すまほん!! » テック » セキュリティ » 【悲報】iPhoneのUSB-Cに重大な脆弱性発覚。コントローラーチップの不正書き換えが可能に iPhoneのUSB-C充電ポートに、新たなセキュリティ上の懸念が浮上しました。セキュリティ研究者のThomas Roth氏は、iPhoneの充電とデータ転送を管理する「ACE3」コントローラーチップが不正に書き換えられるおそれがあると指摘しています。 もし悪意ある人物に物理的に端末を奪われ、このチップを再プログラムされてしまうと、セキュリティを迂回して個人情報へアクセスされる可能性があるとのことです。 iPhoneは、これまでもAppleの厳格な管理体制と、それに挑むセキュリティ研究者や「脱獄」コミュニティとの間で、いたちごっこが続いてきました。Appleは脆弱性をふさぐ一方で、常に新しい抜け道を探すハッカーが後を絶たないという歴史があります。

sponsored いまGIGABYTE”渡辺技師”が推すレシピはコレ！ キラキラを魅せる小型ゲーミングPCを組もう sponsored JAPANNEXTの「JN-IPS245G320F-HSP」をレビュー ゲーマーの私にぶっ刺さった、320Hzで3万円台の24.5型ゲーミングディスプレーがほし過ぎるっ！ sponsored 白のパーツを多く搭載、PCIe 5.0対応SSDを採用 人気のNZXTケース新モデル「H9 Flow White」を中心に、ゲーム性能とカラー統一に注力したPCがコチラ！ sponsored 写真や動画だけでなく、Windows環境を移行する際の一時的なファイル保存にも データ転送が遅いと嘆く人にはThunderbolt対応のSSDがおすすめだ！ sponsored JN-282IPS4KP-HSP-C90Wをレビュー 超広い3840×2560ドット（アスペクト比3

起亜自動車の自動車に「ナンバープレートの番号や記号を入手するだけで遠隔操作できる脆弱(ぜいじゃく)性」が存在していたことが明らかになりました。発見された脆弱性を悪用すると「ロックを解除する」「クラクションを鳴らす」「位置情報を表示する」「オーナーの名前・住所・メールアドレスなどを取得する」といった操作が可能になるとのことです。 Hacking Kia: Remotely Controlling Cars With Just a License Plate https://samcurry.net/hacking-kia 問題の脆弱性を発見したのは、セキュリティ専門家のネイコ・リベラ氏やサム・カリー氏らの研究チームです。研究チームは、「起亜自動車の新車購入者向け車両登録ページ」を足掛かりに分析を進め、「攻撃対象車両のナンバープレートの情報を入力するだけで、ディーラー用のAPIを用いて攻撃対象

Aqua Securityはこのほど、「Bucket Monopoly: Breaching AWS Accounts Through Shadow Resources」において、Amazon Web Services (AWS)の6つのサービスに影響を及ぼす可能性がある重大な脆弱性について伝えた。この脆弱性が悪用された場合、リモートコード実行(RCE: Remote Code Execution)、ユーザー乗っ取り、機密データの流出、サービス運用妨害(DoS: Denial of Service)など深刻な影響を受ける可能性がある。 Bucket Monopoly: Breaching AWS Accounts Through Shadow Resources 影響を受けるAWSサービス 発見されている脆弱性の影響を受ける可能性があるとされるAWSのサービスは次のとおり。 CloudFo

The Hacker Newsはこのほど、「New Linux Kernel Exploit Technique 'SLUBStick' Discovered by Researchers」において、グラーツ工科大学(Graz University of Technology)の研究者たちがLinuxカーネルのメモリ操作を可能にするエクスプロイト（脆弱性を突いて不正な動作を行うプログラム）「SLUBStick」を公開したと報じた。SLUBStickの論文は「(PDF) SLUBStick: Arbitrary Memory Writes through Practical Software Cross-Cache Attacks within the Linux Kernel」から閲覧することができる。 New Linux Kernel Exploit Technique 'SLUBSti

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 米カーネギーメロン大学などに所属する研究者らが発表した論文「Universal and Transferable Adversarial Attacks on Aligned Language Models」は、大規模言語モデル（LLM）が有害なコンテンツを生成しない仕組みを無効にする手法を提案した研究報告である。入力プロンプトの語彙に敵対的フレーズを入力するだけで解除可能だという。 ChatGPT、Bard、ClaudeなどのLLMは、ユーザーの質問に対する回答で有害なコンテンツ（例：爆弾の作り方やIDの盗み方、人種差別的なジョーク、詐欺

Impervaは3月28日(米国時間)、「From ChatBot To SpyBot: ChatGPT Post Exploitation｜Imperva」において、ChatGPTの「カスタム指示(Custom instructions)」を悪用して永続的なプロンプトインジェクション攻撃を可能にする手法を解説した。この手法は実際に用いられたわけではないが、同社は利用の可能性があるとして注意を促している。 From ChatBot To SpyBot: ChatGPT Post Exploitation｜Imperva プロンプトインジェクションとは ChatGPTなどの生成AIは出力に制限がかけられており、機密情報などの生成すべきでない情報の出力を防止する仕組みが備わっている。しかしながら、プロンプトを細工してこの制限を突破するプロンプトインジェクションと呼ばれる手法が存在し、生成AIの

電気自動車(EV)や自動運転車の登場により、インターネットへの接続機能を持った自動車が普及しつつあります。日本の東京で開催された自動車のサイバーセキュリティ向上を目指すイベントでは、テスラ車をサイバー攻撃する方法が複数報告され、あるセキュリティ企業が多額の賞金を獲得しました。 Tesla hackers win big at first Pwn2Own automotive hack fest • The Register https://www.theregister.com/2024/01/29/infosec_news_roundup_in_brief/ Pwn2Own Automotive 第1日目: テスラに対する3件の脆弱性チェーン攻撃、リモート攻撃デモ、およびその他のハイライト - VicOne https://vicone.com/jp/blog/pwn2own-autom

コンテンツデリバリーネットワーク（CDN）サービスを基盤に、各種のクラウド型セキュリティサービスを手掛けるアカマイ・テクノロジーズでWebセキュリティの動向を追う中西一博氏が、非常に発見が難しくなっているWeb攻撃の実態と手口を暴き、その対策について解説する。 以前の連載：迷惑bot事件簿 アプリのマイクロサービス化とAPIの関係 世界中のWeb通信を中継しているAkamai Technologies （以下 Akamai）が取り扱う通信の8割以上は、すでにAPIの通信が占めている。 APIを利用するスマートフォンやブラウザアプリが普及の後押しをしているのは間違いないが、近年ではサーバ側のマイクロサービス化（あるシステムを小規模なシステムを組み合わせて開発する手法）の影響も大きい。 日本も同様だ。商用のWebアプリケーション開発者に話を聞くと「いま開発中のWebアプリやスマホアプリのサーバ

“アレ”な3人が注目するドキュメント「BOD」が指し示す方向 今回のディスカッションでは、登壇者3人がそれぞれ、とあるドキュメント群をもとに議論を重ねていく。そのドキュメントとは「バインディング・オペレーショナル・ディレクティブ（Binding Operational Directive：BOD）」。米国土安全保障省に設置された、米国サイバーセキュリティ・社会基盤安全保障庁（Cybersecurity and Infrastructure Security Agency：CISA）が発表した、“拘束力のある運用指令”と訳されるようなドキュメントだ。まずは「piyolog」の運営を行う、piyokango氏が注目するドキュメントとして『BOD 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities』を挙げ

米国防省の研究部門であるDARPA（米国防高等研究計画局）が2023年8月、ソフトウェア脆弱性の自動修正システム競技大会「AI Cyber Challenge」（AIxCC）開催を発表した。競技大会をサポートするのは、生成AIのトップ企業であるAnthropic、Google、Microsoft、OpenAIの4社だ。 AIxCCは、丸2年間をかけて行われる大がかりな大会となっている。まず来年（2024年）5月に予選を行い、上位20チームが8月のセキュリティイベント「DEF CON 32」併催の準決勝大会に進出。その上位5チームには開発資金200万ドルが与えられ、再来年（2025年）8月の「DEF CON 33」で決勝大会が開催される。優勝チームには400万ドル、2位には300万ドル、3位には150万ドルの賞金が授与される。

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 サイバーセキュリティ会社の米IOActiveに所属する研究者らは「Shuffle Up and Deal: Analyzing the Security of Automated Card Shufflers」と題して、8月に開催の「Black Hat USA 2023セキュリティカンファレンス」で、カジノのカードシャッフルマシンをハッキングする手法を発表した。 カジノでは、ポーカーなどのトランプゲームにおいて、テーブルの下に置いて使用されている自動カードシャッフルマシン（Deckmateと呼ばれる装置）がある。 公平さを保つために導入して

ITmedia NEWSでセキュリティインシデントを日々伝えていると、記事に対して「そんなずさんな情報管理があり得るのか！」という驚きの声が寄せられることがある。 例えば、法令を順守していれば被害を防げたかもしれない場合や、明らかな手抜きがあった場合には「そうはならないだろう」「それはダメだろう」というツッコミもよく入る。ITmedia NEWSの読者が高いITリテラシーを持っていることの現れともいえるかもしれない。 しかし、もう少し踏み込んでみることをすすめるのが、情報セキュリティの専門家・徳丸浩さんだ。 「みなさん『それはダメだよ』と思うことはありますよね。でも『これが現実なんですよ』ということが大事だと思うんですよね。例えば、自分が作れば大丈夫という場合でも、ソフトウェアを発注して完成品を受け取ってみたら問題があったなんてことは十分あることです」 “そうはならんやろコード”はどうやっ

つながるクルマ、自動運転車に潜む脆弱性　不正な遠隔操作でロック解除や始動も：この頃、セキュリティ界隈で 米ラスベガスで2023年もCESが開幕した。このところCESといえば、クルマが話題の中心になることが増えた。しかもクルマそのものではなく、自動運転やつながるクルマなどの技術に注目が集まる。だがそうしたメーカー各社の車に使われているシステムに、数多くの脆弱性が潜んでいる実態が明らかになった。 脆弱性を発見したのはWebアプリケーションセキュリティ研究者サム・カリー氏のチーム。数カ月かけて調べた結果、車の移動体通信システムやAPI、さらにはそれを支えるインフラの脆弱性が次々に見つかったという。その影響はホンダや日産、トヨタ、さらにはFerrari、BMW、Rolls Royce、Porscheといった高級車にも及んでいた。 カリー氏のブログによると、今回の研究に乗り出したきっかけは、同氏がた

Palo Alto Networksが発見したリモートコード実行（RCE: Remote Code Execution）の脆弱性「CVE-2022-23529」は、共通脆弱性評価システム（CVSS: Common Vulnerability Scoring System）のスコア値で7.6となり、深刻度は「重要」（High）とされる。 脆弱性が存在するとされるプロダクトおよびバージョンは以下だ。 node-jsonwebtoken 8.5.1およびこれよりも前のバージョン 脆弱性が修正されたプロダクトおよびバージョンは以下だ。 node-jsonwebtoken バージョン9.0.0 同脆弱性はリモートコード実行が可能だが、実際にサイバーセキュリティ攻撃を行うのは困難だと分析される。共通脆弱性評価システムで「緊急」（Critical）に分類されていないのはそうした理由からだ。 一方、Jso

サイバーセキュリティ研究者のSam Curry氏は1月3日、同氏のブログ「Web Hackers vs. The Auto Industry: Critical Vulnerabilities in Ferrari, BMW, Rolls Royce, Porsche, and More」において、主要な自動車メーカーが車両の制御や監視などの目的で使用しているWeb APIの脆弱性について調査した結果を公表した。 これによると、多くの自動車メーカーが脆弱なAPIを使用しており、悪用するとリモートからエンジンの始動や停止、ロックおよびロック解除、ライトの点滅、クラッションを鳴らすなどといった行為を行えることが判明したという。 Web Hackers vs. The Auto Industry: Critical Vulnerabilities in Ferrari, BMW, Rolls R

Googleは2022年12月13日（米国時間）、オープンソース開発者が自分のプロジェクトに関連する脆弱（ぜいじゃく）性情報に簡単にアクセスできる無料ツール「OSV-Scanner」を公開した。 Googleは2021年にオープンソースソフトウェア（OSS）の開発者と利用者のために、脆弱性のトリアージ（優先順位を付けて対処すること）を改善する取り組みとして、「Open Source Vulnerability」（OSV）スキーマを公開し、これに基づく分散型オープンソース脆弱性データベースサービス「OSV.dev」を立ち上げた。OSV-Scannerの公開は、この取り組みの次のステップだとしている。 OSVスキーマは、全てのオープンソースエコシステムと脆弱性データベースが、1つのシンプルで正確かつ機械可読なフォーマットで情報を公開し、利用できるようにする。OSVデータベースは、プロジェクトの

Microsoft Defender、Avast、AVG、トレンドマイクロなどの主要なアンチウイルスおよびエンドポイント検出応答(EDR)ソフトに、感染したファイルを削除する機能を悪用してPCのデータを消去し復元できないようにしてしまうゼロデイ脆弱(ぜいじゃく)性があることが分かりました。 SafeBreach Labs Discovers New Zero-Day Vulnerabilities | New Research https://www.safebreach.com/resources/blog/safebreach-labs-researcher-discovers-multiple-zero-day-vulnerabilities/ For Cyberattackers, Popular EDR Tools Can Turn into Destructive Data W