拡張頭蓋 | Extended Cranium

もしかすると誰かの役に立つかもしれないことを書き留めておく

脆弱性

2018-03-15 セキュリティニュースまとめ: 個人情報大量漏洩事件の大手消費者信用情報会社 Equifax の前 CIO が事件発覚前のインサイダー取引疑惑で起訴される

膨大な情報漏えい事件を起こした Equifax の前 CIO、事件の公表前に株を売却したインサイダー取引の疑いで証券取引委員会に起訴される 元記事 www.zdnet.com 概要 2017 年 9 月 7 日、米国の大手消費者信用情報会社 Equifax は、Apache Struts サーバーへの…

2018-02-21 セキュリティニュースまとめ: [2 月のセキュリティ更新で修正済]Windows 10 に「セキュリティソフトウェアによるコードのスキャンがヌル文字以降バイパスされてしまう問題」が見つかる

一次ソース standa-note.blogspot.jp 元記事 www.techrepublic.com 概要 Windows 10 にセキュリティ機能を提供する API であるところの「アンチ マルウェア スキャン インタフェース (AMSI)」に、「対象コードにヌル文字が含まれているとその文字以降のコー…

2018-02-18 セキュリティニュースまとめ: Microsoft Edge にメモリ保護機能 ACG (Arbitrary Code Guard) をバイパス可能な脆弱性

Microsoft Edge にメモリ保護機能 ACG (Arbitrary Code Guard) をバイパス可能な脆弱性 ソース Google (一次情報): 1435 - Microsoft Edge: ACG bypass using UnmapViewOfFile - project-zero - Monorail Microsoft: Mitigating arbitrary native code execu…

2018-02-14 セキュリティニュースまとめ: Microsoft 月例セキュリティ更新プログラム公開 (Patch Tuesday)、管理者向けに Meltdown / Spectre の影響の評価ツールを配布

Microsoft 月例セキュリティ更新プログラム公開 (Patch Tuesday) ソース Microsoft February Patch Tuesday Fixes 50 Security Issues https://www.bleepingcomputer.com/news/microsoft/microsoft-february-patch-tuesday-fixes-50-security-issues/ TWO NA…

2018-02-06: セキュリティニュースまとめ: Chrome 機能拡張「Grammerly」に全 web サイトに対し Auth トークンをアクセス可能にする脆弱性

一次ソース 1527 - Grammarly: auth tokens are accessible to all websites - project-zero - Monorail Grammerly Chrome 機能拡張について: 参考情報 lifeiscolourful.hatenablog.com grammerly.com は英文ファイルをアップロードすると文法チェックしてく…

2018-02-02: セキュリティニュースまとめ: Adobe Flash Player にゼロデイ脆弱性 CVE-2018-4878

Adobe Flash Player にゼロデイ脆弱性 CVE-2018-4878 ソース 元記事 securityaffairs.co KISA からのセキュリティ情報 www.krcert.or.kr 報告者 Simon Choi 氏のツイート Flash 0day vulnerability that made by North Korea used from mid-November 2017. T…

2018-02-01 セキュリティニュース: Cisco ASA のソフトウェアにリモート コード 実行およびサービス拒否の脆弱性

Cisco ASA のソフトウェアにリモート コード 実行およびサービス拒否の脆弱性 一次ソース: Cisco Security Advisory tools.cisco.com 日本語版 https://www.cisco.com/c/ja_jp/support/docs/csa/2018/cisco-sa-20180129-asa1.pdf?dtid=osscdc000334 概要: Ci…

2018-01-16 セキュリティニュースまとめ: パッチの適用されていない Web サーバーを狙う新種の暗号通貨のマイニングマルウェア RubyMiner が確認される

パッチの適用されていない Web サーバーを狙う新種の暗号通貨のマイニングマルウェア RubyMiner が確認される 元記事 www.bleepingcomputer.com 一次ソース ‘RubyMiner’ Cryptominer Affects 30% of WW Networks - Check Point Research Ruby RCE pushing Mo…

2018-01-12 セキュリティニュースまとめ: ホームルータをボット化する IoT マルウェア、パッチ公開前の未知の脆弱性悪用が判明

元記事 researchcenter.paloaltonetworks.com Satori 概要 2017 年 12 月初旬、360 Netlab が新種のマルウェアファミリを発見し、「Satori」と命名 Satori は「Mirai」から派生したマルウェアで 2 つの脆弱性を悪用 CVE-2014-8361: Realtek SDK の miniigd S…

2018-01-09 セキュリティニュースまとめ: WPA2 脆弱性 KRACK を受け WPA3 プロトコル標準が公表される、北朝鮮金正日総合大学を送信先とした暗号通貨 Monero のマイニングソフトインストーラが確認される

WPA2 の脆弱性 KRACK の公表から 3 ヶ月、WPA3 WiFi 標準が公表される 元記事 www.bleepingcomputer.com www.zdnet.com 概要 WPA2 の脆弱性 KRACK が 3 ヶ月前 (2017 年 10 月末) に公表された WiFi Alliance、新しい WiFi プロトコル WPA3 を 2018-01-08 に…

2018-01-08 セキュリティニュースまとめ

マイクロソフト、決済手段としてのビットコイン利用を停止「通貨として不安定なため」 元記事 https://www.bleepingcomputer.com/news/cryptocurrency/microsoft-halts-bitcoin-transactions-because-its-an-unstable-currency/ 概要 Microsoft は 2014年に…

2017-01-04 セキュリティニュースまとめ

Intel、ARM、AMD などほとんどすべての CPU チップセットに影響を与える脆弱性「Meltdown」および「Spectre」の問題について、両脆弱性に関するポータルサイトからの情報のまとめ 参照 Meltdown 脆弱性および Spectre 脆弱性について、セキュリティリサーチ…

2017-01-03 セキュリティニュースまとめ

2017 年 11 月の Forever 21 小売店からカード情報漏えい: POS システム上にマルウェア、意図したカード情報暗号化が正常処理されずカード情報がログから漏えい 元記事 www.darkreading.com 参照されている過去の記事 Forever 21 で顧客情報漏えい: 2017 年 …

2018-01-02 セキュリティニュースまとめ

phpMyAdmin の「緊急」の XSRF/CSRF 脆弱性にパッチ公開 元記事 www.securityweek.com phpMyAdmin の公開したセキュリティアドバイザリ phpMyAdmin - Security - PMASA-2017-9 元記事が参照しているセキュリティリサーチャーのブログ This Vulnerability in …

2017-12-31 セキュリティニュースまとめ

Mozilla FireFox ブラウザ、ユーザーのオプトイン・オプトアウト設定を無視してクラッシュデータを送信する不具合を修正 元記事 Browser data leakage bug – Mozilla to delete info just in case – Naked Security 同問題の Bugzilla ID 1427111 - [meta] c…

2017-12-30 セキュリティニュースまとめ

2017 年を振り返ると CVE 量産の年 元記事 InfoSec Handlers Diary Blog - 2017, The Flood of CVEs 2017 年に報告された CVE の数は 14600 以上で、6500 件弱だった 2015 年の 2 倍以上となっている その理由: リサーチャーも攻撃者もより脆弱性に対する関…

2017-12-28 セキュリティニュースまとめ

SONY PlayStation 4 用ファームウェア用カーネルエクスプロイトが公表される (すでに修正ファームウェアはリリース済み) 元記事 thehackernews.com 一次情報 fail0verflow :: The First PS4 Kernel Exploit: Adieu SONY PS4 で初のファームウェア 4.05 をジ…

2017-12-16 セキュリティニュースまとめ

EmbedThis 社のGoAhead web サーバー 3.6.5 未満の全てのバージョンにリモートコード実行の脆弱性 (CVE-2017-17562) 報告者によるレポート elttam - Remote LD_PRELOAD Exploitation 概要 GoAhead web サーバーは、IoT 製品などに広く利用されている組み込み…

2017-12-22 セキュリティニュースまとめ

Windows 10 用パスワード管理ソフト Keeper Browser Extension の開発会社 Keeper Security、同製品の脆弱性に関する記事を書いた Ars Technica の記者を訴える www.zdnet.com www.securityweek.com 訴訟の元になった記事※現在公開されているのは同社の要望…

2017-12-18 セキュリティニュースまとめ

NSA から流出した脆弱性を悪用し暗号通貨 Monero 採掘用のマルウェアに感染させる「Zealot」キャンペーンが確認される www.bleepingcomputer.com securityaffairs.co 概要 利用される脆弱性: インターネット上にある上記サーバーのうち以下の脆弱性をもつも…

2017-12-13 セキュリティニュースまとめ

Microsoft 第二木曜恒例月例パッチをリリース www.bleepingcomputer.com 修正対象製品、記事番号、記事の要約などはこちら リリースノート 修正対象一覧は Excel としてダウンロード可能 緊急対策が必要な MS 製品の CVE は 19 個 Adobe、Flash Player のア…

2017-12-12 セキュリティニュースまとめ

HP 製ノートパソコンの開発デバッグ用キーロギングコードの除去し忘れ問題、該当バージョンの確認方法 www.bleepingcomputer.com 下記記事の続編、HP の特定のノートパソコンに含まれるドライバ SynTP.sys が誤って開発用のキーロギング機能を除去し忘れて出…

2017-12-11 セキュリティニュースまとめ

Black Hat Europe 2017: インタープリタ型人気プログラミング言語の脆弱性をファジングでテスト securityaffairs.co Black Hat Europe 2017 で主要人気プログラミング言語にXDiFF ファジングテストを行った結果を発表 調査対象言語: JavaScript, PHP, Python…

2017-12-10 セキュリティニュースまとめ

インド国防省、中国との国境警備隊に 42 種類の中国製アプリ使用を禁じる / Xiaomi 製および ZTE 製ネットワーク機器の使用はすでに禁止済み www.bleepingcomputer.com 1962 年の中印国境紛争以降、実効支配線上の国境警備に配備されているインド部隊に対し…

2017-12-09 セキュリティニュースまとめ

HP 製ノート PC にキーロガー: デバッグコードを除去し忘れ www.bleepingcomputer.com HP 製ノート PC の一部に開発用のデバッグコードが除去し忘れられたまま出荷されている: 一覧はこちら 影響: デバッグ機能自体はオフにはなっているが、Windows にレジス…

2017-12-06 セキュリティニュースまとめ

TeamViewer、セッションを共有中のユーザーが、別ユーザーのコンピュータ画面を、許可なく制御可能になる問題を修正 threatpost.com パッチは 2017-12-05 にリリース済 発生していた問題: TeamViewer でデスクトップセッションを共有しているユーザーに許可…