興味を持った記事(2021年12月15日)

セキュリティ

• iPhone版LINEが起動できない・開かない不具合が発生中
• AWS WAFだけで、Basic認証を設定してみた | DevelopersIO
• AWS、12月7日の大規模障害について説明　ステータスページの改善を約束 - ITmedia NEWS
  • この障害はバージニア州北部地域で午前10時30分ごろに発生。原因は「メインのAWSネットワークでホストされているサービスの1つの容量を拡張する自動化機能で、内部ネットワーク内の多数のクライアントから予期しない動作が発生した」ことという。これにより、接続アクティビティが急増してネットワークデバイスのキャパを超え、ネットワーク間通信が遅延した。
  • この障害で、Disney+、Tinder、Venmo、McDonald's、Cash Appなどの米国でのサービスが影響を受けた。
• Kyashを装うフィッシングサイトに注意喚起 | ScanNetSecurity
• 住友生命を装った不審メールを確認、注意を呼びかけ | ScanNetSecurity
• 中小企業社員がやったことのある「会社のセキュリティルールの違反」ベスト１０ | ScanNetSecurity
• 東京五輪サイバー攻撃「想定内」　アクセス４．５億回―運営支障なく・組織委責任者：時事ドットコム
• 富士通「ProjectWEB」への不正アクセス、新たなプロジェクト情報共有ツールへの移行を決定 | ScanNetSecurity
  • 富士通、情報漏洩のツール利用終了　外部ソフトを導入: 日本経済新聞
  • プロジェクト情報共有ツールへの不正アクセスについて（第四報） : 富士通
• “サーバー設置先の国 公表” SNS事業者に義務づけ 国が対策案 | IT・ネット | NHKニュース
• AWS IAM セキュア化の取り組み. AWS… | by Daichi Harada | Eureka Engineering | Dec, 2021 | Medium
• ランサムウェア身代金、“どうしても”のときの値切り方　13億円超の要求額を1.7億円に減額させた交渉術：この頃、セキュリティ界隈で（1/2 ページ） - ITmedia NEWS
• 【セキュリティ ニュース】「FortiOS」に脆弱性、すでに悪用も - 侵害状況の確認を（1ページ目 / å…¨1ページ）：Security NEXT
• OWASP Dependency-Check を使ってMavenの依存ライブラリの脆弱性を確認する
• 10大セキュリティ事件2021　2位は東京五輪へのサイバー攻撃、1位は？ - ITmedia NEWS
• 「起きたら全て消えていた」　Discordで横行する“サーバー凍結荒らし” 復活不可 | スラド IT
• SECCON 2021 電脳会議 2021.12.18(Sat)-19(Sun)
• ランサムウェア身代金、“どうしても”のときの値切り方　13億円超の要求額を1.7億円に減額させた交渉術：この頃、セキュリティ界隈で（1/2 ページ） - ITmedia NEWS
• ï½¢FaceTime｣がZoomã‚„Teamsよりもおすすめの理由7つ | ギズモード・ジャパン

Log4j

• Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた - piyolog
• しゅーと on Twitter: "log4j、修正コミット見ればわかるんですが、"jndi:ldap:/"だけじゃなくて"jndi:dns:/"も効きました。脆弱性の有無調査を行うだけの攻撃ではこちらも使われると思うので、ログ調査する人は気を付けて (画像はlog4j同梱のGhidraで検証した) https://t.co/3x3stiN4Aw https://t.co/8rCe5QBmCf" / Twitter
• 【PoCあり】log4jの脆弱性で攻撃される条件と対策を技術的に解説します。CVE-2021-44228 – Self branding
• Log4Shell脆弱性に対する追加の対処が施された「Apache Log4j 2.16.0」がリリース - 窓の杜
  • 最新版の「Apache Log4j 2.16.0」ではこれらの処置に加え、JNDI機能そのものが初期状態で無効化されたほか、脆弱性のトリガーとなっていたメッセージルックアップ機能が削除された。万が一誤ってJNDI関連の機能が有効化されていても、安全に運用できるだろう。
• Log4j2 脆弱性問題における SpringBoot アプリケーションの検証 | DevelopersIO
• Oracle Security Alert Advisory - CVE-2021-44228
• BlueTeam CheatSheet * Log4Shell* | Last updated: 2021-12-14 0006 UTC · GitHub
• -verbose:class オプションを使ってLog4j利用の有無、Log4jを利用しているクラスを調査する | yusuke.blog
• Log4J2 Vulnerability and Spring Boot
• Apache Log4j 2 で非常に深刻なリモートコード実行の脆弱性が見つかる | スラド デベロッパー
• Apache Log4j 2 CVE-2021-44228 - Docker Blog
• Microsoft’s Response to CVE-2021-44228 Apache Log4j 2 – Microsoft Security Response Center
• Inside the Log4j2 vulnerability (CVE-2021-44228)
• CVE-2021-44228 - Log4j 2 Vulnerability Analysis - Randori Attack Team
• Cloud Armor の WAF ルールで Apache Log4j 2 の脆弱性対策 by Seiji Ariga | Dec, 2021 | google-cloud-jp
• “Log4j用ワクチン”登場　脆弱性を利用して修正プログラムを実行 - ITmedia NEWS
  • Cybereasonが公開した修正プログラム「Logout4Shell」は、この脆弱性を使って「JNDI Lookup機能を停止させた状態でLog4jを再構築するプログラム」を実行させることで問題を修正するというもの。
  • GitHub - Cybereason/Logout4Shell: Use Log4Shell vulnerability to vaccinate a victim server against Log4Shell
  • 何でもできちゃう脆弱性ならそれでパッチを当てればいいんじゃない？ ～とあるセキュリティ会社が掟破りの「Log4Shell」ワクチンを開発してしまう - やじうまの杜 - 窓の杜
• Log4jの脆弱性を緩和するAWS WAFã‚’CloudFormationで設定してみた | DevelopersIO
  • AWSのマネージドルールを利用して Log4jの脆弱性(CVE-2021-44228)を緩和するAWS WAFを、CloudFormatinで作成してみました。
• log4j2の脆弱性を使って実際に任意コード実行してみました👀
• Microsoft’s Response to CVE-2021-44228 Apache Log4j 2 – Microsoft Security Response Center
• Actual CVE-2021-44228 payloads captured in the wild
• 「Apache Log4j」ライブラリに深刻なゼロデイ脆弱性が発覚 | トレンドマイクロ セキュリティブログ
• 【図解】Log4jの脆弱性 CVE-2021-44228 (Log4shell or LogJam) について | SEの道標
• 脅威に関する情報: Apache Log4jに新たな脆弱性(CVE-2021-44228) 実際の悪用も確認
• 広く使われているJavaライブラリ「Log4j」に深刻な脆弱性。速やかに確認と対策を － Publickey
• GitHub - greymd/CVE-2021-44228: Vulnerability CVE-2021-44228 checker
• 【セキュリティ ニュース】人気ライブラリ「Apache Log4j」に深刻な脆弱性、悪用も - 影響の確認や対策の実施を（1ページ目 / å…¨1ページ）：Security NEXT
• 【セキュリティ ニュース】「Apache Log4j」の脆弱性、VMwareの36製品に影響（1ページ目 / å…¨1ページ）：Security NEXT
• 【セキュリティ ニュース】「WebEx Meetings Server」などCisco複数製品に「Apache Log4j」由来の脆弱性（1ページ目 / å…¨1ページ）：Security NEXT
• 【セキュリティ ニュース】F-Secure、複数製品に「Apache Log4j」の脆弱性 - パッチをリリース（1ページ目 / å…¨1ページ）：Security NEXT
• Update for Apache Log4j2 Security Bulletin (CVE-2021-44228)
• Apache Log4j のためのホットパッチ | Amazon Web Services ブログ
• Huntress - Log4Shell Tester
• Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）に関する注意喚起
• Log4Jゼロデイ脆弱性の概要と手法・対策方法 - Qiita
• 更新：Apache Log4j の脆弱性対策について(CVE-2021-44228)：IPA 独立行政法人 情報処理推進機構
• IPAが「Apache Log4j脆弱性」の暫定回避方法を紹介：最新バージョンへのアップデートを推奨 - ï¼ IT
• 「Log4j」の脆弱性を突く攻撃手段の情報共有は違法？　日本ハッカー協会に聞いた - ITmedia NEWS
• ApacheLog4j の脆弱性(CVE-2021-44228)に関する注意喚起 (pdf)
• Guidance for preventing, detecting, and hunting for CVE-2021-44228 Log4j 2 exploitation - Microsoft Security Blog
• 世界のWebサーバの3分の1に影響？　Javaライブラリ「Log4j」の脆弱性、JPCERTらが仕組みと対策を解説 - ITmedia NEWS
• 【セキュリティ ニュース】各ベンダーが「Log4Shell」の検知方法、対策プログラムなどの情報を発信 - 「同2.15.0-rc1」には対策バイパスのおそれも（1ページ目 / å…¨3ページ）：Security NEXT
• 【注意喚起】Log4jの脆弱性を狙う攻撃を多数検知、至急対策を！ | セキュリティ対策のラック
• “ログソフト”に深刻なぜい弱性 IPA 早急な対策呼びかけ | IT・ネット | NHKニュース
• Apache Log4jに深刻な脆弱性、IT各社が調査対応を開始（ZDNet Japan） - Yahoo!ニュース
• Emotetの感染手口に変化、PDF閲覧ソフトを偽装 | ScanNetSecurity
• JavaのLog4jライブラリで発見された脆弱性「Log4Shell(CVE-2021-44228)」はなぜ世界中に大きな影響を与えるのか？ - GIGAZINE
• LogStareのSOCの窓 号外「Log4j の脆弱性 ( CVE-2021-44228 ) への各種セキュリティ製品の対応」 | ScanNetSecurity
• CISA Creates Webpage for Apache Log4j Vulnerability CVE-2021-44228 | CISA
• Zero-Day Exploit Targeting Popular Java Library Log4j
• Log4j RCE 💣- Exploit - Advisory - Resource & Cheat Sheet - Cyber Kendra
• Log4j、バージョン2.16.0が登場　問題の機能を削除やデフォルト無効に - ITmedia NEWS
  • Java向けログ出力ライブラリ「Apache Log4j」（Log4j）のバージョン2.16.0をリリースした。変更点は、JNDI機能をデフォルトで無効にしたことと、Message Lookup機能を削除したことの2点で、問題となっていた脆弱性に対応した形になる。
• CVE-2021-44228 Apache Log4j 2 に対するマイクロソフトの対応 – Microsoft Security Response Center
• Hackers start pushing malware in worldwide Log4Shell attacks
• ログ管理ソフトに欠陥、Amazonなど調査: 日本経済新聞
• Google Cloud recommendations for Apache Log4j 2 vulnerability | Google Cloud Blog
• 【セキュリティ ニュース】「Log4jShell」の悪用、国内でも多数検知 - 国内で被害も（1ページ目 / å…¨2ページ）：Security NEXT
• 【セキュリティ ニュース】国内WAFベンダー「Log4jShell」に対応 - ç´„500サイトで攻撃を検知（1ページ目 / å…¨1ページ）：Security NEXT
  • セキュアスカイ・テクノロジーとビットフォレストでは、WAF製品「Scutum」において12月10日に基本的対策を実装。翌11日には難読化を想定した追加対策を行った。12月12日時点で、483サイトにおいて探索行為も含めて2553件以上の通信を検知、遮断したという。
• Log4Shell脆弱性に対する追加の対処が施された「Apache Log4j 2.16.0」がリリース - 窓の杜
• 【セキュリティ ニュース】各ベンダーが「Log4Shell」の検知方法、対策プログラムなどの情報を発信 - 「同2.15.0-rc1」には対策バイパスのおそれも（1ページ目 / å…¨3ページ）：Security NEXT
• 【セキュリティ ニュース】F-Secure、複数製品に「Apache Log4j」の脆弱性 - パッチをリリース（1ページ目 / å…¨1ページ）：Security NEXT
• 【セキュリティ ニュース】人気ライブラリ「Apache Log4j」に深刻な脆弱性、悪用も - 影響の確認や対策の実施を（1ページ目 / å…¨1ページ）：Security NEXT
• 【セキュリティ ニュース】「Log4jShell」の悪用、国内でも多数検知 - 国内で被害も（1ページ目 / å…¨2ページ）：Security NEXT
• 【セキュリティ ニュース】GA版「Apache Log4j 2.16.0」がリリース - 脆弱性の原因機能を削除（1ページ目 / å…¨1ページ）：Security NEXT
• log4j あれこれ - 弊社取り扱い製品で色々やってみた
• 世界的サーバー管理ソフトに欠陥、Amazonなど調査: 日本経済新聞
• 【緊急公開資料】『Apache Log4j 脆弱性の影響緩和のために今できること』（公開日 2021.12.14） | 株式会社セキュアスカイ・テクノロジー
• Apache Log4j2 Remote Code Execution (RCE) Vulnerability - CVE-2021-44228 - ESA-2021-31 - Announcements / Security Announcements - Discuss the Elastic Stack
• “ログソフト”に深刻なぜい弱性 IPA 早急な対策呼びかけ | IT・ネット | NHKニュース
• GitHub - curated-intel/Log4Shell-IOCs
• log4shell注意喚起 - Speaker Deck
• 【図解】Log4jの脆弱性 CVE-2021-44228 (Log4shell or LogJam) について | SEの道標
• Zero-Day Exploit Targeting Popular Java Library Log4j
• Log4j RCE CVE-2021-44228 Exploitation Detection · GitHub
• Log4j2 脆弱性問題における SpringBoot アプリケーションの検証 | DevelopersIO
• GitHub - mergebase/log4j-detector: Detects log4j versions on your file-system, including deeply recursively nested copies (zips inside zips inside zips).
• Microsoft’s Response to CVE-2021-44228 Apache Log4j 2 – Microsoft Security Response Center
• Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた - piyolog
• https://success.trendmicro.com/solution/000289940
• Splunk Security Advisory for Apache Log4j (CVE-2021-44228) | Splunk
• CVE-2021-44228 Apache Log4j 2 に対するマイクロソフトの対応 – Microsoft Security Response Center
• Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）に関する注意喚起
• 更新：Apache Log4j の脆弱性対策について(CVE-2021-44228)：IPA 独立行政法人 情報処理推進機構
• Log4jのゼロデイ脆弱性から学ぶ　“ヤバい”ニュースを見落とさない組織になるコツ：半径300メートルのIT - ITmedia エンタープライズ
• 【セキュリティ ニュース】GA版「Apache Log4j 2.16.0」がリリース - 脆弱性の原因機能を削除（1ページ目 / å…¨1ページ）：Security NEXT

Firefox

• Firefox 95がリリース、新しいセキュリティ技術「RLBox」が有効に - iPhone Mania

Edge

• Release notes for Microsoft Edge Security Updates | Microsoft Docs
• ADV200002 - Security Update Guide - Microsoft - Chromium Security Updates for Microsoft Edge (Chromium-Based)

F="https://forest.watch.impress.co.jp/docs/news/1373515.html">「Microsoft Edge 96」に16件の脆弱性 ～修正版のv96.0.1054.53が公開 - 窓の杜

• 「Microsoft Edge 96」に16件の脆弱性 ～修正版のv96.0.1054.53が公開 - 窓の杜

Chrome

• 「Google Chrome」に深刻度「High」のゼロデイ脆弱性 ～すでに悪用の報告も - 窓の杜
• Chrome Releases: Stable Channel Update for Desktop
• Google Releases Security Updates for Chrome | CISA
• バージョン: 96.0.4664.93（Official Build） （arm64）
• バージョン: 96.0.4664.110（Official Build） （arm64）

Apple

• Apple Releases Security Updates for Multiple Products | CISA

iOS 15.2

• 「iOS 15.2」配信開始　「Apple Music」の新プランやアプリによるアクセスを把握できるレポートなどの新機能 - ITmedia Mobile
  • セキュリティ関連では、42件の脆弱性に対処した。今回は「既に悪用された可能性のある脆弱性」はなかった。
• 私が死んだらこのアカウントは誰に託すか　自分の死後、iPhoneã‚„Macのデジタル資産を継承する方法（1/2 ページ） - ITmedia NEWS
• Apple、Apple Music Voiceプランなどに対応した「iOS 15.2」を配布開始 - ITmedia NEWS
• もし死んでもiPhone/iPadを家族・友人託せる ～Apple、「iOS 15.2」「iPadOS 15.2」を公開 - 窓の杜
• About the security content of iOS 15.2 and iPadOS 15.2 - Apple サポート (日本)
• Apple、iOS15.2を正式リリース〜リリースノート全文を掲載 - iPhone Mania
• 「iOS 15.2」配信開始　「Apple Music」の新プランやアプリによるアクセスを把握できるレポートなどの新機能 - ITmedia Mobile

Monterey 12.1

• Apple、SharePlayに対応した「macOS Monterey 12.1」を配布開始 - ITmedia NEWS
• AppleがmacOS Monterey 12.1を提供開始　MacでSharePlayã‚„Apple Music Voiceが利用可能に - ITmedia PC USER
• About the security content of macOS Monterey 12.1 - Apple サポート (日本)

その他

• About the security content of macOS Big Sur 11.6.2 - Apple サポート (日本)
• About the security content of Security Update 2021-008 Catalina - Apple サポート (日本)
• Apple Patches 42 Security Flaws in Latest iOS Refresh | SecurityWeek.Com
• Apple、Android向けにAirTagトラッキングアプリを公開 - iPhone Mania
• About the security content of tvOS 15.2 - Apple サポート (日本)
• About the security content of watchOS 8.3 - Apple サポート (日本)

宇宙

• キュリオシティから送られてきた火星の写真がとにかく美しい | ギズモード・ジャパン

鉄

IT

• 機械学習で逆ストリートビューを作り、写真から港区らしさを判定する - エムスリーテックブログ
• 「ワクチン接種証明書アプリ」初披露。政府公式の証明がスマホに（Impress Watch） - Yahoo!ニュース

その他

ゼロからのOS自作入門