現時点ではフォーラムの数件の投稿とマイナーな技術系ニュース・ブログで報じられているだけだが、どうやら、いくつかのLenovoのノートPCには「Suprefish」というマルウェアがプリインストールされており、それを完全に除去するのが容易ではないらしい。 スクリーンショットを含むレノボフォーラムの記事の本題はSSLについてのものではないが、SSLコネクションを乗っ取る中間者攻撃かもしれないということを示している。 これがデマであるかないかを言うにはまだ早すぎるが、新しいシステムにこのマルウェアがインストールされていたという複数の投稿がある。 自分自身でクリーンなインストールディスクを作成し、ドライバをUSBメモリに入れるだけにするもう一つのよい理由になるだろう。 Superfishというマルウェアが出荷時からインストールされているという話ですが、それがTLSを乗っ取るというので、Engadg

Adobe と Google が共同で行っている、新しいブラウザプラグイン用の API に関連する情報が公開されました。 （Adobe and Google Partnering for Flash Player on Linux） 新しい API は Pepper というコード名で呼ばれています。Pepper の API すなわち PPAPI は、ブラウザや OS による実装の差を吸収することで、より高品質なプラグインをより効率よく開発できるようにすることを目的としています。 元々は、現在使用されている NPAPI の拡張として始まったものです。 （Flash Player と次世代のプラグイン用 API （NPAPI）） 当初は Netscape 主導でしたが、現在は Google 主導のプロジェクトになっているようです。 そのため （?）、Chrome は Pepper をサポートす

三井住友銀行のネットバンキングでログインの際の認証に「数字4桁の暗証番号」が使われていることについて、疑問の声が出ている（三井住友銀行ネットバンクの暗証が数字4桁になった件 | 栗原潔のIT弁理士日記）。 三井住友銀行のネットバンキングでは、昨年10月よりログインや残高照会などの処理については数字4桁の暗証番号（第一暗証）で認証を行い、振り込みや解約などの情報についてはワンタイムパスワード生成機（「パスワードカード」）を使ったワンタイムパスワード認証を利用する形に変更されている。しかし、「第一暗証」には銀行口座のキャッシュカードの暗証番号と同一のもの、もしくは任意の数字4桁しか指定できない（三井住友銀行のヘルプページ）。その点がセキュリティ的に脆弱ではないかと指摘されている。 また、設定によっては登録済みの振込先に対し、パスワードカードなしでの振り込みも可能になってしまうという。それ以外の

米Yahoo!にて、マルウェアを配布するための広告が配信された。これにより大規模なマルウェア感染が引き起こされた可能性があるという（GIGAZINE、ロイター）。 今回確認されたマルウェアはJavaの脆弱性をターゲットにしたものであり、セキュリティ専門家は、ウェブブラウザがJavaをサポートする場合、Javaを機能しないようにすることを推奨している。 Yahoo!側は同社の配信した広告によるマルウェア拡散の可能性について認めたものの、問題の広告についてはすぐ取り除かれたとのこと。また、Macや携帯端末への影響はないという。

WindowsでRealPlayer日本語を使っている方は、どのバージョンを使っていますか？おそらく、多くの方が16.0.3.51でしょう。このバージョンはRealPlayerでアップデートをチェックしてもこれより新しいバージョンは通知されませんし、 RealNetworks社の日本語版Webサイト からダウンロードできるバージョンです。しかし、このバージョンは最新ではありません。それどころか、脆弱性があります。（CVE-2013-6877） 12月20日付けで、「RealNetworks, Inc.、セキュリティ脆弱性に対応するアップデートをリリース」という報告がされているものの、RealPlayerのWebサイトでは現在も脆弱性のあるバージョン16.0.3.5.1が配布され続けています。 他の言語のページを見ると、US版のページでのみバージョン17.0.4.61が提供され、他のページは

本家/.にてスラッシュドットに聞け：Windows XP向けの軽量なウイルス対策ソフトは？というストーリーが掲載された。が、多くのツッコミが寄せられる事態となっている。 本家タレコミ人は、引退した人たちにPCを提供することをしているそうで、そこにインストールするウイルス対策ソフトを探しているそうだ。まともな回答としては、「AVG」や「Microsoft Security Essential」、「Avira」などが挙げられているが、XPは来年4月にサポートが終了するということもあり、「Linuxを入れろ」という回答や、「新しいPCを買え」というツッコミもされている。 さらに提示された「modest speed (2 GHz Centron) and modest memory (512 MB)」というスペックに対し、「古めのマシン（older machines）？それは『古いマシン』というん

Flash Player 10.3のセキュリティサポートが終了しました（窓の杜）。Flash Player 11.3で保護モードが追加された時、Firefoxとの組み合わせで多くの問題が発生したため、対策としてFlash Player 10.3へのダウングレードが呼びかけられました（Mozilla Japanブログ、Flash Player Help、Mozilla support）。 また、Flash Player 11.7になってもIMEによっては日本語入力ができないという問題がありますが、Adobeは修正しないようです（mozilla.orgのbugzilla）。10.3へのダウングレードという選択肢がなくなった今、この問題に対する回避方法は、MS-IMEを使用するか、Flash Playerの保護モードを無効にすることだけです。

MicrosoftがWindows XP SP3以降に対応する脆弱性検知ツール「EMET 4.0」をリリースした。無料でダウンロードできる（Microsoftの日本のセキュリティチームブログ、窓の杜）。 Windowsにはメモリのデータ用領域に格納されたコードの実行を防ぐデータ実行防止（DEP）やメモリアドレスのランダム化（ASLR）といった、本来実行されるべきでないコードが実行されるのを防ぐ機構が搭載されているが、すべてのアプリケーションがこの機能を利用しているわけではない。EMETはそのようなアプリケーションにおいて、このような不適切なコード実行を防ぐためのツールとなる。ただし、EMETはすべての攻撃を防げるわけではなく、MS側も「EMETを使用したXP よりも、EMET未使用のWindows 7の方が堅牢」と述べている。

2月19日に「Java 7 Update 15」がリリースされたばかりだが、ポーランドのセキュリティ企業がJavaにおける未解決の脆弱性2件を発見したという（ITmedia）。 相次ぐ脆弱性の発見を受け、「Javaはどうしても実行する必要がない限りは無効にした方がよい」という声も挙がっている。 そんな中、米調査会社Enderle Group主席アナリストのロブ・エンダール氏は「OracleはJavaをGoogleに売るべきだ」と発言している（TechTargetの記事）。

東京新聞によると、Macを使用する企業数百社が同様の被害を受けている可能性があるという。もう「Mac ＝ 安全」なんてどう贔屓目に見ても無理ですよねぇ…… 大手iPhoneアプリ開発者向けコミュニティiPhoneDevSDKに、ゼロデイ脆弱性を突く未知の攻撃コードが仕掛けられていたとのこと（本家/.、CNETの記事）。iPhoneDevSDKの管理者は同サイトに攻撃コードが仕込まれていたことについて認め、これが発端でAppleやFacebookへの攻撃につながった模様。 なお、この攻撃についてERIC ROMANG BLOGによって巧妙なテクニックの解説が行われている。Javaを有効にしたWebブラウザでiPhoneDevSDKにアクセスした人はマルウェアに感染している恐れがあるので、心当たりがある人はチェックが必要かもしれない。

すでにニュースでお読みになられた方も多いと思いますが、このところ、アメリカのテクノロジーとメディア企業を対象にした大規模なセキュリティ攻撃が行われています。この2週間にNew York Times、Wall Street Journalがシステムを、またAppleやMozillaはもともと設定されているJava（プログラムのひとつ）をオフにされました。 今週、Twitterは通常とは異なるアクセスパターンがあり、調べてみるとTwitterのユーザーデータへのアクセスのようでした。行われていた攻撃は止めたのですが、調査の結果、ユーザー名、メールアドレス、セッションIDや暗号化されたパスワードなど、約25万人のユーザー情報にアクセスされた可能性があります。 該当するアカウントにはTwitterからパスワードのリセットをかけ、セッションIDの破棄をしました。この該当アカウントに含まれているユーザ

あるAnonymous Cowardと、もうひとりのAnonymous Cowardのタレこみより。Twitterは2月2日、サイバー攻撃により約25万件のユーザーアカウント情報が不正アクセスを受けた可能性があると発表した(Twitterのブログ記事、 INTERNET Watchの記事、 YOMIURI ONLINEの記事、 本家/.)。 不正アクセスされた可能性があるのは、ユーザー名や電子メールアドレス、セッショントークン、暗号化されたパスワードなど。Twitterでは該当するアカウントについてパスワードをリセットし、セッショントークンを破棄。対象となるユーザーにはパスワード新規作成の案内を送っている。また、ほかのユーザーについてもパスワードを見直し、より強いパスワードへの再設定を要請している。 Twitterによると、今回の攻撃は素人によるものとは考えにくい高度で洗練されたものであり

ストーリー by hylom 2013年01月24日 18時54分 インストールが推奨されないソフトになりつつあるJava 部門より Java 7 Update 11に2件の脆弱性を発見したと、ポーランドのセキュリティ企業Security Explorationsがセキュリティメーリングリストに投稿した（ITmedia）。これらの脆弱性は、Java 7 Update 10で発見されてJava 7 Update 11で修正されていないと指摘されている脆弱性とは異なるという。

ストーリー by hylom 2013年01月22日 17時15分 盗む価値のあるもの、盗みやすいものが狙われる 部門より 本家/.より。先月Googleアカウントの乗っ取りが話題に登ったのが記憶に新しいところですが、Googleはパスワードに代わる新たな認証方式について研究している模様（WIRED）。 現在、Googleでは閲覧時に認証が必要となる場合（認証用のCookieがない場合）、携帯電話へ認証コードを送り、それを入力してもらうという「2段階認証」を提供しています。最新の研究はそれをもう少し進化させようとするもの。 具体的には、スマートフォンやスマートカード内蔵の「指輪」を使い、これをコンピューターに「タッチ」させることで認証を行えるようにするものです。 Googleは特別なソフトウェア無しでブラウザで使えるようにしたいとのこと。クラッカーとのイタチごっこに終止符を打つことはできる

昨年から相次いでJava（Javaランタイム）の脆弱性が報告されているが、これを受けて「Javaを作り直すべき時期が来ている」という見解があるようだ（ComputerWorld）。 問題点は「長年にわたって開発が継続され、あまりに多くの開発者たちがコードに触れてきたこと」にあるという。そのため、脆弱性が生まれやすく発見しにくい状況になっているということらしい。 解決策としてはコアコンポーネントの作り直しが提案されているが、互換性の問題が発生する可能性なども考えられる。最近悪評が続くJavaだが、立て直しはできるのだろうか。

Oracleは13日(現地時間)、Java SE 7u11を公開した。Java SE 7u10で発見された深刻なゼロデイ脆弱性(CVE-2013-0422)が修正されており、OracleではすべてのJava SE 7ユーザーに対して更新を呼び掛けている( Java SE downloads、 リリースノート、 ITmediaの記事、 本家/.)。 この脆弱性は実証コードのほかランサムウェアの配布にも使われており、米国の国家安全保障省など政府機関もプラグインの無効化やJavaのアンインストールを呼びかける事態となっていた。なお、8月に報告された脆弱性をOracleが正しく修正していれば、今回のゼロデイコードは機能しなかったとも報じられている(The Next Webの記事、 本家/.記事2)。

あるAnonymous Cowardのタレコミによると、Java 7 Update 10に未解決の深刻な脆弱性が発見された。すでにこの脆弱性を狙った攻撃も登場しているという（Kerbs on Security、Malware don't need Coffee、AlienVault）。 JVNTA13-010A Oracle Java 7 に脆弱性によると、「Java のサンドボックスを回避され、任意のコードが実行可能な脆弱性」とのこと。現状の回避策としてはWebブラウザのJavaプラグインを無効にすることが推奨されている。 昨年にはセキュリティ企業Kasperskyの研究者がOracleに対し「Oracleの対応が欠如している」と主張したことが話題になったほか、（Oracleが直接の要因ではないが）AppleがJavaランタイムの配布を中止してOracleによる提供に切り替えたり、脆弱性

ITpro の記事によると、Gmail に対する不正アクセスが増えている模様。不正にアカウントにアクセスされ、スパムメールの送信などに使われる例が多いようだ。 不正アクセスの経路については分かっていないため、Gmail 利用者は注意が必要だ。ほかのサービスとパスワードを共用しない、といった初歩的なことに加え、アカウントアクティビティのチェックといった対策をしたいところである。