氏は、検察相手の裏金問題を避けて通る面々に多少いらだつ様子も見せたが、同時に「今が、検察の裏金を解決するいちばんいい時機」とも言った。
  　
  　「ひとつは、千葉景子法務大臣が、行政上の指揮権を発揮して、裏金について謝罪し国に返金せよと命令すればいいのです。そうしたら国民は拍手喝采しますよ」
  　
  　「もう一つは、法務委員会で、まず私を参考人として招致して、次いで樋渡利秋（ひわたり・としあき）検事総長を証人喚問すればよいでしょう、これだけ裏金が大きな問題になっている今、わざわざ偽証までしてウソをつくメリットは考えられません」
》凍ったバルト海で船舶50隻が立ち往生 (AFPBB, 3/5)
》入れ歯安定剤「新ポリグリップEX」の販売中止及び自主回収のお知らせ (グラクソ・スミスクライン, 3/4)

「新ポリグリップEX」は粘着性を高める目的で亜鉛を含有しています。亜鉛は人体に必要な栄養素ですが、長年にわたり過剰に亜鉛含有入れ歯安定剤を使用しますと、亜鉛の過剰摂取による貧血や神経症状を引き起こすことが、最近の文献で報告されています。

「新ポリグリップEX」は添付文書に記載されている「使用方法及び使用上の注意」にしたがって適正に使用していただく限り、製品自体の安全性に問題は無いと考えております。しかしながら、長期間にわたり1日1回3cmまでという定められた使用方法よりも過剰な量を使用されている方がいらっしゃることも考えられます。

本品は、お客様がご家庭で使用される製品でもあり、健康被害への潜在的なリスクを最小化することを最優先としまして、予防的な措置として、販売を中止し店頭からの自主回収を行うこととしました。

　というわけで、「新ポリグリップEX」はディスコンになったようです。

なお、弊社が取り扱っている本品以外の義歯安定剤「新ポリグリップ無添加」、「新ポリグリップS」、「ポリグリップパウダー無添加」、「ポリデント入れ歯安定剤」は亜鉛を使用しておりません。今後も継続販売いたしますのでこれからもご愛用いただけます。今後これらの製品には亜鉛を含んでいない旨をパッケージに表記していきます。

　でもきっと、装着感は「新ポリグリップEX」の方が上なんだろうなあ。
》 FakeAV, now for Windows 7! (Sophos, 3/4)。売れ筋 (!) のソフトウェアが Windows 7 に対応するのは当然です!
》厚子さん、第１１回公判傍聴記　by　ナミねぇ～「これは政治案件ですよ」は、真っ赤な嘘～ (prop.or.jp, 3/4)

「公判前整理手続の段階では、石井氏が克明に手帳に記録をとる方だとは分かりませんでした。しかし本件について、昨年９月に石井氏が事情聴取を受けた時、実は石井氏は手帳を検察官に見せているんですよ。検察官がきちんと見なかっただけです。石井さん、その時の検察官がここに居ますか？」「はい」石井氏が検事席を見ながら答える。
「そこにおられる・・・少し太られてメガネもかけておられるので別人のように見えるが、あの方です。」名指しされたＭ検事、ちょっと顔を赤らめて、俯く。

私は驚いて傍聴席で飛び上がった。なぜならこの事件は「石井議員の口利きに端を発した、政官がグルになって犯した犯罪」と検察は言い続けているにも関わらず、捜査時点はおろか逮捕・起訴後３ヶ月の間、倉沢の供述の裏付け捜査を一切行っていないということが明らかになったからだ。ようやく９月に入って、あわてて石井議員から話を聞いたのだろう。
検察は、事件の端緒になる口利きについて最も基本的な裏付け捜査もせずに、主犯の供述だけを基にして厚子さんを逮捕・起訴していたことになる。何という暴挙！　何という怠慢！　開いた口が塞がらないとは、こういうことだ！！

　http://twitter.com/amneris84/status/9956755571 によると、大阪地検の前田検事だそうで。
》インジェクション - 3129 2 (cNotes, 3/4)
》リダイレクションにFlashを利用するSEOポイズニング・サイト (エフセキュアブログ, 3/4)。あの手この手。
》海の向こうの“セキュリティ”　第42回：仏・豪で中9q$N$h$&$JWebフィルタリング導入　ほか (Internet Watch, 3/4)
》高木浩光氏「Winnyは適法に使えない」 (Internet Watch, 3/3)
》ヘリコプターの難敵「騒音」にチャレンジする新型ローターブレード (gigazine, 3/4)
》地域別で連休がバラバラになる「祝日法改正案」、さらに海の日や敬老の日を平日扱いにして秋にシルバーウィークを創設へ (gigazine, 3/4)。もちろん利点と欠点があるわけですが。
》アップルのApp Store、「セカイカメラ」などが非公開に (Internet Watch, 3/4)。PlaceEngine を使っているソフトが軒並み非公開にされているそうで。PlaceEngine 開発元のクウジットから:

現在、App Store審査(無線LANデバイスへのアクセス方法）により、PlaceEngineを利用したiPhoneアプリが非公開となっており、詳細を確認中です。大変ご不便をおかけして申し訳ありません。対象アプリ(順不同): WGConnect, Yahoo!地図, セカイカメラ, 大江戸妖怪集, DaMoNo, DaMoNo2 (2010.03.04)
》 Tab Isolation (IEBlog, 3/4)。Googhel Chrome と IE 8 とでの Tab Isolation の違いなど。

As with any architectural difference, there are scenarios that are better in one architecture and worse in another. Theoretically, for example, a vulnerability in the Flash control running in Chrome does not have a defense in depth protection like Protected Mode to contain it.
》 Twitter、「拡張性と可用性」を求めてMySQLからCassandraへ乗り換える (sourceforge.jp, 3/2)
》今年の「Document Freedom Day」は3月31日 (sourceforge.jp, 3/4)
》「悪意ある放流者は追い詰める」日本IBMがShare流出を振り返る (Internet Watch, 3/3)。the IBM way.
》記者会見の全面開放宣言～記者クラブ改革へ踏み出そう～ (日本新聞労働組合連合新聞研究部, 3/4)
》呆れた言論封殺に、姑息な見出し変更　日本の新聞に未来などない！ (週刊・上杉隆, 3/4)

■ SA-CORE-2010-001 - Drupal core - Multiple vulnerabilities
(Drupal.org, 2010.03.03)

　Drupal 5.x / 6.x に複数の欠陥があり、Drupal 5.22 / 6.16 で修正されているそうです。

■ Operaブラウザに深刻な脆弱性、パッチは未公開
(ITmedia, 2010.03.05)

　この件: Opera 10.10 - 10.50 Integer overflow leading to out of bounds array access R/W 0day poc (exploit-db.com, 2010.03.03)。長大な Content-Length: によって発症するようで。

　Opera には patch という概念はないので、新版待ちですね。

■ 2010.03.04

　【ひなまつりの次の日】

》戦争の心理学で「殺人当事者力」を鍛えましょう (科学に佇む心と体 Pt.2, 2008.07.24)。『戦争』の心理学 (二見書房) の紹介。
》倫理とゲーム理論と災害心理＋人食い (科学に佇む心と体 Pt.1, 2004.07.21)。土壇場における人間の研究　ニューギニア闇の戦跡 (版元ドットコム) が興味深そう。
》デタラメすぎないか！検察は裁判に持ち出す気がないらしい　水谷建設からの１億円ヤミ献金疑惑「最初から作り話だった」の見方も (ゲンダイ的考察日記, 2/27)。いや実際、どうなってるんでしょう。
》自民、徴兵制検討を示唆　５月めど、改憲案修正へ (47news.jp, 3/4)。うわ……。「いよいよ断末魔!」(声: 北原義郎) なのか。
》 Open Identity Exchange (OIX) というのができたそうで: Open Identity Exchange Launches at RSA (Open Identity Exchange, 3/3)
》新聞労連が「記者会見の全面開放宣8@!W (ニッカンスポーツ, 3/4)、新聞労連・新研部が「記者会見全面開放」へ宣言 (JANJAN, 3/5)
》私は幸運だろうか？ (エフセキュアブログ, 3/3)
》史上最大規模、Mariposaボットネットの摘発 (Panda Security Japan ブログ, 3/4)。Mariposa ボットネットの中の人 3 人を逮捕だそうで。

再度、Mariposa Working Groupは、DDPチームがMariposaへアクセスすることを防ぐことができました。我々がDNSレコードを書き換えたので、ボットは C&Cサーバーへ接続して指示を受けることができず、その瞬間、我々はどれくらいのボットがレポートを行っているかを正確に確認することができました。我々は、1200万以上のIPアドレスがC&Cサーバーに接続され情報を送信されていることを知って衝撃を受けました。Mariposは史上最大のボットネットの一つになっていました。
(中略)
盗まれた情報は、銀行口座の情報、クレジットカード番号、ユーザー名、パスワードなどが含まれます。DDPチームのメンバーであるNetkairoの逮捕時に押収されたコンピュータ関連の品には、80万人以上のユーザーに関する盗まれたデータが含まれていました。
調査はまだ進行中ですが、詐欺行為による損失、金銭の盗難、データの損失、クリーンアップにかかるコストについて、現段階での計算でも既に数百万ドルの損失が予想されています。

　関連:
- Mariposa Botnet Analysis (Defence Intelligence blog, 2009.10.09)。解析文書は今年の 2 月に更新されている。
- Wireshark Plugin for Mariposa Botnet Command and Control (paloaltonetworks.com, 2009.10.27)
- Mariposa FAQ (Defence Intelligence)
- Authorities bust 3 in infection of 13M computers (AP, 3/2)
- Mariposa botnet take down (SophosLabs blog, 3/3)
- How FBI, police busted massive botnet (The Register, 3/3)
- In focus: Mariposa botnet (Microsoft Malware Protection Center, 3/4)
》郵便不正：石井一参院議員、関与を否定　証人出廷 (毎日, 3/4)。関連:
- @nami_takenaka。竹中ナミ氏、中継中。関連: 村木厚子さんの完全な名誉回復を願う (prop.or.jp)
- @amneris84。江川紹子氏、中継中。証拠採用された手帳、石井議員は捜査段階で大阪地検の前田検事に見せているのだとういう。http://twitter.com/amneris84/status/9956755571
》キム・ヨナ選手で五輪のネット生中継は最高記録、計り知れない経済効果 (日経 PC Online, 3/4)。韓国には「国民的アイドル」がまだ存在するのですね。

　昨日、女子フィギュア・スケートのフリーの演技を見直していたりしたのですが、キム・ヨナの滑りは別次元だよなぁとあらためて思ったです。なんというか、一人だけクラシックバレエを踊っている、というような。
》ウイルスパターンファイル 6.891.80の緊急配信のお知らせトレンドマイクロ, 3/4)

弊社ウイルスパターンファイルにおいて、差分配信ではなく、フルサイズでの配信が行われる可能性が確認されたため、本事象を回避するために6.891.80を緊急配信することお知らせいたします。(中略) 2010年3月4日(木) 9:40頃にパターンファイル 6.891.80をリリースいたしました。
》 Microsoft Excel使用時にファイルの保存ができない (トレンドマイクロ, 3/3)。 Windows 7環境でMicrosoft Excel使用時にファイルの保存ができない (トレンドマイクロ) は Windows 7 + ウイルスバスター2010 限定だったが、こちらは Windows XP / Vista / 7 + ウイルスバスター 2010 17.50 になっている。

　アップデートの上で修正モジュールを適用すれば、たいていの場合は解決するということか。それでも駄目なら「Distributed Link Tracking Client」を無効にする、と。

　しかし、Windows 7環境でMicrosoft Excel使用時にファイルの保存ができない (トレンドマイクロ) は 2009.12.21 作成だったはずにもかかわらず、「作成日: 2010-03-03 03:44:33」とはどういうことなのか。トレンドマイクロの文書管理ってどうなってるの。
》ユーザーにエラーメッセージを読ませるには？ (slashdot.jp, 3/3)。lolifox-ErrorZilla なんてものがあるのですか。

ErrorZilla を萌えキャラにできるFirefoxアドオン- lolifox-ErrorZilla -。 (HUHEN-ふへん-, 2007.04.18)

　lolifox-ErrorZilla は 3.0a1 までしか対応してないようですが、 lolifox - Fierr MOD 1.0.3.0 という類似品があるようで。この作者さんは、Virtualfox ペルソナなんてのもつくってるんですね。

　あ、まじめな人は ErrorZilla Plus 0.8.1 とかをどうぞ。

　Re:無理。 (slashdot.jp, 3/3)。いろんな0UL#$G4m81$9$.$k$H;W$&$J$"!#
》「ツイッター大臣」批判の読売記事　フリージャーナリストらから反論続出 (j-cast.com, 3/3)。読売のアレの件。
》 http://twitter.com/virusbtn というのができたのですか。

■ 2010.03.03

　【世の中的にはひなまつりってことになっている】

》「特捜なめるな」と署名迫る　厚労省部下また調書否定 (中日, 3/3)。これが検察だ。
》アートとテクノロジー：ピカソのゲルニカ in 3D (Panda Security Japan ブログ, 3/3)

今日はセキュリティとは全く関係なく、そのピカソのゲルニカの3D版の話です。

　いやいや、ゲルニカなのですから、セキュリティとは関係大ありでしょう。
》 InterScan Messaging Hosted SecurityにおけるMTA(Mail Transfer Agent)不具合のご報告 (トレンドマイクロ, 3/3)
》ＪＲ東海道線：尼崎駅構内で信号故障　一部で運転見合わせ (毎日, 3/3)。見事に影響を受けました。
- 【ＪＲ神戸線】信号トラブル　運転見合わせ (JR 西日本, 3/3)。琵琶湖線もここに含まれる。
  
  【ＪＲ神戸線】信号トラブル　列車の遅れ　11:45更新
  ＪＲ神戸線：尼崎駅上り外側線（主に新快速・快速・特急が通る線路）で発生した信号トラブルのため、ＪＲ神戸線・ＪＲ京都線・琵琶湖線・ＪＲ宝塚線・ＪＲ東西線・学研都市線の列車に運転取り止めや、１００分~１５分程度の遅れがでています。なお、振替輸送は継続しています。
- 【JR宝塚線】ＪＲ尼崎駅信号トラブルの影響により運転取り止め (JR 西日本, 3/3)
- 【きのくに線】その他　運転取り止め (JR 西日本, 3/3)
　……これ、実は「信号故障」ではなく、レールの異常を正常検知して赤信号を出していたみたい: レール折れＪＲ神戸線・宝塚線一時運休　朝のラッシュ時 (asahi.com, 3/3)

ＪＲ西日本によると、ＪＲ神戸線の新快速が通るレールの溶接部分が破断して約１センチのすき間ができ、電流が通らなくなったためという。(中略) 破断したのは、同駅ホームから約３６０メートル大阪寄りの分岐器付近。ＪＲ西日本は、新快速に別の線路を走らせる措置をとり、午後０時４８分までに新しいレールを取り付けた。同社大阪支社総務課の担当者は「レールが破断することはほとんどなく、原因を詳しく調べたい」と話している。
》米空軍のＦ３５導入は１５年に　日本の機種選定に影響も (京都新聞, 3/3)。F-15SE って、その後どうなってるんでしたっけ。
》英ＢＢＣ、リストラ本格化へ　ウェブ半減、拡大の時代終了 (京都新聞, 3/3)
》「Web感染型マルウェアは成功した攻撃モデル」 “Gumblar型”からみんなを守れ！対策コミュニティ発足 (@IT, 3/2)、Web感染型マルウェアの脅威に、有力企業が共同戦線－マルウェア対策は総力戦に移行、総合力が試される時代に (フォティーンフォティ技術研究所, 3/2)
》新聞とツイッター (江川紹子ジャーナル, 3/2)。読売のアレの件。変更前・変更後の読売記事の解説など。

　今回のような反応をみると、法廷メモを巡る問題を思い出す。
　かつて、法廷で一般傍聴人はメモをとることが許されなかった。認められているのは、司法記者クラブに所属する大手メディアの記者だけ。それに異議を申し立てたのが、アメリカ人弁護士ローレンス・レペタさん。レペタさんは日本語が流ちょうで、ちゃんとメモも日本語で取れる。日本の経済事件の研究をするために裁判傍聴をしていたが、数字などは書き留めておかなければ忘れてしまう。なのでメモを取ろうとしたら、裁判長に禁じられた。それで、法廷メモ解禁を求めて、裁判を起こしたのだ。
　１審、２審と敗訴。最高裁で争っている時、私はこの裁判を知って、支援を始めた。支援というより、レペタさんに勝ってもらわないと、私自身も困るのだ。私も以前は新聞社にいて、そういう問題があることにすら気がつかずにいたことに、とても恥ずかしい気持ちもあった。
　裁判所がメモを禁じる理由は、今思い出してみても笑ってしまう。「法定内の静けさ（判決文では難しく「静謐」という言葉を使っていたっけ）が乱される恐れがある」とか、「証人が不安を感じて正直に証言しなくなる恐れがある」とか、およそ意味のない、様々な「恐れ」を作り出していたのだった（もちろん、メモを解禁した後、そのために法定内が紙にペンを走らす音でうるさくなったり、証人尋問ができなくなったりなどという事態は起きていない）。
　当時、新聞社はメモ解禁に否定的だった。その理由を聞くと、ある知人の記者がこう言った。
「これまで自分たちだけで座っていた座布団に、誰か知らない人たちがお尻をのっけてきた、そんな感じがする」
　そして今、様々な役所の資料がインターネットを通じて直接国民に公開され、大臣会見がフリーランス記者に開放され、今回のようにツイッターによるリアルタイムの情報公開が行われ……。気づいてみたら座布団に、次々にいろんな人がお尻を載せてきて、居心地が悪い、という気分に陥っている新聞社の人たちは結構いるのではないだろうか。

　うわ……。そんなことがあったのか。

　むしろ、公開情報の詳細を伝えるのはネット系メディアに任せてしまってもいいくらいで、新聞社には新聞社しかできない（あるいは、他には難しい）報道にもっと力を入れるチャンスだと考えてもいいのではないだろうか。

　本当にねぇ……。マスメディアには、もっと調査報道に力を入れてほしいところなのですが。

　関連: 原口大臣の津波ツイートと「マスメディア報道の可視化」 (ニュース・ワーカー2, 3/3)
》 THE WAVE ウェイヴ。京都みなみ会館では、明日から 1 週間だけロードショー。
》 Waledac, Botnets and RSA (Microsoft Malware Protection Center, 3/2)
》電子メールソフトのセキュリティ設定について (JPCERT/CC, 3/2)
》 2chサーバのデータセンター、「サイバーテロ」として米機関に調査依頼へ (ITmedia, 3/2)
》フリーランスライター　畠山理仁の「永田町記者会見日記」～首相官邸への道～【第4回】 (畠山理仁, 3/3)
》コンピュータウイルス・不正アクセスの届出状況[2月分]について (IPA, 3/3)

1. 今月の呼びかけ

「 ID とパスワードを適切に管理しましょう」
～　サイフと同じく大切に！　～
》ネットワークへの情報漏洩後に状態が変化した派生ファイルでも特定・流通停止できる技術を開発～仮想的なインターネット環境におけるP2Pソフトのトラヒックを用いて検証～ (NEC, 3/2)
》エフセキュアメールマガジンをご存知ですか？ (エフセキュアブログ, 3/3)。いいえ、知りませんでした。
》 Charlie MillerとのPwn2Ownインタビュー (エフセキュアブログ, 3/2)

Windows 7あるいはSnow Leopardという2つの商用OSは、ハックがより難しいでしょうが、それは何故ですか？

Windows 7の方がやや難しいですが、それは完全なASLR（Address Space Layout Randomization：アドレス空間レイアウト・ランダム化）を実装しており、攻撃にさらされる面（たとえばデフォルトのJavaやFlash）がより小さいという理由によります。Windowsはかつて、完全なASLRとDEP（data execution prevention：データ実行防止）を実装していたため、より難しかったものです。しかし最近、Black Hat DCでの講演で、これらのプロテクションをWindowsのブラウザで如何に回避するかが示されました。

　うーん、この訳はちょっと……。原文:

Windows 7 or Snow Leopard, which of these two commercial OS will be harder to hack and why?

Windows 7 is slightly more difficult because it has full ASLR (address space layout randomization) and a smaller attack surface (for example, no Java or Flash by default). Windows used to be much harder because it had full ASLR and DEP (data execution prevention). But recently, a talk at Black Hat DC showed how to get around these protections in a browser in Windows.

　オレ訳:

Windows 7 と Snow Leopard、どちらの商用 OS の方がより hack するのが困難ですか? それは何故ですか?

Windows 7 の方がちょっとだけ難しいです、完全な ASLR (address space layout randomization; アドレス空間配置のランダム化) と、より小さな攻撃界面 (たとえば、Java や Flash がデフォルトでは塔載されていません) のおかげで。Windows には完全な ASLR と DEP (data execution prevention; データ実行防止) があるので、hack するのはかなり難しいと考えられていました。しかし最近、Black Hat DC において、これらの防御を Windows 上のブラウザにおいて回避する方法が明らかにされました。

　回避する方法というのは、Interpreter Exploitation: Pointer Inference and JIT Spraying by Dionysus Blazakis (woodmann.com, 2/11) ですかね。
》ついにACTAインターネット規定のドラフトがリークされる (P2Pとかその辺のお話, 2/23)
》スウェーデン：アンチパイラシー法施行から9ヶ月、抑制効果は消失 (P2Pとかその辺のお話, 2/21)
》ロシア大手Torrentサイト、当局の命令でドメインをサスペンドされる (P2Pとかその辺のお話, 2/21)
》「BitTorrentってどうやって機能しているの？」をわかりやすく視覚化 (P2Pとかその辺のお話, 2/21)
》 Winnyの違法利用にISPから警告メール、3月1日からスタート (so-net セキュリティ通信, 3/1)。「ファイル共有ソフトを悪用した著作権侵害対策協議会」の件。さっそくメールもらったよ! という人いるのかな。
》 P2Pと著作権：Cabos利用で人気歌手のヒット曲を無断公開、高松市の男を逮捕 (so-net セキュリティ通信, 3/2)
》 P2Pと著作権：Share利用でアニメやドラマを無断公開、店員と主婦に有罪判決 (so-net セキュリティ通信, 3/2)。執行猶予つき。
》【オムニバス】なぜ記者クラブ問題ではウソがまかり通るのか (JANJAN, 3/3)

　「田中さんが記者クラブを廃した」とする１つ目のウソ (中略)
　「フリー記者がクラブに入りたがっている」２つ目のウソ (中略)
　「経産省会見開放の事実を報じない」という３つ目のウソ
》警察庁で児童ポルノ等被害児童支援担当者研修会～全国の担当責任者が集結、警察庁の樋口生安局長が訓示～ (ポリスチャンネル, 3/3)。＜児童ポルノ＞警察庁が被害者への支援研修会 (毎日 / Yahoo, 2/25) の件みたい。
》 TwitterでスパムDMが再び流行か (security.gs, 3/2)
》「原口勉強会」
- http://twitter.com/kharaguchi/status/9892186964 (@kharaguchi 原口一博)
  
  総務行政に関して昨日、立ち上げていただいた民主党の1期の国会議員を対象にした勉強会について記事が配信されています。私は民主党はリナックス型の政党であるべきと考えて派閥を否定してきました。名前も大事だなと思います。
  
  派閥 = 伽藍方式、ということかしら。確かに、バザール方式で行ければおもしろいですねえ。
  
  つづき: 9892433084、9895146131
- 原口総務相が勉強会＝民主１年生議員向け、政策能力強化へ (時事, 3/2)
  
  　勉強会をめぐっては、原口氏の党内基盤強化の目的も取りざたされているが、同氏は会合後、記者団に対し「生ぐさい話ではない。民主党や政権をバージョンアップする装置だと考えてほしい」と説明した。
  
  各地の「IT 勉強会」を、「主催者の業界内基盤強化の目的」だと捉えるようなもんですかねえ。
》 Comprehensive Blended Malware Threat Dissection Analyze Fake Anti-Virus Software and PDF Payloads (SANS, 3/1)。紹介されているツール類が興味深い。
》乱数生成器に関する説明会 (IPA)。2010.03.25、東京都文京区、無料。
》 Webページ検索時に表示されるTrendプロテクトのアイコンにカーソルをあわせるとスクリプトエラーが表示される (トレンドマイクロ, 3/2)。ウイルスバスター2009話。

本現象はウイルスバスター2010では発生しないことを確認しております。現象が発生する場合には、以下の手順で最新のウイルスバスター2010にバージョンアップを実施してください。

　スゲー。トレンドマイクロの言う「サポート」って、そういう意味なんだ。
》その男、中井洽
- ［高校無償化］朝鮮学校除外は筋違い～沖縄タイムス←激しく支持！ (情報流通促進計画 by ヤメ記者弁護士（ヤメ蚊）, 3/2)。この話を最初に聞いたときには「なんて貧乏臭い話なんだ」と思ったけど……本気なの?!
- 中井洽とは誰か――新政権人事に見る朝鮮人への弾圧強化政策 (media debugger, 2009.09.24)
- 高校無償化、朝鮮学校除外に反対　京ゆかりの文化人ら (asahi.com, 3/2)

■ いろいろ (2010.03.03)
(various)

CVE-2010-0789。2.7.4 以前 / 2.8.1 以前の FUSE に欠陥。fusermount に symlink 攻撃を受ける欠陥があり、local user が任意の FUSE ファイルシステムを unmount できる。

FUSE 2.7.5 / 2.8.2 で修正されている。

■ Thunderbird 3.0.3 リリースノート
(mozilla.jp, 2010.03.01)

　Thunderbird 3.0.3 緊急出荷。Thunderbird 3.0.2 で発生した重大な障害、 Bug 548735 - Local Folders "account" has disappeared from the left hand folder pane with v3.0.2 (mozilla.org) に対応。

■ 【注意喚起】Gumblar（ガンブラー）ウイルスによる新たなホームページ改ざん被害を確認
(LAC, 2010.03.03)

　例の .htaccess によるリダイレクトの件。

【Webサーバ管理者の対策】

身に覚えのない.htaccessファイルが存在しないかを確認してください。FTP転送ログで.htaccessファイルがアップロードされていないかを確認9$k$N$bM-8z$G$9!#

■ 追記

Renegotiating TLS

　Opera 10.50 登場。RFC5746 に対応しているようです。

Advisory: TLS protocol vulnerable to Man In The Middle attack (opera.com)
Opera 10.50 alpha version testing fix for TLS Renegotiation Security Problem. (opera.com)

Claimed Zero Day exploit in Samba

　samba 3.5.0 ではデフォルトで wide links = no となっているそうです。

　CVE-2010-0926

Microsoft 2010 年 2 月のセキュリティ情報

　MS10-015 - 重要: Windows カーネルの脆弱性により、特権が昇格される (977165) が改訂されました。新しい patch が登場しています。

なぜこのセキュリティ情報は 2010 年 3 月 3 日に更新されたのですか?
マイクロソフトはこのセキュリティ情報を更新し、Windows Update 上で MS10-015 のセキュリティ更新プログラムの改訂版パッケージの提供を開始したことをお知らせしました。この改訂は、パッケージのインストールロジックの変更のために行われたもので、特定の異常な状態がシステムに存在する場合にはセキュリティ更新プログラムがインストールされないようにします。これらのシステムの異常な状態は、コンピューターウイルスへの感染によるものであると考えられ、オペレーティングシステムのファイルを改ざんされることで、感染したコンピューターは MS10-015 のセキュリティ更新プログラムと互換性のない状態になります。また、場合によって、ウイルスに感染したコンピューター上にセキュリティ更新プログラム MS10-015 をインストールすると、コンピューターが再起動を繰り返します。この現象に関する詳細情報は、こちらの Web サイト (英語情報) をご覧ください。これは、Windows Update で配布される更新プログラムパッケージのインストールロジックのみの変更で、セキュリティ更新プログラムのバイナリまたは Windows Update の検出ロジックに対する変更はありません。マイクロソフトダウンロードセンターより提供しているセキュリティ更新プログラムには変更はなく、この新たなパッケージインストールロジックは含まれていません。すでにシステムを更新済みのお客様、自動更新を有効にしているお客様は特別な措置を講じる必要はありません。自動更新を有効にされているお客様で、このセキュリティ更新プログラムをまだインストールしていない場合は、できる限り早い時期にこのセキュリティ更新プログラムを適用することを検討してください。

　How to determine whether a computer is compatible with security update 977165 (Microsoft KB 980966) も参照。patch を適用できるか否かを判断するための Microsoft Fix it や、チェックツール MpSysChk.exe が公開されている。

■ 2010.03.02

》 Panda Cloud Antivirus 1.0.1リリース (Panda Security Japan ブログ, 3/2)

最も大きな改善点は、初回インストール時に必要だったアカウント登録を無くしたということです。Panda Cloud Antivirusは、インストール中にもう何も要求してきません。Cloud Antivirus Support Forums（英語）に参加したい場合だけ、アカウントを作成する必要があります。
》 BIND 9.6.2 (ISC) が出ています。
》週１回、記者会見を開放＝事前登録で参加認める行政刷新相 (時事, 2/26)。枝野幸男行政刷新担当相も記者会見を解放。
》著名優良サイトでもiモード2.0の脆弱性に対応していなかった。なぜか。 (高木浩光＠自宅の日記, 2/28)

これは、NTTドコモの責任だろう。NTTドコモは、「かんたんログイン」用途で「iモードID」を開始すると自ら発表*7しておきながら、その安全な実装方法について要件を公表していない。
》なぜ一流企業はhttpsでの閲覧をさせないようにするのか (高木浩光＠自宅の日記, 2/27)

なんと、このように、上位5行のいずれも、問い合わせ先電話番号等を https:// ページで閲覧できるようにしてくれていない。
(中略)
ここで思い出すのが、昔からしばしば、「https:// のページは http:// でアクセスできてはいけない」などと、出鱈目なことを言う自称セキュリティ屋がいたことだ。インターネットバンキングのSSLサイトを http:// でアクセスして、アクセスできると「危ない銀行だ」などと出鱈目なことを言いふらしているのがいた。
最近でも、以下の文書がそういうことを言っている。

　また上野宣か。
》 FIX: Communication over an IPsec connection is broken unexpectedly when a client reconnects to the IPsec server within four minutes after the client restarts (Microsoft KB 979272)
》 Add a fix to improve the logging capabilities of the Storport.sys driver to troubleshoot poor disk I/O performance issues in Windows Server 2008 (Microsoft KB 979764)。より多くの (?) disk I/O に関するログを取れるようになる模様。
》政界：石破・自民政調会長「昨年の裏返し起きた」 (毎日, 3/2)

自民党の石破茂政調会長は１日、東京・内幸町の日本記者クラブで講演し、
》原口総務相弁明…ツイッターで津波情報流してた (読売, 3/2)

　そのうえで、ＮＨＫなど災害情報を発信する放送機関について、「もっと適宜適切に、公共放送も含めて横並びでない細かな情報が流れるように、双方向のシステムがあればいい」と指摘した。放送行政と総務省消防庁を所管する総務相が、災害放送が義務づけられる放送機関より、ツイッターの利用を優先させる考えを示したことは、今後、論議を呼ぶ可能性がある。

　ハァ? 「もっと適宜適切に、公共放送も含めて横並びでない細かな情報が流れるように、双方向のシステムがあればいい」という発言をどのように読めば、「放送行政と総務省消防庁を所管する総務相が、災害放送が義務づけられる放送機関より、ツイッターの利用を優先させる考え」になるのか。さっぱりわからない。適材適所ということでしょ、ふつうに考えれば。関連:
- http://twitter.com/kharaguchi/status/9857211358 (@kharaguchi 原口一博)
  
  記者会見で私のツイッターによる災害対策情報提供について記者の１人よりなりすましの危険もあり不適切ではないかと質問がありました。全くそのような認識を持っていないと回答しました。国会議事堂内会見だったためインターネットで流れていませんが会見内容を開示します。
- http://twitter.com/uesugitakashi/status/9866356249 (@uesugitakashi 上杉隆)
  
  読売記事、「釈明」から「弁明」に変更。山岡俊介氏と同じ姑息さに思わずアイスティーを吹き出した議員食堂の中の孤独な私。 QT @nobi nobi 読売新聞の@kharaguchi 氏記事「原口総務相釈明…ツイッターで津波情報流してた」 http://bit.ly/cy5YLO
- Twitter (metoffice.gov.uk)。UK 国立気象局は既にバシバシ twitter している模様。
- Twitter Storm Report (noaa.gov)。US 国立気象局では twitter による気象報告の受付を実験中の模様。 http://www.crh.noaa.gov/grb/?n=twitter_lsr にある例の方がわかりやすいかな。
  
  Some examples of weather report Tweets without geotagging:
  Ex. 1: #wxreport WW 1289 W Oakridge Circle, De Pere, WI WW 6.0" new snow as of 1 pm
  Ex. 2: #wxreport WW 44.115, -88.595 WW Hail 3/4 inch in diameter at 4:25 pm
  
  関連: National Weather Service Service Description Document: Experimental Service Acquiring Spotter Reports via Twitter (noaa.gov)
- 原口総務相：ツイッターで津波情報発信 (毎日, 3/2)。この件に関する毎日の記事。
　で、

今後、論議を呼ぶ可能性がある。

　読売はどういう「論議を呼ぶ可能性がある」と思っているのかねえ。
》今後のICT分野における国民の権利保障等の在り方を考えるフォーラム（第3回会合）配布資料・会合中継 (総務省, 3/1)
- アジェンダ設定について
  
  その他 ICT 分野における権利保障に係る枠組みの現状と課題 (訂正放送制度、クロスメディア所有の在り方、記者クラブ制等)
- ■「記者クラブ制度はアジェンダから外せ」日本新聞協会が審議拒否 (お笑いみのもんた劇場, 3/2)。日本新聞協会……。メディアとしては、自殺に等しいんじゃないのか。
》トヨタ“推定有罪”の世論を作った謎の人物とＬＡタイムズの偏向報道～『ザ・トヨタウェイ』著者の米大物学者が語る衝撃の分析！ (ダイアモンド, 3/1)、「暴走」レクサス、転売された後はトラブルなし (読売, 2/27)
》「記者クラブはつぶしたほうがいい」　ネット中継討論会もりあがる (JCAST ニュース, 3/1)。関連:
- 第一回朝ダダ『どうなるこれからのジャーナリズム！』【1】 (ustream)
- 第一回朝ダダ『どうなるこれからのジャーナリズム！』【2】 (ustream)
- 第一回朝ダダ『どうなるこれからのジャーナリズム！』【3】 (ustream)
- 第一回朝ダダ『どうなるこれからのジャーナリズム！』【4】 (ustream)
- 第一回朝ダダ『どうなるこれからのジャーナリズム！』【5】 (ustream)
- 第一回朝ダダ『どうなるこれからのジャーナリズム！』【6】 (ustream)
》 soratobu.jp の件
- 「mixiアプリ」という脆弱性 (day by day, 2/22)
- mixiアプリが危険な件、幾つか追記。 (day by day, 2/24)
- mixiアプリの件、一段落のようです。 (day by day, 2/25)
- mixiアプリを提供していたサーバーが改竄被害、サービス停止に (slashdot.jp, 3/2)
》 End to End Trust (Microsoft)。日本語版はないのかな。
》記者クラブついにギブアC%W!* 亀井コーヒーの甘く苦い誘惑 (JANJAN, 3/2)

　元々、亀井静香大臣側が記者会見のオープン化を提案していたのだが、既得権益を死守せんとする記者クラブ側が頑（癌）として拒否していた。このため亀井大臣はクラブ詰め記者とフリーやネット・メディアの記者とに合わせて２度も記者会見を行っていた。
(中略)
　フリーやネットメディア記者の会見は様相が一変する。会見場所は大臣室。亀井氏を囲んで座談会風に行われる。記者も大臣もフランクに話す。「郵政改革の見直し」「普天間」「外国人参政権」がテーマになることが多い。本音が飛び出すので、政策の真意、亀井氏の政治哲学までもが分かる。
　亀井氏は「これはアンタたち（フリーやネット記者）だけに話すんだけどね…」と前置きして新たな政策などを明らかにすることが多い。会見録は金融庁のホームページに掲載される。クラブ詰めの記者たちは「あれっ大臣、こんなこと話してる」と驚き悔しがる。政界きってのケンカ上手である亀井氏は、それを知ったうえでやっているのだ。
　かくして記者クラブはしょっちゅうフリーやネット記者に「出し抜かれる」ことになった。新聞・テレビの記者たちはたまったものではない。苦し紛れで「第２記者会見より」として報道する新聞社も出てきた。ついには「会見をフリーやネット記者と一緒に行うよう」当局に申し入れたのである。

　亀井大臣おそるべし。

　「これは読者だけに話すんだけどねえ」、筆者は今のまま別々に記者会見してくれた方がいいと思っている。亀井大臣が結構深いところまで話してくれるので情報の質が高いし、何より出席者全員にコーヒーが振舞われるのが有難い。しかもコーヒーをサーブしてくれるのは妙齢の美女ときている。

　わはは。
》 Microsoftの“スパイガイド”は一読の価値あり (ITmedia, 3/1)。マイクロソフト vs Cryptome の件。
》 5月4日は「反DRMの日」――ストールマン氏らが提唱 (sourceforge.jp, 5/4)。なぜ 5/4 なんだろう。 Day Against DRM: Tuesday, May 4th 2010 (FSF) を見てもよくわからなかった。
》韓国 vs 2 ちゃんねる。

　背景となる状況:
- 3月1日は三・一独立運動の日なので、もともと反日運動が盛りあがりやすいみたいで。
- 2 ちゃんねるは、浅田真央 vs キム・ヨナねたで盛りあがってたみたい: 世界最高記録で金メダル獲得の「キム・ヨナ」採点への疑問が上がる理由 (MEN'S CYZO / ライブドアニュース, 2/27)。
  
  しかしねえ。現在の採点基準が「極めて高い技術性」よりは「高い技術性 + 芸術性」を優先している、というだけの話であって、ジャッジ個人の資質の話にしてしまっては駄目でしょう。採点基準は変化しつづけるものなのだから、浅田選手を応援したいなら、採点基準を見直そうという動きに持っていかないと。
- あと、ロシアで韓国人留学生が集団暴行で死亡 (KBS WORLD, 2/19) の件に対して「よくやった」とか言う人がいたみたい: 韓日のネットユーザーが「サイバー戦争」 (朝鮮日報, 3/2)。これもなあ。根に人種差別があるのなら、日本人だって同様にヤラれる可能性があると思うんだが。
　で……
- 韓日両国で「三一節サイバー戦争」の動き (中央日報, 3/1)
- キム・ヨナを誹謗した日本サイトが‘ダウン’ (中央日報, 3/2)
- 『2ch』へ5万人規模での原始的なF5リロード！　韓国からのアクセスを遮断 (ガジェット通信 / ライブドアニュース, 3/1)
- 韓国が『２ちゃんねる』の801板を八百長と勘違いしてサイバーテロ攻撃！ (ガジェット通信 / ライブドアニュース, 3/1)。ちゃんと笑いを取るとは、さすがですね。やっぱり韓国の方が一枚上手なのでは。
- ２ちゃんねる、大規模なDDoS攻撃を受けダウン (slashdot.jp, 3/2)
　あとねえ。自分でやっててテロだと言うのは頭悪すぎなのでやめましょう。まぁ今回のは、自分達で認めてるんだからバリバリのテロリズムなのでしょうけれど。
》津波「Ｊアラート」が誤報、システム不具合？ (読売, 3/2)

　Ｊアラートは、同庁の提供情報を各自治体がそのまま流すシステム。神奈川県茅ヶ崎市では、１日午前８時４０分に注意報が解除された際、防災行政無線で「津波注意報が発表されました。海岸付近の方は注意してください」と流れた。(中略) 同県横須賀、三浦両市では、すでに津波警報が発令されていた２月２８日午後７時頃、東北地方の大津波警報が津波警報に格下げされた際、改めて「津波警報が発表されました」などと流れた。(中略) 同庁によると、最大で３０都道府県前後で同様のケースが起きた可能性があるという。
》 PS3で時計機能のバグによる障害が発生 (Internet Watch, 3/2)。何これ。2010 年問題?

　関連: ソニーが旧型PS3で発生していた時刻のバグを修正、原因は「うるう年」 (gigazine, 3/2)
》「携帯のSIMロックの是非について検討する」と内藤副大臣、ICTタスクフォースから (日経 IT Pro, 3/1)。とっととなくせばいいのに。
》『JANJAN』休刊のお知らせ (JANJAN, 3/1)。うぉぅ……。ビジネスモデル重要だよなあ。
》北海道大学のWebサイトが改ざん被害 (security.gs, 3/1)
》川口洋のつぶやき第1回　 02/26/2010 - K's Private Talk (LAC, 2/26)
》 Internet Exploiter 2 - bypassing DEP (skypher, 3/1)
》 IPv4延命策「LSN」にデジタル家電を接続して分かったこと (日経 IT Pro, 3/2)。しょせんは時間かせぎ、カプセル怪獣みたいなものですから。
》高遠菜穂子のイラク（仮題） (NHK クローズアップ現代, 3/3 放送予定)

■ マイクロソフトセキュリティアドバイザリ (981169) VBScript の脆弱性により、リモートでコードが実行される
(Microsoft, 2010.03.02)

　Windows 2000 / XP / Server 2003 に欠陥。「Internet Explorer を使用する際の、VBScript と Windows Help ファイルの相互作用の方法」に欠陥があり、攻略 Web ページを使って任意のコードを実行できる。 CVE-2010-0483。この件:

http://www.isec.pl/vulnerabilities/isec-0027-msgbox-helpfile-ie.txt
検証コード (isec.pl)。 [F1] キーを押す必要があることを体験してみよう。デモ自体は、\\184.73.14.110 につながらないと途中で止まっちゃうみたい。
Investigating a new win32hlp and Internet Explorer issue (MSRC blog, 2010.02.28)
Help keypress vulnerability in VBScript enabling Remote Code Execution (Microsoft Security Research & Defense, 2010.03.01)

　複数の回避方法が記されているけど、ふつうの人が実行できるのは、「Windows ヘルプへのアクセスを制限する」かなあ。管理者権限でログオンして cmd.exe を実行し、そこから以下を実行。

echo Y | cacls "%windir%\winhlp32.exe" /E /P everyone:N

　戻すときは:

echo Y | cacls "%windir%\winhlp32.exe" /E /R everyone

　「IE を使わない」も推奨だけど、回避しきれない場合があるだろうし……。あ、「Windows XP ステ」も推奨できますね。

2010.03.11 追記:

■ いろいろ (2010.03.02)
(various)

JVNVU#166739 - APC Network Management Card のウェブインターフェースに複数の脆弱性 (JVN, 2010.02.26)。Network Management Card (NMC) のファームウェアの更新が必要。 CVE-2009-1797 CVE-2009-1798 CVE-2009-4406
tDiaryの脆弱性に関する報告(2010-02-25) (tdiary.org, 2010.02.25)。 tDiary 2.2.2 以前に欠陥。tb-send.rb プラグインに欠陥があり、 IE 7 と併用した場合に XSS 欠陥が発現する。tb-send.rb を使わない場合、あるいは他のブラウザを使う場合には欠陥はない。

tDiary 2.2.3 で修正されている。また tDiary 2.3 にはこの欠陥はない。

■ 追記

いろいろ (2010.02.15): 　APSB10-05: Security update available for BlazeDS (Adobe, 2010.02.11) の日本語版: APSB10-05: BlazeDS用セキュリティアップデート公開 (Adobe)
Firefox 3.5.8 / 3.0.18、SeaMonkey 2.0.3 リリース: 　Thunderbird 3.0.2 出ました。リリースノート。高橋さん情報ありがとうございます。

■ 2010.03.01

》「税金のブラックホール」団地にご執心、元建設官僚市長 (JANJAN, 3/1)。広島ねた。
》ガンブラー対策「.htaccess」にも注意！ (エフセキュアブログ, 3/1)。.htaccess を使ったリダイレクトを行うことがある模様。
》川口洋のセキュリティ・プライベート・アイズ（23） Gumblarがあぶり出す「空虚なセキュリティ対策」 (@IT, 3/1)
》 Hyper-VクラスタにおけるVMの状態同期と構成ファイルの問題 (ITmedia, 2/18)
》サーバ仮想化環境のバックアップ　普通に取るか丸ごと取るか (ITmedia, 2/24)
》シャチに襲われ、女性調教師が死亡　米フロリダ州 (産経 MSN, 2/25)。例によってこういう話も: FAKEAV Rides on the Back of a Killer Whale (trendmicro blog, 2/28)
》国境という見えない「壁」 (Security, time after time, 2/25)
》 A Big Case of ...OOPS... (Following the White Rabbit Blog, 2/25)。偉い人の前で、実動サイトに対する SQL インジェクションのデモを行った話みたい。
》鉄道人身事故、国交省の「詳細なデータ」を見たい (回答する記者団, 3/1)
》「500台のPCが感染、復旧までに1週間」――ウイルス退治の舞台裏 (日経 IT Pro, 2/25)
》 A hotfix is available that improves TCP loopback latency and UDP latency in Windows Server 2008 or in Windows Vista (Microsoft KB 979612)。patch を当てるとネットワーク性能が向上するようです。

After you install the hotfix, TCP loopback latency or UDP latency is decreased. The decrease is between 5 percent and 25 percent.

　……この KB、なぜか消えてしまっているようです。田仲さん情報ありがとうございます。
》ＮＹ銅：チリ大地震による減産で6.2％高騰11カ月で最大の上げ (ブルームバーグ, 3/1)、チリ地震で銅価格急騰、ソブリンリスクの下落要因と綱引き (ロイター, 3/1)。チリは銅の「世界最大の産出国」なのだそうで。

　関連:
- 特集チリ大地震 (ロイター)
- 重要なお知らせ　チリを震源とする地震の影響について（復旧報） (KDDI, 2/28)
》地デジ：難視聴地域対策　ＮＨＫが追加助成申請 (毎日, 2/25)。間にあうんですかね。
》津波注意報を解除　気象庁おわび「津波の予測過大」 (asahi.com, 3/1)。安全側に倒れた結果なので仕方ない。
》防弾チョッキ3種に弾丸を撃ち込んでテスト(動画) (WIRED VISION, 2/24)
》 February 2010 cumulative time zone update for Windows operating systems (Microsoft KB 979306)
》 Application Compatibility Update for Windows Vista, Windows Server 2008, Windows 7, and Windows Server 2008 R2: February 2010 (Microsoft KB 976264)。アンチウイルス製品も複数含まれているなあ。
》 A Memory leak occurs in strmfilt.dll with event error 1000 and event error 1015 after you apply update KB970430 or update KB973917 (Microsoft KB 979730)
- Description of the update that implements Extended Protection for Authentication in Internet Information Services (IIS) (Microsoft KB 973917)
- HTTP プロトコルスタック (http.sys) で認証に対する保護の強化を実装する更新プログラムについて (Microsoft KB 970430)
を適用するとメモリリークする模様。patch が用意されている。
》欧州でグーグルの反トラスト行為が問題に　調査を受ける可能性をブログで明らかに (ComputerWorld.jp, 2/25)

　検索大手のGoogleは、あからさまな批判こそしていないものの、今回の苦情を申し立てた3社のうち2社にMicrosoftの息がかかっているとほのめかしている。
》「Google Videoにより中傷幇助をした」としてGoogleイタリアの幹部に有罪判決が下る (slashdot.jp, 3/1)、投稿された「いじめ動画」でグーグル幹部ら3人に有罪判決、イタリア (APBB, 2/25)。まるで Winny 裁判。
》「ストップ!! ひばりくん！」、27年ぶりの最終話でまさかの完結 (slashdot.jp, 3/1)。へぇ……。
》漢は黙ってXSSフィルタ (水無月ばけらのえび日記, 2/18)。Google Chrome 4 には XSS フィルタが実装されている、という話。
》４年間で逮捕者１１８人、生き残りをかけて揺れる法政大学 (JANJAN, 2/26)
》 ^%$%/%m%=%U%H!"Windows 7の海賊版対策ソフトウェア最新版を配布開始　 90日ごとに同社サーバに自動接続。プライバシー侵害を懸念する声も (ComputerWorld.jp, 2/26)。昔 WGA と呼ばれていた Windows Activation Technologies (WAT) の件。
》 Gumblar/8080系が使用する file.exe を実行してみた (にわか鯖管の苦悩日記, 2/23)。論より RUN。
》在沖縄米軍　高江のヘリパッド関係リンク集 (関組長の東京・永田町ロビー活動日記【ブログ版】, 2/28)
》 Waledec 方面
- Microsoft、ボットネット「Waledac」の通信遮断で「大きな成果」 (日経 IT Pro, 2/26)
- Dismantling Waledac (Microsoft Malware Protection Center, 2/25)、 Cracking Down on Botnets (Microsoft On The Issues, 2/24)
- Waledacよ安らかに？ (エフセキュアブログ, 2/25)
- Microsoft, restraining orders, and how a big botnet (waledec) ate curb. (SANS ISC, 2/25)
》 Go Team USA! But is your favorite Olympic star dangerous? (McAfee Security Insights Blog, 2/26)。2番目に、日本の大菅小百合選手が。こんな銀メダルは喜べない。
》 Guidelines for the Secure Deployment of IPv6 (Draft) (NIST, 2/3)
》 Pass-the-hash attacks: Tools and Mitigation (SANS, 2/23)。 Last 25 papers added to the Reading Room (SANS) は watch しておくべきかしらん。 RSS あるよ。
》 Hacking Linksys IP Cameras (pt 6) (gnucitizen, 2/24)
》 2月の国内フィッシング事情：オンラインゲーム（WoW）/クレジットカード（VISA） (so-net セキュリティ通信, 2/26)
》 2月の国内フィッシング事情：まだ続くYahoo!/Twitterアカウント狙うDMスパム (so-net セキュリティ通信, 2/26)。関連:
- これはあなた？　Twitterアカウントをフィッシングする意味とは？ (エフセキュアブログ, 2/26)
  
  　では何故、最近、攻撃が起きているのか？
  　我々は、最近発表された検索エンジンの動向に何らかの関係があるのではないかと考えている。
  　Yahooは検索結果に、Twitter のリアルタイム・フィードを含める予定であることを発表し、Facebookは現在、Googleの検索結果に含まれている。
  　悪党連中は、自分たちのSEO攻撃を強化するため、ソーシャル・ネットワークの信用を利用することができる。
- Phishing For Twitter Credentials (McAfee Security Insights Blog, 2/25)
》クレジットカード情報流出：モンベルの流出数判明/金融庁がアリコに行政処分 (so-net セキュリティ通信, 2/26)
》セキュリティ設定共通化手順SCAP概説: SCAP(Security Content Automation Protocol) ～情報セキュリティ対策の自動化と標準化を実現する技術仕様～ (IPA, 2/25)
》過労死企業の公表を求める訴訟、原告の話を聞きたい (回答する記者団, 2/24)

　たとえば松下電器を見ても、あそこには過労死があるんですね。過労死ラインを超える３６協定があって、その改善について２００９年６月に申し入れに行ったのですね。会社と労働組合に。会いもしませんからね。門の前のところで受け取るだけです。ですから、過労死は労使合意から生まれてくると確信を持って言えます。３６協定は労使合意です。ではなぜ過労死ラインを超えるような３６協定が生まれてしまうのか。職場の中でいろいろやらざるを得ないという状況もあって、それを労働組合が唯々としてしまうわけだね。過労死問題というのは職場の中だけの論理というか合意というか、なかなか解決のめどが見いだせないな、という感じがします。
》 Multihash CUDA Brute Forcer (cryptohaze.com) なんてものがあるのですね。 GPU でゴリゴリ系。

過去の記事: 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998

[私について]

■ Finding Malware on your network via cached DNS entries (innismir.net, 2010.03.18)

■ Google Chrome - Stable Channel Update (Google Chrome Releases, 2010.03.17)

■ Virtual PC Hypervisor Memory Protection Vulnerability (Core Security, 2010.03.16)

■ Microsoft 2010 年 3 月のセキュリティ情報 (Microsoft, 2010.03.10)

2010.03.15 追記:

2010.03.16 追記:

■ Safari 4.0.5 のセキュリティコンテンツについて (Apple, 2010.03.11)

■ samba - CVE-2010-0728: Allowing all file system access even when permissions should have denied access (samba.org, 2010.03.08)

■ [Full-disclosure] Spamassassin Milter Plugin Remote Root (Full-disclosure ML, 2010.03.08)

2010.03.16 追記:

■ マイクロソフト セキュリティ アドバイザリ (981374) Internet Explorer の脆弱性により、リモートでコードが実行される (Microsoft, 2010.03.10)

2010.03.11 追記:

2010.03.12 追記:

2010.03.14 追記:

■ All Your Apps Are Belong to Apple: The iPhone Developer Program License Agreement (EFF, 2010.03.08)

■ Q1 2010 Web Browser Comparative Test: Socially-Engineered Malware (nsslabs, 2010.02)

■ いろいろ (2010.03.08) (various)

2010.03.09 追記:

2010.03.11 追記:

2010.03.14 追記:

■ Apache HTTP Server (httpd) 2.2.15 Released (apache.org, 2010.03.07)

2010.03.16 追記:

■ SA-CORE-2010-001 - Drupal core - Multiple vulnerabilities (Drupal.org, 2010.03.03)

■ Operaブラウザに深刻な脆弱性、パッチは未公開 (ITmedia, 2010.03.05)

■ いろいろ (2010.03.03) (various)

■ Thunderbird 3.0.3 リリースノート (mozilla.jp, 2010.03.01)

■ 【注意喚起】Gumblar（ガンブラー）ウイルスによる新たなホームページ改ざん被害を確認 (LAC, 2010.03.03)

■ マイクロソフト セキュリティ アドバイザリ (981169) VBScript の脆弱性により、リモートでコードが実行される (Microsoft, 2010.03.02)

2010.03.11 追記:

■ いろいろ (2010.03.02) (various)

■ Finding Malware on your network via cached DNS entries
(innismir.net, 2010.03.18)

■ Google Chrome - Stable Channel Update
(Google Chrome Releases, 2010.03.17)

■ Virtual PC Hypervisor Memory Protection Vulnerability
(Core Security, 2010.03.16)

■ Microsoft 2010 年 3 月のセキュリティ情報
(Microsoft, 2010.03.10)

■ Safari 4.0.5 のセキュリティコンテンツについて
(Apple, 2010.03.11)

■ samba - CVE-2010-0728: Allowing all file system access even when permissions should have denied access
(samba.org, 2010.03.08)

■ [Full-disclosure] Spamassassin Milter Plugin Remote Root
(Full-disclosure ML, 2010.03.08)

■ マイクロソフトセキュリティアドバイザリ (981374) Internet Explorer の脆弱性により、リモートでコードが実行される
(Microsoft, 2010.03.10)

■ All Your Apps Are Belong to Apple: The iPhone Developer Program License Agreement
(EFF, 2010.03.08)

■ Q1 2010 Web Browser Comparative Test: Socially-Engineered Malware
(nsslabs, 2010.02)

■ いろいろ (2010.03.08)
(various)

■ Apache HTTP Server (httpd) 2.2.15 Released
(apache.org, 2010.03.07)

■ SA-CORE-2010-001 - Drupal core - Multiple vulnerabilities
(Drupal.org, 2010.03.03)

■ Operaブラウザに深刻な脆弱性、パッチは未公開
(ITmedia, 2010.03.05)

■ いろいろ (2010.03.03)
(various)

■ Thunderbird 3.0.3 リリースノート
(mozilla.jp, 2010.03.01)

■ 【注意喚起】Gumblar（ガンブラー）ウイルスによる新たなホームページ改ざん被害を確認
(LAC, 2010.03.03)

■ マイクロソフトセキュリティアドバイザリ (981169) VBScript の脆弱性により、リモートでコードが実行される
(Microsoft, 2010.03.02)

■ いろいろ (2010.03.02)
(various)