Last modified: Wed Oct 15 11:54:01 2014
+0900 (JST)
短縮 URL: http://goo.gl/pwSG QR コード:
http://goo.gl/pwSG.qr
Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。
ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容をくれぐれも鵜飲みにしないように。 間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。
このページの情報を利用される前に、注意書きをお読みください。
[ 定番情報源 ] 過去の記事: 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998
|
「Scan Security Wire」 主催の SCAN Security Wire NP Prize 2001 を受賞しました。 |
|
「ネットランナー」の ベスト・オブ・常習者サイト 2003 で金賞を、ベスト・オブ・常習者サイト 2004 で銀賞を受賞しました。 |
復刊リクエスト受付中:
ジェイムズ.F.ダニガン「 新・戦争のテクノロジー」(現在46票)
中山信弘「ソフトウェアの法的保護」 (現在117票) (オンデマンド購入可)
陸井三郎訳・編「ベトナム帰還兵の証言」 (現在107票)
林克明「カフカスの小さな国 チェチェン独立運動始末」 (現在172票)
田中徳祐「我ら降伏せず−サイパン玉砕戦の狂気と真実」 (復刊決定)
RSS に対応してみました。
小ネタは含まれていません。「政治ねたウゼェ」という人は RSS ベースで読むと幸せになれるでしょう (ウザくない人は こっちの RSS がよいかもしれません)。
RSS 1.0 ですので、あくまで RDF Site Summary です。
現在は Really Simple Syndication には対応していません。
今すぐ Really Simple Syndication がほしい人は、のいんさんによる
Web サイトの RSS を勝手に出力するプロジェクト
……のものがうまくいっていないようなので、
セキュmemoのRSS生成
をご利用ください。Tamo さん情報ありがとうございます。
SSL 3.0 プロトコルに欠陥が発見されました。攻撃が成功すると平文を取得できるようです。TLS 1.0、1.1、1.2 プロトコルにはこの欠陥はありません。
This POODLE bites: exploiting the SSL 3.0 fallback (Google, 2014.10.14)、 詳細論文。
Disabling SSL 3.0 support, or CBC-mode ciphers with SSL 3.0, is sufficient to mitigate this issue, but presents significant compatibility problems, even today. Therefore our recommended response is to support TLS_FALLBACK_SCSV.
SSL 3.0 を無効化するか、SSL 3.0 における CBC モードの暗号を無効化することで回避できるけど、副作用も大きい。TLS_FALLBACK_SCSV (プロトコル ダウングレード攻撃を抑止するためのオプション) のサポートを推奨。
Google Chrome and our servers have supported TLS_FALLBACK_SCSV since February and thus we have good evidence that it can be used without compatibility problems. Additionally, Google Chrome will begin testing changes today that disable the fallback to SSL 3.0. This change will break some sites and those sites will need to be updated quickly.
In the coming months, we hope to remove support for SSL 3.0 completely from our client products.
Chrome と Google のサーバは 2 月から TLS_FALLBACK_SCSV をサポート。 また Chrome は今日から SSL 3.0 へのフォールバックを無効化する。数か月後にはクライアント製品から SSL 3.0 のサポートを完全に削除したい。
Microsoft Security Advisory 3009008: Vulnerability in SSL 3.0 Could Allow Information Disclosure (Microsoft, 2014.10.14)。 CVE-2014-3566
What causes the vulnerability?
The vulnerability is caused by a weakness in the CBC encryption algorithm used in SSL 3.0.
Mitigating Factors:
- The attacker must make several hundred HTTPS requests before the attack could be successful.
- TLS 1.0, TLS 1.1, TLS 1.2, and all cipher suites that do not use CBC mode are not affected.
Considering the attack scenario, this vulnerability is not considered high risk to customers.
(中略)
How could an attacker exploit the vulnerability?
In a man-in-the-middle (MiTM) attack, an attacker could downgrade an encrypted TLS session forcing clients to use SSL 3.0 and then force the browser to execute malicious code. This code sends several requests to a target HTTPS website, where cookies are sent automatically if a previous authenticated session exists. This is a required condition in order to exploit this vulnerability. The attacker could then intercept this HTTPS traffic, and by exploiting a weakness in the CBC block cypher in SSL 3.0, could decrypt portions of the encrypted traffic (e.g. authentication cookies).
MITM かませる状況でわざわざこの攻撃を行うというのは、どのくらい現実的なんだろう。
関連: セキュリティ アドバイザリ 3009008「SSL 3.0 の脆弱性により、情報漏えいが起こる」を公開 (日本のセキュリティチーム, 2014.10.15)
Some POODLE notes (Errata Security, 2014.10.14)
It requires MitM (man-in-the-middle) to exploit. In other words, the hacker needs to be able to to tap into the wires between you and the website you are browsing, which is difficult to do. This means you are probably safe from hackers at home, because hackers can't tap backbone links. But, since the NSA can tap into such links, it's probably easy for them. However, when using the local Starbucks or other unencrypted WiFi, you are in grave danger from this hack from hackers sitting the table next to you.
SSL 3.0 サポートを削除するための言い訳に使われた感? しかし Google 様の意向には逆らえない。
》 アメリカにとっての都合がシリア内戦の将来を決める オバマとイスラム国の戦争(その3) (JBpress, 10/14)。黒井 文太郎氏。
北大生方面
元教授、北大生にビザ不要の「経由国」教える (読売, 10/12)。ツイッターで常識的な回答をしただけでおどろおどろしい記事に。これ 5 月だし。
警視庁公安部 (中略) 幹部への取材でわかった
読売は裏取ってないのか……。
Shoko Egawa @amneris84 さんのツイート:
中田氏と当該の北大生らしき方とのツイッターやりとりって、これだけか… http://t.co/1GTj8OxQ3S
— Shoko Egawa (@amneris84) 2014, 10月 13
北大生「イスラム国」渡航未遂事件から見えてくるもの (川上 泰徳 / 朝日, 10/14)
イスラム国(IS)に対するイスラム的見解 (サイードのモーリタニア・サウジアラビア日記, 10/7)
自由主義者の「イスラーム国」論〜あるいは中田考「先輩」について (中東・イスラーム学の風姿花伝, 10/9)
https://www.facebook.com/satoshi.ikeuchi/posts/10201992410450887 (池内 恵 / Facebook, 10/9)
黒井文太郎 @BUNKUROI さんのツイート:
中田先生のような考えはアラブでは珍しいものでもない、というのが池内先生コメントの核心で、これがいちばん難しいところで、あちらでも多くの人が智恵を重ねてきたところ。これはアラブ経験者でないとわからないことだけど、アラブ経験者、他に誰も指摘しない。地雷だから
— 黒井文太郎 (@BUNKUROI) 2014, 10月 12
米軍の「イスラム国」空爆作戦は効果あるのか /軍事ジャーナリスト・黒井文太郎氏 (THE PAGE, 10/10)
対イスラム国「有志連合」 なぜポーランドやデンマークが参加? /高橋和夫・放送大学教授 (THE PAGE, 10/6)
》 「Apple Pay」のスタッフ向け研修文書が流出か--設定の詳細など記載 (CNET, 10/14)、 Apple Payは、どうやらこのように動くらしい (gizmodo, 10/14)
今週、現地時間16日に行なわれるアップルの発表会の後、噂では18日に正式リリースだと言われていますがはてさて。
》 若者が草食化した本当の理由 (Willy / BLOGOS, 10/13)
しかし、本当の理由はそんな生易しいものではない。断言しよう。「大学生は恋愛できないほど経済的に貧しくなってしまった」のだと。
》 消えたはずのSnapchat写真、サードパーティーサイト経由で流出 (ITmedia, 10/14)。Snapsaved.com。
》 米で相次ぐマルウェアのカード情報流出、今度は大手チェーン2社から (ITmedia, 10/14)。Kmart、Dairy Queen。
》 Oracleの定例セキュリティアップデート、米国時間10月14日公開予定 (Internet Watch, 10/10)。明日です。
》 欧州のプライバシーに基づく検索結果の削除リクエスト (Google)。「忘れられる権利」への対応状況まとめ。 「データの最終更新日: 2014年10月13日」では以下だったけど、 もしかして、日々更新されている?
Google が受け取ったリクエストの総数: 146,938 件
Google が削除のために評価した URL の総数: 498,830
すべて:
削除された URL: 171,214 (41.8%)
削除されなかった URL: 238,794 (58.2%)
ん? 総数が一致しない。171,214 + 238,794 = 410,008。
このグラフは処理された URL を、上記の数字は評価した URL の総数を表しています。詳しい情報が必要な URL や審査待ちの URL はこのグラフに含まれていません。
意味がよくわからない。 評価したけど未処理な URL が 498,830 - 410,008 = 88,822 件あるということか?
2014 年 10 月 15 日のセキュリティ リリース予定 (月例) (2014.10.13)
今回、NATO やウクライナ政府などへの攻撃に使われた 0-day 欠陥の修正が含まれているそうです: iSIGHT discovers zero-day vulnerability CVE-2014-4114 used in Russian cyber-espionage campaign (iSIGHT, 2014.10.14)。CVE-2014-4114
On Tuesday, October 14, 2014, iSIGHT Partners – in close collaboration with Microsoft – announced the discovery of a zero-day vulnerability impacting all supported versions of Microsoft Windows and Windows Server 2008 and 2012.
セキュリティ情報 3 (緊急) か、セキュリティ情報 5 (重要) ですか。
》 中国水泳選手孫楊「日本国歌は不快」時事通信は翻訳が不適当。結果中国人への誤解煽る。 (Baogonの中国上海〜こうなってるよ ! , 10/9)
》 PHPカンファレンス2014 対談セッション 「ウェブエンジニアに必要なセキュリティスキルとは」のつぶやき (togetter, 10/11)
》 なぜグーグルは「検索結果」削除を命じられたか?申請代理人の弁護士に聞いた「勝因」 (弁護士ドットコム, 10/11)
――日本の「忘れられる権利」も、EU判決と同じレベルまできた?
「いいえ、そうではありません。EUの『忘れられる権利』を認めた判決では、『リンク先に権利侵害の情報があるから、検索結果を削除しろ』と命じています。
しかし、日本の裁判所は今回、あくまでグーグルのサイト上に表示される情報、つまりリンク先の『タイトル』と『サイトの文章を抜粋したもの(スニペット)』を見ただけで人権侵害だといえるケースについて、検索結果を消せと命令したに過ぎません。
なるほど、そういうことですか。
》 イスラム国志願・北大生騒動は"トンデモ茶番劇"だった (DMM NEWS, 10/11)
事件の概要が明らかになると、捜査員たちは一気にトーンダウン。捜査当局が危険分子とみなした学生が、単なる〝痛いモラトリアム青年〟だったことが判明してきたからだ。
》 編集局長がKGBのスパイだった!? 産経が頬かむりする「売国」的過去 (リベラ, 9/29)。山根卓二編集局長 (当時) が KGB スパイ「カント」であると、元 KGB 少佐レフチェンコ氏が証言した件。
9月26日深夜から放映された『朝まで生テレビ!』(中略) 元産経新聞ニューヨーク支局長で安倍首相のオトモダチの山際澄夫 (中略) がなぜか黙り込んでしまった時間があった。
それは、「朝日が問題なのは特定の意図をもって報道していることだ」という山際らの主張に対して、ジャーナリストの青木理が「朝日だけじゃない。産経だってレフチェンコ事件で同じことをやっている。産経だって、編集局長がKGBのスパイだということをつきつけられたら、あっという間に知らんぷりしちゃったわけでしょう」と反論した時のことだ。山際はそれまでの勢いが嘘のように、言葉を失ってしまったのである。
関連: KGBをかばった住田良能社長-レフチェンコ事件を清算しない産経新聞(5) (産経新聞愛読者倶楽部, 2011.05.23)
》 小林よしのりも「カルト」と批判! 山谷えり子をなぜ放置するのか (リベラ, 10/6)
》 パスワードの定期的な変更を勧める企業にその根拠を聞いてみた (富永日記帳, 10/9)
》 加藤達也・産経新聞前ソウル支局長による朴槿恵大統領への名誉毀損起訴の不可解 (極東ブログ, 10/11)
私が勘違いしたかもしれないと思ったのは、この内容を韓国語で翻訳した記事(参照)が名誉毀損の対象になっていたのだと思い込んでいた点である。
(中略)
名誉毀損とされたのは、まさに、この産経新聞のサイトに日本語で記載された記事そのものだったらしい。そんなことがありうるんだろうか?
疑問に思ったのは、昨日zakzakという産経系のサイトに掲載されたコラム「「行方不明」「下品」…事情聴取で浮き彫りになった日韓の言語文化の違い 産経前ソウル支局長起訴 」(参照)を読んでからのことである。
(中略)
これが本当なら、日本語で書かれた、通常日本人向けと想定される記事について、韓国検察は、裁判のために韓国語に翻訳したもので、起訴を行っていることになる。これはどう考えても、翻訳の質の問題ではないかと思えてならない。
》 【名誉毀損で有罪判決の元「噂の真相」編集者が産経新聞問題を語る】 言論弾圧は韓国だけじゃない! 日本の検察も刑事罰で批判報道を封じ込め! (リテラ, 10/12)。ウワシン vs 検察。
ちなみに、このとき、特捜部で「噂の真相」をでっち上げ起訴した担当検事のひとりが、現在は検察を退職してニュース番組でコメンテーターもつとめる若狭勝弁護士だ。今回の産経ソウル支局長起訴に際して、若狭弁護士は「(韓国の検察の)行き過ぎという感じがする」とコメントしていたが、この人は自分が検事時代にやったことを覚えていないのだろうか。
》 陸山会事件でデタラメ捜査報告書の田代政弘元検事が弁護士登録ってホンマほんまかいな? (いまにしのりゆき 商売繁盛でささもって来い!, 10/10)
》 法務省犯罪白書でレイシスト・ネトウヨの嘘がばれる。 (textream, 10/13)。在日外国人の犯罪率は日本人よりも低い。
》 八重山日報の社長が在特会関連団体の行事で「購読のお願い」を呼びかけ 編集長の登壇も相次ぐ (NAVER まとめ, 10/12)
》 湘南・藤沢を代表する白旗神社のブログが韓国人を侮辱しまくっていたことが判明 (NAVER まとめ, 10/9)
》 御嶽山噴火:数日前から複数の異変 気象庁に届かず (毎日, 10/13)。普段とは違う場所から噴煙、普段の倍以上の高さまで噴煙。 しかし通報されず。
》 米NSA、通信データの収集で企業内に工作員を浸透させていた模様 (Intelligence News and Reports, 10/13)。スノーデン情報。極秘作戦“SENTRY EAGLE”。
(1)SENTRY HAWK
国内外の民間企業と協力し、標的となっているコンピューター・ネットワークを利用できるようにする
(2)SENTRY FALCON
コンピューター・ネットワークを防御する
(3)SENTRY OSPREY
NSAの通信情報活動をサポートするために、標的となっている企業に工作員を浸透させる
(4)SENTRY RAVEN
NSAがネットワークにアクセスしやすくするために、あらかじめアメリカ企業と交渉し、その企業の暗号システムを弱めておく
(5)SENTRY CONDOR
標的となっているコンピューター・システムを破壊、弱体化するために、積極的なサイバー攻撃を行なう
(6)SENTRY OWL
外国企業の協力を得て、NSAがその企業の製品からデータを収集しやすくする
元ねた: Core Secrets: NSA Saboteurs in China and Germany (The Intercepts, 10/10)
》 スノーデンのプライバシーに関する助言:Dropboxは捨てろ、FacebookとGoogleには近づくな (techcrunch, 10/13)
インタビューの中でスノーデンは、iOSが暗号化を強化したことが犯罪取り締りに支障を来たすとする主張を退けた。たとえ暗号化されていても、政府機関は対象者の電話機を全面調査する捜査令状を取ることが可能であり、電話機には暗号化データの解読キーが入っている。しかも、AppleやAT&T、Verizon等がデータの召喚を受ける可能性もある、と彼は言った。
》 Monthly Research 「POSマルウェアについて」 (FFRI BLOG, 10/7)。「昨年度新規販売された POS 端末のシェア約 97% を占める8つのPOSシステムベンダーがWindowsを採用」「POS マルウェアの例として、BlackPOS の亜種Trojan.POSRAMと Backoffを紹介」
》 VirusScan Enterprise 8.x での 5700 エンジン手動インストール手順 (マカフィー KB82747)
》 現代重工業、役員260人が一括で辞表提出 (中央日報, 10/13)。うひい。関連:
赤字脱出目指し操舵室のメンバー一新した現代重工業 (中央日報, 9/15)
崔吉善・権五甲体制が切り抜けて行かなくてはならない海は荒い。現代重工業は第2四半期に1兆1040億ウォンの営業赤字を出した。1973年の会社創立以来最悪の成績だった。何より船舶の注文が減った。1〜8月の世界の造船受注は2680万CGTで前年同期比24%減った。特に韓国企業の打撃は大きかった。中国の受注量が14.5%減ったのに対し、韓国は31.7%減少した。
9月の韓国造船受注量 日本に抜かれ3位へ転落 (綜合ニュース, 10/13)
英クラークソンによると、9月の国別受注は韓国が42万1528CGT(標準貨物船換算トン数)で、市場シェア20.7%を記録した。受注量トップは中国で92万2800CGT(同45.3%)、次いで日本が55万1850CGT(同27.1%)となった。(中略) 昨年までは日本の受注規模は韓国(299億8400万ドル、3兆2300億円)の6分の1の水準に当たる52億300万ドルだった。
造船受注 リーマンショック前の水準に (NHK, 10/12)。「円安などを背景に去年の同じ時期と比べてほぼ2倍に増え、リーマンショック以前の水準に回復」。
国内製造海外輸出している業界では、円安の恩恵をちゃんと受けているわけで。
》 二重国籍の実態:「ノーベル賞中村氏は日本人」とする安倍首相、「日本国籍を喪失」とする日本大使館 (ハフィントンポスト, 10/12)。 米国籍の日本人 (日系人) でしょう。
金正恩氏不在の北朝鮮、妹の金与正氏が代行就任か (CNN, 10/9)
コラム:姿を消した金正恩氏、北朝鮮の真意はどこに (ロイター, 10/9)
金正恩氏は党記念行事に姿見せず、足首負傷で歩行困難の情報も (ロイター, 10/10)
金正恩氏、平壌の邸宅に滞在か 米は政変や重病否定 (CNN, 10/11)
「金正恩は平壌の別荘でリハビリ中、1カ月前に両足首を手術」 (中央日報, 10/13)。「韓国と米国の情報消息筋が明らかにした」
》 【暴風警報発令に伴い本日終日休講します】台風19号の影響に伴う休講措置について (龍大, 10/13)。JR が止まる前に帰らないと……。 ……お、12:00 になったら出入口を施錠するというアナウンスが。
ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚 (2014.07.09)
関連:
ファミマTポイントカード作ったみやびちゃん(仮名・10歳)、なぜかベネッセから個人情報が漏れましたとお詫びちゃれんじ貰う (市況かぶ全力2階建, 2014.10.13)。T ポイント → ベネッセ → 漏洩、の模様。
14年度中に業務終了=情報流出の子会社-ベネッセ (時事, 2014.10.09)。シンフォーム。
ベネッセの報告書を読んで浮かんだ違和感 (ZDNet, 2014.10.07)
本報告書では、調査当初は対象データが約2億1639万件であり、それを統合して約6984万件、名寄せした結果が約3504万件、個別のデータとして約4858万人分のデータになったと記載されています。
この報告から分かることは、個人データをバラバラに管理していたということです。個人情報を提供する側からすればベネッセコーポレーションに提供しているつもりで、一元的に管理されていることが期待されるところですが、残念ながらそうはなっていなかったということです。
このような状況で情報管理をしている企業では、個人情報保護法における主体(本人)の有する自己コントロール権に対して適切な対応ができない可能性が高いということです。
例えばメールマガジンの配送停止を依頼した際やデータの削除を依頼した際に、すべてのサービスについてそれが全うされないだろうということが予測されます。
緊急 x 3、重要 x 5、警告 x 1。IE あり、NET Framework あり、Office あり (Mac 版も)。
今回、NATO やウクライナ政府などへの攻撃に使われた 0-day 欠陥の修正が含まれているそうです: iSIGHT discovers zero-day vulnerability CVE-2014-4114 used in Russian cyber-espionage campaign (iSIGHT, 2014.10.14)。CVE-2014-4114
On Tuesday, October 14, 2014, iSIGHT Partners – in close collaboration with Microsoft – announced the discovery of a zero-day vulnerability impacting all supported versions of Microsoft Windows and Windows Server 2008 and 2012.
セキュリティ情報 3 (緊急) か、セキュリティ情報 5 (重要) ですか。
》 火山情報の専用ページ公開始まる (NHK, 10/10)、火山登山者向けの情報提供ページ (気象庁)
》 火山観測や情報提供を緊急提言へ (NHK, 10/10)。気象庁、御嶽の大失敗を受けて、「火山活動に変化があった場合の情報伝達の方法や、住民や登山者などへの分かりやすい情報提供の在り方について」「現在、47にとどまっている24時間態勢で監視が必要な火山の見直しや、火口周辺の観測設備の強化、それに、水蒸気噴火の兆候をいち早く把握する方法の開発などについて」検討し、「来月中に緊急の提言を取りまとめ」るそうで。
》 ウェブサイトの攻撃兆候検出ツール iLogScanner V4.0 (IPA, 10/9 更新)。要 JRE。
》 NCR社製ATMのAPIドキュメントが百度(バイドゥ)で公開される (エフセキュアブログ, 10/7)
地元のニュースで報じられたことによると、「ulssm.exe」というファイル名のマルウェアを犯人がインストールしたと警察は述べているとのことだ。このマルウェアは侵害されたATMで見つかった。ファイル名からすると、問題のマルウェアはシマンテック社が最初に発見した、「PadPin」として知られているものだと我々は考えている。このマルウェアに関する基本的な技術情報はこちらにある。
↓の“Tyupkin”も同類のように見える。
》 ATMに入っている現金を丸ごと引き出すマルウェア「Tyupkin」 (gigazine, 10/10)、Tyupkin: Manipulating ATM Machines with Malware (Kaspersky, 10/7)
The attackers copied the following files into the ATM:
C:\Windows\system32\ulssm.exe
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\AptraDebug.lnk
》 「ラマディの悪魔」として恐れられた米戦史最強のスナイパーを映画化した「American Sniper」予告編 (gigazine, 10/9)
》 グーグル:検索結果の一部削除を命令 東京地裁仮処分 (毎日, 10/10)
自分の名前を検索すると、犯罪に関わっているかのような表現をした検索結果が出てくる (中略) 男性は237件の検索結果の削除を求め、地裁はうち122件について削除を認めた
認めたものと認めなかったものの差は何だろう。 関連: グーグルに「検索結果の削除」命令 国内初か、東京地裁 (朝日, 10/10)
》 「自撮り」画像は宝の山―マーケティング分析に利用する新興企業 (ウォール・ストリート・ジャーナル日本版, 10/10)
》 Apple、特許資料でApple PayのNFC機構を詳しく説明 (techcrunch, 10/10)。「iPhone 6イベントでは語られなかった技術的詳細が含まれており、一見に値する」
》 Netis製ルータに存在する不具合を修正する更新プログラムを検証 (トレンドマイクロ セキュリティ blog, 10/8)
この不具合の問題は、一体、解決されたのでしょうか。事実として、問題の UDPポートは存在したままです。そして、万が一、攻撃者が同社製ルータの Web版コンソールのパスワードを入手できルータの LAN回線を通じて接続できた場合、再び開放状態にされ不正目的で悪用される恐れがあります。また、攻撃者は、PC上に不正プログラムを侵入させ、これを実行することが可能となります。つまり、更新プログラムが公開されたとはいえ、問題の不具合を利用する攻撃には脆弱を抱えたままといえるでしょう。
とはいえ、Netis製ルータのユーザは、攻撃者ではなく「自身」が同社製ルータに接続できるように更新プログラムを必ず適用して、より安全な状態にしてください。
》 Signed Malware = Expensive “Oops” for HP (Krebs on Security, 10/9)
Earlier this week, HP quietly produced several client advisories stating that on Oct. 21, 2014 it plans to revoke a digital certificate the company previously used to cryptographically sign software components that ship with many of its older products. HP said it was taking this step out of an abundance of caution because it discovered that the certificate had mistakenly been used to sign malicious software way back in May 2010.
うわ……。
》 Symantec、セキュリティと情報管理に2社分割する計画を発表 (日経 IT Pro, 10/10)。いまさら感強いなあ。
》 運転中のハンズフリー機器使用、Siriが最も危険 米研究 (AFP / Yahoo, 10/8)
》 News from the land of patch rewards (Google, 10/9)
Webmin 狙いらしい。
TCP 10000番ポートは、ウェブベースのシステム管理ツールである Webmin の 標準ポートとして利用されることが多く、開発者によると Webmin は先日公開 された GNU bash の脆弱性の影響を受けるとのことです。
関連:
[webmin-announce] Webmin 1.710 and Usermin 1.620 released (sourceforge.net, 2014.10.01)
Webminの脆弱性+bashの脆弱性でトロイの木馬がroot権限で入る (M.C.P.C. (Mamesibori Creation Plus Communication), 2014.10.04)
》 依存症大国 日本 事前対策なしにカジノ合法化を進めるな (Wedge, 10/8)。今でさえギャンブル依存症患者が多い模様。これでカジノが解禁されたら……
日本にはパチンコによって世界のギャンブルマシーンの60%が集中し、加えて競馬等の公営ギャンブルによってギャンブル依存症有病率は成人人口の4.8%、デンマークやオランダ、ノルウェーなどが1%未満であるのとは対照的に、世界最高レベルなのだ
経済効果もよくわからない模様: カジノの経済効果は不透明 共食いでは意味がない (Wedge, 10/8)
しかし、カジノが地域振興の「魔法の杖」ではなかった現実が、いま米国で顕在化している。ラスベガスと並んでカジノによる繁栄の象徴とされてきたアトランティック・シティで、1月の「アトランティック・クラブ」閉鎖を皮切りに、3分の1のカジノが閉鎖というドミノ現象が起きたのである。
》 カカオトークの内緒会話や受信メール削除、年内導入へ (東亜日報, 10/9)
これまで、ダウムカカオは、「リアルタイムで検閲要請を受けた事実はなく、令状による要請があっても、技術的に不可能だ」と主張してきた。
が、嘘だった。
ダウムカカオは同日、昨年から今年上半期にかけて、計147回に渡って傍受令状を受けており、そのうち138回に渡って、会話内容などの個人情報を捜査機関に提供したと明らかにした。(中略) カカオトークはまた、会話内容を含め、ログ記録やニックネームなどの情報についての、捜査機関の押収捜索も、計4807回受けた。 (中略) 「リアルタイムでのモニタリングは不可能だが、令状を受ければ、サーバーの保存期間(5〜7日)中に残っている会話内容をかき集めて提供した」
関連:
カカオトーク1人のアカウントを押収して3千人を査察…「事実上の監聴」 チャットルームで話した双竜車、希望バス、取材情報すべて押収 (レイバーネット, 10/1)
警察のカカオトーク対話内訳検閲に「サイバー査察」批判=韓国 (中央日報, 10/2)
朴大統領への侮辱やデマの取締り強化、カカオトーク送信は全て監視対象に・・「カカオ離れ」が加速―中国メディア (XINHUA.JP / Yahoo, 10/8)、 Threat of government surveillance has KakaoTalk losing users to German-based app (Korea Times, 10/8)。カカオトークのユーザ 150 万人が Telegram に移行済? (韓国語版 Telegram が 10/7 に公開された) (カカオトークのユーザはまだ 3500 万人いる)
》 韓国では国内の新聞を引用した記事を執筆すると政府から起訴される (しかも、なぜか当該国内新聞は起訴されない) どうしてこうもスルー力が弱いのか。
産経前ソウル支局長を在宅起訴 「朴大統領の名誉毀損」 (朝日, 10/9)
異例の記者訴追、韓国に国内外から懸念 産経記事巡り (朝日, 10/9)
産経新聞前ソウル支局長を在宅起訴 (NHK, 10/9)
産経前ソウル支局長起訴 韓国メディアも懸念 (NHK, 10/9)
検察、前産経ソウル支局長を起訴…「朴大統領は青瓦台にいた」 (中央日報, 10/9)
産経新聞前ソウル支局長の起訴、極めて遺憾=菅官房長官 (ロイター, 10/9)
産経:
震源地: 【追跡〜ソウル発】 朴槿恵大統領が旅客船沈没当日、行方不明に…誰と会っていた? (産経, 8/3)。「朝鮮日報のコラム」からの引用とされるものだらけ。
【本紙ソウル支局長聴取】 検察捜査に疑問呈す 引用コラムの韓国紙記者 (産経, 9/17)
崔氏は自らのコラムを「大統領と大統領府の国政運営に関する批判だ」としつつ、「産経の記事は理解困難な低級な扇情報道だ」と断じた。
崔氏は、自身のコラムには「産経が書いた『男女関係』の単語もなく、特定もしていない」と強調。また「記者として生きてきた自身の名誉が毀損されたと感じなくはない。産経と結びつけられるのは不快だ」と主張した。
この観点について、誰か検証しているのだろうか。
本紙前ソウル支局長を在宅起訴 ソウル中央地検 韓国大統領の名誉毀損告発で (産経, 10/8)
【本紙前ソウル支局長起訴】 韓国、懸念無視し強権…脅かされる言論自由 (産経, 10/8)
【本紙前ソウル支局長起訴】 朴氏の“怒り”検察決定に影響か (産経, 10/9)
【本紙前ソウル支局長起訴】 国内の法曹関係者「起訴は報道に萎縮」 (産経, 10/8)
【本紙前ソウル支局長起訴】 熊坂本紙社長声明「言論の自由への明白な侵害」 (産経, 10/8)
【本紙前ソウル支局長起訴】 「引用元の韓国新聞社に処分が無いのは問題」ジャーナリストの田原総一朗さん (産経, 10/8)
【本紙前ソウル支局長起訴】 佐藤優氏「日本だけは叩く韓国ならではの構図」 (産経, 10/8)
【本紙前ソウル支局長起訴】 「民衆感情を利用、抑圧の典型」木村幹・神戸大教授 (産経, 10/9)
》 墓が捨てられる 〜無縁化の先に何が〜 (NHK クローズアップ現代, 10/8)
大量の墓石があふれ出す背景には、社会と家族の急速な変化があります。
かつて日本では、1つの墓に1人が埋葬される土葬が中心でした。
明治の民法で家の継承を重視する「家制度」が定められると、先祖代々一家がまとめて1つの墓に祭られるようになります。
それが解体されつつあるのが現状か……。
【AFP記者コラム】「イスラム国」の斬首動画が報道機関に突きつけた課題 (AFPBB, 9/23)
ISは私たちを恐怖に陥れるために、前例のないやり方でネットを駆使し、私たちに挑んできている。もはやISの支配地域に取材に入るのは不可能に近くなった。つまり、ISが公開するプロパガンダのための写真や動画だけが、私たちがあの地域で何が起きているかを知る唯一の情報源となったのだ。
中田考氏は 強く否定している。実際に IS の内部に入って取材しているからなあ。
イスラム国空爆:大規模波状攻撃 アルカイダ系組織も打撃 (毎日, 9/24)。『空爆の対象はイスラム国と国際テロ組織アルカイダ系武装組織「ホラサン」』。
シリア空爆:欧州諸国 米国支持すれど参加にためらい (毎日, 9/24)
「大爆発だ。米軍の攻撃が開始されたのかも」…シリアへの米軍空爆をライヴツイートしちゃった人がいる。 (NAVER まとめ, 9/25)
コラム:米国が踏み出した「終わりなき戦争」 (ロイター, 9/26)。「作戦はどれぐらい続くのか」「数年単位と考えている」
国際法的にグレーでも他に手段がなかったシリア空爆 オバマとイスラム国の戦争(その1) (JBpress, 9/29)。黒井文太郎氏。
イスラム国を力でねじ伏せなければならない理由 オバマとイスラム国の戦争(その2) (JBpress, 10/6)。黒井文太郎氏。
北大生は違ったフィクションに生きたかった (高世仁の「諸悪莫作」日記, 10/8)
ここに、常岡さんが問題の北大生に対して行なったインタビューを紹介しよう。
北大生Aともう一人、千葉県の青年B(23歳)の二人が、8月11日にイスラム国に向け出発予定だった。常岡さんは彼らを同行取材する予定だった。
インタビューは出発直前の5日に、都内のサイゼリヤで行われた。
マスコミでは断片的にしか紹介されていないが、通して見てみると、どういう人間かがイメージできるだろう。(Qは常岡さん)
一読して、ひどい厭世観を感じる。 強い意思じゃなくて自暴自棄でしょう。
リクルートの「張り紙」を出した「古書店主」は相当の変わり者らしく、悪戯心だったようだ。この張り紙はネットの世界では、一部で話題になっていたという。
これを見た、見知らぬ者同士が、きわめて個人的な願望をもとに応募したというのが実態ではないか。
冒頭の質問で、二人の関係も知らぬまま、インタビューに臨んでいることが分かるが、この日、常岡さんは、初めて二人に会った。
常岡さんの声の調子から、この人本気なの?と驚きながら質問していることがうかがえる。
北大生支援の元教授インタビュー 公安の事情聴取を受けた中田考氏が語る「イスラム国」 (Wedge, 10/9)
――印象に残ったことは。
中田 彼らは金銭的な余裕がなく武装面では非常に弱い組織、という印象を受けた。中東各国の富裕層などが彼らを資金面で支えている、という報道もあるが、基本的には彼らは自分たちのお金で組織を回しており、貧しい。「政府軍を追いやるぐらいなので、お金があり強いはずだ」という意見もあるが、政府軍が極端に弱いだけの話。弱い組織ともっと弱い組織の戦い。現地にいってそれを目の当たりにしてきた。そもそも停電が常態で電気もろくに通じていないような世界。
――であればアメリカが地上軍を投入すれば簡単に倒せるのか。
中田 それは無理だ。アメリカ軍は強いイメージがあるが、本当に弱い。その理由の1つとして法の縛りが挙げられる。彼らは随分ひどいことをしているが、それでもシリアのアサドやイラクのフセインの軍隊に比べれば、一応軍規がある。軍規があるとやはり弱い。
――なぜこのタイミングでこうしたことが起こったのか。
中田 非常に簡単に言ってしまえば、世界がおかしいから。イスラムの世界もおかしいし、世界全体がおかしい。イラクとシリアはイスラムの世界においても、世界レベルでみても、ほぼ最悪の残虐な政権。イラクは単に野蛮で、シリアはもっと計算された冷酷な野蛮さ。人を殺すことも、嘘をつくことも平気な人たち。そういうところを倒すには、それに対抗できるような、ある意味での強さみたいなものがなければならない。
中田考への任意の聴取及び家宅捜索に対する弊社見解 (カリフメディアミクス / Google Docs, 10/8)
中田が日本という国家の枠内で定められた「私戦準備及び陰謀」という法律においてその容疑がかけられる余地が全くないかと言えば、否定せざるを得ず、外交的見地からも、真相を究明するために公安当局の捜査が入ることもやむをえないと考えます。しかし、真実が明らかになれば、法律的見地からも、違法とはみなされず、イスラームの教えおよび国際社会の平和という観点において本件の中田の行動に非はないことが明らかになるであろうというのが弊社の見解です。公安当局の厳正で中庸な捜査とマスコミの事実を綿密に調べた上での適切な報道を希望します。
》 閲覧注意 ここ数日の池田信夫さんの発言 (togetter, 10/2)。終了。
2014 年 8 月のマイクロソフト セキュリティ情報の概要 (2014.08.16)
MS14-046 更新プログラム 2966827・2966828 で不具合が発生しているようです。 更新プログラム 3005628 で修正。
Windows 8.1 に .NET Framework 3.5 をインストールできない問題の件 (0x800f0906, 0X800f081f) (山市良のえぬなんとかわーるど, 2014.09.22)
You cannot enable the Microsoft .NET Framework 3.5 feature on Windows Server 2012 R2, Windows Server 2012, Windows 8.1, or Windows 8 after you install security update 2966827 or 2966828 (Microsoft KB 3002547)。更新プログラム 2966827 または 2966828 をインストールすると、Server 2012・2012R2、Windows 8・8.1 で .NET Framework 3.5 機能を有効にできない。3005628 ↓を適用するか、あるいは一旦 2966827・2966828 をアンインストールして .NET Framework 3.5 機能を有効にし、それから 2966827・2966828 を再適用する。
Update for .NET Framework 3.5 on Windows Server 2012 R2, and Windows Server 2012, Windows 8.1, and Windows 8 (Microsoft KB 3005628)。更新プログラム 3005628 で修正されます。
》 (メディアタイムズ)慰安婦報道 元記者の家族も攻撃 (朝日, 10/7)。テロとの戦い。
》 時論公論 「御嶽山噴火 〜なぜ大きな被害に〜」 (NHK 解説委員室, 9/30)、 時論公論 「御嶽山噴火から1週間 火山防災の見直しを急げ」 (NHK 解説委員室, 10/4)
》 もんじゅ 改革延長 「深刻な問題」 (NHK「かぶん」ブログ, 10/2)。とっとと諦めて解体しろ。
》 福島第一原発 地震の揺れの想定を1.5倍に (NHK「かぶん」ブログ, 10/3)。 「これまでの1.5倍の900ガルまで引き上げる」 「津波についてもこれまでの倍近いおよそ26メートルまで引き上げる」。 これまでが、いかに甘ちゃんだったかということでもある。
Bitcoin、300ドルを割る (techcrunch, 10/6)
大量のBitcoinが相場以下で売り出されると何が起きるかを見よ! (techcrunch, 10/7)
Bitcoinで今何が起きているのか? (techcrunch, 10/7)
》 「BBCは日本の新聞とは違って、他人のプライバシーに踏み込むような報道姿勢ではない」などというデタラメを、どこで聞きました? (tnfuk [today's news from UK+], 10/5)
》 赤崎勇・天野浩・中村修二の 3 氏にノーベル物理学賞 (青色 LED 開発)
ノーベル賞受賞、「青色LED」の産官学モデルがうまくいった理由 (日経ビジネス, 10/7)
ノーベル賞学者は10年前、「敗軍の将」として何を語っていたか (日経ビジネス, 10/7)
ノーベル賞:中村氏「日本に自由ない」、研究環境の改善を (毎日, 10/8)
米国のイノベーションと軍事予算 (Geek なぺーじ, 10/8)。超軍事大国ですからねえ。
》 ドメイン名政策委員会 報告書(案)に対する意見の募集 (総務省, 10/7)
》 スクエニ『ハイスコアガール』巡りSNKを提訴―著作権侵害の事実なし (おたくま経済新聞, 10/8)
》 破壊より笑い 陽気なウクライナのレーニン像 (朝日, 10/8)
》 カフェで写真撮ってツイートしてる人のアカウントを特定する方法 (はてな匿名ダイアリー , 10/7)。 lang:ja exclude:retweets filter:images ですか。
》 日立システムズ、セキュアブレインを完全子会社化 (日経 IT Pro, 10/7)
》 急成長する「サイバー軍需産業」を知る5つのポイント (サイバーインシデント・リポート, 10/7)
》 キメリックス社の抗ウイルス薬「ブリンシドフォビル」をエボラ患者に投与。Chimerix 社の Brincidofovir (CMX001)。 「アデノウイルスやサイトメガロウイルス」対抗として開発された薬で、第3相試験中だそうで。
米ダラスのエボラ感染者、キメリックスの治験薬投与 (ウォール・ストリート・ジャーナル日本版, 10/7)
重体のエボラ熱患者にキメリックスの治験薬投与 (ブルームバーグ, 10/6)
》 佐賀県武雄市長を詐欺罪で刑事告発 (#武雄市問題, 10/6)。交通費不正受給疑惑。
》 Adobe’s e-book reader sends your reading logs back to Adobe—in plain text [Updated] (ars technica, 10/7)。 Adobe Digital Editions。 多くの公共図書館で使われている、という観点でも問題になっているようで。 関連:
Adobe is Spying on Users, Collecting Data on Their eBook Libraries (The Digital Reader, 10/6)
Adobe Spyware Reveals (Again) the Price of DRM: Your Privacy and Security (EFF, 10/7)
》 米第9巡回控訴裁、ネバダ等5州での同性婚禁止を解除 (石壁に百合の花咲く, 10/8)。ネバダ、アイダホ、アラスカ、アリゾナ、モンタナ。
》 Twitterが真の「透明性レポート」の公開を求めてアメリカ政府を提訴 (gigazine, 10/8)。透明性レポートは透明でない件。
OpenSSH 6.7/6.7p1 出たそうです。
* sftp-server(8): サポートするプラットフォームでは prctl() を用いて sftp-server が /proc/self/{mem,maps} に アクセスするのを防ぐ.
ForceCommand internal-sftp で、かつ ChrootDirectory を設定していない場合に、 /proc/self/{mem,maps} を使ってアレできる件への対応だそうです。 [FD] OpenSSH <=6.6 SFTP misconfiguration exploit for 64bit Linux 参照。
関連: chrootされたsftp専用ユーザを作るメモ (Qiita, 2014.06.10)
Chrome 38.0.2125.101 が stable に。159 件 (!) のセキュリティ修正を含む。 内 113 件は、MemorySanitizer を使って発見した、比較的マイナーなセキュリティ修正だそうで。
同時公開:
Chrome for iOS Update (Google, 2014.10.07)
Stable Channel Update for Chrome OS (Google, 2014.10.07)
》 小保方さんの博士号「学位を取り消す」早稲田大学が「猶予付き」の決定・配布資料(全文) (弁護士ドットコム, 10/7)
》 兵庫県でデング熱感染か 関東行かず、初ケース (共同 / Excite, 10/7)。うわ……。
》 世界中のMacに感染中のマルウェア「iWorm」が数万台規模のボットネットを形成していることが判明 (gigazine, 10/7)。海賊版アプリが感染源ですか。
Doctor WebがiWormの情報を公開した後、iWormには亜種を含めて4種類のマルウェアがあることが分かりました。さらにredditの有志がiWormの感染経路の特定作業を開始したところ、PirateBayというBitTorrentのトレントファイル配信サイト経由で配布されたAdobe Illustrator CS6・Photoshop CC2014・Microsoft Office 2011などの海賊版ソフトにパッケージされていたものから広まったことが判明しています。
関連: エンジニアが知っておくべき”iWorm” (Developpers.IO, 10/5)
》 BlackEnergy 3:中級の絶えざる脅威 (エフセキュアブログ, 9/26)、 エフセキュア、標的型攻撃のクライムウェア’BlackEnergy’に関するホワイトペーパーをリリース (エフセキュアブログ, 10/2)
今回の場合、プロキシサーバ群はウクライナに設置されており、Quedagh一味がウクライナの政府組織を標的にしている有力な証拠がある。
(中略)
我々の仮説はこうだ。BlackEnergy 3のような「中級の絶えざる脅威」は市場原理によって推進され、サイバー犯罪者たちが自身の能力を諜報や商品化された情報戦争へと拡大している。
》 CryptoWallが2.0にアップデート (エフセキュアブログ, 10/2)
》 米連邦最高裁、同性婚禁止を求める上告を棄却 新たに11州で結婚可に(写真多数) (石壁に百合の花咲く, 10/7)。11州 = 「ユタ、インディアナ、ウィスコンシン、バージニア、オクラホマ」 + 「ウエストバージニア、ノースカロライナ、サウスカロライナ、カンザス、コロラド、ワイオミング」。
》 キャッチ!インサイト 「映画で難民問題を考える」 (NHK 解説委員室, 10/3)。 UNHCR 難民映画祭から 3 作品 (ボーダー 〜戦火のシリアを逃れて〜、シャングリラの難民 〜幸福の国を追われて〜、イブラヒムのミツバチ) を紹介。記事で大きく取り上げられているのは「ボーダー」だが、
【映画2:「シャングリラの難民〜幸福の国を追われて」 】
(二村)
これはブータンの難民を描いたドキュメンタリーです。ブータンは幸福の国と呼ばれていますが、ネパール系住民の人口が増え、1990年代に10万人以上が国を追われました。映画は、ネパールの難民キャンプで暮らし祖国に戻る日を夢見ている人たちやアメリカに移り住んで生きる決心をした人たちを描いています。
そんなことになっていたとは……。
》 日本人の「イスラーム国」参加未遂の報道に思う (中東・イスラーム学の風姿花伝, 10/6)
「正義の名の下での暴力や支配」という思想の「魔力」に感化されやすい若者は、どのようにして生まれるのでしょうか。
私は、例えば次のような社説によって、日々作られていっていると考えています。
「(社説)テロリスト 生まない土壌つくろう」『朝日新聞』2014年10月6日05時00分
(中略)
テロをめぐる朝日新聞の論評は、「むしゃくしゃしてやった」といったどう考えても薄弱な動機で殺人を犯す人物が現れるたびに「むしゃくしゃさせた社会が悪い」と論評しているようなものです。「むしゃくしゃした」ことと「人を殺す」ことの間を何が繋いでいるのか?という謎に正面から向き合わないのであれば、こういった論評は、テロを容認する社会規範を事実上広めているとすら言い得るものです。
「ボーダーレスのいま、日本人が攻撃に遭う可能性もある。テロと向き合う国際論議に私たちも積極的に参加すべきだ。」という結びの言も、間が抜けています。「日本人が加害者になる可能性もある」という当たり前の現実に全く気づいていない様子で、無自覚です。遠くの「欧米」の「国内問題」と断定して安心して、よく知らないのにあげつらっているので、状況が違う日本でも出てきてしまう問題であることに気づいていないのです。
》 イスラム国:警視庁、北大生ら事情聴取 私戦予備の疑い (毎日, 10/7)。「北海道大学の学生の男(26)ら複数の日本人から事情を聴くと共に、関係先数カ所を家宅捜索」。関連:
イスラム国:26歳北大生ら、参加を計画 警視庁、私戦予備容疑で家宅捜索 (毎日, 10/7)
大学生は、今回聴取を受けたメンバーの一人が東京都千代田区の古書店に掲示したシリアへの渡航を呼びかける張り紙に呼応し、シリアに渡ろうとしたとみられる。
これのことらしい。うーむ。
【開店情報】ニュー秋葉原センター内に古書店「星雲堂 秋葉PX」が4月1日オープン 医療用器具や謎の求人情報も発見 http://t.co/Ovg3NiWlz3 #akiba pic.twitter.com/rzh5xFoaqa
— 1UP情報局 (@1up_news) 2014, 4月 12
「関係先数カ所を家宅捜索」には、ジャーナリストの常岡浩介氏が含まれていたそうで。
都内の自宅の家宅捜索を受けたフリージャーナリストの常岡浩介さん(45)は毎日新聞の取材に対し、「北大生は以前から取材をしていた人物で、実際にイスラム国へ向かうのなら取材のために同行するつもりだった。任意で事情を聴きたいということだったので拒否した」と話した。
容疑の関係先として捜索を受け、ビデオカメラやパソコンなどの取材機材を押収されたという。
常岡さんによると、男子学生とはイスラム国を取材した際に知り合った友人の紹介で8月に初めて会った。その際、イスラム国に参加するためシリアへの渡航を思い立ったきっかけとして、古書店の張り紙を挙げたという。
ただ、学生は軍事マニアで本気で渡航を希望しているかは疑問に感じたという。
常岡さんは、張り紙を元に同様にイスラム国行きを希望した別のフリーターにも会ったというが「母親の反対で断念したようだ」と話した。
常岡浩介さん宅にガサ入れ! (高世仁の「諸悪莫作」日記, 10/6)
押収されたものは、
スマホ3台、PC3台、ハードディスク4台か5台、ビデオカメラ2台、デジカメ3台。
旅券と現金はいったん押収し、あらためたうえで返却したそうだ。
取材に必要な機材を押収された常岡さんは、予定していた取材をキャンセルせざるをえなくなった。
乱暴な取材妨害だと常岡さんは憤慨している。
常岡さんのPCやカメラ、携帯などのデータから、捜索対象が広がる可能性もある。また、情報が外国の公安当局に渡った場合、空港で入国を制限されたり、行動がマークされたりする恐れもある。
いま常岡さんは仲間と今後の対応を検討している。
うーむ……。現時点では、ケーサツが余計なことした感が強いなあ。
古書店の貼り紙見て渡航決める (NHK, 10/7)
イスラム過激派組織「イスラム国」に加わるためにシリアへの渡航を計画したとして、日本人の大学生の関係先が捜索を受けた事件で、大学生は、都内の古書店でシリアでの勤務を募集する貼り紙を見て渡航を決めたことが、警視庁の調べでわかりました。
張り紙をした古書店の関係者は、応募してきた複数の若者をイスラム法学が専門の大学教授などに紹介していて、警視庁はこの教授の自宅を関連先として捜索し、いきさつを調べています。
「イスラム法学が専門の大学教授」は、中田考氏のようです。常岡氏ともども、イスラム国の内部を取材できていた希有な方だけに、今後が心配。
「勤務地:シリア」アキバで求人 イスラム国参加計画 (朝日, 10/7)
求人に関わったとされる古書店関係者は日本人の男性。朝日新聞の取材に対して、求人広告を掲示したことを認め、「イスラム法学が専門の元大学教授に渡航希望者を数人紹介した」と話している。
元大学教授も古書店関係者から「『イスラム国』に行きたい大学生がいたら紹介したい」などと相談を受けたことを明らかにしたうえで、「自分から『イスラム国』行きを勧めたりはしない」と話した。元教授はこれまで数回、調査などで「イスラム国」の支配地域に入ったことがあり、現地の様子を発表している。
「元」になってる……。
(私戦予備及び陰謀) 第九十三条 (刑法)
関係者の証言 (togetter)
<イスラム国>警視庁、北大生ら事情聴取 私戦予備の疑い (弁護士 落合洋司 (東京弁護士会) の 「日々是好日」, 10/6)
警視庁としては、これで逮捕、立件まで狙っているのではなく、関係箇所に対する捜索、押収を行い必要な取調べを行って、情報を収集するとともにマスコミを通じて大きめに報道させて、日本にもこういうことを実際にやろうとしている人々がいる、ということを広く社会に知らしめ抑制を図りたいという意図なのだろうと私は推測しています。
》 今回のハッキングの事件についての調査結果のご報告 (EmEditor, 10/3)。EmEditor ホームページがハクられ、ニセの更新チェックファイルが設置された件 (8/19、 8/20) の最終報告。
更新チェッカーを作成するのに使用した Advanced Installer の次期バージョンでは、更新インストーラーに弊社のデジタル署名が無ければインストールがブロックされ、より安全になります。弊社でも Advanced Installer の RC 版のテストを行いましたが、確かに異なるデジタル署名の更新インストーラーは、インストールがブロックされることを確認しました。そこで、将来の EmEditor のバージョンでは、Advanced Installer の次期バージョンのより安全な更新チェッカーを使用して更新チェッカーの機能を復活する予定です。
[webmin-announce] Webmin 1.710 and Usermin 1.620 released (sourceforge.net, 2014.10.01)。Shellshock バグに対する保護コードが含まれているそうで。
関連: Webminの脆弱性+bashの脆弱性でトロイの木馬がroot権限で入る (M.C.P.C. (Mamesibori Creation Plus Communication), 2014.10.04)
4.0.14, 4.2.10, 4.4.5, and 4.5.5 Security Advisory (Bugzilla, 2014.10.06)。無認証でのアカウント作成を許す欠陥などが修正されている。
USB周辺機器が“悪者”に、BlackHatで実証ツール公開予定 (2014.08.01)
DEF CON 22で仕入れた悪意のあるUSBデバイス (マクニカネットワークス セキュリティ研究センターブログ, 2014.10.03)。BadUSB のわかりやすい解説。
ユーザに対する教育として以下の基本的な2点を厳守させることが最も手っ取り早い対策となるかもしれません。
- 出所が不明な「いかなる」USBデバイスを接続しない
- スマホ充電器も含む
- 離席時に画面ロックをする(攻撃者にUSBデバイスを接続されても、ログオン画面では悪いプログラムが発動できない)
Bash ShellShock バグ (CVE-2014-6271, CVE-2014-7169, CVE-2014-6277, CVE-2014-6278, CVE-2014-7186, CVE-2014-7187) 修正情報まとめ (2014.10.03)
……根津 研介さん曰く、bash 4.3.30 等は
本日GNU bash Upstreamで公開された下記のMichal Zalewskiさんのパッチですが、CVE-2014-6278の対策パッチではなく、Florian Weimer さんの緩和パッチ(問題を検出するとabort()する)を、abort()させないコードに直してGNU Upstreamが取り込んだ時にコマンドラインのパーサー状態が中途半端な状態になるエンバグの修正パッチです。
RedHatとCentOSはabort()するFlorianさんの初期パッチを取り込んでいるので関係しませんが、GNUのUpstreamを見ているディストリの類はパッチを取り込んだ方がいいみたいです。
あと、Florianさんの緩和条件について、追加のケースがあって、下記の場合もエラーになるようになります。
1.パーサーのバッファになんか残ってる(関数定義以外に何か追加されている)。
2.既に定義済みのシェル関数と同じ名前のシェル関数を環境変数で定義しようとしている。
エンバグ修正 + よりきちんと緩和されるようになったと。
》 企業秘密の窃盗犯を米当局が訴追、Xbox Oneやシミュレーターソフトなど狙う (ITmedia, 10/3)。「米国とカナダに住む18〜22歳の男4人」
証人尋問で「詐欺師」の本性をあらわにした贈賄供述者 (郷原信郎 / ハフィントンポスト, 10/5)
これだけ (小島注: 億円単位) の多額の詐欺、横領の犯罪を立て続けに行ってきた中林が、「やったことを全部話して、反省して、ゼロからやり直そう」と考えて、贈賄の自白を行ったというのである。
なお、今回争われているのは「市議時代の藤井市長に30万円の賄賂を供与した」という話。
そのことを確認した後、我々弁護人のほうから、中林の「詐欺師」の本性を示す「隠し玉」を突き付けた。
警察署の留置場で中林の隣の房にいたA氏が、名古屋拘置所に移監された後、まだ警察署にいる中林と文通を続けていたのだ。そのA氏は、中林の全く反省のない詐欺師ぶりに呆れ果て、美濃加茂市役所の藤井市長宛に手紙を送ってきてくれた。弁護団は、急遽、名古屋拘置所でA氏に接触し、証人尋問の前日に、中林の自筆の手紙を入手したものだった。
中林の手紙には、実は、起訴された2100万円分の詐欺以外は立件されず執行猶予になることを期待していたことが書かれていた。担当の検事からも、「絶対に藤井には負けないから、中林さん一緒に戦ってくださいね!」と言われ、良い情状を酌んでもらって、執行猶予になることを狙っていたが、藤井弁護団が4000万円の融資詐欺を告発したことで実刑が確実になったと弁護人から知らされ、落胆したことが書かれていた。
そして、中林は、自分の事件の裁判も終わっていないのに、外国人を店に紹介して上前をはねる人材派遣事業を目論み、手紙の中でA氏の内妻に資金管理の仕事を頼めないかと打診していた。
(中略)
反対尋問の中で、私から、中林に、主な手紙の内容とその趣旨について一つひとつ確認した。
中林は、手紙の記載をほぼ認めた。前日の主尋問での贈賄自白の経緯について訊かれた時の涙が「詐欺師」独特の演技であったこと、そのような行為を平然と行う人間であることが、公判廷で明らかになったのである。
うひゃあ。
「弁護人による告発」と「司法取引」制度の導入 〜悪質融資詐欺の告発で虚偽の贈賄自白の背景に迫る〜 (郷原信郎 / ハフィントンポスト, 9/9)。あらためて読むと味わい深い。
市長に賄賂を渡したとする贈賄側の証言は信用できるか (videonews.com, 10/4)
》 「黒子のバスケ」脅迫犯が獄中で書いた警視庁特殊班との攻防戦 (篠田博之 / Yahoo, 10/6)。『生ける屍の結末 「黒子のバスケ」脅迫事件の全真相』発売されてます。
渡邊受刑者の書いた意見陳述などはこのヤフーブログで公開してきたが、実は脅迫事件そのものの舞台裏については裁判でもほとんど明らかになっていない。渡邊受刑者は起訴事実を全て認めたため、事実関係をめぐる審理がほとんど行われなかったからである。2012年10月の上智事件から1年余、警察と彼の間でどんな攻防戦が展開されたかは、今回の著書で初めて明らかになったと言ってよい。
》 ウガンダでマールブルグ熱1人死亡80人隔離、エボラ熱と同症状 (ロイター, 10/6)。うわ、マジか……。
黒木さんから (情報ありがとうございます)。以下の「今日」は 2014.10.03 です。
CVE-2014-6277、CVE-2014-6278は、まだどのメーカも 対応できてないのではないかと思います。 MLすべて読んでないのでまちがっているかもしれせんが、 このあたりに再現方法がかかれています。 more bash parser bugs http://www.openwall.com/lists/oss-security/2014/10/01/17 bash -c "f(){ x(){ _;}; x(){ _;}<<a;}" Segmentation fault CentOS5,6,Debian7,Solaris11とやってみましたが全部落ちました。 bashメンテナーのRameyさんがパッチ準備中といってるので、 今日の昼頃出たmake_cmd.cとcopy_cmd.cのパッチで治るのかもしれないです。
野村さんから (情報ありがとうございます)
記事でCVE-2014-6277及びCVE-2014-6278の修正とされている、 例えばbash-4.1なら http://lists.gnu.org/archive/html/bug-bash/2014-09/msg00280.html は、修正ではなく軽減策です。 これを適用する事により、任意の名前の環境変数を作成できるユーザ以外には攻撃が できなくなると言う物です。 逆に言えば、任意の名前の環境変数を作成できるのならば依然として攻撃可能です。 例えばRed Hatの場合、 --- $ env a='〜略〜' bash -c : --- を --- $ env 'BASH_FUNC_a()'='〜略〜' bash -c : --- とすれば問題再現できます。 つまり、CVE-2014-6277、CVE-2014-6278は、bashオフィシャルの最新パッチでも 修正されていないと言うのが正確かと思います。 Red Hat等がCVE-2014-6277、CVE-2014-6278を修正済みとしていないのも、 おそらくこのためでしょう。 ただし前述の通り、攻撃には任意の名前の環境変数を作成できる必要がある為、 その様な事が可能な環境以外では、それ程心配する状況ではないと判断して 良いと思います。 少なくともCVE-2014-6271やCVE-2014-7169の様な、mod_cgi経由でのお手軽攻撃 などは不可能と考えて大丈夫でしょう。
de-dion さんから (情報ありがとうございます)
CVE-2014-6277 CVE-2014-6278 については 関数をエクスポートする時の環境変数名が変更された事によって CGI経由での攻撃は防げるようになっているため 実質安全なっていると言えますが 脆弱性そのものは修正されていないようです。 以下のケースの問題は起きなくっていますが # CVE-2014-6277 env 'HTTP_COOKIE=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'HTTP_COOKIE=() { _; } >_[$($())] { echo hi mom; id; }' bash -c : 以下のように環境変数を指定した場合は現象が発生します。 # CVE-2014-6277 env 'BASH_FUNC_a()=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'BASH_FUNC_a()=() { _; } >_[$($())] { echo hi mom; id; }' bash -c : 環境変数名はOSによって若干異なるようですのでご注意下さい。 export -f a の場合 BASH_FUNC_a%% (bash本家) BASH_FUNC_a() (RedHad/CentOS) BASH_FUNC_<a>() (MacOS) 以下のセキュリティエラータがリリース済みとなっていないのは このためではないかと思います。 https://access.redhat.com/security/cve/CVE-2014-6277 https://access.redhat.com/security/cve/CVE-2014-6278
うぉぅ……。また書き直さないと……書き直した。
……で、bash 4.3.30 等出てます。tjy1965 さん情報ありがとうございます。
黒木さんからの情報にある bash -c "f(){ x(){ _;}; x(){ _;}<<a;}" の例は、bash 4.3.29 で落ちなくなりました (手元の FreeBSD 8.4 でテストして、bash 4.3.28 で落ち bash 4.3.29 では落ちないことを確認)。
de-dion さんからの情報にある
# CVE-2014-6277 env 'BASH_FUNC_a()=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'BASH_FUNC_a()=() { _; } >_[$($())] { echo hi mom; id; }' bash -c :
ですが、FreeBSD ports の bash 4.3.29 ではこうなりました。(FreeBSD なので --import-functions が必要)
% env 'BASH_FUNC_a%%=() { x() { _; }; x() { _; } <<a; }' bash --import-functions -c : bash: warning: here-document at line 0 delimited by end-of-file (wanted `a') % env 'BASH_FUNC_a%%=() { _; } >_[$($())] { echo hi mom; id; }' bash --import-functions -c : hi mom uid=XXXXX(kjm) gid=XXXXX(後略)
FreeBSD ports の bash 4.3.30 だとこうです。
env 'BASH_FUNC_a%%=() { x() { _; }; x() { _; } <<a; }' bash --import-functions -c : bash: warning: here-document at line 0 delimited by end-of-file (wanted `a') % env 'BASH_FUNC_a%%=() { _; } >_[$($())] { echo hi mom; id; }' bash --import-functions -c : bash: a: line 0: syntax error near unexpected token `{' bash: a: line 0: `a () { _; } >_[$($())] { echo hi mom; id; }' bash: error importing function definition for `a'
bash 4.3.30 では CVE-2014-6277、CVE-2014-6278 に対応しているということでいいのかな。
2014.10.06 - 「CVE-2014-6277、CVE-2014-6278 対応について」を追加。 表については、bash 4.3.30 で対応するとして書き直した。 また Buffalo の項に情報を、VMware の項を VMSA-2014-0010.7 に更新。
エボラ熱の感染拡大懸念、米カカオ豆先物一時3年半ぶり高値 (ブルームバーグ, 9/23)
エボラ出血熱を懸念、ヘッジファンドのカカオ豆買い越し増加 (ブルームバーグ, 9/29)
カカオ豆価格が3年半ぶりの高値、エボラの感染拡大不安で (AFPBB, 9/29)
[FT]エボラ熱拡大、カカオ産業に警戒感 (日経, 9/30)。「コートジボワールとガーナへの波及を憂慮」
エボラ熱、死者3000人超 WHO、血清利用の指針公表へ (日経, 9/27)。「WHO幹部によると、来週前半にはWHOが血清利用について暫定的な指針を公表する」。出たというニュースがないっぽいのだが……。
エボラ出血熱 日本の薬でフランス女性快方へ 富士フイルム傘下企業が開発 インフル薬を投与 (SankeiBiz, 10/3)。富山化学工業の抗ウイルス薬 T-705 (ファビピラビル、商品名アビガン。RNA ポリメラーゼ阻害薬)。
取材の米カメラマン エボラウイルスに感染 (NHK, 10/3)
米国内でエボラ患者確認
エボラ熱、米で初の感染者 西アフリカから入国 (ウォール・ストリート・ジャーナル日本版, 10/1)
米初のエボラ熱患者、最初は抗生物質もらって帰宅-2日後入院 (ブルームバーグ, 10/1)
米のエボラ出血熱患者、最大18人と接触 本人はリベリア国籍 (ウォール・ストリート・ジャーナル日本版, 10/2)
エボラ出血熱、監視対象100人に拡大=米ダラス (ウォール・ストリート・ジャーナル日本版, 10/3)
視点・論点 「エボラ出血熱 リベリアでの支援を通じて」 (NHK 解説委員室, 9/26)
時論公論 「エボラ 拡大を防ぐには」 (NHK 解説委員室, 9/6)
》 世界も仰天 自民党がまとめた「慰安婦虐待」全否定決議 (日刊ゲンダイ, 10/2)
》 朝日新聞・慰安婦報道の訂正が韓国にインパクトを与えない理由 (WEDGE, 9/29)
》 芸人のエド・はるみがネット上の不特定多数の事実無根の書き込みに対し法的処置を検討する (楽しくないブログ, 10/3)
》 日米防衛指針:「周辺事態」削除 派遣「歯止め」焦点 (毎日, 10/1)。きてますね。
》 時論公論 「アフガニスタン 新大統領は決まったものの」 (NHK 解説委員室, 9/25)
》 どう守る?子どもの安全 〜相次ぐ“連れ去り”事件〜 (NHK クローズアップ現代, 10/1)、 時論公論 「子どもを犯罪から守るには 〜現場から読み解く〜」 (NHK 解説委員室, 10/1)
時論公論 「デング熱 教訓を生かすには」 (NHK 解説委員室, 9/24)
デング熱の国内感染事例の発生状況について (厚生労働省)。10/1 現在で 153 名。
》 時論公論 「広島土砂災害1か月 避難につなげる情報を」 (NHK 解説委員室, 9/19)
》 視点・論点 「急増する空き家」 (NHK 解説委員室, 9/19)
》 東京・新小岩に統一教会の偽装施設発見!(前編)=施設職員は統一教会との関係を完全否定、正体隠しの勧誘は続いている (やや日刊カルト新聞, 9/30)、 東京・新小岩に統一教会の偽装施設発見!(後編) 施設スタッフの原理講師が本紙記者にウソを吐いていたことを謝罪 (やや日刊カルト新聞, 10/1)
》 不動産経営者の夜逃げラッシュが招く中国経済の崩壊 (WEDGE, 10/1)
》 「iCloud」のセレブ画像流出問題がGoogleに飛び火 (日経 IT Pro, 10/3)、 有名人写真流出でグーグル提訴も、検索結果削除せず=報道 (ロイター, 10/3)
Singer弁護士によると、盗まれた写真や動画は「YouTube」や「Blogger」といったGoogleのサービスにも投稿された。Singer弁護士の事務所はGoogleを含むサイト運営者やホスティングサービスプロバイダーに画像の削除を要求する通知を送ったが、Googleは迅速な対応で削除することを怠った。
》 Apple、iOSデバイスのロック状態を確認するWebツールを公開 (日経 IT Pro, 10/3)
》 DeNAがキュレーションサイト「iemo」「MERY」を買収 (楽しくないブログ, 10/3)
》 2014年9月にdocomo IDへ行われた不正ログインについてまとめてみた (piyolog, 10/2)
》 印刷システムCUPSが15周年、最新版となる「CUPS 2.0」をリリース (sourceforge.jp, 10/3)
》 LINE乗っ取りを受けて:これだけは設定したい項目 (barlog, 10/3)。「単一のデバイスでのみ利用する (『他端末でのログインを許可する』を無効にする)」「Facebook 連携を無効にする」
USB周辺機器が“悪者”に、BlackHatで実証ツール公開予定 (2014.08.01)
Phison 2251-03 (2303) Custom Firmware & Existing Firmware Patches (BadUSB) (github)。コード公開されました。
Xen Security Advisory CVE-2014-7188 / XSA-108 version 4: Improper MSR range used for x2APIC emulation (Xen, 2014.10.01)。AWS リセットまつりの件。Xen 4.1 以降に影響、Xen 4.2 以降用の patch あり。
[MediaWiki-announce] MediaWiki Security and Maintenance Releases: 1.19.19, 1.22.11 and 1.23.4 (wikimedia.org, 2014.09.24)
PMASA-2014-11: XSS vulnerabilities in table search and table structure pages (phpMyAdmin, 2014.10.01)。phpMyAdmin 4.0.10.4, 4.1.14.5, 4.2.9.1 で修正されている。 CVE-2014-7217
JVNDB-2014-004360: Squid の snmp_core.cc の snmpHandleUdp 関数 におけるサービス運用妨害 (DoS) の脆弱性 (JVN, 2014.09.24)、Squid Proxy Cache Security Update Advisory SQUID-2014:3 (Squid, 2014.09.15)。Squid 3.4.8 で修正されている。また Squid 3.x 用の patch が用意されている。 CVE-2014-6270
Squid Proxy Cache Security Update Advisory SQUID-2014:4 - Multiple issues in pinger ICMP processing (Squid, 2014.09.15)。Squid 3.4.8 で修正されている。また Squid 3.[1-4] 用の patch が用意されている。 CVE-2014-7141 CVE-2014-7142
UNIXとLinuxの「Bash」シェルに重大なセキュリティホール がわけわかめになったので、別途まとめます。 全ての欠陥に対応したものだけを「修正済」とします。
原則として各文書の字面しか追ってないので注意。
特に CVE-2014-6277 と CVE-2014-6278 は
「CVE-2014-6271 と CVE-2014-7169 の不完全な修正」によるもののため、場合によっては対応が明記されていないかもしれない。
製品、ベンダー | 修正済バージョン | 備考 | 更新日付 |
---|---|---|---|
Apple OS X | 不十分 | 不十分版: OS X bash Update 1.0 - OS X Mavericks、 OS X Mountain Lion、 OS X Lion | 2014.10.03 |
Barracuda | 不十分 | 不十分版: Barracuda Networks products and CVE-2014-6277, CVE-2014-6278, and CVE-2014-7169: aftershock and two related vulnerabilities。CVE-2014-7186, CVE-2014-7187 に未対応 | 2014.10.03 |
Bash | 4.3.30, 4.2.53, 4.1.17, 4.0.44, 3.2.57, 3.1.23, 3.0.22, 2.05b.13 | 2014.10.06 | |
CentOS | 不十分 | 不十分版: CentOS 5、 CentOS 6、 CentOS 7。CVE-2014-6277, CVE-2014-6278 対応は軽減策 (ソースで確認) | 2014.10.06 |
Cisco | 未修正 | 情報: GNU Bash Environment Variable Command Injection Vulnerability | 2014.10.03 |
Debian | 不十分 | 不十分版: DSA-3035-1 bash -- security update。CVE-2014-6277, CVE-2014-6278 対応は軽減策 (ソースで確認) | 2014.10.03 |
バッファロー Buffalo | 未修正 | 情報: GNU BashにおけるOSコマンドインジェクションの脆弱性 | 2014.10.03 |
FreeBSD | 最新の ports/shells/bash で修正済 (bash-4.3.30) | 2014.10.06 | |
IO DATA | 不十分 | 不十分版: GNU bash の脆弱性に関する弊社調査・対応状況について。CVE-2014-6278, CVE-2014-7186, CVE-2014-7187 に未対応 | 2014.10.03 |
マカフィー McAfee | 一部製品は修正済 | 情報: マカフィーセキュリティ情報 – Bash Shellshock Code Injection Exploit Updates (CVE-2014-6271、CVE-2014-7169) | 2014.10.03 |
Oracle | 一部製品は修正済 | 情報: Bash "Shellshock" Vulnerabilities - CVE-2014-7169 | 2014.10.08 |
QNAP | 不十分 | 不十分版: QNAP Releases New QTS for the Turbo NAS with Fix on GNU Bash Environment Variable Command Injection Vulnerability | 2014.10.03 |
Red Hat | 不十分 | 不十分版: RHSA-2014:1306-3。CVE-2014-6277, CVE-2014-6278 対応は軽減策 (ソースで確認) | 2014.10.03 |
Synology | 不十分 | 不十分版: Synology 製品セキュリティ勧告 | 2014.10.03 |
Ubuntu | 不十分 | 不十分版: USN-2364-1: Bash vulnerabilities。CVE-2014-6277, CVE-2014-6278 対応は軽減策 (ソースで確認) | 2014.10.03 |
Vine Linux | 不十分 | 不十分版: bash にセキュリティホール。CVE-2014-6277, CVE-2014-6278, CVE-2014-7186, CVE-2014-7187 に未対応 (ソースで確認) | 2014.10.03 |
VMware | VMSA-2014-0010.7 | 2014.10.06 | |
ヤマハ Yamaha | GNU Bash 「OS コマンドインジェクション」の脆弱性について | 2014.10.03 |
関連:
新出さんから (情報ありがとうございます)
Debianが修正不十分となっていますが Debian(wheezy,squeeze-ltsで確認)のbashに9/25G時点で当たっているパッチのうち CVE-2014-6271.diff がCVE-2014-6271対応 CVE-2014-7169.diff がCVE-2014-7169対応 variables-affix.patch がCVE-2014-6277+6278対応 parser-oob.patch がCVE-2014-7186+7187対応 のようなので、Debianは「修正済」ということになるのではないかと思います。 CentOSも同様のようですが、確認はしていません。
やっぱソース読むしかなさげ (T_T) CentOS、Debian、Red Hat、Ubuntu、Vine Linux については ソースを読んだ結果を反映した。
黒木さんから (情報ありがとうございます)。以下の「今日」は 2014.10.03 です。
CVE-2014-6277、CVE-2014-6278は、まだどのメーカも 対応できてないのではないかと思います。 MLすべて読んでないのでまちがっているかもしれせんが、 このあたりに再現方法がかかれています。 more bash parser bugs http://www.openwall.com/lists/oss-security/2014/10/01/17 bash -c "f(){ x(){ _;}; x(){ _;}<<a;}" Segmentation fault CentOS5,6,Debian7,Solaris11とやってみましたが全部落ちました。 bashメンテナーのRameyさんがパッチ準備中といってるので、 今日の昼頃出たmake_cmd.cとcopy_cmd.cのパッチで治るのかもしれないです。
野村さんから (情報ありがとうございます)
記事でCVE-2014-6277及びCVE-2014-6278の修正とされている、 例えばbash-4.1なら http://lists.gnu.org/archive/html/bug-bash/2014-09/msg00280.html は、修正ではなく軽減策です。 これを適用する事により、任意の名前の環境変数を作成できるユーザ以外には攻撃が できなくなると言う物です。 逆に言えば、任意の名前の環境変数を作成できるのならば依然として攻撃可能です。 例えばRed Hatの場合、 --- $ env a='〜略〜' bash -c : --- を --- $ env 'BASH_FUNC_a()'='〜略〜' bash -c : --- とすれば問題再現できます。 つまり、CVE-2014-6277、CVE-2014-6278は、bashオフィシャルの最新パッチでも 修正されていないと言うのが正確かと思います。 Red Hat等がCVE-2014-6277、CVE-2014-6278を修正済みとしていないのも、 おそらくこのためでしょう。 ただし前述の通り、攻撃には任意の名前の環境変数を作成できる必要がある為、 その様な事が可能な環境以外では、それ程心配する状況ではないと判断して 良いと思います。 少なくともCVE-2014-6271やCVE-2014-7169の様な、mod_cgi経由でのお手軽攻撃 などは不可能と考えて大丈夫でしょう。
de-dion さんから (情報ありがとうございます)
CVE-2014-6277 CVE-2014-6278 については 関数をエクスポートする時の環境変数名が変更された事によって CGI経由での攻撃は防げるようになっているため 実質安全なっていると言えますが 脆弱性そのものは修正されていないようです。 以下のケースの問題は起きなくっていますが # CVE-2014-6277 env 'HTTP_COOKIE=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'HTTP_COOKIE=() { _; } >_[$($())] { echo hi mom; id; }' bash -c : 以下のように環境変数を指定した場合は現象が発生します。 # CVE-2014-6277 env 'BASH_FUNC_a()=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'BASH_FUNC_a()=() { _; } >_[$($())] { echo hi mom; id; }' bash -c : 環境変数名はOSによって若干異なるようですのでご注意下さい。 export -f a の場合 BASH_FUNC_a%% (bash本家) BASH_FUNC_a() (RedHad/CentOS) BASH_FUNC_<a>() (MacOS) 以下のセキュリティエラータがリリース済みとなっていないのは このためではないかと思います。 https://access.redhat.com/security/cve/CVE-2014-6277 https://access.redhat.com/security/cve/CVE-2014-6278
うぉぅ……。また書き直さないと……書き直した。
……で、bash 4.3.30 等出てます。tjy1965 さん情報ありがとうございます。
黒木さんからの情報にある bash -c "f(){ x(){ _;}; x(){ _;}<<a;}" の例は、bash 4.3.29 で落ちなくなりました (手元の FreeBSD 8.4 でテストして、bash 4.3.28 で落ち bash 4.3.29 では落ちないことを確認)。
de-dion さんからの情報にある
# CVE-2014-6277 env 'BASH_FUNC_a()=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'BASH_FUNC_a()=() { _; } >_[$($())] { echo hi mom; id; }' bash -c :
ですが、FreeBSD ports の bash 4.3.29 ではこうなりました。(FreeBSD なので --import-functions が必要)
% env 'BASH_FUNC_a%%=() { x() { _; }; x() { _; } <<a; }' bash --import-functions -c : bash: warning: here-document at line 0 delimited by end-of-file (wanted `a') % env 'BASH_FUNC_a%%=() { _; } >_[$($())] { echo hi mom; id; }' bash --import-functions -c : hi mom uid=XXXXX(kjm) gid=XXXXX(後略)
FreeBSD ports の bash 4.3.30 だとこうです。
env 'BASH_FUNC_a%%=() { x() { _; }; x() { _; } <<a; }' bash --import-functions -c : bash: warning: here-document at line 0 delimited by end-of-file (wanted `a') % env 'BASH_FUNC_a%%=() { _; } >_[$($())] { echo hi mom; id; }' bash --import-functions -c : bash: a: line 0: syntax error near unexpected token `{' bash: a: line 0: `a () { _; } >_[$($())] { echo hi mom; id; }' bash: error importing function definition for `a'
bash 4.3.30 では CVE-2014-6277、CVE-2014-6278 に対応しているということでいいのかな。
……根津 研介さん曰く、bash 4.3.30 等は
本日GNU bash Upstreamで公開された下記のMichal Zalewskiさんのパッチですが、CVE-2014-6278の対策パッチではなく、Florian Weimer さんの緩和パッチ(問題を検出するとabort()する)を、abort()させないコードに直してGNU Upstreamが取り込んだ時にコマンドラインのパーサー状態が中途半端な状態になるエンバグの修正パッチです。
RedHatとCentOSはabort()するFlorianさんの初期パッチを取り込んでいるので関係しませんが、GNUのUpstreamを見ているディストリの類はパッチを取り込んだ方がいいみたいです。
あと、Florianさんの緩和条件について、追加のケースがあって、下記の場合もエラーになるようになります。
1.パーサーのバッファになんか残ってる(関数定義以外に何か追加されている)。
2.既に定義済みのシェル関数と同じ名前のシェル関数を環境変数で定義しようとしている。
エンバグ修正 + よりきちんと緩和されるようになったと。
2014.10.06 - 「CVE-2014-6277、CVE-2014-6278 対応について」を追加。 表については、bash 4.3.30 で対応するとして書き直した。 また Buffalo の項に情報を、VMware の項を VMSA-2014-0010.7 に更新。
2014.10.07 - 根津 さんの解説を追記。
》 ボーイングの一部旅客機、Wi-Fiで操縦画面消える恐れ 機器交換へ (AFPBB, 10/2)。 「米国内だけで737型の後期モデル1149機と777型117機」
》 第5回「 SysRq ノススメ」 (NTT データ先端技術)、 第5回「 SysRq ノススメ」が掲載されました。 (熊猫さくらのブログ, 9/30)
ちなみに、 libvirt 経由で KVM ゲストを稼働させている場合、 virsh dump コマンドを実行することで「動作中のマシンをクラッシュさせることなく kdump 相当の情報を取得できる」ので、 SysRq-t と kdump の両方の利点を得ることができます。
》 海の向こうの“セキュリティ”第97回 12年もの間継続していたサイバー諜報活動「Harkonnen Operation」ほか (Internet Watch, 10/2)
》 『嘘も百回繰り返せば真実になる』 という 嘘 (とある歴史好きオヤジの戯言, 2012.09.25)、 『ゲッベルスは「嘘も100回言えば本当になる」と言った』というのは嘘 (techpr.jp: できない、困って→問題解決, 2011.06.22)
秋に米価は暴落する (キヤノングローバル戦略研究所, 8/18)
今秋米価が暴落する。すでに、先物価格は昨年に比べ3割も下落している(10月に引き渡される米の価格は60kgあたり2013年12,350円→2014年8,810円)。大幅な過剰在庫が存在するからだ。その原因を作ったのが、農協の全国組織である全農である。
では、農協はどうする?農協の最大の経営資産は政治力である。これまで米が過剰になると、農協は永田町(自民党)に圧力をかけて、政府に過剰在庫を買い入れさせ、海外への援助や家畜の餌に処分させてきた。(中略) 今回も、農協はこの手を使ってくるだろう。(中略)
これまで備蓄米の在庫水準を積み上げるという理屈を立てて、過剰米を買い入れてきた。しかし、同じく財政資金を使うのであれば、そんなことをするよりも、主業農家にだけ直接支払い(所得補償)をすれば、米農業への影響をなくすことができる。米からの所得がゼロの兼業農家に所得補償をする必要はないからだ。少ない財政資金で済む。
すでに、米の消費者価格は低下してきている。私の自宅に、新潟県産コシヒカリ10kgあたり4,700円を3,580円に24%値下げするというチラシ広告が入っている。消費税増税による逆進性を緩和するため、軽減税率を適用しようとしている政府が、これまでのように米市場に介入して、米価を上げるようなことは、断じて行うべきではない。
生産者米価暴落 コストの半値以下も 政府が需給調整を放棄 (しんぶん赤旗, 8/26)。JA の責任は問いません!
米価暴落 「農家がつぶれる」 政府も農協もなす術しらず 何が所得倍増だ (農業情報研究所, 9/13)
【米価暴落】空前の低米価 農家経営を直撃 (JAcom, 9/22)。他人事臭半端ない。
米価暴落の衝撃 (東京, 10/2)
》 御嶽山噴火、けが人の多数が気道熱傷 症状把握難しく (朝日, 10/2)
患者の搬送の優先順位を決める「トリアージ」も難しかったという。(中略) 今回の現場では初めは「緑」とした人が、数十分後には緊急度が高い「赤」や、その手前の「黄」になった例が相次いだ。 (中略)
佐藤医師は、気道熱傷の診断に有効なファイバースコープなどの精密機械が、災害現場ではそろえにくいと話す。「初めは症状が軽そうに見えても、徐々に空気の通り道が腫れて気道が詰まり、症状が重くなることがある」と、気道熱傷の判断の難しさを語った。
》 香港デモ参加者のiOS端末を狙ったスパイウエア、中国政府が関与か (日経 IT Pro, 10/2)
》 AppleはNSAからユーザーを守ってくれるのか? (Kaspersky, 9/29)
》 Yahoo!メールで発生中のアクセス障害について(10月2日10時30分 第4報) (Yahoo! JAPAN, 10/2)
9月30日(火)午前9時20分頃より、Yahoo!メールのシステムにおいて、システムの冗長性やデータの保全性を維持できないレベルのハードウエア障害が発生し、3,794,777IDの方々にサービスを提供できない状況が続いています。(中略) 明日10月3日中をめどに再開の準備作業を進めております。
今日はまだ無理、と……。
》 さようならFacebook、こんにちはEllo。ゲイのユーザが新SNSに大移動中 (石壁に百合の花咲く, 9/30)、 FacebookがLGBTコミュニティーに謝罪 「実名主義の扱い変える」 (石壁に百合の花咲く, 10/2)
》 WEB特集・フェイスブック乗っ取り被害急増 (NHK「かぶん」ブログ, 10/2)
一方、こうしたフェイスブックなどによって誘導される手口も登場したことで、偽の通販サイトを巡るトラブルの相談も急増しています。
(中略)
偽の通販サイトは国内の通信販売事業者にも大きな被害を与え始めていて、京都府京丹後市で子ども服を扱う通販サイトを父親とともに10年にわたって運営してきた下谷拓也さんは、去年の夏から、自分の店をかたる偽のサイトを次々と作られ、廃業を余儀なくされました。
客から「商品が届かない」という問い合わせが相次いで、信用が失われ、事業を継続することができなくなってしまったのです。
下谷さんは「結局のところ、偽のサイトが減るということは、いっこうになく、増え続ける一方だった。こういう事態に追い込まれてしまったのは悔しい」と話していました。
うわ……ひでえ。
》 ITセキュリティ評価及び認証制度に関する説明会 〜CCRA/ICCC 2014報告会 新CCRAの発効に伴うITセキュリティ評価・認証制度の活用について〜 開催のご案内 (IPA, 9/26)。2014.10.22、東京都文京区、無料。
》 2014年10月の呼びかけ「 クラウドサービスからの情報漏えいに注意! 」 〜スマートフォンで撮影した写真の保存先と公開範囲を意識していますか?〜 (IPA, 10/1)
》 [開催報告] ゆりか先生のセキュリティ出張講座 〜 週末電話相談室 (日本のセキュリティチーム, 9/30)
》 アフィブログ「妹はVIPPER」のコピーノンアフィブログ「姉はVIPPER」がスパム判定を受けサイトが消滅 (楽しくないブログ, 9/26)
》 有名実況グループ「いい大人達」のメンバー「タイチョー」が違法コピーしたPhotoshopを使用していることを認め謝罪するも、Adobeが正規品を購入すれば不問にするとの回答をする (楽しくないブログ, 9/27)
》 FC2がダミー会社とみなされ、実質運営を行っているホームページシステム社が家宅捜索される (楽しくないブログ, 9/30)
》 2014年9月にクロネコメンバーズへ行われた不正ログインについてまとめてみた (piyolog, 9/27)
》 2014年9月に佐川急便のWebサービスへ行われた不正ログインについてまとめてみた (piyolog, 9/30)
》 「FACEBOOK市長」を踏み台にする海千山千の面々 ――山本一郎【香ばしい人々returns】 (ハーバー・ビジネス・オンライン, 9/30)。武雄市方面。
》 欧州の戦闘機ユーロファイターに欠陥、英独は年間飛行時間を半減 (AFPBB, 10/1)。マジか……
ドイツ国防省によると、胴体の後部に欠陥が見つかったため、ユーロファイターの納入を一時的に見合わせるとともに、同型機の年間飛行時間を現行の3000時間から1500時間に半減させることを決めたという。
関連:
Germany Reports Eurofighter Manufacturing Fault (ABC, 10/1)
The German military said late Tuesday the error involves drill holes on the rear of the planes' fuselage and results from insufficient sanding-down by manufacturer BAE Systems.
原因は BAE か……。
Germany 'erring on side of safety' regarding Eurofighter defect (AFP / Yahoo, 10/2)
BAE said in a statement it was "actively managing a recently discovered quality issue concerning one of the manufacturing processes used during the assembly of the Eurofighter Typhoon rear fuselage".
It stressed that "we would like to make clear that this issue does not affect flight safety".
BAE also said it continued to deliver aircraft to the airforces of Britain and Saudi Arabia as per "contractual requirements and in line with the schedule".
》 嘉平、編集やめるってよ (Talpa memorandum, 10/1)
株式会社KADOKAWAは、9月末をもってアスキーブランドの書籍を作っていたいくつかの編集部を廃止・解散しました。これに伴い、私(鈴木嘉平)が編集長を務めていたハイエンド書籍編集部も解散しました。この件について、株式会社KADOKAWAからは特にアナウンスなどは行わないということです。(中略) ハイエンド書籍編集部から10月以降に刊行するはずだった企画はすべて中止になっています。
関連:
ASCII_bookstech @ASCII_bookstech。「株式会社アスキー・メディアワークス/アスキーハイエンド書籍編集部の公式アカウントです」。まだあった。
「アスキー」ブランドの技術書はもう出ないのかな (Publickey, 10/2)
IT系の編集者・雑誌・記者・ライターが激減している (Geek なぺーじ, 10/2)
UNIXとLinuxの「Bash」シェルに重大なセキュリティホール (2014.09.25)
Bash: CVE-2014-7186、CVE-2014-7187 の修正が含まれているのはこちら: [REISSUE] Bash-4.3 Official Patch 28、 Bash-4.2 Official Patch 51、 Bash-4.1 Official Patch 15、 Bash-4.0 Official Patch 42、 Bash-3.2 Official Patch 55、 Bash-3.1 Official Patch 21、 Bash-3.0 Official Patch 20、 [REISSUE] Bash-2.05b Official Patch 11。iida さん情報ありがとうございます。
Red Hat: RHSA-2014:1306-3。CVE-2014-7169 + CVE-2014-7186 + CVE-2014-7187。
FreeBSD: ports の shells/bash は bash-4.3.28 になった。
VMware: VMSA-2014-0010.4。全欠陥を修正。 (link fixed: 鰈崎さん感謝)
ヤマハ: GNU Bash 「OS コマンドインジェクション」の脆弱性について。 WLX302 にのみ影響、全欠陥を修正するファームウェアが用意されている。
CVE-2014-6271 + CVE-2014-7169 段階:
OS X bash Update 1.0 - OS X Mavericks、 OS X Mountain Lion、 OS X Lion
関連: bash脆弱性(shellshock) でQNAPのNASと向き合ったひと幕のお話 (デジモノに埋もれる日々, 2014.09.30)
Synology: Synology 製品セキュリティ勧告
Buffalo: not yet
IO DATA: not yet
JVNVU#97219505 : GNU Bash に OS コマンドインジェクションの脆弱性 (JVN, 2014.10.02 更新)。日本のベンダ情報がまとまっていて有用。
緊急コラム: bash 脆弱性( CVE-2014-6271 )の影響範囲の調査方法について (NTT データ先端技術)、緊急コラム「 bash 脆弱性( CVE-2014-6271 )の影響範囲の調査方法について」が掲載されました。 (熊猫さくらのブログ, 2014.09.30)。auditd、TaskTracker、AKARI、SystemTap。
FreeBSD で bash shellshock を監視するには (Hiroki Sato, 2014.10.01)。FreeBSD で auditd を使う方法。
shellshockはPerl/CGIでsystem()にダメージありや無しや (ろば電子が詰まっている, 2014.10.01)
OpenVPN Servers Vulnerable to Shellshock (Softpedia, 2014.09.30)
》 社員が会社を辞めるのは自由なのに、転職社員をNIKKEIで罵倒し、魅力のなさを公言してしまった藤田晋氏の器 (かさこ / BLOGOS, 10/1)
》 最終処分場選定で人口密度など考慮の方針 (NHK, 9/30)。いいかげん、「地下に最終処分」なんて不可能だと認めなさいよ。 ドライキャスクで地上保管するしかない。
最終処分場に適した地域を選ぶ際の条件として、火山や活断層から離れているなどといった地質的な観点に加えて、新たに人口密度や土地の利用状況のほか輸送のしやすさなども考慮
「火山や活断層から」十分に離れた場所なんて、日本には存在しないじゃん。 どうしてもつくりたいのなら、皇居の地下でいいよ。
》 高校生でも企業サイトを落とせる時代に、「DDoS攻撃サービス」の脅威 (日経 IT Pro, 10/1)。8 ドルで楽しむべ。 関連:
Xmas商戦シーズンはDDoSで稼ごう (エフセキュアブログ, 2009.12.08)
Xmas商戦シーズンはDDoSで稼ごう #2 (エフセキュアブログ, 2009.12.25)
》 秋葉原事件・加藤智大被告からの2回目のメッセージ(上) (篠田博之 / Yahoo, 10/1)
ここで書いておきたいのだが、こんなふうに犯罪を犯した者を含めて社会的議論を行うことは、筆者はすごく大切なことだと思っている。これまで凶悪事件の公判を数々傍聴してきて思うのだが、動機もわかりにくいような複雑な事件が増えている現状で、既存の裁判のシステムではなかなか対応ができなくなっているのだ。
(中略)
「黒子のバスケ」渡邊被告の裁判でも、彼の意見陳述を裁判官は時間の都合でと法廷ではほとんど朗読させず書面で提出させた。実際には法廷でできることなど限界があり、多くの知見を結集して事件を解明していくには、被告の主張を公開したほうがよいのだが、これまでそういう場は現実には担保されていなかった。だから筆者は、「黒子のバスケ」事件については渡辺被告の主張を公開し、彼に対する意見や批判はまた本人に返していくという試みを意識的に行った。実際、渡邊被告はそういう議論の過程で、精神科医の本を読み、自分なりに事件についての分析を進化させていった。冒頭意見陳述と最終意見陳述がかなり様相を異にしたのはそのためだ。
実は犯罪を犯した側も、自分の事件については自分なりに理解し解明したいという気持ちは持っている。あの取りつく島もないように見えた池田小事件の宅間守死刑囚も、自分の精神鑑定には関心を持っていた。自分が事件をどうして起こしたのかについては自分でもわからない面があり、自分なりに理解したいという欲求は、犯人自身も持っている。動機のわかりにくい複雑な事件の解明ほど、これまでの裁判の枠組みを超えた試みをしていかないと、現実に追いついていくことは難しくなりつつあるのではないか、というのが筆者の感想だ。
》 『カレログ』系スパイアプリの配信で開発元トップが逮捕 (APPREVIEW, 9/30)。US での話。アプリ StealthGenie の開発元 InvoCode 社 CEO を逮捕、起訴。
》 CloudFlare、全ユーザーにSSL接続を無料提供 (ITmedia, 10/1)。Universal SSL。
》 Google、教育機関向けGoogle Appsのストレージを容量無制限に (ITmedia, 10/1)
》 Google、Chromeの脆弱性報告に対する賞金を増額 (ITmedia, 10/1)、Fewer bugs, mo' money (Google, 9/30)。儲かりまっか?
》 「docomo ID」で不正ログイン6000件 リスト型攻撃受け (ITmedia, 10/1)、docomo IDへの不正ログインに関するお知らせ (NTT ドコモ, 9/30)
》 livedoor Reader、12月にサービス終了 (ITmedia, 10/1)
》 Yahoo!メールでアクセス障害が発生中、約400万IDでアクセス不能に (Internet Watch, 10/1)。昨日 09:20 から不具合継続中。
9月30日の午前9時20分ごろより、Yahoo!メール全ユーザー(約5000万ID)のうち、最大で約8%のユーザー(約400万ID)でアクセス障害が発生している。現時点では、復旧の目処は立っていないとしている。
なお、障害発生中の間に送られてきたメールは受信できておらず、復旧後に受信できる状態になった場合でも、送信元から再度メールを送ってもらう必要があるとしている。
5xx を返したということか。
》 FC2 の実質運営元? 「ホームページシステム」等に家宅捜索 (9/30)
「FC2」国内会社捜索=米社ダミーか、創業者ら立件視野-わいせつ中継ほう助容疑 (時事, 9/30)
府警などは、米ラスベガスの運営法人「FC2」はHPシステムが実質運営するダミーで、利益を得るため違法動画を放置した疑いがあると判断。FC2社創業者の日本人男性(41)や実弟(38)、HPシステム社長(39)ら数人の東京と大阪の自宅も捜索し、立件を視野に調べを進める。
速報! 動画投稿サイトのFC2の関係先を京都府警がガサ (いまにしのりゆき 商売繁盛でささもって来い!, 9/30)
FC2、これまでアメリカだか海外にサーバーがあって、日本やなく
少々、やばそうなエロ動画があっても手が出せないとされてきた。
だが、京都府警は、どうも実は日本で全部やっておる、海外はダミーって感じで見ているよう。
実質的経営者と京都府警がみている、創業者兄弟に、興味あるって情報も流れている。
実際、社長の自宅もガサ入っとる。
性行為ライブ配信を手助け容疑 「FC2」運営?大阪の会社を捜索 京都府警 (産経, 9/30)
「犯罪のインフラ」FC2にメス 運営実態解明なるか (産経, 9/30)。 「捜査員約60人態勢で」
FC2 関係先家宅捜索の元になった事件:
過去の記事: 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998