Last modified: Mon May 20 10:33:18 2013
+0900 (JST)
短縮 URL: http://goo.gl/pwSG QR コード:
http://goo.gl/pwSG.qr
Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。
ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容をくれぐれも鵜飲みにしないように。 間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。
このページの情報を利用される前に、注意書きをお読みください。
[ 定番情報源 ] 過去の記事: 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998
|
「Scan Security Wire」 主催の SCAN Security Wire NP Prize 2001 を受賞しました。 |
|
「ネットランナー」の ベスト・オブ・常習者サイト 2003 で金賞を、ベスト・オブ・常習者サイト 2004 で銀賞を受賞しました。 |
復刊リクエスト受付中:
ジェイムズ.F.ダニガン「 新・戦争のテクノロジー」(現在46票)
中山信弘「ソフトウェアの法的保護」 (現在117票) (オンデマンド購入可)
陸井三郎訳・編「ベトナム帰還兵の証言」 (現在107票)
林克明「カフカスの小さな国 チェチェン独立運動始末」 (現在172票)
田中徳祐「我ら降伏せず−サイパン玉砕戦の狂気と真実」 (復刊決定)
RSS に対応してみました。
小ネタは含まれていません。「政治ねたウゼェ」という人は RSS ベースで読むと幸せになれるでしょう (ウザくない人は こっちの RSS がよいかもしれません)。
RSS 1.0 ですので、あくまで RDF Site Summary です。
現在は Really Simple Syndication には対応していません。
今すぐ Really Simple Syndication がほしい人は、のいんさんによる
Web サイトの RSS を勝手に出力するプロジェクト
を参照してください。(のいんさん情報ありがとうございます)
関連
RHSA-2013:0830-1 - Important: kernel security update (Red Hat, 2013.05.16)。RHEL 6 用修正パッケージ。
[CentOS-announce] CESA-2013:0830 Important CentOS 6 kernel Update (CentOS, 2013.05.17)。上記 RHSA-2013:0830-1 に対応した CentOS 6 用修正パッケージ。
》 鳥インフル 症状軽い感染者多数か (NHK, 5/19)。H7N9 の件。
報告書では、まだ明らかにされていない重要なポイントとして、重症の患者が都市部に住む高齢の男性に多いことを挙げ、「季節性のインフルエンザと同じように、症状の軽い感染者や症状の出ていない感染者が多数いる可能性がある」と指摘しました。
》 耐震基準ない配管や壁の落下で死亡例 (NHK, 5/19)。東日本大震災における、知られざる被害事例。 5/17 のかんさい熱視線でやってた件。 明日再放送あるっぽい。
配管をはじめとする設備や、間仕切り壁のような「非構造部材」の耐震性については、学会などの指針があるだけで国の耐震基準はありません。
また、東日本大震災でこうした設備や非構造部材の落下によりどのくらいのけが人や死者が出たのか、2年余りたった今も十分な調査さえ行われていません。
エスカレーターの落下については以前のかんさい熱視線でやってたみたい。 関連:
「エスカレーターの落下防止対策試案」に関するご意見募集について (国土交通省, 2012.07.31)
「建築物における天井脱落対策試案」に関するご意見募集について (国土交通省, 2012.07.31)
建築基準法施行令及び関連省令並びに関連告示の制定・一部改正案に関するご意見募集について (国土交通省, 2/27)
建築基準法関連告示の制定・一部改正案に関するご意見募集について (国土交通省, 4/12)
》 Which Web Browser Offers Best Malware Protection? NSS Labs Releases New 2013 Web Browser Group Test Results (NSSLabs, 5/13)。IE 10 > Chrome 25/26 >>>>>>> Safari5, Firefox 19 > Opera 12 という感じ。
》 対衛星で新型ミサイルか 中国「観測ロケット」、能力向上示す (産経, 5/16)。静止軌道まで到達可能な対衛星ミサイル?
》 橋下徹「米軍はフーゾクに行け」発言 現役デリヘル嬢が「風俗で性犯罪は減らない」と大反発 (exdroid.jp, 5/15)
》 Manual installation of the 5600 Incremental Engine Update for VirusScan Enterprise 8.x (McAfee KB 68575)。VSE 8.x に 5600 エンジンを、ePO 経由ではなく手動でインストールする方法。
関連: How to manually roll back the Anti-Virus Scanning Engine 5.x.00 in VirusScan Enterprise ((McAfee KB 58626)
》 Error - SysCore install failed: 255 (issue: Certificate validation failed) (McAfee KB 77683, 5/14)。VSE 8.8 patch 2 + Windows XP / Server 2003。 Windows 側の問題でこうなることがあるそうで。 この問題は VSE 8.8 patch 1 にはない。
》 Extracting signatures from Apple .apps (SANS ISC, 5/16)
》 製品・OS サポート終了一覧: Endpoint Security and Control - 対応 OS へのサポート終了日 (Sophos, 5/10 更新)、 製品・OS サポート終了一覧: 全ソフォス製品 (Sophos, 5/9 更新)
》 Android 端末向けアプリが配信する広告表示、情報漏えいをもたらす (トレンドマイクロ セキュリティ blog, 5/15)
》 パターンファイル番号の桁上がりにより発生するパターンアップデートが出来ない問題について (トレンドマイクロ, 5/17)。表示がアレになるだけでは済まない製品があったそうで。patchが提供されている。 三宅さん情報ありがとうございます。
》 なめたらいかんぜよ:東京弁護士会と検察と検審に行ってまいりました (八木啓代 / BLOGOS, 5/15)。澤新補助弁護人の件など。
》 パーソナライズとプライバシーの尊重 (Mozilla Japan ブログ, 5/14)
》 パンプアンドダンプ(株価操作)スパムの増加 (シマンテック, 5/16)
》 住民基本台帳ネットワーク障害、LASDECからの「お詫び」を国分寺市が公開 (slashdot.jp, 5/16)
本事象は、市町村のCS機器更改に際して配付した特定OS向けの修正プログラムにおいて文字コードの種`$N@_Dj$K8m$j$,$"$C$?$?$a!"CS上で不正確な文字コードで書き込まれた本人確認情報が発生し(いわゆる「文字化け」事象)、さらに都道府県サーバがその更新電文を受信した際に更新プロセスが停止して以降の更新ができなくなったものです。
》 電力会社の2013年の株主総会の日時と会場は (関組長の東京・永田町ロビー活動日記【ブログ版】, 5/16)
》 Linux Virtual ServerとKeepalivedで作る冗長化ロードバランサ (sourceforge.jp, 5/14)
》 オープンソースのリソース監視ツール「Monitorix 3.2」、Raspberry Piをサポート (sourceforge.jp, 5/14)。軽いらしい。
》 ネットワークアクセス制御システム「PacketFence 4.0」リリース (sourceforge.jp, 5/14)
iTunes 11.0.3 for Windows / Mac 公開。40 件の欠陥が修正されている。 内 Windows 版特有のものが 39 件。 CVE-2013-1014 CVE-2012-2824 CVE-2012-2857 CVE-2012-3748 CVE-2012-5112 CVE-2013-0879 CVE-2013-0912 CVE-2013-0948 CVE-2013-0949 CVE-2013-0950 CVE-2013-0951 CVE-2013-0952 CVE-2013-0953 CVE-2013-0954 CVE-2013-0955 CVE-2013-0956 CVE-2013-0958 CVE-2013-0959 CVE-2013-0960 CVE-2013-0961 CVE-2013-0991 CVE-2013-0992 CVE-2013-0993 CVE-2013-0994 CVE-2013-0995 CVE-2013-0996 CVE-2013-0997 CVE-2013-0998 CVE-2013-0999 CVE-2013-1000 CVE-2013-1001 CVE-2013-1002 CVE-2013-1003 CVE-2013-1004 CVE-2013-1005 CVE-2013-1006 CVE-2013-1007 CVE-2013-1008 CVE-2013-1010 CVE-2013-1011
ところがこれ、たとえば CVE-2012-2824 や CVE-2012-2857 は、 Google Chrome では 2012.06 や 2012.07 に修正され、 Apple でも 2013.01.28 リリースの iOS 6.1 や、 2013.03.14 リリースの Safari 6.0.3 で修正されたものが、ようやく Windows 版 iTunes にも適用されたということになるのだ。うーむ。
MS13-037 の「JSON 配列の情報漏えいの脆弱性」について、通報者から詳細が公開されました。
機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき (葉っぱ日記, 2013.05.17)
実際にはMS13-037にてこの問題が修正されるのはInternet Explorer 6、7、8だけであり、Internet Explorer 9および10については依然として上記の方法でリモートのJSON配列を攻撃者は読み取り可能なままです*1。
Internet Explorer 9、10に対しては、JSON配列の生成において X-Content-Type-Options: nosniff レスポンスヘッダを付与することで攻撃を防ぐことができます。(中略) CVE-2013-1297についてMS13-037ではIE9、10が修正されておらず X-Content-Type-Options による保護が必要となる点については、Microsoft に問い合わせたところ仕様に基づく動作との回答を得ています。
仕様ですキターーー!!!!!!!!!!!!!!!!!!!!!!
リソースが機密情報を含む場合はもちろん、そうでない場合にも全てのリソースに対して X-Content-Type-Options: nosniff をつけるべきでしょう。
JVNDB-2013-002650: ClamAV の pdf.c におけるサービス運用妨害 (DoS) の脆弱性 (JVN, 2013.05.15)$B!# CVE-2013-2021。ClamAV 0.97.1 〜 0.97.7 の pdf.c に欠陥があり、細工した暗号化 PDF ファイルによって DoS 攻撃を実施できる。
JVNDB-2013-002649: ClamAV の pe.c における整数アンダーフローの脆弱性 (JVN, 2013.05.15)。 CVE-2013-2020。ClamAV < 0.97.8 の pe.c cli_scanpe 関数に integer underflow する欠陥があり、UPX 圧縮された実行ファイルの PE セクションを細工することで DoS 攻撃を実施できる。
》 警察庁にサイバー攻撃分析センター (NHK, 5/16)。既存の サイバーフォースセンター (平成 18 年版警察白書) とどう違うのかがよくわからないなあ。使途拡大につき名称変更ということなんだろうか。
……解説文書出てました: 総合的なサイバー攻撃対策の強化について (警察庁, 5/16)。サイバー攻撃分析センターは警察庁警備局警備企画課だそうで。 平成 18 年版警察白書によると、 サイバーフォースセンター(サイバーテロ対策技術室)は警察庁情報通信局情報技術解析課だそうなので、全く別組織。
》 「橋下発言」はアメリカからどう見えるか (ニューズウィーク日本版, 5/16)
(6)ところでこの「超国家主義者(ウルトラナショナリスト)」という表現ですが、安倍首相は「誤解であり、説明して誤解を解きたい」と言明しているようですが、この認識自体に誤解があります。国際社会での定義ということで言えば、「超国家主義者」というのは「自国中心主義が過度になり、周辺諸国との摩擦を煽っている」ような人物だけでありません。第二次大戦を引き起こした「ナチス・ドイツ」がまずあり、その信奉者である現在の「ネオナチ」だけでなく、戦前の日独伊三国同盟と、この同盟を背景に行われた戦争の正当化をする人間はやはり「超国家主義者」になるのです。
(7)それは、日独伊三カ国を「旧敵国」として蔑視しているからではありません。第二次大戦を「最後の世界大戦」として位置づけ、その再発を防止するために国際連合を組織しているのが「戦後体制」である以上、日独伊三国同盟による戦争遂行の肯定というのは、現在の国際社会の安全保障の大前提を否定することになるからです。
日本人は国際連合、国際連合と言ってますが、United Nations というのは「連合国」ですからね。そして戦後日本は連合国に加入したのです。
》 「もやしもん」の石川雅之さん、風疹について学べる漫画を無料公開 (ねとらぼ, 5/15)
関連:
風疹流行の中、胎児の感染診断が困難に…いったいなぜ? (あなたの健康百科, 5/14)。人工流産……。うーむ。
大阪も緊急事態宣言: 風疹、大阪で昨年の30倍 男性7割、府が緊急宣言 (朝日, 5/14)、風しん流行緊急事態の宣言及び市町村への補助制度の創設について (大阪府, 5/13)
》 病の起源 第1集 がん 〜人類進化が生んだ病〜 (NHK スペシャル, 5/19 放送予定)
実はヒトは、他の動物に比べ“がん細胞”が増殖しやすい条件を、進化の過程で幾つも抱え込んでいたのである。“がん”を増殖させ続ける遺伝子、“がん細胞”の栄養源を大量に作ってしまう仕組み、そして“がん細胞”の増殖を防いできた体内物質の減少など…。
》 アメリカ領事館襲撃事件 (リビア::ベンガジ、2012) 関連
領事館襲撃 米政権に情報隠しの疑惑 (NHK, 5/11)
アメリカABCテレビは10日、事件直後の議会への報告を巡って当時の政権内でやり取りされた電子メールを入手し、その内容から「議会からの批判を恐れる国務省からの要請を受けて、アルカイダ系組織によるテロの懸念があったことは報告から削除された」と報じました。
米 領事館襲撃で情報を議会に報告せず (NHK, 5/16)
ホワイトハウスは、15日、事件直後にCIA=中央情報局や国務省との間で交わされたメールなど、100ページにわたる文書を公開しました。
それによりますと、CIAが当初作成した文書では、当時、領事館の周辺に集まっていた群衆の中にイスラム過激派が交じっていたことを示す証拠があったことや、以前からテロの脅威が高まっていたことなどが記されています。
しかし国務省の担当者は、メールの中で「国務省がCIAの警告に注意を払わなかったと議会から攻撃されるおそれがある」などと懸念を示し、イスラム過激派の関与の可能性やテロの脅威が高まっていたことを示す記述は、議会への報告書から削除されたということです。
関連:
White House Benghazi E-mails (scribd.com)。公開された電子メール。
炎上する領事館内に取り残された駐リビア米国大使、死の真相は (AFPBB, 2012.09.13)。事件当時の報道と写真。
2012 Benghazi attack (wikipedia)
Accountability Review Board (ARB) Report on Benghazi Attack (US Department of State)
軍事研究 2013年5月号。上記 ARB 報告書をベースにした、事件の紹介記事「第2の『9・11テロ』ベンガジ米領事館襲撃 大使殺害!8時間に及ぶ壮絶な攻防戦」が掲載されている。日本語だし、いろいろ補足もされている。
Progress Report on Benghazi Terror Attack Investigation (Speaker of the House John Boehner, 4/23)
Committee Chairmen Seek State Department Cable, Emails Related to Benghazi Investigation (Speaker of the House John Boehner, 4/24)
Carney Claims on Changing #Benghazi Talking Points at Odds With the Facts (Speaker of the House John Boehner, 5/8)
Boehner Calls on President Obama to Release Benghazi E-Mails (Speaker of the House John Boehner, 5/9)
Reports Confirm “Scrubbing” of Benghazi Talking Points as Boehner Demands White House Release E-Mails (Speaker of the House John Boehner, 5/10)
President Obama Still Can’t Keep the Facts Straight on Benghazi (Speaker of the House John Boehner, 5/13)
》 陸山会事件の澤新補助弁護人 またもや「ほんまかいな」の浮上 (いまにしのりゆき 商売繁盛でささもって来い!, 5/16)
》 敦賀原発:進まぬ破砕帯調査 (毎日, 5/16)
調査対象は、敦賀原発▽東北電力東通(青森県)▽北陸電力志賀(石川県)▽関西電力大飯、同美浜(ともに福井県)の各原発と、日本原子力研究開発機構の高速増殖原型炉もんじゅ(同)。(中略) 実施したのは敦賀、大飯、東通の3原発。もんじゅは4月末に報告書が出されたが、規制委の現地調査には足場作りなどの準備のため、あと1カ月程度かかるという。志賀原発は今年1月末に報告書を提出予定だったが、現状では「夏前までには提出できそう」(北陸電)という。美浜原発の調査報告も3月末から5月末にずれ込んだ。
遅れた理由は▽掘削箇所を増やして詳細に分析した(原子力研究開発機構)▽予定になかった掘削調査もした(関電)▽地下を掘り進める際、より詳細に形状を把握したり、資料の採取をした(北陸電)−−などとする。電力会社側に有利な結論を得るために引き延ばしているのでは、との見方について、「経営を考えれば、一日も早く再稼働したい。引き延ばすメリットは何もない」(北陸電)などと、各社とも否定する。
わざと引き延ばすメリットはないけれど、偽装工作に時間がかかって仕方なく引き延ばすメリットはあるよね。
》 敦賀原発 「真下に活断層」報告書へ (NHK「かぶん」ブログ, 5/15)。活断層カッターこと衣笠善博氏はここにはいない。 関連:
敦賀原発直下に活断層 今後廃炉も (NHK, 5/15)
敦賀発電所敷地内破砕帯の調査に関する有識者会合 (原子力規制委員会)、 第5回評価会合配布資料 (原子力規制委員会, 5/15)
「活断層」で敦賀2号廃炉に現実味 原発専門の原電、極めて厳しい局面に (福井新聞, 5/16)
敦賀原発:活断層認定、廃炉の公算大 (毎日, 5/16)
座長役の島崎邦彦・規制委員長代理は「安全性が低い状態を改善する第一歩を踏み出せた。これまで事故がなかったのは幸いというしかない」と述べた。今回の結論にいたった背景について、「組織が推進側(経済産業省)から切り離されたことが一番大きい」と強調した。
敦賀原発 「活断層」との結論は拙速だ(5月16日付・読売社説) (読売, 5/16)。読売必死だな。
規制委 敦賀原発で来週にも対応協議へ (NHK「かぶん」ブログ, 5/16)
》 もんじゅ 運転再開は事実上困難に (NHK「かぶん」ブログ, 5/15)
会議ではもんじゅを運営する日本原子力研究開発機構について、田中委員長はじめ各委員から厳しい意見が相次ぎました。
田中委員長は「点検漏れなどを何度も繰り返している印象をぬぐえず、事態はかなり深刻だ。報告書の中で『もんじゅは国のサイクル政策を形にしたもので、そうした背景から工程は簡単に事業者だけで決められない』などという話しがあったが、いかにも空々しい。作業工程優先ではなく、安全が優先され安全文化を大事にすることが重要だ」と述べました。
島崎委員は「点検漏れの指摘を受けた報告書でも不備が見つかり、その場しのぎで作文したと言わざるを得ない。このような組織が存在していること、それを許していること自体問題だ」と批判しました。
また、大島委員は「安全文化の劣化や組織的な問題が指摘されなければならないという今回の事態は相当深刻で、病は深い。事業者や監督官庁が安全文化を徹底しなければ問題の解決にはならない」と指摘しました。
関連:
しんぶん赤旗の紙面: http://twitpic.com/cqu5d7。もんじゅ君のコメントあり。
社説:もんじゅ もはや廃炉しかない (毎日, 5/16)。だよねえ。
》 「第2次児童ポルノ排除総合対策」(素案)に関する意見募集に、意見書を提出しました。 (MiAU, 5/10)
》 依然としてよくわからないダウンロード刑事罰の要件 (栗原潔のIT弁理士日記, 5/15)。 著作権法コンメンタール別冊 平成24年改正解説 (勁草書房) ですか。
》 Java SE - Change in Version Numbering Scheme (Oracle)。バージョン番号のつけ方が変わるんだってさ。
》 訂正:欧州委、中国通信機器メーカー2社に制裁関税発動の用意=関係筋 (ロイター, 5/15)。ファーウェイと ZTE。
》 JPRSが全国の教育機関に「インターネットの仕組み」を学べるマンガ小冊子を本年も無償配布 (JPRS, 5/15)。 サンプルを読んでみたけど、インターネットは野郎だけで動かしていると読めてしまったのがなんだか……。
関連:
[CentOS-announce] CentOS-6 CVE-2013-2094 Kernel Issue (CentOS-announce ML, 2013.05.15)。最新の CentOS 6.4 用カーネルに patch を 1 個追加して作成した、テスト用カーネルを公開。
》 ノート PC のハードディスクを暗号化していますか? 〜CCTV で放送された 7 秒間の映像。暗号化の重要性への認識が変わるかもしれません〜 (Sophos, 5/13)。バニシング・イン 7。
》 セキュリティクラスタ まとめのまとめ 2013年4月版:狙われた「使い回しアカウント」 (@IT, 5/14)
》 [WSUS 4.0] WSUS が Microsoft Update に接続ができない問題について修正プログラム (KB2838998) をリリースしました (Japan WSUS Support Team Blog, 5/15)
》 「セキュリティ更新プログラム」 および 「セキュリティ アドバイザリ」 の公開について運用に一部変更があります。 (Japan WSUS Support Team Blog, 5/15)。今回からの変更だそうで。な、なんだってー
1. 多層防御の観点からリリースしたセキュリティ更新プログラム(※1)については、MSRC 重要度を 「指定なし」 で公開いたします。
(中略)
2. セキュリティ アドバイザリ(※2)で配信される更新プログラムは、セキュリティ問題の修正プログラムのクラスで公開いたします。
“安全”は取り戻せたのか 〜B787 運航再開〜 (NHK クローズアップ現代, 5/13)
日航が787改修作業完了 全日空は来週 (沖縄タイムス, 5/14)
米ボーイング:787引き渡し再開 第1号は全日空向け (毎日, 5/15)
米ボーイング、月内に787型機バッテリーの修理完了へ (ロイター, 5/15)
》 モンサントの遺伝子組換え作物とインクジェット・カートリッジの関係について (栗原潔のIT弁理士日記, 5/14)
》 北京も「乱」になってきた 充満した不満は小さな火種で燃え上がる (日経ビジネス, 5/15)
ただ重要なのは、何が真実かというより、警察の発表を信じられないという状況が中国にずっとあるということである。日本で警察の捜査責任者がNHKに出演してインタビューに答えて「遺体には性暴行の跡も、争った様子も、薬物中毒もなく、自殺と思われる」と発言すれば、視聴者の9割は間違いなく事実と信じるだろう。警察という権威、NHKというメディアの信用が、事実だと裏付けてくれるのである。
ところが、中国では警察の発表には、何か裏があると疑い、CCTVという中央メディアが報じれば、それは事実ではなく共産党が望む結論であると受け取られる。ほとんどの人が警察も中央メディアも信用していない。警察を含め公的権力は人民の敵であり、中央メディアは党の宣伝機関である。そんなものより、微博などで目につく何の根拠もない匿名のデマ、口コミの方を信じてしまう。これが、今の中国の抱える大きな問題の1つなのだ。
ちょうど、この事件が北京市民のホットな話題となっていたころ、北京と上海の大学で普遍的価値(人権・民主)・報道の自由・公民社会・公民の権利・共産党の歴史的錯誤・司法の独立・権貴資産階級の7項目について語ってはならない「七不講」という通達を中国当局が各大学あてに出したというニュースが駆け巡った。上海華東政法大学の張雪忠講師が微博上で暴露した。
つまり中国では、人が生まれながらに与えられた基本的人権を訴えることも、公民社会や公民の権利について語ることも、報道の自由を唱えることも、共産党の歴史的過ちを批判することも、法の下の平等を求めることも、権力と富が結びついた資産階級支配の矛盾を考えることも、許されない。
》 「会社に復讐」:9万ドルの損害を与えたシステム管理者が逮捕 (WIRED, 5/15)
》 「一酸化二水素」ジョークで、米国のラジオ番組DJが無期限謹慎処分に (WIRED, 5/15)。DHMO ねた。
》 もんじゅ点検漏れ:再開準備見合わせ命令 原子力規制委 (毎日, 5/15)
規制委は、機構に管理体制の再構築と機器点検の徹底を求め、「規制委の確認が完了するまで、使用前検査を進めるための活動を行わないこと」を命じる。機構の運営計画に関わる文部科学省にも、指導・監督を求める。
》 ロシア、米外交官を追放―情報機関職員の抱き込み図る (ウォール・ストリート・ジャーナル日本版, 5/15)。“CIA 要員”ライアン・C・フォーグル氏を追放。
》 安倍首相:村山談話「全体として受け継ぐ」 (毎日, 5/15)。ハウス言われちゃったし軌道修正。関連:
推論:「侵略の定義」発言を巡るワシントンポスト紙の社説と対する反論の真相 (勝見 貴弘 / Facebook, 5/5)
実像は、国内外において安倍政権への支持は盤石ということなのである。
(中略)
むしろ安倍政権がどのくらい米国の思い描いている通りに動いているか、そこを国民は危惧すべきだろう。
安倍首相、日本の戦争侵略をあらためて認める (ウォール・ストリート・ジャーナル日本版, 5/9)
米議会報告書:「安倍首相は強硬なナショナリスト」と懸念 (毎日, 5/9)。「米議会調査局が今月1日付でまとめた日米関係の報告書」には、いろんなことが書かれているようで。 こういうのも: 米議会調査局が県内移設を疑問視 (沖縄タイムス, 5/13)
5/1米議会調査局CRS報告書『日米関係の論点』要旨+本編読書メモ (togetter, 5/10)
安倍首相の「歴史認識」 「順風」政権 消せぬ火種 (東京, 5/15)
》 企業のマルウェア感染リスクは「Webサイトに対する仕掛け」が約9割 (RBBToday, 5/9)。シスコ、「2013年度 シスコセキュリティレポート 日本語版」の記者向け説明会を開催。
》 ソーシャルメディアの危険性をマンガで解説 (RBBToday, 5/10)。大阪国際学園の、マンガでわかる「ソーシャルメディアの危険な落とし穴」。
Linux 2.6.37 〜 3.8.9 に、local user による権限上昇を許す欠陥。CVE-2013-2094
Linux PERF_EVENTS Local Root (Packet Storm, 2013.05.14)。PoC。この欠陥が 2.6.37 から CentOS 2.6.32 kernel にバックポートされてしまっていると指摘している。
Bug 962792 - (CVE-2013-2094) CVE-2013-2094 kernel: perf_swevent_enabled array out-of-bound access (Red Hat)。RHEL 5 には影響しない、RHEL 6 には影響する。
関連:
http://fucksheep.org/~sd/warez/semtex.c。これがオリジナルの exploit のようです。
sd@fucksheep.org's semtex.c: Local Linux root exploit, 2.6.37-3.8.8 inclusive (and 2.6.32 on CentOS) 0-day (reddit.com)。解説。
perf: treat attr.config as u64 in perf_swevent_init() (kernel.org)。patch。
[CentOS-announce] CentOS-6 CVE-2013-2094 Kernel Issue (CentOS-announce ML, 2013.05.15)。最新の CentOS 6.4 用カーネルに patch を 1 個追加して作成した、テスト用カーネルを公開。
関連
RHSA-2013:0830-1 - Important: kernel security update (Red Hat, 2013.05.16)。RHEL 6 用修正パッケージ。
[CentOS-announce] CESA-2013:0830 Important CentOS 6 kernel Update (CentOS, 2013.05.17)。上記 RHSA-2013:0830-1 に対応した CentOS 6 用修正パッケージ。
MS13-038 - 緊急: Internet Explorer 用のセキュリティ更新プログラム (2847204) (Microsoft, 2013.05.15) で修正されました。Fix it を適用していた場合は、MS13-038 更新プログラムを適用後に、無効にする Fix it を適用しましょう。
APSB13-15: Security updates available for Adobe Reader and Acrobat (Adobe, 2013.05.14) で修正されました。 CVE-2013-2737 でいいのかな。
Hotfix 出ました: APSB13-13: Security update: Hotfix available for ColdFusion (Adobe, 2013.05.14)
出ました。計 15 件のセキュリティ欠陥が修正されています。
リリースノート: Firefox 21.0、 17.0.6 ESR。 Android 版 Firefox 21.0。 Thunderbird 17.0.6。 SeaMonkey 2.18。
セキュリティアドバイザリ: Firefox、 Firefox ESR。 Thunderbird、Thunderbird ESR。 SeaMonkey
ダウンロード:Firefox、 Android 版 Firefox、 Thunderbird、 Firefox / Thunderbird ESR、 SeaMonkey
関連:
オープンソースのフォントを同梱し Web ページを更に美しく表示できるようになった Android 版 Firefox 最新版を公開しました (Mozilla Japan ブログ, 2013.05.15)
ColdFusion 9.0, 9.0.1, 9.0.2, 10 に 2 件の欠陥。内 1 つは 0-day だった APSA13-03: Security Advisory for ColdFusion の件 CVE-2013-3336、もう 1 つは remote から任意のコードを実行される件 CVE-2013-1389。
Hotfix があるので適用すればよい。
関連: APSB13-13 : ColdFusion に関するセキュリティアップデート公開 (Adobe, 2013.05.14)。日本語抄訳版。
Flash Player および AIR 更新されました。任意のコードの実行を招く 13 件のセキュリティ欠陥が修正されている。0-day はない模様。 CVE-2013-2728 CVE-2013-3324 CVE-2013-3325 CVE-2013-3326 CVE-2013-3327 CVE-2013-3328 CVE-2013-3329 CVE-2013-3330 CVE-2013-3331 CVE-2013-3332 CVE-2013-3333 CVE-2013-3334 CVE-2013-3335
プラットホーム | バージョン |
---|---|
Windows、Mac | 11.7.700.202 |
Linux | 11.2.202.285 |
Google Chrome | 11.7.700.202 |
Windows 8 / Server 2012 / RT の Internet Explorer 10 | 11.7.700.202 |
Android 4.x | 11.1.115.58 |
Android 3.x、2.x | 11.1.111.54 |
AIR | 3.7.0.1860 |
AIR SDK & Compiler | 3.7.0.1860 |
11.x を利用できない Windows、Mac、Linux 用に 10.3.183.86 も用意されている。
Priority rating は Windows 版が 1、Mac 版が 2、他は 3。
関連: APSB13-14 : Adobe Flash Player に関するセキュリティアップデート公開 (Adobe, 2013.05.14)。日本語抄訳版。
Adobe Reader / Acrobat 11.0.03、10.1.7、9.5.5 予定どおり出ました。27 件のセキュリティ欠陥が修正されている。ほとんどは任意のコードの実行を招く欠陥。 CVE-2013-2549 CVE-2013-2550 CVE-2013-2718 CVE-2013-2719 CVE-2013-2720 CVE-2013-2721 CVE-2013-2722 CVE-2013-2723 CVE-2013-2724 CVE-2013-2725 CVE-2013-2726 CVE-2013-2727 CVE-2013-2729 CVE-2013-2730 CVE-2013-2731 CVE-2013-2732 CVE-2013-2733 CVE-2013-2734 CVE-2013-2735 CVE-2013-2736 CVE-2013-2737 CVE-2013-3337 CVE-2013-3338 CVE-2013-3339 CVE-2013-3340 CVE-2013-3341 CVE-2013-3342
Priority rating は Windows 版 9.5.5 が 1、他は 2。
関連:
Adobe Reader and Acrobat XI (11.0.03), X (10.1.7) and 9.5.5 (Adobe Reader blog, 2013.05.14)。Adobe Reader / Acrobat 9 の EOL が来月 (2013.06.26) に迫っている件の解説など。
APSB13-15: Adobe Reader および Acrobat に関するセキュリティ情報 (Adobe, 2013.05.14)。日本語抄訳版。
予定どおり出ました
MS13-037 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2829530)
IE 6〜10 に 11 件の欠陥。
JSON 配列の情報漏えいの脆弱性 - CVE-2013-1297
Exploitability Index: 3
Internet Explorer における複数の解放後使用の脆弱性 - CVE-2013-0811 CVE-2013-1306 CVE-2013-1307 CVE-2013-1308 CVE-2013-1309 CVE-2013-1310 CVE-2013-1311 CVE-2013-1312 CVE-2013-1313 CVE-2013-2551
Exploitability Index: CVE-2013-0811 と CVE-2013-1307 は 2、残りは 1。
IE 8 に 0-day 欠陥。Microsoft Security Advisory (2847140) Vulnerability in Internet Explorer Could Allow Remote Code Execution の件。 CVE-2013-1347。 Exploitability Index: 1
IE 8 の欠陥だが、IE 9 についても多層防御の観点から更新プログラムが用意されている。
Windows 8、Server 2012、RT に欠陥。HTTP.sys に欠陥があり、 攻略 HTTP ヘッダーによって DoS 状態となる。CVE-2013-1305
Exploitability Index: 3
NET Framework 2.0 SP2、3.5、3.5.1、4、4.5 に 2 つの欠陥。
XML デジタル署名のなりすましの脆弱性 - CVE-2013-1336
Exploitability Index: N/A
認証バイパスの脆弱性 - CVE-2013-1337
Exploitability Index: N/A
Microsoft Communicator 2007 R2、Lync 2010、Lync Server 2013 に欠陥。攻略コンテンツによって任意のコードが実行される。 CVE-2013-1302
Exploitability Index: 2
MS13-042 - 重要: Microsoft Publisher の脆弱性により、リモートでコードが実行される (2830397)
Publisher 2003、2007、2010 に 11 件の欠陥があり、攻略ファイルによって任意のコードが実行される。 CVE-2013-1316 CVE-2013-1317 CVE-2013-1318 CVE-2013-1319 CVE-2013-1320 CVE-2013-1321 CVE-2013-1322 CVE-2013-1323 CVE-2013-1327 CVE-2013-1328 CVE-2013-1329
Exploitability Index: 1 が 6 つ、2 がなくて、3 が 5 つ。
MS13-043 - 重要: Microsoft Word の脆弱性により、リモートでコードが実行される (2830399)
Word 2003、Word Viewer に欠陥。Word ファイルの処理に欠陥があり、攻略 Word ファイルによって任意のコードが実行される。 CVE-2013-1335。 Exploitability Index: 2
Visio 2003、2007、2010 に欠陥。攻略 Visio ファイルを開くと情報漏洩が発生。CVE-2013-1301 Exploitability Index: 3
MS13-045 - 重要: Windows Essentials の脆弱性により、情報漏えいが起こる (2813707)
Windows Essentials 2011、2012 に欠陥。
Windwows XP、Servero 2003、Vista、Server 2008、7、Server 2008 R2、8、Server 2012 に 3 つの欠陥。local user による権限上昇が可能。
DirectX グラフィック カーネル サブシステムのダブル フェッチの脆弱性 - CVE-2013-1332
Exploitability Index: 2
Win32k のバッファー オーバーフローの脆弱性 - CVE-2013-1333
Exploitability Index: 1
Win32k のウィンドウ ハンドルの脆弱性 - CVE-2013-1334
Exploitability Index: 1
関連:
2013 年 5 月のセキュリティ情報 (月例) - MS13-037 〜 MS13-046 (日本のセキュリティチーム, 2013.05.15)
適用に優先順位を設定する必要がある企業ユーザーのお客様は、MS13-037 (Internet Explorer)、MS13-038 (Internet Explorer) および MS13-039 (HTTP.sys) を優先的に適用いただくことを推奨します。なお、MS13-039 に関しては、特にインターネットに公開している Windows Server 2012 システムは優先して適用してください。
2013 年 5 月のマイクロソフト ワンポイント セキュリティ 〜ビデオで簡単に解説 〜 (日本のセキュリティチーム, 2013.05.15)
Microsoft May 2013 Black Tuesday Overview (SANS ISC, 2013.05.14)。ひさびさに patch now 出てます (MS13-038)。
MS13-037 の「JSON 配列の情報漏えいの脆弱性」について、通報者から詳細が公開されました。
機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき (葉っぱ日記, 2013.05.17)
実際にはMS13-037にてこの問題が修正されるのはInternet Explorer 6、7、8だけであり、Internet Explorer 9および10については依然として上記の方法でリモートのJSON配列を攻撃者は読み取り可能なままです*1。
Internet Explorer 9、10に対しては、JSON配列の生成において X-Content-Type-Options: nosniff レスポンスヘッダを付与することで攻撃を防ぐことができます。(中略) CVE-2013-1297についてMS13-037ではIE9、10が修正されておらず X-Content-Type-Options による保護が必要となる点については、Microsoft に問い合わせたところ仕様に基づく動作との回答を得ています。
仕様ですキターーー!!!!!!!!!!!!!!!!!!!!!!
リソースが機密情報を含む場合はもちろん、そうでない場合にも全てのリソースに対して X-Content-Type-Options: nosniff をつけるべきでしょう。
仏、SARS類似ウイルスの感染者2人目を確認 (ウォール・ストリート・ジャーナル日本版, 5/13)
コロナウイルス:人間同士も感染 WHOが可能性示唆 (毎日, 5/13)
2013年05月14日更新 新種のコロナウイルス感染症について (更新13) (厚生労働省検疫所, 5/14)。フランス 2 人目は、フランスでの最初の確定者との接触者の 1 人。
この患者は、フランスの当局が実施した5月7日に確定診断された患者の疫学調査で確認されました。患者は、4月27日から4月29日までの間、最初に確定診断された患者とヴァランシエンヌ(Valenciennes)の病院で同室に入院していました。患者は現在入院中で、感染症病院に隔離されています。
フランスにおける最初の患者の接触者として120人が確認され、このうち5人の疑い患者の検査がパリにあるパスツール研究所で行われましたが、上述の患者以外の4人の検査は陰性でした。
》 g01packがシェア拡大の兆し (エフセキュアブログ, 5/9)
》 OWASP AppSec APAC in Japan (エフセキュアブログ, 5/8)。来年。
》 Twitterパスワードの破綻 (エフセキュアブログ, 5/7)
》 村山談話「おかしい」 靖国参拝「やめたら終わり」 自民・高市政調会長 (産経, 5/12)
自民党の高市早苗政調会長は12日、NHKの番組に出演し、過去の植民地支配と侵略を認めた平成7年の「村山談話」に「国策を誤り」とのくだりがあることに触れ、「当時、日本が資源封鎖されてもまったく抵抗せずに植民地となる道を選ぶのがベストだったのか」と疑問を示した。
つまり高市氏は、現在の北朝鮮政府のやり方を認めるということだろうか。 関連:
官房長官 歴史認識で高市氏に連絡 (NHK, 5/13)
高市氏「村山談話」疑問発言 政府・与党幹部が苦言 (東京, 5/14)
自民・高市氏、自身の村山談話批判「慎みたい」 (産経, 5/14)
》 JS_REDIR.SMSA/JS_REDIR.BK の誤警告情報 (トレンドマイクロ, 5/14)。修正済。
「慰安婦は必要だった」「侵略、反省とおわびを」橋下氏 (朝日, 5/13)
慰安婦問題、風俗業をめぐる橋下氏の発言要旨 (朝日, 5/14)
意に反して慰安婦になってしまった方は、戦争の悲劇の結果でもある。戦争の責任は日本国にもある。心情をしっかりと理解して、優しく配慮していくことが必要だ。
元慰安婦に対して個人保障を実施すべし、という意味なら踏み込んだ発言だと思うんだけど、きっとそうじゃないんだろうなあ。
米国防総省「ばかげている」 橋下氏の「風俗業」発言に (朝日, 5/14)。そんな状況は認められないわけですが、米軍は一方で、駐留部隊:米女性兵士の3割、軍内部でレイプ被害 (毎日, 3/19) なんてことになっているわけで……。
橋下共同代表の発言 閣僚が懸念や批判 (NHK, 5/14)
日本維新の会の橋下共同代表が、いわゆる従軍慰安婦の問題を巡って、「いいか悪いかは別にして、軍の規律を維持するために当時は必要だった」などと述べたことについて、維新の会の小沢国会対策委員長は、個人的な発言であり、橋下氏の真意を確認したいという考えを示しました。
石原共同代表も 「軍と売春はつきもの」と擁護 (産経, 5/14) だし、松井幹事長も 「米軍は風俗店楽しんで」 (毎日, 5/14) なので、もはや党としての見解でしょ……。
橋下氏発言に女性団体憤慨「最低の発想」 (沖縄タイムス, 5/14)
「風俗店で解消するという発想は、自分の体験から出たのではないか」。基地・軍隊を許さない行動する女たちの会共同代表の高里鈴代さん(73)は、橋下氏の意図をいぶかる。
関連ですかね:
橋下徹氏 大阪の旧遊郭街・飛田新地組合の顧問弁護士だった (NEWS ポストセブン, 2011.11.25)
日本最大級の遊郭の建物が今も150軒以上残る「飛田新地」に行ってきました (gigazine, 2012.05.21)
Wikipediaの「飛田遊廓」の項目にも同様にして「1958年の売春防止法施行以後は料亭街『飛田料理組合』となっているが、現在も当時の雰囲気を伝えている。ほとんどの「料亭」は看板は料亭であるが、営業内容は1958年以前と何ら変わりがない。表向き料亭に転向することにより、料亭内での客と仲居との自由恋愛という脱法行為として売春防止法を逃れられたためである」と書かれており
ェ……
橋下氏「風俗女性への差別だ」 石原氏「間違ってない」 (朝日, 5/14)
》 元報道官、セクハラ隠蔽失敗か 韓国、強姦未遂も (共同, 5/14)。うわ……。
尹氏はワシントンのバーで実習生の体を触った後、ホテルの自室に実習生を呼び付け、自分は全裸の状態でさらに触った疑いも浮上。密室で性行為を強要したとして強姦未遂罪が適用される可能性が出てきた。
》 楊潔チ氏との"重要な会談"で国益を大きく損ねた川口順子議員の愚 (現代ビジネス, 5/14)。舛添要一氏、自らの経験と外務省情報に基づいて川口氏「会談」を批判。
4月1日の唐家セン・舛添会談では、公使が同席し、会談内容が日本大使から外務大臣に公電で送られているし、日本のメディアもほとんどの北京特派員が取材に来た。ところが、外務省によれば、川口氏のいう「重要な会談」には、大使どころか、通訳もノートテーカーも誰も随行していないという。また、日本の特派員も取材にすら行っていない。
(中略)
大使館から誰もつかないような会議は重要ではない。しかも、川口氏は元外相である。来るなと言っても、大使館が動くのが当然である。しかし、一切動いてないという。そのことを考えただけでも、この「会見」(外務省が私にくれたペーパーは「会見」となっている)の重みが分かろう。
なるほど……。
さらに言えば、川口氏が本当に会うに値する政治家と判断するならば、帰国日が分かっているのだから、滞在期間中に何としても会うはずである。(中略) 「私に会いたいか、それ$J$i5.J}<+$i$,>7=8$7$?9q2q$N0Q0w2q$rDY$7$F$G$b!"L@F|$d$C$F$3$$!W$H8@$o$l$F!"$N$3$N$3$H=>$&$h$&$J@/<#2H$rCf9q$,B:7I$9$k$O$:$O$J$$!#F|K\$OCf9q$NB09q$G$O$J$$$N$G$"$k!#
確かに……。
》 ゴルフ場スキミング:中国人3人逮捕 2億円引き出す (毎日, 5/14)
》 トルコがサウジに20億ドル分の戦車輸出、技術伝授した韓国戦車はテスト中 (東亜日報, 5/14)。韓国 K2 と、これをベースにしたトルコのアルタイの件。
韓国軍は4月初め、国産のパワーパックを装着した黒豹の耐久性走行試験を行なったが、エンジンのシリンダーの破損で止まり、国産パワーパックの試験評価が中断された状態だ。
K2 のパワーパック開発、いまだにトラブっているようで。
》 So what passwords are those ssh scanners trying? (SANS ISC, 5/14)。password へのこだわりが半端ないなあ。
》 JANOG 31.5 Interim Meetingレポート:オープンリゾルバ問題、立ちふさがるはデフォルト設定? (@IT, 5/10)
さらに、「オープンリゾルバ」という言葉に問題があるのではないかというユニークな指摘も飛び出した。つまり、「オープン」というポジティブな印象を与える単語の代わりに「有害リゾルバ」と表現すべきではないかという。
賛成に一票。
IIJ さんの uRPF の件は、送信元検証「Source Address Validation」 (IIJ) にも情報があるみたい。
》 早期警戒情報フィールドレポート NEC-CSIRT (JPCERT/CC, 5/14)
―CSIRTの活動内容は例えばどのようなものでしょうか。
谷川氏:セキュリティ情報の収集、マルウエア解析、標的型攻撃解析、デジタルフォレンジック、ログ解析、復旧作業、不祥事対応、広報支援・捜査協力、などです。現在、これらのスキルを持つ15名程度の要員で、CSIRTを運用しています。以前はフォレンジック解析の比率が高かったのですが、最近は標的型攻撃メール等のマルウエアが添付されたメールによる攻撃が増加を続けています。そのため、NECグループ内では、検体を動かしてマルウエアを分析しているのですが、CSIRTでは、マルウエア検出の届出と検体の提供があればマルウエアを解析し、SOC/NOC部門と協力して、広くユーザに注意を促したり、場合によっては通信を遮断したりする等の対策を実施しています。このため、プログラムの内部構造の知識やリアルタイムでの対応が要求されることが、多くなってきました。また、最新の解析技術を習得するため、研究開発部門や社内の有識者とともに、週一回ペースでマルウエア解析・インシデント対応技術の勉強会を開催し、各自が調査した情報や解析方法等に関して共有するようにしています。
以前はヤラレた後の解析が多かったけど、最近はヤラレる前に解析し、挙動を把握してから、既にどこかでヤラレてないかどうかをさらに確認している……という感じなのかしら。
》 夏のキャンプ募集開始 (極楽せきゅあ日記, 5/13)。 「セキュリティ・キャンプ中央大会2013」の件。
締め切りは2013年6月10日(月)17:00(必着)っす。いつもギリギリに送ってくる人多いけど、24時じゃなくて17時っての忘れずに。ってか不明なトラブルで送れない、送信できない的な泣き言毎年けっこうあるっぽいので、余裕持って送るようにしてくださいね。
》 McAfee Labs Stinger (マカフィー, 5/8更新)。いまどきの Stinger は Altemis (GTI) に対応しているのか。
人民日報論文 歴史の恣意的な曲解だ (琉球新報, 5/12)
日本側にも冷静な対応を求めたい。中国の主張が筋違いであることは疑いないが、日本政府や大手メディアが過剰反応することは、人民日報系の環球時報が「(同論文が)日本を緊張させた」と報じたように、相手の思うつぼだ。
「琉球独立」を日本に対する牽制カードとしたい中国 (BLOGOS, 5/11)。その環球時報の社説の紹介。
》 フィリピン沿岸警備隊が台湾漁船に発砲、漁師1名死亡 。この件、妙に中国メディアの情報が多いようなので、取り扱い注意な感じ。
フィリピン公船が台湾漁船に発砲 外交部、謝罪要求 (フォーカス台湾 / Excite, 5/10)
フィリピン当局、台湾漁船銃撃を認める (AFPBB, 5/10)
フィリピン沿岸警備隊の報道官を務めるアルマンド・バリロ(Armand Balilo)中佐によると、全長30メートルのフィリピン沿岸警備隊の船が最初に漁船2隻を発見し、接近しようとした。すると2隻のうち、より小型の漁船が体当たりを試みたため、フィリピン側が発砲した。機械類を狙い、漁船を不能にすることに成功したが、人を撃ったという認識はなかったと述べた。また白くて巨大な船体の3隻目が現れたため、脅威を感じ現場海域を離れたという。
ただしバリロ中佐は、事件がフィリピン領海内であるバリンタン海峡(Balintang Channel)のルソン(Luzon)島北方で起きたもので、警備隊は違法操業の阻止という任務を適切に遂行したとの見解も示している。
警告射撃というレベルではなかった模様。
台湾、漁船保護に軍艦派遣 フィリピン海での銃撃受け (フォーカス台湾, 5/12)、 台湾、漁船保護で巡視船常時派遣 海上演習も (フォーカス台湾, 5/13)。 康定級フリゲートを派遣するそうで。
フィリピン、14日に対応表明か 台湾漁民射殺で (フォーカス台湾 / Excite, 5/13)
【画像速報】台湾で反フィリピンの大規模暴動 火をつけ大暴れ 反日デモも (NAVER まとめ, 5/13)。魚釣島のところの写真、中華愛國同心會ですね。
台湾メディアがフィリピンへの弱腰批判 被害者家族、「中国国旗の方が安全保障された」 (XINHUA.JP / Yahoo, 5/13)。台湾旺報 (旺旺グループ) 発、中国環球時報経由の記事。
フィリピンの銃撃事件を利用して台湾との関係強化を狙う中国 (BLOGOS, 5/12)
》 米政府がAP通信記者の通話記録を入手か、2012年の2カ月間 (ロイター, 5/14)
AP通信は、ゲーリー・プルイット最高経営責任者(CEO)がホルダー司法長官に宛てた書簡を同社のウェブサイトに掲載。その中で、同社は今月10日に司法省が20回線以上の通話記録を入手していたことを知らされたと説明した。
関連: 米司法省、記者の通話履歴収集 情報源調査か (日経, 5/14)
説明責任を果たす―ニュース編集主幹M・ウィンクラー (ブルームバーグ, 5/13)
最近寄せられた苦情は、ほぼブルームバーグ・ニュース創業以来続いている慣行に行き着くことになる。ワシントン・ポスト紙が報じているように、一部の記者は1990年代以降、ログイン情報のような「ありふれた」ファクトを入手するためにターミナルを利用してきた。
「ありふれた」じゃないだろ……
ブルームバーグの編集主幹が謝罪、記者の顧客情報閲覧問題で (ロイター, 5/14)
ECB、ブルームバーグと連絡 記者による顧客情報閲覧問題で (ロイター, 5/14)
》 Searching with VirusTotal (VirusTotal)。VirusTotal、いろいろ機能が増えてるんだなあ。
》 [今月の技術トピック] どうしてもスタート メニューは必要ですか? 〜〜 Windows 8 を企業で活用するための 「スタート画面」に関する TIPS (IT プロフェッショナルのみなさまへ, 5/13)。どれだけ丁寧に言おうとも、顧客が求める機能を無視しているという事実は変わらない。
スタート メニューに慣れた方にとっては、ちょっとだけ気持ち悪いかもしれません。でも決して不便ではないはずです。スタート メニューをクリックしなくてよい分、逆に便利になったと言えます。
より便利な手法を工夫・提供するなとは言わないが、少なくとも移行期間は必要でしょう。重要機能をいきなり無くしちゃ駄目。それは親切ではなくエゴ。
関連: Windows8 でスタートメニューを取り戻す方法 (NAVER まとめ)。電机本舗版 Classic Shell J は、業務利用時は有料なので注意。
Ishio さん、志村さんから、オリジナルの Classic Shell は商用利用も無料で可能との情報をいただきました。 ありがとうございます。
オリジナル版 Classic Shell: 商用利用も無料
電机本舗版 Classic Shell J: 商用利用は有料
これにあわせて、記述を明確化しました。
》 中国紙社説「沖縄領有権主張を示唆」読売再び誤報 (日本報道検証機構, 5/12)。もはや意図してやってるとしか。 関連: 社説[人民日報論文]誤解を招く言動は慎め (沖縄タイムス, 5/13)
》 もんじゅ再開停止指示へ 点検漏れで規制委検討 (東京, 5/13)、もんじゅ再開作業中止命令へ 点検漏れで規制委検討 (共同, 5/13)
》 酒癖セクハラで電撃解任 韓国大統領報道官 (産経, 5/10)、 「国家の品格に泥を塗った」韓国メディアがセクハラ報道官非難 大統領の任命責任論も (産経, 5/11)、韓国大統領が謝罪 報道官セクハラ更迭、新たな疑惑も (産経, 5/13)
尹氏は会見で、女性が尻に触られたと訴えたことを「米国文化を理解しなかった」と文化の差の問題との認識を示した。これに対し「韓国では女性の尻を触ることが当然だと思われるではないか」と反発を招いている。
なぜわざわざ自分でガソリンを投入するのか……。
》 韓国大統領:国民に謝罪 報道官セクハラ更迭 (毎日, 5/13)
》 「データ侵害は内部犯行によるものが多い」説は現代の神話 ほか (Internet Watch, 5/9)
》 「セキュリティ・キャンプ中央大会2013」参加者募集を本日より開始 〜4つのクラスで8月13日から17日、4泊5日で実施〜 (IPA, 5/13)。 6/10 17:00 必着。
関連: セキュリティ・キャンプ2013 (wakatonoの戯れメモ, 5/12)
》 風知草:最近「96条」攻防録=山田孝男 (毎日, 5/13)
こんなにガチガチでは永遠に改正できぬ、両院の過半数へ発議のハードルを下げよ−−。就任以来、首相は事あるごとにそう訴えてきた。それに対する「反作用」が噴出した一つの節目は4月9日だった。
この日、毎日新聞東京版夕刊「特集ワイド」に憲法学者の小林節・慶大法学部教授(64)が登場、「私は9条改憲論者だが、改正ルール緩和(96条改正)は邪道。立憲主義否定は認められぬ」と批判した。
この記事の反響は大きかった。例年、憲法問題でマスコミの取材に応じてきた小林だが、この記事を境にテレビ・新聞が殺到、「今年は異常な存在感になっちゃった」(小林)。
こちらの記事: 特集ワイド:憲法96条改正に異論あり 9条を変えるための前段、改憲派からも「正道じゃない」 (毎日, 4/9)。毎日が 96 条改正反対の社説を書くのは、5/3 になってから: 社説:憲法と改憲手続き 96条の改正に反対する (毎日, 5/3)
清宮四郎(1898〜1989)は戦後憲法学界の大御所で、憲法改正理論に関する著作が多い。
その清宮の孫弟子にあたる石川健治・東大法学部教授(51)が5月3日の朝日新聞朝刊で96条改憲を批判した。(中略) 石川の寄稿は最近の朝日のオピニオン欄で最も反響のあった記事の一つだそうだ。狙いは「良心的な議会政治家に問いかける」ところにあり、「乾坤一擲(けんこんいってき)の勝負に出たつもり」だったと石川は私に語った。
こちらの記事: (寄稿 憲法はいま)96条改正という「革命」 憲法学者・石川健治 (朝日, 5/3)
これを読んだ96条改憲論者の橋下徹大阪市長がツイッターで「小難しい」「論理が破綻」と批判した。橋下は大阪府立北野高校で石川の後輩に当たる。確かに難しいが、論理は緻密で破綻もない。改憲論者には面白くないとしても。
もともと「良心的な議会政治家に問いかける」内容なわけですから……。
2013年05月09日更新 新種のコロナウイルス感染症について (更新11) (厚生労働省検疫所, 5/9)。フランスで。ドバイ (アラブ首長国連邦) への渡航歴がある人。
新種コロナウイルスで18人死亡 (NHK, 5/13)。確認済み感染者数 34、うち死亡 18。
》 我々はこうしてだまされた――Twitterハッキングの被害企業が手口を公表 (ITmedia, 5/11)。Onion がヤラれた経緯。
》 海自P-3C、沖縄県久米島南方の接続水域で潜航中の国籍不明潜水艦を発見 (5/12)
国籍不明潜没潜水艦の動向について (防衛省, 5/13)
沖縄県・久米島南方で潜水艦航行 潜ったまま、中国海軍か (共同, 5/13)
国籍不明潜水艦が接続水域を航行 (NHK, 5/13)
潜水艦は、所在がバレたら負け。もちろん、バレてますよとわざわざ言うことにも損得はあるわけだけど、今回はあえて公表したということなんだろう。
つづき: 浮上せず領海侵入の場合 海上警備行動 (NHK, 5/13 20:21)。小野寺大臣へのぶら下がりの様子みたい。
小野寺大臣は、接続水域内を航行していた潜水艦の国籍については「さまざまな情報を分析しているが、こちらの能力を相手に示してしまうことになるので、公表する予定はない」(中略) 「今後、潜水艦が浮上せずに日本の領海に入った場合には、安倍総理大臣の承認を得て、自衛隊に対し『海上警備行動』を発令し、浮上して国旗を掲げるよう求める。これからも、しっかりと警戒を続けていく」と述べました。
海上警備行動 (ウィキペディア)
》 国際掃海訓練:ペルシャ湾で日本など41カ国参加 (毎日, 5/13)。今やってるっぽい。\掃海セキュリティ!/
関連: 米主催第2回国際掃海訓練について (海上幕僚監部, 4/23)。海自、今回は人員のみ参加なのかな。
》 私がパズドラで遊ばなくなった理由 (もとまか日記, 2012.12.20)
》 「iPad2」を心臓病患者が使うと危険な場合があることを14歳の女子高生が発見 (gigazine, 5/10)
植込み式除細動器を使用しているボランティア26名に協力してもらって実験を行ったところ、iPad2を胸の上に置いた人のうち3割で、除細動器を非常停止させるマグネットモードが発動しました。(中略) マグネットモードというのは、何かが起きたときのために除細動器を停止させる機能で、磁石を用いて制御しています。iPad2は俗に「お風呂のフタ」と表現されるスマートカバーを取り付けるため本体内に30個の磁石が埋め込まれていて、iPad2を持って使用しているときは何も起きないのですが、体に立てかけたような状態だと影響が出てくるというわけで$9!#
》 自衛隊を悩ますトンデモ交渉 ほくそ笑む中国軍 (産経, 5/12)。与那国島方面。
おっと、そのブルームバーグ端末を使ってヤバいメッセージを送らない方がいいぞ、『New York Post』によると、ブルームバーグの記者が覗いているから (Market Hack, 5/11)
ブルームバーグの企業倫理が問われている! (Market Hack, 5/12)
さて、ニューヨーク・タイムズの土曜日の記事の中では、それらのブルームバーグの記者のうち数百人が、いわゆる「Z機能」と呼ばれるコマンドを使って、ネタ探しをしていたことが暴露されています。
その機能を使えば、特定のユーザー企業のサブスクライバーのリストを表示し、その顧客企業の個人ユーザー名をクリックすると「UUID」という機能が呼び出せ、その個人ユーザーの個人情報、最後にログオンした時間、ユーザー間のチャット記録、どのブルームバーグ機能を何回利用したかなどが一目瞭然になるのです。
ジャーナリストはユーザーがどの個別銘柄の株価やチャートをチェックしたかまではわからないけれど、ユーザーの考えていることは「Z機能」による覗き行為で、大体わかる……この情報をもとに、次にどんな記事を書くかのアイデアを得るというわけです。
ひでえ……。
顧客情報を記者が把握 米金融情報ブルームバーグ (共同 / 産経, 5/12)
》 上海で実感、ゆっくり沈んでいく中国経済 観光客も外資も寄り付かなくなった? (JBpress, 5/9)
チェックしておきたい脆弱性情報<2013.05.13> (日経 IT Pro, 2013.05.13)
Tomcat 6.0.37では、APR(Apache Portable Runtime)コネクターでのTLS圧縮機能の無効化選択の追加 (中略) TLS圧縮機能の無効化選択は、CRIME(Compression Ratio Info-leak Made Easy/Compression Ratio Info-Leak Mass Exploitation)とも呼ばれる攻撃手法への対処策となっています。
nginx 1.3.9〜1.4.0 に欠陥。 stack buffer overflow する欠陥があり、攻略リクエストによって任意のコードが実行される。 CVE-2013-2028
nginx 1.5.0, 1.4.1 で修正されている。iida さん情報ありがとうございます。
》 脅威高まる車載ソフトへの攻撃、その対策を学ぶ (日経 Tech On, 5/7)
》 NTTドコモが認証基盤を大手術、「回線ベースの認証はもはや限界」 (日経 IT Pro, 5/8)
同社がプロジェクトに着手したのは2012年秋ころ。
つい最近なんですね……。
》 つぶやく福島作業員 政府・東電に振り回された2年間 (東京, 5/5)。ハッピーさんのこと。
》 福島原発周辺で「動植物異常」相次ぐ チョウやニホンザルなどに異常、研究者が被曝影響と指摘 (東洋経済, 4/3)
》 米国が韓国に愛想を尽かす日 緊張高まる朝鮮半島を木村幹教授と読み解く(3) (日経ビジネス, 4/11)。もう 1 回アチソン・ラインを引き直すってこと? US がそこまで馬鹿だとは思わないけどなあ。
》 「独裁者の娘」を迎える米国の険しい目 核武装目指した父を追うのか (日経ビジネス, 5/9)。米韓・中韓関係話。
》 「日式アニメに出てくる『部活』って、ほんとは存在しないよね?」 中国の若者には、放課後の青春なんてファンタジー (日経ビジネス, 2012.11.05)
》 「パスワードでの保護は限界」と結論したGoogleが評価するセキュリティ技術 (日経 IT Pro, 5/7)。Yubico の YubiKey の紹介。YubiKey には、LastPass や Pasword Safe と組みあわせて利用できるバージョンもあるのですね。
関連:
YubiKeyを買いました (spp5, 2012.06.24)
Multi-factor SSH authentication using YubiKey and SSH public keys together (Daniel P. Berrange, 2011.12.18)。ここでは ForceCommand を使った 2 段階認証を行っている。
OpenSSH 6.2 adds support for two-factor authentication (Flameeyes's Weblog, 3/22)。OpenSSH 6.2 において 2 段階認証機構がサポートされた。
SSH two factor auth with Yubikey + SSH key (Steve's Blog, 2012.10.24)。RHEL 6.3 で実装された 2 段階認証機構の解説。 RHEL 6.3 リリースノート 第5章 認証と相互運用性 (Red Hat)
》 波紋を呼ぶ「Google Glass」、使用を禁止する動きが米国で相次ぐ (日経 IT Pro, 5/8)
》 新名称 「母さん助けて詐欺」など (NHK, 5/12)。もやは「振り込み」ではなく「現金手渡し」の方が多いので、「振り込め詐欺」では不適切なのだそうです。
》 Release Notes: McAfee VirusScan Enterprise 8.8.0 Patch 3 (McAfee)
Artemis (GTI) のデフォルト値が中に (新規インストールのみ)
Buffer Overflow Protection は Windows 8 / Server 2012 では削除された
Delayed Write Scan モードがデフォルトで有効に。
Rootkit Detection モードがデフォルトで有効に。
VSE コンポーネントにおいて ALSR と DEP が有効に。
》 VirusScan Enterprise 8.8 Patch 2 Hotfix 805660 (McAfee KB78149)
IMPORTANT: VSE 8.8 Patch 2 requires the following hotfixes to be installed in the following order: Hotfix 805660, 778101, 820636, then Hotfix 846582.
順序指定なのか……。関連:
VirusScan Enterprise 8.8 Patch 2 Hotfix 778101 (McAfee KB76727)
VirusScan Enterprise 8.8 Patch 1, 2, and 3 Hotfix 820636 (McAfee KB77043)
VirusScan Enterprise 8.8 Patch 2 Hotfix 846582 (McAfee KB75374)。Delayed Write Scan のサポート。
Supported environments for VirusScan Enterprise on Microsoft Windows (McAfee KB51111)
》 Windows 8 > 障害ディスクの交換日記 (前編) (山市良のえぬなんとかわーるど, 5/5)、 Windows 8 > 障害ディスクの交換日記 (後編) (山市良のえぬなんとかわーるど, 5/8)。Windows 8 の DISM コマンドを使ったバックアップと復旧の事例。
》 NTTドコモが認証基盤を大手術、「回線ベースの認証はもはや限界」 (日経 IT Pro, 5/8)
澤 新 弁護士(男性) (弁護士・法律事務所データベース)
検察審査会議決の不透明・補助弁護士はワケあり元検察幹部 (江川 紹子, 4/22)。不祥事で。
検察審査会の補助弁護人はあきまへんで! (いまにしのりゆき 商売繁盛でささもって来い!, 4/23)。不祥事の中身。
澤弁護士の新たなる疑惑:常識的には辞退するべきはずの人がなぜ? (八木啓代のひとりごと, 5/9)。澤弁護士は、小沢一郎氏と、高校時代の同級生!
陸山会事件「不起訴不当」の澤弁護士 さらなる疑念浮上でんがな! (いまにしのりゆき 商売繁盛でささもって来い!, 5/10)
この澤氏をさらに調べると、とんでもないことがわかってきたんや。
1992年年2月、福岡県飯塚市で小学1年の女児2人が行方不明になり、
遺体で見つかった事件。久間三千年元死刑囚を殺人容疑などで1994年10月に逮捕。
久間元死刑囚は無罪を主張したが死刑判決。2008年10月に刑が執行された。
だが、その後、弁護団が死刑判決の柱となった、DNA鑑定を
精査した結果、久間元死刑囚のもではないと再審請求。
判決の正当性、捜査はほんまかいなと疑念が浮上しとる。
飯塚事件ですね。久間三千年氏は既に国家によって殺害されている。
当時、福岡地検で次席検事として
事件捜査の指揮を振るったのが、
澤氏。
検察が冒頭陳述で明らかにした、決定的証拠はDNA鑑定。
それが久間元死刑囚の弁護士が今、求めている再審請求で
揺らいでいるのだ。
DNA鑑定の詳細な経緯の資料が
「おまへん」
って検察は回答しているそうなんよ。
なんと……。
》 人民日報「沖縄も中国に領有権」の記述なし (日本報道検証機構, 5/9)。読売記事の件。
》 第26回まっちゃ139勉強会。 2013.06.08、大阪府大阪市、一般500円・学生無料。岡村先生の著作権法 + クラウド話。
》 3Dプリント銃のブループリントの削除を国務省が要請 (techcrunch, 5/10)
》 諜報機関NSAによる「Googleで秘密情報を探すマニュアル」 (WIRED, 5/10)。ふつうの Google ハックだった。
》 ハッキングで45億円窃盗か 米で容疑者8人起訴 (朝日, 5/10)
同地検によると、犯行グループは昨年12月と今年2月、デビットカードの情報を処理するインドや米国のコンピューターに侵入して、中東の銀行が発行したカードの引き出し可能額を無制限にし、「現金引き出し係」が日本を含んだ世界各地のATMから数時間のうちに現金を引き出したとされる
関連: Global cyber, ATM heist nets thieves $45 million from 26 counties (NYDailyNews, 5/9)、 ハッキングで世界24カ国のATMから計45億円を数時間で強奪した手口とは? (gigazine, 5/10)
》 「アラブの春」の正体 欧米とメディアに踊らされた民主化革命 (角川, 2012.10.10)。こんな本出てたのか。
》 実測データ収集へのこだわりで、被曝水準の低さが裏付けられる (山形浩生 の「経済のトリセツ」, 5/10)。サイエンスに掲載された、早野先生関連記事の翻訳。
》 原発事故後の避難の様子、携帯GPS情報から再現 (朝日, 5/9)。東大・早野龍五先生とゼンリンデータコム・足立龍太郎氏の研究成果。関連:
福島原発事故時の20km避難区域内外の人の流れの携帯電話の位置情報を用いた見積 (東大, 5/9)。東大プレスリリース。
Estimation of the total population moving into and out of the 20 km evacuation zone during the Fukushima NPP accident as calculated using “Auto-GPS” mobile phone data (Proceedings of the Japan Academy, 5/10)。当該論文。
》 片山さつきのヘイトツイート (Afternoon Cafe, 5/9)。あいかわらずのご様子。
》 風疹患者 4か月で5000人超 (NHK「かぶん」ブログ, 5/8)
》 風疹大流行 〜遅れる日本の感染症対策〜 (NHK, 5/9)
新しい動きはやはり、ありまして、ことしの春に予防接種法が改正されました。
そこで新しいワクチンが3つ、定期接種に導入されたり、あるいはワクチンの予算が、国のほうから約9割、定期接種のワクチンに関しては負担されると、そのような画期的なことも起こっております。
ちょっと待った、その「新しいワクチンが3つ」の 1 つは子宮頸がんワクチンじゃん。(残り 2 つはヒブワクチンと小児用肺炎球菌ワクチン)
やはり今お話した、リスクですね。
ここのところばかりに目がいってしまって、その後ろにある、大きなワクチンによるベネフィット、これに目が行かなかったというのが現状だったと思います。
》 海外ハッカーに人気の日本ブランド:ロシアンアンダーグラウンドの現状調査 (トレンドマイクロ セキュリティ blog, 5/10)
このように、海外のハッカーでは「日本ブランド」の価値が高いことがわかりました。特に日本ドメインは他の国々に比べ、信頼性が高く攻撃に利用しやすいとみなされていることが、取引上の高値からもうかがえます。
金になりやすいからですか……。
》 Googleのビルに外部からアクセス・制御できる脆弱性、管理者パスワードも判明 (gigazine, 5/10)。ビル管理システム Niagara の欠陥。
Tridium NiagaraはシステムをWebブラウザから管理できるのが特徴で、世界の企業や空港、ホテルなどでも使われているもの。類似のシステムを使用している企業なども多く存在し、プロジェクトの途中段階であるCylanceはすでに2万5000件以上もこのようなシステムに直面したのことです。Googleでさえハッキング被害にあう可能性があったのだから、他の企業が被害にあう可能性も十分にあると考えられるとしてCylanceは警告しています。
》 「ディノス」に111万件の大量アクセス攻撃、1万5000件がログインされる (Internet Watch, 5/9)。通販サイト。
》 ドメイン登録業者で個人情報への不正アクセスがあり全パスワードのリセットを実施へ (gigazine, 5/10)。name.com。
》 子宮収縮薬 多くで学会の指針守られず (NHK「かぶん」ブログ, 5/8)。いわゆる陣痛促進剤の件。脳性まひ事例の多くで、学会の指針が守られていなかったことが判明。
生まれてくるときの何らかの事故で脳性まひになった子どもに補償金を支払う「産科医療補償制度」で、対象となった出産を分析したところ、(B(中略) 制度の運用が始まった平成21年からの2年間に、子宮収縮薬を使って人工的に陣痛を起こした56例のうち、77%に当たる43例で薬剤の使い方や量を定めた学会の指針が守られていなかったことが分かりました。(中略) 子宮収縮薬の使用について妊婦や家族から同意を得ていたケースは半数の28例にとどまっていました。
陣痛促進剤の使用は、夜中や休日にお産をしたくないという医者の都合だからね……。
》 ネット選挙で共通ガイドライン (NHK「かぶん」ブログ, 5/10)。 テレサ協の、 「公職の候補者等に係る特例」に関する対応手引きの件。
伊藤さんから (情報ありがとうございます)
「Tomcat 6.0.37 」のセキュリティ情報ですが、 BEAST Attack への対応が行われている以下の Bug かと推察しています。
Bug 53481 - Support SSL_OP_CIPHER_SERVER_PREFERENCE / SSLHonorCipherOrder
https://issues.apache.org/bugzilla/show_bug.cgi?id=53481
APSB13-15: Prenotification Security Advisory for Adobe Reader and Acrobat (Adobe, 2013.05.09)。2013.05.14 (US 時間) に Adobe Reader / Acrobat の更新出ます。Priority rating は Windows 用 9.x が 1、他は 2。
マイクロソフト セキュリティ情報の事前通知 - 2013 年 5 月 (Microsoft, 2013.05.10)。計 10 件 (緊急 x 2、重要 x 8)。 IE あり (2件)、Office あり (Publisher, Visio, Word 2003)、 .NET Framework あり。 明記されてないけど、IE 2 件のうち 1 件は累積的な更新で、もう 1 件は セキュリティアドバイザリ 2847140 の件かな。
》 米「中国の領海基線は不適切」 (NHK, 5/7)
中国政府が去年、沖縄県の尖閣諸島周辺に独自に領海を示す根拠となる「領海基線」を定め、国連に一方的に申請した (中略) アメリカ国防総省は6日、議会に提出した中国軍の活動などに関する年次報告書の中で、「2012年9月から中国は尖閣諸島周辺で不適切に定めた『領海基線』を使い始めており、こうした行為は国際法にも矛盾する」と指摘
この件の解説: 木語:直線というクセ球=金子秀敏 (毎日, 5/9)
なんと国際法違反! 連日のように領海侵入を繰り返す中国海洋監視船に不安な思いの日本人には白馬の騎士の出現だ、きっと中国も自重するだろう−−と速断するのは禁物だ。
報告書は尖閣諸島の領有権についてなにも触れていない。国際法違反となるのは、原文に照らせば、「不適切に引かれた直線基線」という線引きである。(中略) もし中国が直線基線方式を引っ込め、日本の領海線と同じ線を採用すれば違反ではなくなる。しかも尖閣諸島の場合、中国式の直線基線だろうと日本式だろうとほぼ同じ形になるのだ。
報告書の原文では尖閣諸島問題の前に、中国が南シナ海のほぼ全域にわたって主権を主張している問題が論じられている。南シナ海で中国が現に支配している島、これから支配するつもりの島を次々に線で結び、領海基線と主張すれば南シナ海はほぼ中国の領海になるだろう。尖閣の直線基線の裏は南シナ海問題ではないか。
》 はびこる排外主義とレイシズムに日の丸が泣いている (週刊ダイヤモンド, 5/2)。在特会方面。
関連: ヘイトデモ参加者は、こうして「在特会ウォッチャー」となった (田中龍作ジャーナル, 5/9)
》 16 進数による URL 不明瞭化が再登場 (シマンテック, 5/7)
》 Google Glass と今後のセキュリティ上の懸念 (シマンテック, 5/7)。しょせん Android なので、物理アクセスできれば簡単にハクれちゃうという話。
》 オンラインポルノの影響と新たな対処法 (ウォール・ストリート・ジャーナル日本版, 5/8)
》 朝日新聞の「オピニオン」欄に寄稿 (内田樹の研究室, 5/8)
日本はこれからどうなるのか。いろいろなところで質問を受ける。
「よいニュースと悪いニュースがある。どちらから聞きたい?」というのがこういう問いに答えるときのひとつの定型である。それではまず悪いニュースから。
それは「国民国家としての日本」が解体過程に入ったということである。
》 敦賀原発:規制委員長、活断層で迷い露呈 会見で「急ぐ必要ない」/会見後「遅滞なく集約」 (毎日, 5/9)。田中俊一委員長、フラフラ。
》 【佐藤優の眼光紙背】川口順子参議院環境委員長は解任されて当然である (BLOGOS, 5/9)
》 スマートフォンの出会い系アプリを偽装した不審Webサイトを継続して確認 (トレンドマイクロ セキュリテ%# blog, 5/9)
》 おさかなポスト:カメの引き取り中止に 持ち込み増え過ぎ (毎日, 5/9)。ミシシッピアカミミガメ (「ミドリガメ」) は成長すると 30cm くらいになるので、あらかじめ認識した上で飼いましょう。
》 Linux/Cdorked.A malware: Lighttpd and nginx web servers also affected (ESET, 5/7)。対象は Apache だけでなく、Lighttpd や nginx も。
日本語の紹介記事あった: Webサーバを狙うマルウェア、NginxやLighttpdにも感染 (ITmedia, 5/9)
》 バックドア型不正プログラム、Facebook やマルチプロトコル対応の IM アプリケーションを介して拡散するワームをもたらす (トレンドマイクロ セキュリティ blog, 5/8)
》 カウントダウン開始: Windows XP のサポートは 2014 年 4 月 8 日に終了 (日本のセキュリティチーム, 5/8)
》 渋谷「シエスパ」爆発事故 (2007年6月19日) 東京地裁判決。 ユニマットの保守管理担当役員●●被告は無罪、大成建設の設計担当者■■被告は執行猶予つき有罪。
元運営会社役員に無罪 3人死亡の温泉施設事故 (中国新聞, 5/9)
検察側は(1)設計上、結露水が詰まりやすい配管構造になっているのに■■被告がユニマット側に水抜きの必要性を伝えなかった(2)●●被告がガス検知器を設置するなどの安全対策を怠った―と主張した。
■■被告の弁護側は「大成建設の施工担当者には水抜きの必要性を伝えており、ユニマット側への説明責任はない」と反論。●●被告の弁護側は「水抜きのことは知らされておらず、ガス漏れの危険性は認識できなかった」としていた。
ユニマット元取締役に無罪=大成建設社員は猶予刑―シエスパ爆発事故・東京地裁 (ウォール・ストリート・ジャーナル日本版, 5/9)
起訴状によると、■■被告は水抜きの必要性をユニマット側に説明せず、●●被告は配管の保守管理やメタンガス検知器の設置を怠った結果、配管が水で詰まり、別の配管から漏れ出したガスが引火して爆発したとされる。
シエスパ爆発:運営側に無罪 設計側は有罪 東京地裁判決 (毎日, 5/9)
判決ではユニマットの主張が認められたということかな。 ユニマットは、こんな文書も公開している:
温泉施設「シエスパ」事故における告発状の提出について (ユニマット, 2011.12.09)
平成19年6月19日、東京都渋谷区所在の温泉施設「シエスパ」にて発生した本件事故に関しては、シエスパの衛生・空調設備設計責任者で大成建設株式会社に所属する設計士とシエスパの施設管理責任者として、当時のユニマット不動産(現・ユニマットホールディング)の取締役が公判請求されましたが、本件事故から4年半もの歳月が経過しているにもかかわらず、未だに公判前整理手続の段階にあり、第1回公判も開かれておりません。
本件事故においては、大成建設側の過失としては、温泉ガスのガス抜き配管のメンテナンス(溜まった結露水を水抜きバルブから排水すること)の必要性をユニマット不動産に対して説明しなかった点のみが問題とされています。
しかしながら、本件事故の現場であるシエスパB棟機械室内の給排気設備等については、契約図面上設置される予定であった強制給気設備が施工されていない上、改造が禁止された排気ファンに不正改造がなされるなどの欠陥工事(以下「本件欠陥工事」)が行われており、ユニマットとしては、このような本件欠陥工事が本件事故の大きな原因の一つを構成していると考えております。
ユニマットは、かかる本件欠陥工事に関与した被告発人を特定し、その処罰を求めることが、本件事故の真相解明にとって必要不可欠であると考え、今回の告発に及んだものです。
一方で、本年5月、本件事故の警視庁捜査一課における捜査責任者であった白鳥陽一警部が美容外科「品川美容外科」に対し、捜査資料を漏洩していた容疑(地方公務員法違反)で逮捕されたことは、本件事故の捜査の信頼性に疑念を抱かせる事情でした。
更に、ユニマットが従前より指摘し続けた本件欠陥工事の本件事故に対する影響についての実験等は行われなかったにもかかわらず、本年7月から8月にかけて、捜査当局は、大成建設側からの要望を受け容れ、既に証拠となっていた現場からのガス湧出量の測定結果を検証するための大規模な再実験をシエスパにて実施しました。
ユニマットは、このような経緯に照らし、本件事故の捜査そのものに対する不信感、更に、著しく公平を欠く事件処理についての疑念を抱かざるを得ず、大変遺憾ながら、本件告発により、適正な捜査が行われ、本件事故の真相が解明されることを強く要望するものです。
温泉施設「シエスパ」事故における告発状の正式受理について (ユニマット, 2012.01.13)
初公判は 2012.04.13 だったようで:
温泉施設爆発「娘を返して」と遺族―発生5年遺族の無念今も、あす初公判 (世界日報, 2012.04.12)。従業員(千財さん)遺族。
あと、従業員(日詰さん)遺族から大成建設に対する損害賠償訴訟については和解しているそうで:
渋谷温泉爆発、損賠訴訟が和解 大成建設が解決金 (日経, 2012.04.25)。4/24 付で和解。
従業員(千財さん)遺族からも大成建設やユニマットなどに損害賠償訴訟出ているようだけど、これがどうなったのかはよくわからない。
別の温泉施設従業員遺族も提訴 渋谷「シエスパ」爆発事故 (共同, 2010.11.12)
Fix it 出ました。
Microsoft Security Advisory: Vulnerability in Internet Explorer could allow remote code execution: May 8, 2013 (Microsoft KB 2847140)
Fix it for Security Advisory 2847140 is available (MSRC blog, 2013.05.08)
The Fix it is an effort to help protect as many customers as possible, as quickly as possible. We continue to work on a security update to address this issue and we’re closely monitoring the threat landscape. Tomorrow, please visit our monthly Advance Notification Service (ANS) blog for details on the Security Updates being released in May’s Security Bulletin cycle.
そういえば、定期更新の予告は明日でしたね。
ePO の件、McAfee Agent 4.5 / 4.6 拡張ファイルについても更新する必要があるそうで:
マカフィーセキュリティ情報 - McAfee Agent 4.5, 4.6 拡張ファイルでのSQLインジェクションについて (マカフィー, 2013.05.08)。CVE-2013-0140
攻撃はePOサーバへ不正なエージェントを登録し、ePOサーバへ細工されたリクエストを送信することに よって行われ、これにより攻撃者はリモートからSYSTEM権限でコードを実行することができるようになります。
McAfee Agent 4.8 拡張ファイルで修正されている。 また McAfee Agent 4.6 拡張ファイルの hotfix を準備中で、6月リリース予定だだそうだ。
ePO の拡張ファイルについて (マカフィー)。拡張ファイルに関する一般的な解説。
ColdFusion 9.0, 9.0.1, 9.0.2, 10 に欠陥。remote から無認証でサーバー上のファイルを取得できる。CVE-2013-3336
これは、デフォルトでは CFIDE/administrator, CFIDE/adminapi, CFIDE/gettingstarted ディレクトリへのアクセスが制限されていないため。Lockdown Guide (ColdFusion 9 Lockdown Guide, ColdFusion 10 Lockdown Guide) に従ってこれらディレクトリへのアクセスを制限している場合には、この欠陥の影響を受けない。
2013.05.14 (US 時間) に hotfix が公開される予定。
関連:
ColdFusion 9-10 - Credential Disclosure Exploit (exploit-db, 2013.05.08)
APSA13-03: ColdFusion のセキュリティ情報 (Adobe, 2013.05.08)
Hotfix 出ました: APSB13-13: Security update: Hotfix available for ColdFusion (Adobe, 2013.05.14)
》 Microsoft Community Open Day 2013。 2013.05.11、東京・札幌・仙台・名古屋・石川・大阪・広島・沖縄同時開催、無料。西脇資哲氏のプレゼン講座は、見たことない方はぜひ。 セキュリティ方面だと、 名古屋会場の「Windows ストア アプリでウイルスを作るには!?」とか、 大阪会場の「標的型攻撃時代のセキュリティ対策 〜攻撃視点が教える「変化」の提案〜」でしょうか。 ストリーミング中継もあるみたい。
》 第24回セキュリティもみじセミナーのご案内。 2013.05.18、広島県広島市、一般500円・学生無料。
》 JNSA 2012年度活動報告会 (JNSA)。2013.06.07、東京都千代田区、無料。
》 DNSSEC 2013 スプリングフォーラム (DNSOPS.jp)。2013.05.29、東京都千代田区、無料。
》 東京弁護士会に公開質問状を出してまいりました (八木啓代のひとりごと, 5/7)
だとすれば、東京弁護士会は、検察内部の不祥事の審査の助言をするべき審査員に、わざわざ、あえて元検察幹部であり、しかも身内の7億円近くもの遺産のうちの税金2億数千万円の脱税の摘発を、自分の職権を悪用して阻止しようとしたという、とんでもない不祥事を起こして検察を辞めた人物を選任したということだ。
(中略)
まさに、民間人ならそれだけで起訴立件されても仕方がないほどの事件を起こしておいて、戒告処分にとどめられて検察を辞めたという、とんでもない不祥事を起こした人間を、あえて、検察の違法行為が裁かれる審査会の補助弁護士に選んだことになる。
》 原子力学会アンケ:7割が「原発安心」…市民と隔たり (毎日, 5/8)
》 風疹患者 4か月で5000人超 (NHK, 5/8)、妊婦の風疹、悲劇二度と 娘亡くした女性、相談に応じる (朝日, 5/4)
》 バングラデシュで暴動 (国連情報誌SUNブログ対応版, 5/7)
》 Adobeのデジタルメディア責任者、定期課金、Behance、ハードウェア、違法コピーを語る (techcrunch, 5/8)
》 シリア、*またも*ネット接続遮断(2013年5月8日: 日本時間) (NAVER まとめ, 5/8)
》 米空軍性暴行対策責任者、性的暴行容疑で逮捕 (沖縄タイムス, 5/8)。なんじゃこりゃあ……。
》 PC遠隔操作:伊勢神宮爆破予告容疑で再逮捕 (毎日, 5/8)。延々続く再逮捕。で、可視化はどうなったんだ。
》 スマホアプリ:LINEに潜む犯罪 掲示板規制なし (毎日, 5/7)
》 新種のコロナウイルス感染症について (更新10) (厚生労働省検疫所, 5/8)。あいかわらず新規確認が続いている。やっぱりサウジ。今回は 3 名、内 2 名は既に死亡、1 名は危篤。合計で確認済感染者数 30、うち死亡 18。
Multiple Linux setuid output redirection vulnerabilities (openwall.com, 2013.04.28)。 local user が権限上昇可能な欠陥、 CVE-2013-1959 と CVE-2013-1979。PoC も添付されている。
CVE-2013-1959。Linux < 3.8.9。
Linux Kernel open-time Capability file_ns_capable() - Privilege Escalation Vulnerability (exploit-db, 2013.05.08)。
USN-1815-1: Linux kernel vulnerabilities (ubuntu, 2013.05.02)、 http://people.canonical.com/~ubuntu-security/cve/2013/CVE-2013-1959.html
CVE-2013-1959 (Debian Security Bug Tracker)。Debian wheezy, sid は欠陥あり。 squeeze は欠陥なし。
CVE-2013-1979。Linux < 3.8.11。
http://people.canonical.com/~ubuntu-security/cve/2013/CVE-2013-1979.html
CVE-2013-1979 (Debian Security Bug Tracker)。Debian wheezy は欠陥あり。 squeeze, sid は欠陥なし。
[SECURITY] Fedora 18 Update: kernel-3.8.8-203.fc18 (lwn.net, 2013.04.27)、 Bug 955647 - CVE-2013-1979 kernel: net: incorrect SCM_CREDENTIALS passing [fedora-all] (Red Hat)
Tomcat 6.0.37 Released (Apache.org, 2013.05.03)。セキュリティ修正を含むとされているが、 Changelog のどれがそうなんだろう……。iida さん情報ありがとうございます。
Subversion 1.7.9 / 1.6.21 (2013.04.04 公開) で修正された件:
CVE-2013-1845: mod_dav_svn excessive memory usage from property changes
CVE-2013-1846: mod_dav_svn crashes on LOCK requests against activity URLs
CVE-2013-1847: mod_dav_svn crashes on LOCK requests against non-existant URLs
CVE-2013-1849: mod_dav_svn crashes on PROPFIND requests against activity URLs
CVE-2013-1884: mod_dav_svn crashes on out of range limit in log REPORT request。これは Subversion 1.7.x のみに影響。
伊藤さんから (情報ありがとうございます)
「Tomcat 6.0.37 」のセキュリティ情報ですが、 BEAST Attack への対応が行われている以下の Bug かと推察しています。
Bug 53481 - Support SSL_OP_CIPHER_SERVER_PREFERENCE / SSLHonorCipherOrder
https://issues.apache.org/bugzilla/show_bug.cgi?id=53481
チェックしておきたい脆弱性情報<2013.05.13> (日経 IT Pro, 2013.05.13)
Tomcat 6.0.37では、APR(Apache Portable Runtime)コネクターでのTLS圧縮機能の無効化選択の追加 (中略) TLS圧縮機能の無効化選択は、CRIME(Compression Ratio Info-leak Made Easy/Compression Ratio Info-Leak Mass Exploitation)とも呼ばれる攻撃手法への対処策となっています。
phpMyAdmin の件、Advisory だけ見ると 3.5.8 で直ってる風なんだけど、 phpMyAdmin 3.5.8.1 and 4.0.0-rc3 are released (phpMyAdmin, 2013.04.24) を見ると、4.0.0-rc3 に対応するのは 3.5.8.1 なのですね。 というわけで記述を修正した。
関連: phpMyAdmin Authenticated Remote Code Execution via preg_replace() (exploit-db, 2013.05.01)
性同一性障害者に年金共通番号 一時ネット閲覧可能に (共同, 2013.05.07) の件の詳細。「性同一性障害者にかかる基礎年金番号付番」という申請用紙には、年金番号のプレフィックス 8500 があらかじめ設定されてしまっているため、8500 ではじまっていれば性同一性障害な人であることが一目瞭然になってしまっていたと。ひでえ。
なぜ乱数じゃないのそんなの絶対おかしいよ、 と思ったが、年金機構、性同一性障害に共通番号 一時ネットで公開 (日経, 2013.05.07) によると
機構によると、年金支給開始年齢の引き上げなどに伴い加入状況を正確に把握する必要が生じたとして、性別を変更した人に昨年10月以降、新しい基礎年金番号を割り当て、元の番号と2つを併用することにした。その際、「事務担当職員に2つの年金記録があることを分かってもらうため」(同機構)に、前半4桁の番号を共通にした。
手前の都合かい!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
周囲に事情を明かしていない性別変更者でも、番号から性同一性障害と知られてしまう恐れもある。機構の広報担当者は「今後は情報公開請求があっても、共通番号は非開示にするよう対応を改めた」としている。
共通番号をやめなさいって……。
》 “日本の標準暗号”が10年ぶり大改定、国産暗号削減よりもRC4とSHA-1の監理ポスト入りが影響大 (日経 IT Pro, 5/7)。CRYPTREC の件。
》 湯川先生に「捜査情報」漏らしすぎ? 「ガリレオ」岸谷刑事の手法は許されるか? (弁護士ドットコム, 5/7)
》 Gunosy炎上事件でその先が霞む向こうに理想のはてなを見た (やまもといちろう Blog, 5/6)
》 米、日本に年198億円要求 普天間移転後の維持費 (沖縄タイムス, 5/5)。クレクレタコラかい……。
》 韓国ベビーブーマーの過去、現在、未来−『彼らは声を出して泣かない』から (IDE-JETRO, 5/7)
最近、ベビーブーマーの人生を描いた『彼らは声を出して泣かない−ソウル大宋虎根教授が描くこの時代50代の人生報告書』が刊行された。本報告ではこの本を手がかりに、韓国ベビーブーマーの過去、現在、未来を考えてみたい。
》 「プーチンは2島返還で決着したがっている・・・」 根拠なき定説はなぜ生まれたのか (JBpress, 5/7)
領土問題は実効支配側が圧倒的なアドバンテージを有するゼロサムゲームで、実効支配側によほどの不利益がなければ、交渉で動かすのは非常に難しい。現状、ロシア側はいくらプーチン大統領が口先だけで熱意を語ったところで、実際に領土返還に応じる約束は一切していないことを正しく認識する必要がある。
》 美しき紙(ネ申)文化!データとしての再利用を妨げる役所風「ネ申Excel」 (NAVER まとめ, 5/3)。ほんとやめてほしいよねこういうの。
北朝鮮が「ムスダン」ミサイルを発射台から撤去、米当局者 (AFPBB, 5/7)。結局、燃料は入れてなかったということですかねえ。 そういう見方は以前にもありましたが: ミサイルの搬出入繰り返す 監視をかく乱か (産経, 4/11)
一方、既に完了したとみられているムスダンの液体燃料注入がまだ終わっていない可能性があるとの指摘も出ている。別の消息筋は「注入作業に必要な燃料用車両がまだ確認されていない」と述べた。このため、ムスダンは発射せずに、スカッドやノドンだけを発射する可能性も排除できないとの観測もある
日米関係筋「北朝鮮がミサイル発射台撤去」 (NHK, 5/7)。日本の「関係筋」も認めたようで。
「ミサイル情報に重大関心 万全の態勢」 (NHK, 5/7)
まあ、しばらくは警戒を続けるのだろうけど。 先日の「人工衛星」も、中止と思いきや……だったし。
》 子宮頸がんワクチンら決定した専門家 製薬会社の寄付金を手にしていた (ざまあみやがれい!, 4/23)
》 川口参院環境委員長解任の公算 許可なく訪中延長 (共同, 5/7)、参院7会派 川口氏の解任決議案提出 (NHK, 5/7)。許可なく訪中延長のため委員会開けず。 自民たるんでるな……。
》 米上院、超党派の圧倒的支持を得て「インターネット売上税」を承認[アップデート有] (techcrunch, 5/7)
》 児童虐待防止広告に隠された、子供だけに見える秘密のメッセージ (techcrunch, 5/7)。見る位置によって内容の異なるディスプレイ。
》 IPアドレス割り当ての運用変更およびグローバルIPアドレスオプション導入について (UQ WiMAX, 5/7)。放っておいてもグローバルv4アドレスがもらえる時代は終了。
》 Monthly Research 2013年4月: OpenFlowセキュリティ (FFRI, 5/7)。村上さん情報ありがとうございます。
関連:
マイクロソフト セキュリティ アドバイザリ (2847140) Internet Explorer の脆弱性により、リモートでコードが実行される (Microsoft, 2013.05.07)
米政府関連の改ざんサイトから IEゼロデイ → 「PoisonIvy」への攻撃連鎖を確認 (トレンドマイクロ セキュリティ blog, 2013.05.07)
水飲み場型攻撃に悪用された Internet Explorer 8 の新しいゼロデイ脆弱性 (シマンテック, 2013.05.07)
Department of Labor IE 0-day Exploit (CVE-2013-1347) Now Available at Metasploit (Rapid7, 2013.05.05)
Analysis Center @jpcert_ac さんのツイート:
Metasploit の IE8 ゼロデイ PoC は、XP 日本語版で動かず、Vista 以降の日本語版で動きます。これは ROP の作りの違い(XP は msvcrt.dll、Vista 以降は JRE)による差なので、すぐに XP 日本語版で動くコードが出ることでしょう。
— Analysis Centerさん (@jpcert_ac) 2013年5月7日
》 木語:「主権回復・放棄の日」=金子秀敏 (毎日, 5/2)。4.28 の件。
本土は沖縄県をトカゲのしっぽにして、占領を終え主権回復した。しっぽの先にある島が尖閣諸島だ。いま、尖閣諸島の主権を守れと叫ぶ本土のひとびとが、尖閣を含めた沖縄県全体を失った日である4・28をなぜ祝うのか、合点がいかない。
必然性が理解しにくいだけではない。サンフランシスコ講和条約の第11条では、東京の極東国際軍事裁判所と海外の戦犯法廷で行われた裁判と刑執行を日本が受け入れるよう命じている。
式典を主催した安倍晋三首相は、戦勝国による「侵略の定義」を受け入れていないようだ。東京裁判の判決に異を唱えないと定めた条文は、首相の歴史観と食い違う。不思議な「主権回復の日」だった。
》 ほぼすべてのパーツを3Dプリンターで出力した拳銃が完成 (slashdot.jp, 5/5)
》 日本が「核兵器の人道的影響に関する共同声明」に賛同を見送ったことに思うこと (アシナガバチの巣作り日記, 5/4)
》 トルコ紙「原発輸出最優先の日本」と冷ややかな報道 (TBS, 5/6)。自分の国の放射性廃棄物の処理・処分すらできない・決められない国が、原発輸出って……。快傑のーてんきか。
関連: 安倍首相が進めるトルコ・シノップ原発輸出の問題点、運転から事故時の補償や使用済み核燃料の処分まで日本が持つ可能性 (阿修羅, 5/3)。ベトナムのもそうですし……。
イスラエル、シリアを空爆 (ヒズボラへの SRBM 供与を阻止?)
イスラエルがシリア首都近郊を空爆、標的はイラン製ミサイル (ロイター, 5/6)
西側情報筋によると、空爆はヒズボラに向けて搬送中だったイラン製ミサイル「ファテフ110」を狙ったものだという。
ファテフ110 (ウィキペディア)。
イスラエルがシリアを空爆=米当局者 (ウォール・ストリート・ジャーナル日本版, 5/5)
イスラエル、3日間で2度のシリア空爆―地域紛争へ拡大の恐れ (ウォール・ストリート・ジャーナル日本版, 5/6)。空爆地点の地図あり。
イスラエル空爆は「宣戦布告」、報復を示唆 シリア高官 (CNN, 5/6)
米に事前通告せず イスラエルのシリア空爆 (産経, 5/6)
イスラエル機のダマス攻撃 (中東の窓, 5/5)、 イスラエルのシリア攻撃 (中東の窓, 5/6)
Israeli airstrikes may show weakness in Syrian defense (McClatchy, 5/5)。崩壊寸前の国家の防空システムですからねえ……。
Turkish doctors say no nerve gas in Syrian victims' blood (globalpost, 5/5)。「被害者」の血液からは、化学兵器の証拠は見つからず?
アサド政権に$h$kAH?%E*$JL1B2>t2=$O$8$^$k (ワールド&インテリジェンス, 5/5)
シリアを外国人が取材する意味 (ワールド&インテリジェンス, 5/6)
》 CSIRTフォーラム2013 -これからCSIRTを構築したい方々へ- 開催のご案内 (日本シーサート協議会)。2013.05.24、東京都渋谷区、無料。
》 経産省、インフラ用制御システムの安全認証体制を整備 (朝日, 5/6)。「パイロットプロジェクト」の件かなあ。関連:
制御システムセキュリティ検討タスクフォース (経産省)。2012.06.01 に中間とりまとめが出て、そのあと中断中なのかな。パイロットプロジェクトの結果待ち?
制御システムセキュリティセンター。この 1 年くらい更新されてないんですかね。
制御システムセキュリティカンファレンス 2013においての講演資料 (JPCERT/CC, 2/18)
制御システムセキュリティの認証スキーム確立に向けたパイロットプロジェクトに着手 (IPA, 3/6)
制御機器認証プログラム「EDSA」国内認証制度の確立および規格書対訳版の公開について (IPA, 4/15)。対訳版は http://isasecure.org/ISASecure-Program/Japanese-ISASecure-Program.aspx で公開されているようです。
「制御システムのセキュリティ人材育成に関する調査及びモデルカリキュラム等の作成」報告書について〜4コースのモデルカリキュラムを策定〜 (IPA, 4/25)
》 日本を含む36の国家で国民監視用にスパイウェアを使用していることが判明 (gigazine, 5/6)。FinFisher の件。
》 米国:FBIが,GoogleやFacebook等に対し,通信傍受用のバックドアを構築するよう要求 (サイバー法ブログ, 5/3)
》 中国が米軍事機密入手か、無人機や偵察衛星開発など ハッカー攻撃 (産経, 5/4)。China’s Cyberspies Outwit Model for Bond’s Q (Boomberg, 5/2)。「キネティック・ノースアメリカ」のつづりは QinetiQ North America。
》 Alleged SpyEye Seller ‘Bx1′ Extradited to U.S. (Krebs on Security, 5/3)。タイで逮捕された容疑者が US に引き渡されたそうで。
》 IBM takes a big new step in cryptography: practical homomorphic encryption (Sophos, 5/5)
》 新潮社の校閲すごいっ!校閲のプロの仕事っぷりが話題 (NAVER まとめ, 5/5)。校閲って、考証までする仕事なのか……。
D-Link の件: Security Fix: Beta Firmware Version 1.04 build 7712 DCS-1100/1130 (D-Link, 2013.05.01)
phpMyAdmin
PMASA-2013-1 : XSS due to unescaped HTML output in GIS visualisation page (phpMyAdmin, 2013.04.18)
PMASA-2013-2 : Remote code execution via preg_replace() (phpMyAdmin, 2013.04.24)
PMASA-2013-3 : Locally Saved SQL Dump File Multiple File Extension Remote Code Execution (phpMyAdmin, 2013.04.24)
PMASA-2013-4 : Local file inclusion vulnerability (phpMyAdmin, 2013.04.24)
PMASA-2013-5 : Global variables overwrite in "export.php" (phpMyAdmin, 2013.04.24)
phpMyAdmin 3.5.8 3.5.8.1 / 4.0.0-rc3 で修正されている。
Cisco 方面
Cisco Wireless LAN Controller Telnet Denial of Service Vulnerability (Cisco, 2013.05.03)
Cisco Unified Communications Manager Arbitrary File Read Vulnerability (Cisco, 2013.05.03)
Cisco WebEx Unitialized Memory Read Vulnerability (Cisco, 2013.05.03)
Multiple Cisco WebEx Products Cache Directory Read Vulnerability (Cisco, 2013.05.02)
Cisco IOS XR Software Crafted SNMP Packets Denial of Service Vulnerability (Cisco, 2013.05.02)
EMC Avamar
ESA-2013-034: EMC Avamar Improper Authorization vulnerability (EMC / bugtraq, 2013.05.02)。 Avamar 6.1.1、Avamar Server 6.1.0 で修正されている!#
ESA-2013-035: EMC Avamar Client Improper Certificate Validation Vulnerability (EMC / bugtraq, 2013.05.02)。 Avamar Client Hotfix # 50184 (クライアントバージョン 6.1.101-89) で修正されている。ただし、 まず Avamar Server を 6.1.0 以降にアップグレードする必要がある。
ESA-2013-028: EMC NetWorker Elevation of Privilege Vulnerability (EMC / bugtraq, 2013.05.02)。 NetWorker 7.6.5.3 / 8.0.1.4 で修正されている。
[SA53303] Huawei AR Series Routers SNMPv3 Handling Command Execution Vulnerability (secunia, 2013.05.04)
phpMyAdmin の件、Advisory だけ見ると 3.5.8 で直ってる風なんだけど、 phpMyAdmin 3.5.8.1 and 4.0.0-rc3 are released (phpMyAdmin, 2013.04.24) を見ると、4.0.0-rc3 に対応するのは 3.5.8.1 なのですね。 というわけで記述を修正した。
関連: phpMyAdmin Authenticated Remote Code Execution via preg_replace() (exploit-db, 2013.05.01)
Dovecot を Exim と共に使う場合、dovecot_deliver: に use_shell が含まれていると、リモートコマンドインジェクション攻撃を受けるという指摘。 http://wiki.dovecot.org/LDA/Exim で示されていた設定例にも 2009.10.23 以降 use_shell が含まれていたため、Dovecot + Exim なサイトは危険な可能性がある。
use_shell を削除すればよい。
IE 8 に 0-day 欠陥、攻略 Web ページを閲覧すると任意のコードが実行される。この欠陥は IE 6、7、9、10 には存在しない。 CVE-2013-1347
この欠陥、US 労働省の www.sem.dol.gov がハクられた件に関係しており、 これはつまり、US 政府の核兵器科学者・研究者を対象として行われた水飲み場型攻撃に使われたことを意味するそうで。
Internet Explorer zero-day exploit targets nuclear weapons researchers (Updated) (arstechnica, 2013.05.04)
U.S. Department of Labor website hacked and redirecting to malicious code (AlienVault, 2013.05.01)、 New Internet Explorer zeroday was used in the DoL Watering Hole campaign (AlienVault, 2013.05.05)
US Department of Labor website hacked, serves malware, now fixed (Sophos, 2013.05.02)
The SEM "is a repository of information on toxic substances present at Department of Energy sites and other locations where radiation exposure is a possible hazard.
Zero-Day Exploit Enabled Cyber-Attack on U.S. Labor Department (eWeek, 2013.05.04)
IE8 zero-day flaw targets U.S. nuke researchers; all versions of Windows affected (ZDNet, 2013.05.05)。Windows 8、Server 2012、RT には影響しない (IE 8 は動かない) ので「all versions of Windows affected」は間違い。
0-day なので patch はまだない。この欠陥は IE 9、10 には存在しないので、Windows Vista、Server 2008、7、Server 2008 R2 については、IE 9、10 へのアップグレードにより対応できる。 Windows XP、Server 2003 では残念ながらこれができない。
Microsoft は、緩和策として EMET の利用を筆頭に挙げている。
関連:
マイクロソフト セキュリティ アドバイザリ (2847140) Internet Explorer の脆弱性により、リモートでコードが実行される (Microsoft, 2013.05.07)
米政府関連の改ざんサイトから IEゼロデイ → 「PoisonIvy」への攻撃連鎖を確認 (トレンドマイクロ セキュリティ blog, 2013.05.07)
水飲み場型攻撃に悪用された Internet Explorer 8 の新しいゼロデイ脆弱性 (シマンテック, 2013.05.07)
Department of Labor IE 0-day Exploit (CVE-2013-1347) Now Available at Metasploit (Rapid7, 2013.05.05)
Analysis Center @jpcert_ac さんのツイート:
Metasploit の IE8 ゼロデイ PoC は、XP 日本語版で動かず、Vista 以降の日本語版で動きます。これは ROP の作りの違い(XP は msvcrt.dll、Vista 以降は JRE)による差なので、すぐに XP 日本語版で動くコードが出ることでしょう。
— Analysis Centerさん (@jpcert_ac) 2013年5月7日
Fix it 出ました。
Microsoft Security Advisory: Vulnerability in Internet Explorer could allow remote code execution: May 8, 2013 (Microsoft KB 2847140)
Fix it for Security Advisory 2847140 is available (MSRC blog, 2013.05.08)
The Fix it is an effort to help protect as many customers as possible, as quickly as possible. We continue to work on a security update to address this issue and we’re closely monitoring the threat landscape. Tomorrow, please visit our monthly Advance Notification Service (ANS) blog for details on the Security Updates being released in May’s Security Bulletin cycle.
そういえば、定期更新の予告は明日でしたね。
MS13-038 - 緊急: Internet Explorer 用のセキュリティ更新プログラム (2847204) (Microsoft, 2013.05.15) で修正されました。Fix it を適用していた場合は、MS13-038 更新プログラムを適用後に、無効にする Fix it を適用しましょう。
》 時論公論 「震災遺児を支えていくには」 (NHK 解説委員室, 5/2)
》 New whitepaper: Evaluating Microsoft's protection performance and capabilities (Microsoft Malware Protection Center, 5/2)
》 「OpenBSD 5.3」リリース、新たに「OpenSMTPD」安定版が搭載される (sourceforge.jp, 5/2)
》 Don't trust Apple, Verizon with your data, says EFF's privacy report (ZDNet, 5/1)。 Who Has Your Back? 2013 (EFF) の紹介。
》 国の機関・地方公共団体にスマホアプリポリシーが求められる (高木浩光@自宅の日記, 4/29)
そんな中、京都市が「京都市スマートフォンアプリケーション活用ガイドライン」を策定した。
(中略)
総務省の「スマートフォン・プライバシー・イニシアティブ」は、電話帳データの取得を禁止しているわけではなく、利用者の同意を得ることを求めているにすぎないのだが、京都市の「利用者情報を取得する場合の判断基準」は、これを「原則取得不可」としている。これは、民間事業者が基本的に自由であるべきとされるのと対照に、地方公共団体はよりいっそうの配慮が求められると、京都市が独自に判断した結果であろう。
これは素晴らしい取り組みであり、こういうものが自発的に登場したことに新鮮さすら覚える。同時に策定されている「ソーシャルメディアガイドライン」は珍しくもないが、スマホアプリのポリシーが自発的に登場するとは、正直驚きである。
》 反パチンコの動きを「しっかりとつぶしておかないと」と発言した平沢勝栄衆議院議員 (共謀罪反対 THE INCIDENTS (Alternative Version), 5/1)。「2011年8月8日公開記事」
シリア情勢のトルコ・ヨルダン貿易への影響(イスラルの港の活用) (中東の窓, 4/26)
これまでトルコのトラックはシリアを経由して、ヨルダンへ(さらにはサウディ等へも)物資を運び、ヨルダンの青果をトルコへ運んで来たが、シリア情勢のため同国の通行ができなくなり(出入国の問題と保険が拒否されている由)、この5ヶ月間イスラエルを陸の橋として利用しているとのことです。
早急に必要なシリア反体制派への武器供与 (ワールド&インテリジェンス, 5/1)
シリア潜入取材を何度かされているジャーナリスト・桜木武史さんがシリア情勢に関するブログを始められました。
▽TAKESHI SAKURAGI NEWS BLOG
やはり現場を知る人の視点はたいへん参考になります。シリア情勢に興味のある方は必読です。
また、下記はシリアの最前線で「戦場観光旅行者」として外国プレスにも登場したことのあるトラック運転手・藤本敏文氏のFBページ。
▽藤本敏文氏FB
一般的な目線がいいですし、観光旅行者と自称していますが、写真も映像も興味深いものがあります。
どちらの方にも言えますが、情報というより現実の感覚を知るには、現場報告者の見聞はたいへん参考になります。
化学兵器問題(トルコ首相の発言) (中東の窓, 5/3)
3日付のhurriyet net 及びこれを引用したjerusalem post net は、トルコのエルドアン首相が、シリア政府は化学兵器を使用したと発言し、この問題については来る訪米の際にオバマ大統領と協議すると述べたと報じています。
》 「ITセキュリティ評価及び認証制度に関する説明会 〜政府調達における海外動向と日本への影響について〜」 開催のご案内 (IPA, 4/30)。2013.05.30、東京都文京区、無料。
》 Mozilla sends cease and desist to spyware maker (H Security, 5/1)、 Protecting our brand from a global spyware provider (Mozilla Blog, 4/30)。FinFisher スパイウェアをつくっている Gamma International。
》 FYI: Anonymous Planning "OpUSA" Attacks on Banks and US Gov't on May 7th. More Info as Relevant to Come. (SANS ISC, 5/2)。関連:
Coordinated Attacks Against the U.S. Government and Banking Infrastructure (Cisco, 5/1)
DHS: ‘OpUSA’ May Be More Bark Than Bite (Krebs on Security, 5/2)
》 「Apple ID」を狙うフィッシングサイト増加を確認 個人情報収集が目的か (トレンドマイクロ セキュリティ blog, 5/3)
Evaluating Android Anti-malware against Transformation Attacks (northwestern.edu) の紹介。既知のマルウェアでも、改変すると検出されなくなる。AVG、Dr. Web、ESET、ESTSoft、Kaspersky、Lookout、Symantec、Trend Micro、Webroot、Zoner のいずれも、何らかの方法で突破することが可能。
攻略 PDF ファイルで URL をクリックすると IP アドレスとタイムスタンプが漏れるそうで。こちらの件:
Tracking PDF Usage Poses a Security Problem (McAfee, 2013.04.26)
When a specific PDF JavaScript API is called with the first parameter having a UNC-located resource, Adobe Reader will access that UNC resource. However, this action is normally blocked and creates a warning dialog asking for permission, such as we see below:
The danger is that if the second parameter is provided with a special value, it changes the API’s behavior. In this situation, if the UNC resource exists, we see the warning dialog. However, if the UNC resource does not exist, the warning dialog will not appear even though the TCP traffic has already gone.
Adobe confirms 'leaky PDF' flaw, fix due on 14 May (ZDNet, 2013.05.03)
5月14日 (US 時間) の定期更新で修正されるそうです。
APSB13-15: Security updates available for Adobe Reader and Acrobat (Adobe, 2013.05.14) で修正されました。 CVE-2013-2737 でいいのかな。
iPhone(iOS6.1)でパスコードを入力せずに電話アプリを起動し連絡先や写真などにアクセスする手順がYouTubeにて公開中
iOS 6.1.4 が出たけど、パスコードロックの件は直ってないようです: Apple ships jolly uninteresting iOS 6.1.4 update (Sophos, 2013.05.03)
》 Googleの自動運転カーは毎秒1GBのデータを処理、これがGoogleカーから見た世界 (gigazine, 5/2)。文字どおりの意味での「自動車」ですね。 神林長平の「魂の駆動体」では、人間が運転するものを、自動車ではなく「クルマ」と呼んで区別してました。
》 Facebookを安全に使うためのセキュリティ対策 第1回 発言内容や情報の公開範囲に潜む落とし穴〜Facebookを炎上させないための3つのポイント〜 (日立ソリューションズの情報セキュリティブログ, 4/24)
》 サイバーセキュリティ ポリシーとパフォーマンスのリンク: セキュリティ インテリジェンス レポート スペシャル エディションをリリース (日本のセキュリティチーム, 5/2)
》 Hacking suspect arrested for 'biggest cyberattack in history' (ZDNet, 4/29)、Dutchman Arrested in Spamhaus DDoS (Krebs on Security, 4/26)。 Spamhaus 300Gbps DDoS の容疑者が捕まったそうで。
》 ネットの違法・有害情報:5万件超で過去最多 摘発も倍増 (毎日, 5/2)、平成24年中の「インターネット・ホットラインセンター」の運用状況等について (警察庁, 5/2)。
関連: 2ちゃんねるの違法情報が激減 12年、9分の1に (日経, 5/2)
ホットラインセンター、「通報」による検挙件数が過去最高に (so-net セキュリティ通信, 5/9)
》 WordPress Default Leaves Millions of Sites Exploitable for DDoS Attacks (Incapsula, 4/30)。 WordPress の XML-RPC pingback リクエスト機能を使った DDoS 攻撃だそうで。 WordPress 3.5 から XML-RPC がデフォルト有効になっているので、こういうことができるみたい。Incapsula の文書には、回避するには xmlrpc.php を削除あるいはリネームしろと書かれているのだけど、ぐぐって_$k$H!"無効に変更するフィルタフックがあるという文書があった。
》 Compromised Apache binaries load malicious code (H Security, 4/29)
》 Samba-VirusFilter 0.1.4 が出ています。
》 原発テロ対策 放射線防護車を配備 (NHK, 5/2)、放射線防護車 2台 (政府調達の公示一覧)。MHI ですか。 しかしこれ、使いものになるのかな……。 足まわりが超ショボそうなんだけど。
》 ソーシャルアプリ「Path」を削除後に電話帳の相手に招待メールが届く不具合発生 (gigazine, 5/1)
》 被爆再現の人形撤去へ (弁護士 落合洋司 (東京弁護士会) の 「日々是好日」, 5/2)
戦争というのは、戦車に乗り颯爽と走り回ったりする、格好良くきれいな場面はごく一部で、
戦車も臭くて汚なくてたいへんなんですわかってくださいよ、というわけで、「泥まみれの虎―宮崎駿の妄想ノート」ですかね。
鳥インフル感染確認1か月 対策は (NHK, 4/30)
H7N9型「大流行の可能性否定できず」 (産経, 4/30)
H5N1型が人に感染する変異をしていないのに対して、H7N9型にはすでに人に適応できる変異がみられる。人の細胞に感染しやすいタンパク質変異のほか、鳥の体温(40度)より低い、人の上気道の温度(33度)で増殖できる変異もあった。東北大大学院医学系研究科の押谷仁教授(ウイルス学)は「ウイルスだけ見れば、なぜ人から人へ感染しないのかが不思議」と話す。
感染者の肺など呼吸器の下部からはウイルスが検出されたが、上気道からは検出されにくいとの研究結果も出た。押谷教授は「上気道でウイルスが増えないと、くしゃみやせきで感染が広がらない。それが人から人への感染が起きにくい理由のひとつかもしれない」と分析する。
鳥インフル死者26人に 江蘇省で2人増 (産経, 5/2)。確認済感染者数 129、うち死亡 26。
》 ワンタイムパスワードを盗むウイルスによるネット銀行被害 (徳丸浩のtumblr, 4/25)
シリア化学兵器:独「証拠はない」 米の可能性指摘に対し (毎日, 4/29)
シリア国内における化学兵器使用調査受け入れを要請 (国連情報誌SUNブログ対応版, 4/30)
シリア:毒の粉?…情報戦が激化 (毎日, 5/1)
米大統領 シリア軍事的関与も含め検討 (NHK, 5/1)。日本語訳: とりあえず何もしない。
ヒズボラ シリアの内戦に本格関与表明 (NHK, 5/1)、 シリア内戦、米指定のテロ組織がアサド政権支持を宣言 (CNN, 5/2)。きましたか。
「シリア反政府勢力に武器を」 (NHK, 5/2)。サウジのサウド外相の発言。
金正日が決めていた「危機」 (ワールド&インテリジェンス, 4/25)
ムスダンは(近いうち)発射される(と思う) (ワールド&インテリジェンス, 4/25)
「ムスダン発射」で北朝鮮がもっとも気にしていること (ワールド&インテリジェンス, 4/26)
北朝鮮、ミサイル発射準備を停止 米軍、監視を一時緩和 (朝日, 4/29)
「北ミサイル発射準備停止」 日韓当局は否定 (日本報道検証機構, 4/30)。上記朝日報道について。
結局よくわからない。
》 「Struts 2の脆弱性を突いて不正侵入」、JINS通販サイトのカード情報漏洩 (日経 IT Pro, 5/1)。関連:
不正アクセス(JINSオンラインショップ)に関する調査結果(最終報告) (JINS, 5/1)
PCF社の調査によると、本件不正アクセスの原因は、第三者が当社オンラインショップのシステムに使用されていたミドルウェア(※)「Apache Struts2(以下、「Struts」といいます。)」の脆弱性を利用してシステムに不正に侵入し、ファイルの変更権限を不正にhF@$7$?$3$H$K$h$k$b$N$G$"$k$3$H!"$*$h$SEv3:%7%9%F%`$K;HMQ$5$l$F$$$?Strutsが、すでに過去に脆弱性が指摘されていた古いバージョンのものであったことによることが報告されております。
well known なものみたいですけど、 具体的にはどういう欠陥なのかしらん。 JVN iPedia で Struts を検索するとこうなりますけど。
ベンダは、すでに脆弱性が指摘されていたStrutsの古いバージョンを使用したまま、当社オンラインショップシステムの改修作業を完了しており、本来、システム開発会社として善良なる管理者の義務に基づき瑕疵のないシステム構成を設計すべき義務があるところ、それを看過してシステム構成の設計を行っていた点で責任があると指摘されております。
それは契約次第なんじゃ。 善管注意義務を楯に責任を押しつけているように聞こえるんだが……。
徳丸 浩さんのツイート:
JINSさんはPCI DSS準拠にするとしていますが、脆弱性対処に関してはPCI DSS2.0でもかなり曖昧なので、LASDECモデルプラン準拠の方がいいよ(宣伝)
— 徳丸 浩さん (@ockeghem) 2013年5月2日
》 3・11後のサイエンス:ヨウ素の痕跡を追って=青野由利 (毎日, 4/25)
》 対談 堀潤 × 津田大介 【第2回】 原発事故という「緊急時」に、NHKは「平時」のルールを適用してしまった (現代ビジネス, 5/1)
堀 ちょっと話はズレますが、原発事故直後にSPEEDI(緊急時迅速放射能影響予測ネットワークシステム)のデータが隠蔽された件も、事故の翌日の3月12日からメディアは文科省に取材しているのに、SPEEDIの情報が出たのは16日以降になった。では、なぜ12日から15日の間にSPEEDIのデータのことを報じなかったのか。
津田 一番必要だった時期なのに。
堀 メディアの言い分は「あのときは文科省が『SPEEDIの情報は精度が低いので出さない』という方針に決めたから、それに従うしかなかった。しょうがなかったんだよ」というものですね。でも、しょうがなかったではないでしょう。当時、SPEEDIの存在すら知らずに置き去りになった人たちがいたのだから、そこは文科省の意向に従って出さないのではなく、別の判断があったのではないか。
津田 あの部分だけは、いまだにブラックボックスに置かれたままですよね。
堀 少なくとも、「当時の事実関係と、判断が正しかったかどうかをもう一度検証しましょう」となるべきなんですが、そうなっていない。津田さんがおっしゃるように、メディアのそういう体質は、実は昔も今もほとんど変わっていないと思います。
当然出るはずのものが出ていない、ということ自体がニュースバリューを持つのですけどね……。
》 2013年5月の呼びかけ 「 スマホにおける新たなワンクリック請求の手口に気をつけよう! 」 (IPA, 5/1)。Google Play で配布されている、ワンクリック請求アプリの新しい手口の紹介。
通常のアプリ同様にインストールの途中に、アクセス権限(パーミッション)の許可を求められます。従来の手口では「電話番号」や「位置情報」などのアクセス権限が要求されていましたが、今回のワンクリック請求アプリで求められるのは「ネットワーク通信」だけです(図3)。
アクセス権限を見ただけでは不審かどうかの判断が難しく、注意が必要です。
(中略)
このアプリは、単にあらかじめ設定された特定のURL(アドレス)を開くだけのショートカットと言えます。
新しいというか、ぐるっと回って元に戻ったというか。
》 Androidアプリの更新はGoogle Play経由で、Googleが義務付け (ITmedia, 4/30)。よいことです。
》 広告モジュールを組み込んだAndroidアプリ〜強制配信の迷惑なものも (so-net セキュリティ通信, 5/1)
》 猪瀬知事の謝罪受け入れ=「日本との長年の友情重視」―トルコ (時事, 5/1)。大人の対応。
関連: 猪瀬知事の「謝罪」に見る「法令遵守」への逃避 (郷原信郎が斬る, 4/30)
猪瀬知事の発言の最大の問題は、オリンピックの基本理念に反し、オリンピックを通して実現しようとする「他者、他国を尊重し合うフェアネス」という社会の要請そのものに反したところにある。
猪瀬知事の会見での「謝罪」は、問題を「五輪招致規範」の規定の「遵守」にすり替え、「法令遵守」に逃避しているに過ぎないのである。
まあ、猪瀬氏はそもそも、「フェアネス」とは縁遠い人のようだからなあ。 例: 2013年1月18日 927号「本物のニセモノがやってきた」 (週刊金曜日)
焦点:ボーイング、787運航再開でも依然さまざまなリスクに直面 (ロイター, 5/1)。結局、原因不明ですからねえ。
例えば米運輸安全委員会(NTSB)による調査に詳しい筋によると、この調査ではかなり先になってバッテリー発火の原因が判明し、ボーイングが取った対策と問題分析にあらためて厳しい目が向けられるかもしれないという。
B787 日航も初の試験飛行 (NHK, 5/2)
原因の洗い出しと講じられた対策 (JAL)。まぁ、これまでよりはま$7$K$J$C$F$k$s$@$m$&$1$I!" 原因不明のまま再稼働って、 なんだか原発と同じなんだよねえ。
時論公論 「B787運航再開へ 安全は確保されたのか」 (NHK 解説委員室, 4/27)
》 新たな業界秩序の形成に水を差すエセ自炊代行業 (栗原潔のIT弁理士日記, 5/2)。 漫画「自炊」代行業の男逮捕 著作権法違反の疑い (朝日, 5/1) の件。
》 情報流出の20%は国家が関与するスパイ活動――Verizon報告書 (ITmedia, 4/25)。80% はそうではないと。
》 正規のアプリケーションを狙う「PLUGX」の新たな亜種を確認 (トレンドマイクロ セキュリティ blog, 5/1)。DLL ねた。
》 チェチェン問題とアメリカ ―― ボストン・テロの背景にある問題 (SYNODOS, 4/27)
》 米CIAがアフガンに秘密の送金、影響力確保が狙いか=報道 (ロイター, 4/29)。NYTimes が 4/28 に報道したそうで。 以前からある話ですが……。
》 コンプライアンス―服従の心理―。新宿シネマカリテで 6/29 から公開だそうで。
2004年、ケンタッキー州のあるファストフード店で事件は起きた。警察官を名乗る男からの1本の電話により、従業員だった少女が窃盗の濡れ衣を着せられただけでなく、身体検査と称して裸にされ、性的行為を強要されたのだ。監督クレイグ・ゾベルは不合理極まりないこの事件を、“権威と服従の実験”で有名な[ミルグラム実験]と結び付けて映像化。善悪の判断を超えて人はなぜ権威に服従してしまうのか?という人間の本質に鋭く迫る。
》 ボーイングの大型貨物機がまさに墜落し爆発炎上するまでの一部始終を偶然捉えたムービー (gigazine, 5/2)。アフガンの空軍基地で輸送機墜落、7人全員死亡 NATO発表 (AFPBB, 4/30) の件、B747-400 墜落の様子が撮影されていた。完全に失速して落ちてますね。
》 The Fog of Cyber Defence (エフセキュアブログ, 4/30)。フィンランド国防大学の書籍「サイバー防衛の霧」。
》 南海トラフ巨大地震 超高層ビルの対策を (NHK, 5/1)。東京での長周期地震動、 工学院大学 新宿キャンパスでシミュレーションした結果の紹介など。
コンピューター上に柱と「はり」などの構造を再現して解析した結果、地震発生から3分余りで最上階のビルの揺れ幅は最大2メートル88センチに達しました。
このビルでは、揺れ幅がおととしの巨大地震の際の5倍近くに、揺れの継続時間は20分以上になるおそれがあり、柱と「はり」の接合部が想定を超えてゆがみ、壁や天井などが崩れるなどの被害が想定されるということです。
久田教授は「建物が倒れることはないが、揺れ幅が大きいため、棚などを固定してけが人を出さない対策を進めるとともに、建物の揺れを抑える耐震対策を進める必要がある」と指摘しています。
》 Facebook、Google、Twitterの広告責任者がクリックの価値について激論 (techcrunch, 5/1)
3社の認識で共通していたのは、各プラットフォームのブランド広告主が最も懸念しているのは、広告キャンペーンのリーチ、頻度、および結果であり、測定方法はあまり気にしていないという事実だ。
関連: Twitter広告がついにアメリカで一般公開―招待なしで誰でも利用できる (techcrunch, 5/1)
JVNDB-2013-002518: 複数の HP 製レーザープリンタのファームウェアにおける任意のファイルを読まれる脆弱性 (JVN, 2013.05.01)、 HPSBPI02869 SSRT100936 rev.1 - HP LaserJet MFP Printers, HP Color LaserJet MFP Printers, Certain HP LaserJet Printers, Remote Unauthorized Access to Files (HP, 2013.04.25)。 更新版ファームウェアが用意されました。 CVE-2012-5221
JVNDB-2013-002522: cURL および libcurl の cookie.c における Cookie を盗まれる脆弱性 (JVN, 2013.05.01)。cURL / libcurl 7.30.0 で修正されている。 また patch が用意されている: http://curl.haxx.se/curl-tailmatch.patch。 CVE-2013-1944
Security Bulletin: IBM Notes accepts Java applet and JavaScript tags inside HTML emails (CVE-2013-0127, CVE-2013-0538) (IBM, 2013.04.30)。Interim Fix 1 for 8.5.3 Fix Pack 4 および 9.0 Interim Fix 1 で修正される予定 (まだ出てないみたい)。 JVN はこちら:
JVNDB-2013-002519: GNU C Library におけるスタックベースのバッファオーバーフローの脆弱性 (JVN, 2013.05.01)。glibc 2.17 以前。DoS 攻撃が可能な模様。 修正: http://sourceware.org/git/?p=glibc.git;a=commitdiff;h=1cef1b19089528db11f221e938f60b9b048945d7
CORE-2013-0303: D-Link IP Cameras Multiple Vulnerabilities (Core Security, 2013.04.29)。結局、更新ファームは公開されているんだろうか。なさげなんだけど。
Alert: Skype account hijack technique may affect all users (ZDNet, 2013.04.27)。Skype アカウントをハイジャックできる方法があるそうで。まだ修正されていないっぽい。
We encourage customers to use Microsoft account to log into Skype, which helps make their accounts more secure using two-step verification. For more information about individual accounts, customers can contact Skype by visiting: https://support.skype.com/en/faq/FA1170/how-can-i-contact-skype-customer-service. -A Skype Spokesperson
産業制御システムの「シリアルサーバ」にセキュリティ上の不備、ネット経由で悪用の恐れ (ITmedia, 2013.04.25)、 Serial Offenders: Widespread Flaws in Serial Port Servers (Metasploit blog, 2013.04.23)
D-Link の件: Security Fix: Beta Firmware Version 1.04 build 7712 DCS-1100/1130 (D-Link, 2013.05.01)
》 Arachni - Web Application Security Scanner Framework。 0.4.2 がリリースされたそうです。
》 関根和弘氏(朝日新聞モスクワ支局員)がTBS記者のプーチン大統領への質問について詳細報告 (togetter, 5/1)。当然すべき質問をしただけなのだが。結局、「ネット」のリテラシーの低さが明らかになっただけであろ。
》 偽ツイートで犯行声明を出した「シリア電子軍」とは何者か (ウォール・ストリート・ジャーナル日本版, 5/1)
》 Twitterが乗っ取り防止策を指南、専用コンピュータの割り当ても (ITmedia, 5/1)。AP や Guardian などのアカウント乗っ取りの件を受けて。
》 空飛ぶ広報室 〜Public Affairs Office in the Sky〜 (航空自衛隊)。ホンモノの空自広報室のページ。ドラマの裏側とか。
そういうドラマをやっている一方で、ドキュメント72時間「横須賀基地 お見合い大作戦」 (NHK, 4/26 放送) なんて番組があったりもしました。こちらは海自ですね。
》 調査報告 チェルノブイリ被害の全貌 (岩波, 4/26 発売)。関連:
チェルノブイリ被害の全貌 more info (岩波)。原文全文も公開されている。
本書の読み方(訳者より)
本書は膨大なデータ集ですが、各章冒頭に掲げられた要約、および各部の結論を通して読むことで、被害の実態をおおまかにつかむことが可能です。
また、第15章が本書全体の簡潔な要約となっているので、まずそちらを読んだうえで、それぞれの興味関心に即して各章を読んでゆくのが効率的ではないかと考えます。
(1)被害の実態に興味がある(「死者100万人」は信じ難い):第3章、第7章、第2部結論
(2)環境への影響に興味がある:第1章、第8章
(3)動植物への影響に興味がある:第9章、第10章
(4)実践的な放射線防護策に興味がある:食品汚染については第12章と第13章、農林水産業における対処については第14章
ヤブロコフ博士 来日講演のお知らせ (チェルノブイリ被害実態レポート翻訳プロジェクト, 4/29)。 東京 5/18、盛岡 5/19、郡山 5/20、京都 5/22。 京都 5/22 はこちらを: 『調査報告 チェルノブイリ被害の全貌』刊行記念 - チェルノブイリから学ぶ - アレクセイ・ヤブロコフ博士講演会 (グリーン・アクション, 4/24)
》 福島第1原発 遠い廃炉 貯水タンク群、拡張の一途 (河北新報, 4/30)
関連: 汚染水 増加抑制対策絞り込みへ (NHK「かぶん」ブログ, 4/26)。
この委員会は、政府や東京電力などで作る「廃炉対策推進会議」が、地下の貯水槽からの相次ぐ水漏れによって行き詰まりを見せている福島第一原発の汚染水対策を抜本的に見直す必要があるとして、土木や地下水の専門家などからより具体的な提言をもらおうと設置したものです。
福島第一原子力発電所1〜4号機の廃炉措置等に向けた中長期ロードマップ (東電) にある「汚染水処理対策委員会」のことみたい。
》 浜岡原発 地震対策工事を延期 (NHK「かぶん」ブログ, 4/26)
中部電力によりますと、国が去年8月に公表した南海トラフの巨大地震の想定を基に浜岡原発の揺れを分析したところ、5号機では、これまでの1000ガルを上回り、国内の原発の原子炉建屋で想定される揺れとしては最大クラスの、1900ガル程度になったということです。
従来想定のほぼ倍ですか。
5号機では、地下にある揺れを増幅しやすい地盤が影響しているということで、中部電力は、5号機の耐震性を強化するほか、津波対策の高さ22メートルの防波壁などで設計を見直す必要があるとして、年内に終えるとしていた対策工事を来年度末まで延期することを決めました。
5 号機は廃炉にしなさいって。5 号機の揺れ方はシャレにならん。 「揺れを増幅しやすい地盤」の上に原発をつくっちゃ駄目だっつーの。
》 法政大学正門前での公安警察による学生ら逮捕にふれて (JANJAN blog, 4/27)。逮捕劇の真相。
さて、4月25日、記者は都内に用があり、その際、たまたま法政大学の前を通りかかったのであるが、校舎まわりには「本日は正門を閉鎖しております。“ボアソナード・タワー門”をご利用ください。法政大学」という張り紙が何枚もしてあるのに気づいた。さらに驚いたのは、法政大学の正門からかなり手前の外濠公園の土手に【写真1】でわかるように、約20名近くの公安警察と思われる男性らがメモを片手に“打ち合わせ”をしていたことである。
たとえば、今回の5名(他に1名の東北大生が令状逮捕されている)の逮捕について、その場に居合わせず新聞やテレビ放送でそのことを知らされた場合には、「現場で相当の騒乱があって、大学からの通報で警察が駆けつけ、やむなく逮捕者が出た」というような印象を持つかもしれない。
しかし、実際は違う――。記者の記憶では、胸章や腕章をつけた報道関係者はいなかったし、学生たちが「40人」(産経新聞)とすれば、デモの開始予定時刻(13時半)のかなり前から60人以上の警察関係者が、あの場で「指示」を待っていたのである(【写真1】でだいたい20名近くの警察関係者がいる、そういうグループがあと2つあれば60人という計算になる)。
ケーサツタレ流し報道はこちら: 無許可デモで全学連委員長ら逮捕 警視庁公安部 (産経, 4/26)
》 台湾メディア産業における『中国の影響力メカニズム』の背景 (IDE-JETRO, 4/3)
関連: 放送研究と調査(月報)2013年5月号 (NHK)
》 インドの.IN Registryに質問してみた (Geek なぺーじ, 5/1)
》 学研ムック「自然農法で野菜づくり」の中身がかなりヤバかったので販売中止へ (gigazine, 5/1)。すさまじい。 この本、 「発売日 2012年09月03日」じゃないですか……。にもかかわらず、 【お詫び】『自然農法で野菜づくり』内容不備についてが出たのは 4/30。 これまで何もしてこなかったんですかね。
》 西防衛次官の私用「Gメール」に不正侵入 (読売, 4/28)。4/1 付で防衛事務次官に抜擢された、「首相お気に入り」の西正典氏。関連:
防衛省の職員を詐称する「なりすましメール」に御注意ください。 (防衛省) から引用:
年月日 | なりすましメールの件名 |
---|---|
2013.3.29 |
西正典 防衛政策局長 を装ったメール (例)件名:事務連絡 アドレス:nori.nishi@gmail.com ※ 不審メールはこれに限るものではない。 |
これが実は、単なる From: 詐称ではなく、nori.nishi@gmail.com アカウントそのものから送られたものだったということみたい。
防衛事務次官のPCハッキング事件 おわびメールを独占入手 (NEWS ポストセブン, 4/30)。単に nori.nishi@gmail.com をハクられただけでなく、PC にウイルスが感染していたのでは? という記事。
防衛省関係者がいう。
「私的なアドレスとはいえ、事務次官になろうかという重要ポストの人間が使用するのはあまりにもワキが甘い。この不審メールについては、誰かが西氏のGメールに不正にアクセスして送信したものなのか、それとも西氏のパソコンがウイルスに感染したことによって自動的に送信されたものなのか、はっきりわかっていない。
しかしもしそれがウイルスによって行なわれたものだったとすれば、西氏のパソコン内部にある機密が流出したり、遠隔操作によって覗き見されてしまった可能性もある。当時の西氏は、次官交代に際して金沢前次官からの引き継ぎ事項を数多く抱えていた。もしそのデータの一部がハッキングされていたら大変なことだ」
》 対岸から盗撮される京都・鴨川カップル“あられもない姿”…無音カメラで近づくスマホ (産経, 5/1)
捜査関係者によると、実際に男が使っていたのは「特殊な細工が施されているわけではなく、一般向けに販売されているごく普通のコンパクトデジタルカメラ」だった。
胸より下にカメラを構えひたすら連写するというある意味古典的な隠し撮り。1人あたり40〜50枚撮影してアタリを狙っていたという。
いまどきのコンデジは高性能なので、こういう手法で対岸から撮影するだけでイケてしまうと。 しかし、Google Glass みたいなのが普及したら、もはや「盗撮」だの「隠し撮り」だのという概念には入らなくなるよなあ。
》
大研究 なぜ日本の企業はこんな採用をしているのか ユニクロ・楽天・グーグルほか 急増中!「英語ができて、仕事$,$G$-$J$$!W
'12年に大手損害保険会社へ入社したA君。(中略) 当初A君は、同期だけでなく、上司からも「あいつのスペックはすごい」と期待されていた。しかし、入社後まもなく始まった、研修センターでの集団行動からボロが出始めた。
まさに「モビルスーツの性能の違いが、戦力の決定的差ではないということを教え」られたわけですね……。
「グローバルかぶれ」の典型のようなA君。研修を終えた後は、島根配属が決まった。しかし、彼にはそれが我慢ならなかった。「俺はグローバル人材だ。田舎の中小企業のおっさん相手に営業をするために入社したんじゃない」と言い放ち、島根の地に一歩も足を踏み入れぬまま会社を去ったという。
会社的には、グローバルな能力は十分あるから、日本ローカルな経験を積んでほしい、という意図で「だがあえて島根」だったんじゃないのかなぁ……。
》 連続追及 第9弾 PCなりすまし事件 やっぱりひどい!自白強要なんて朝飯前 取調官は「冤罪検事」と呼ばれる男 (現代ビジネス, 5/1)
》 情報通信大手、7億円所得隠し 幹部が架空発注繰り返す (共同, 5/1)。ネットワンシステムズ。この件みたい: 当社元社員による不正行為に係わる調査結果に関するお知らせ (ネットワンシステムズ, 3/8)
》 “Evernote” に続き、正規サービスを C&C サーバとして悪用するバックドア型不正プログラムを確認 (トレンドマイクロ セキュリティ blog, 4/26)。 BKDR_VERNOT.B が利用するのは livedoor ブログのようで。
Joomla! CMS 3.1.0 / 3.0.4 / 2.5.10 が公開されています。7 件のセキュリティ欠陥が修正されています (XSS x 4、DoS、情報漏洩、権限上昇)。3.0.4 もリリースされてますが、3.0.x 系は 3.1 系に移行すべきようです。
Joomla! 3.1.0 Stable Released (Joomla!, 2013.04.24)
Joomla! 2.5.10 Released (Joomla!, 2013.04.24)
なお、最新は Joomla 3.1.1 / 2.5.11 です (2013.04.26)。これらにはセキュリティ修正はありません。
過去の記事: 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998