Appleは、Magic Keyboard向けのファームウェアアップデートを公開しました。Bluetoothでの通信内容を読み取られてしまう脆弱性を修正しています。アップデートは自動適用されますが、自分のMagic Keyboardに新バージョンのファームウェアが適用されているかの確認方法もご紹介します。 ■3行で分かる、この記事のポイント 1. Appleが、Magic Keyboard向けファームウェアアップデートを公開。 2. キー入力の内容が攻撃者に読み取られてしまうBluetoothの脆弱性を修正。 3. Magic Keyboardのファームウェアバージョン確認方法も紹介。 キー入力内容が攻撃者に丸見えに Appleが現地時間1月11日付けでサポート文書を更新し、Magic Keyboard向けにファームウェアバージョン2.0.6を1月9日に公開したと発表しました。 今回のファ

Appleは、iCloudのWebサイトで作成されたファイルからマルウェアを送り込まれる可能性のある脆弱性を修正した模様です。脆弱性を発見したセキュリティ研究者には、報奨金が支払われています。 iCloud.comで作成したファイルが攻撃に使われる脆弱性 Webブラウザ上で動作するiCloudのPagesやKeynoteアプリで、悪意を持った攻撃者がマルウェアなどを送り込める脆弱性を発見した、とセキュリティ研究者のビシャル・バラド氏が報告しています。 発見されたのは、XSS（クロスサイトスクリプティング）と呼ばれる脆弱性を狙ったもので、iCloud.com上で作成されたPagesかKeynoteのファイルに攻撃者が悪意あるコードを埋め込むことを可能にするため、これらが共有されることで拡散する可能性があります。 Appleはすでに脆弱性をサーバー側で修正している模様で、最近のソフトウェアアッ

Appleは、セキュリティ研究プログラム「Apple Security Research Device Program」参加者のために用意した、通常はアクセスできない領域に入ることのできる特別仕様のiPhoneの発送を開始しました。 7月に発表したプログラム用のiPhoneを発送開始 Appleは現地時間12月22日、2020年7月に発表したセキュリティ研究者向けプログラム「Apple Security Research Device Program」参加者向けに、通常のiPhoneではアクセスできない領域へのアクセスが可能となった特別仕様のiPhoneを発送しました。 「Apple Security Research Device Program」用のiPhoneは、参加者に1年間の期限付きで貸し出されます。貸出期間は延長することも可能です。 目的はiOSのセキュリティ強化 Appleは

Windowsの脆弱性により、iPhoneで撮影された特定の動画を開くとPCが乗っ取られる可能性がある、と米政府のサイバーセキュリティ当局が注意を促しています。iPhoneとWindowsの組み合わせでお使いの方はセキュリティパッチの適用をご確認ください。 iOS11以降で使われている動画ファイル用コーデックに問題 アメリカのサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が、Windowsの脆弱性により、特定のファイルによってPCをリモートで乗っ取られる可能性がある、との注意喚起を現地時間10月16日に公表しました。 具体的には、Microsoft Storeで入手した、HEVC動画用のコーデックファイルをWIndowsで実行した場合、メモリーオーバーフローが生じ、PCがリモートで乗っ取られる可能性があります。 「HEVC」は、iOS11以降のiPhoneやiPadで

iPhoneやMacのSafariに、閲覧履歴などが読み取られる脆弱性が発見される 2020 8/27 iOS13やmacOS Catalinaで、SafariのWebページ閲覧履歴などの情報が盗み見される可能性のあるセキュリティ上の問題が発見された、とサイバーセキュリティ研究者が報告しています。 iOS14、macOS Big Surでは修正されている模様 サイバーせキュリティサービスのRedteamは、iOS13やmacOS Catalinaに、Safariでページを共有する機能を使うとシステム内部の情報が読み取られる脆弱性を発見した、と報告しています。 原因はSafariでWebページをメールやAirDropなどを使って簡単に共有できるWeb Share APIの問題で、iOS13.4.1、iOS13.6、macOS Mojave、macOS Catalinaで存在が確認されている、

JPCERT コーディネーションセンター（JPCERT/CC）は12月20日、A5からA11プロセッサを搭載したiPhoneやiPad、Apple WatchなどのApple製品に脆弱性が存在すると発表しました。iPhoneシリーズではiPhone4sからiPhone Xが影響を受けます。 A5からA11プロセッサ搭載の製品に脆弱性 JPCERT/CCは、A5からA11のプロセッサを搭載する複数のApple製品で、SecureROM（ブートROMレベル）に、デバイス起動時において解放済みのメモリ使用 (use-after-free) の脆弱性（CWE-416）が存在する、と注意を呼びかけています。 この脆弱性の影響としては、デバイスに物理的にアクセス可能な第三者によって、任意のコードが実行される可能性があります。 アップデートによる対策不可 通常の脆弱性は、OSのアップデートによって対応可

Google Chromeデスクトップ版に、深刻な脆弱性が発見され、Googleがアップデートを配信しています。Mac、Windows、Linux版のChromeユーザーは、速やかなアップデートをお勧めします。 Chromeにゼロデイ脆弱性、研究者が発見 Googleは現地時間10月31日、WebブラウザGoogle ChromeのMac、Windows、Linux向けにアップデート（バージョン 78.0.3904.87）を公開しました。 同社は、アップデートの内容について、2つのセキュリティ修正としており、詳しくは説明していません。これは、脆弱性の詳細が知られることによる悪用を防ぐ目的です。 2つの修正のうち1つは、ゼロデイ脆弱性と呼ばれる深刻なもので、Chromeのオーディオコンポーネントから、セキュリティ企業カスペルスキーの研究者アントン・イワノフ氏とアレクシー・クラエフ氏が発見し、

Appleは現地時間9月6日、iPhoneで訪問するだけで攻撃されるWebサイトが2年間も放置されていた、というGoogle Project Zeroの研究者が公開した脆弱性について、声明を発表しました。 Apple、Googleの説明に反論 Appleは、「iOSのセキュリティについてのメッセージ（A message about iOS security）」と題した声明を公開し、Google Project Zeroの研究者が先日公表した、iPhoneの脆弱性について説明しています。 Googleの説明では、脆弱性をついて数多くのWebサイトがハッキングされており、何万人もの人が狙われているような印象を受けます。 しかしAppleは、この脆弱性は2019年2月のアップデートで半年も前に修正済みであり、Googleの説明は「間違った印象を与えるもの」と否定しています。 ハッキングされていた

ほぼ全てのIntelプロセッサに脆弱性、macOSやWindowsのアップデートを 2019 5/15 macOS 10.14.5のアップデートには、2011年以降のIntel製プロセッサが持つ脆弱性を狙った「ZombieLoad」と呼ばれるセキュリティ攻撃への対策が含まれています。Microsoftも、Windowsアップデートを公開しています。 2011年以降のIntel製プロセッサに影響、iPhoneには影響なし 「ZombieLoad」は、Intel製プロセッサが持つ4つのバグを狙ったサイドチャネル攻撃の名称で、ドイツのグラーツ工科大学とベルギーのルーベン・カトリック大学のセキュリティ研究者グループが脆弱性を発見、Intelに報告していました。 「ZombieLoad」の影響を受けるのは、ほぼ全ての2011年以降のIntel製プロセッサで、パソコンだけでなく、クラウドシステムも含ま

iPhoneやiPadの標準「メール」アプリに脆弱性があることが公表されました。最新版のiOS12.1では対策済みです。まだの方は、早めのアップデートを強くお勧めします。 iPhone標準のメールアプリ、連続クラッシュの脆弱性 iPhoneやiPadの標準「メール」アプリの脆弱性は、悪意を持って作成されたS/MIME方式の電子署名付きメールがメール一覧に表示されると、アプリがクラッシュし続ける可能性がある、というものです。 ソフトウェアなどの脆弱性関連情報と対策情報を提供する情報サイトJVN（Japan Vulnerability Notes）が11月2日に発表しました。 日本のセキュリティエンジニアが発見 今回発見された脆弱性情報は、セキュリティ企業ラックのエンジニアである永安佑希允氏がIPA（独立行政法人情報処理推進機構）に報告したものです。 Appleが10月31日未明に公開したiO

最新版のiOS12.0.1でも、パスコードや指紋、顔認証を使わずにiPhoneのロックを解除できてしまう脆弱性が発見されています。 最新版iOS12.0.1に新たな脆弱性 iOS12のインストールされたロックされたiPhoneを操作することで、ユーザー認証を使わずに「連絡先」などにアクセスできてしまう脆弱性があることを示した動画が9月末に公開され、話題となりました。 9月末に動画を公開したホセ・ロドリゲス氏が、先日公開されたばかりのiOS12.0.1でもパスコードなどを使わずに、iPhoneに保存された写真が見られたり、外部に送信される可能性がある脆弱性を発見し、動画を公開しています。 ロック中のiPhoneから写真が盗み出される！ 問題の脆弱性は、前回と同様、攻撃者が標的のiPhoneを物理的に操作できる状態であることが必要で、手順はやや複雑です。 まず、標的するiPhoneに攻撃者が電

先日、iOS11.2.2をインストールするとiPhone6のベンチマークスコアが40%〜50%低下した、とする測定結果をご紹介しましたが、ブログメディア気になる、記になる…が、iPhone7とiPhone SEで、アップデート前後の測定結果を公開しました。 iOS11.2.2へのアップデート前後のベンチマーク比較 iPhone6で、iOS11.1.2からCPUの深刻な脆弱性「Spectre」に対応したアップデートであるiOS11.2.2にアップデートすると、Geekbenchでのベンチマークスコアが40%〜50%程度低下する、との測定結果をMelv1nが公開しました。 気になる、記になる…によると、iPhone SEとiPhone7（低電力モード）ともに、誤差の範囲といえる程度の違いしかなかった、とのことです。 iPhone SE iOS11.2.1→iOS11.2.2 シングルコア：25

先日公開された、CPUの深刻な脆弱性「Spectre（スペクター）」に対応したiOS11.2.2をインストールした結果、iPhone6のベンチマークスコアが4割〜5割程度低下した、との比較データが公開されました。「それでも、iOS11.2.2にアップデートすべきだ」とデータを公開したサイトはは呼びかけています。 最新版のiOS11.2.2と旧バージョンiOS11.1.2のiPhone6でテスト Appleは先日、CPUの深刻な脆弱性「Spectre（スペクター）」に対応するセキュリティパッチとして公開したiOS11.2.2を「すべてのユーザーに推奨」としています。 iOS11.2.2と、昨年11月に公開されたiOS11.1.2がインストールされたiPhone6とで、ベンチマークテストの結果を比較した結果を、テクノロジー系ブログメディアのMelv1nが公開しました。 iOS11.2.2へのア

最新版macOS High Sierraに脆弱性、パスワードなしで管理者以上の権限 2017 11/29 最新版のmacOS High Sierraに、パスワードの入力なしに、通常の管理者よりも高い権限を持つルートユーザとしてアクセスできてしまう重大な脆弱性があることが判明しました。Appleは不具合を認め、対策に取り組んでいると声明を発表しています。 最新版のmacOS High Sierraの不具合、開発者が報告 macOS High Sierraの不具合については、開発者のレミ・アージン氏が、ユーザー名を「root」、パスワードを空欄のままで設定すると、パスワードなしでMacのシステム全体にアクセスできる不具合があることを、TwitterでAppleに呼びかける形で報告しています。 Dear @AppleSupport, we noticed a *HUGE* security is

Wi-Fiネットワークの暗号化に用いられるWPA2プロトコルに脆弱性が見つかったという報道に注目が集まるなか、Appleが同社製品のOSについてはすでにパッチを配布しており、対応済みであることを明らかにしました。 WPA2プロトコルに脆弱性発見 ベルギーのルーヴェン・カトリック大学の研究者であるマシー・ヴァンホフ氏が、WPA2プロトコルに鍵管理に関するいくつかの脆弱性を発見したことを、イギリス・ロンドンで12月に開催されるセキュリティカンファレンス「Black Hat Europe 2017」の講演予告に掲載した直後から、ネット上ではさまざまな情報が飛び交い、盛んに報道も行なわれました。 その後ヴァンホフ氏は、現地時間10月16日に脆弱性の詳細な情報を特設サイトで公開しています。脆弱性は全部で10件で、クライアントである機器とWi-Fiのアクセスポイントが接続を確立する際に行なわれる「4ウ

iPhoneなどスマートフォンをはじめ、パソコンやヘッドホン、キーボードなど、多くの身近な機器で使われているBluetoothの、「BlueBorne」と呼ばれる脆弱性を突いて端末を乗っ取られる危険性が指摘されています。 Bluetooth対応の世界53億台が攻撃を受ける可能性 「BlueBorne」は、Bluetooth搭載機器であれば、iOS、Android、Windows、LinuxといったOSに関係なく、さまざまな機器に影響が及び、世界の53億台が危険にさらされています。 従来のマルウェアの常套手段だったURLのクリックも、ソフトウェアのインストールも、インターネットへの接続、そしてBluetooth機器間のペアリングも不要で、Bluetoothによるデバイス間通信だけで、端末を乗っ取られる可能性があります。 ある端末が乗っ取られると、その機器を踏み台にして、近くのBluetoot

iOS10.3では、Safariでポップアップを開き続け、慌てたユーザーに金銭を要求する詐欺サイトへの対策が施されています。 警察機関から「罰金」を要求する詐欺の手口 詐欺サイトの手口は、アダルトサイトや不正コピーされた音楽などのコンテンツがダウンロードできるページを開くと、トップ画像にあるようなポップアップウインドウが開き続け、「Pay Police」という警察機関に見せかけたメッセージを表示し、「罰金」としてiTunesギフトコードなどを要求する、というものです。 モバイルセキュリティ情報ブログ、Lookoutによると、日本時間28日未明に公開されたiOS10.3ではこの問題の原因となる脆弱性が修正されている、とのことです。 この問題は2014年頃から増加しており、iOS端末だけでなくAndroidでも同様の手口による犯行が確認されています。 ポップアップは設定メニューから簡単に消去可

Wikileaksが現地時間3月7日、米中央情報局（CIA）から取得したとする膨大な文書を公開、大変な騒ぎとなっています。というのもこれらの文書が、米政府がiPhoneやAndroid、スマートTVなどの端末から、データをハッキングしようとしていた事実を示すものだったからです。 しかしこの暴露を受けAppleは、文書の中でCIAが主張するiOSの脆弱性のほとんどはすでにソフトウェアのアップデートによって修正されており、新規のものについても修正が進められているとのコメントを発表しました。 過去最大規模の機密文書「Vault 7」 Wikileaksが公開した「Vault 7」という一連のデータには、8,000を超えるファイルが含まれているようです。Wikileaksはこのファイル群は今後公開する「過去最大規模のCIAの機密文書」のごく一部に過ぎない、と述べています。 Vault 7には、iO

iOS10.2、スクショ無音撮影が可能に！ロック中に連絡先や写真見られるバグも修正！ 2016 12/13 本日未明に正式版が配信されたiOS10.2では、スクリーンショット撮影時のシャッター音を消音可能になったほか、写真撮影時のシャッター音も小さくなっています。また、ロック画面から連絡先や写真が盗み見されてしまうセキュリティ上のバグが修正されています。 待望のスクショ無音化に正式対応！カメラ撮影時の音も控えめに iOS10.2では、サイレントモードであればスクリーンショット撮影時のシャッター音が無音化可能となることは、ベータ版配信時にお伝えしましたが、正式版でも無音で撮影できることを確認しました。また、サイレントモードにしていないときは、音量の調節が可能です。 また、通常のカメラ撮影時のシャッター音は、無音にはならないものの、従来の撮影音よりも音量が抑えられています。 スクリーンショット

iPhoneのロック解除問題をめぐり、AppleとFBIが展開していた論戦が記憶に新しいですが、実は最新型のiPhoneでも、電話番号さえあれば、通話やメール、位置情報まで筒抜けになってしまうことを、ハッカー集団がアメリカのドキュメンタリー番組で実証しました。 アメリカ連邦議員のiPhoneをハッキング！ 世界の注目を集めた犯罪捜査とユーザーのプライバシーをめぐるAppleとFBIの論戦ですが、FBIが突然手を引く急展開で幕を閉じました。論戦では、iPhoneやiOSに政府機関がバックドアを仕掛けることの是非に注目が集まりました。 しかし、アメリカのドキュメンタリー番組「60 Minutes」で、ドイツ人ハッカーがアメリカ連邦議会の議員のiPhoneから、通話やメール、位置情報までを丸裸にして見せました。 電話番号だけでiPhoneをハッキング、通話内容を録音！ 番組での実験への協力に同意