【セキュリティ ニュース】QNAP製NAS向けの複数ツールに深刻な脆弱性 - アップデートを（1ページ目 / 全1ページ）：Security NEXT

2024/11/02 24 users Security NEXT 脆弱性 アップデート QNAP

QNAPのNAS製品向けに提供されているファイル共有やバックアップツールに深刻な脆弱性が明らかとなった。 2件の脆弱性「CVE-2024-50387」「CVE-2024-50388」について、10月29日、30日にアドバイザリを公表したもの。いずれもバグバウンティコンテスト「Pwn2Own 2024」で報告を受けたという。 「CVE-2024-50387」は、ファ... 続きを読む

【セキュリティ ニュース】OpenSSHの「regreSSHion」レビュー時にあらたな脆弱性見つかる（1ページ目 / 全1ページ）：Security NEXT

2024/07/09 12 users OpenSSH regreSSHion 別名 過程 脆弱性

OpenSSHにあらたな脆弱性が判明した。「regreSSHion」をレビューする過程で発見されたもので、旧バージョンが影響を受けるという。 リモートよりコードの実行が可能となる「CVE-2024-6409」が公表されたもの。2021年にリリースされた「OpenSSH 8.8」および「同8.7」が影響を受けるという。 別名「regreSSHion」と名付け... 続きを読む

【セキュリティ ニュース】WordPressプラグインの同時多発改ざん、PWリスト攻撃に起因（1ページ目 / 全1ページ）：Security NEXT

2024/06/28 10 users 起因 Security NEXT セキュリティ ニュース

WordPress向けの複数プラグインに不正なコードが挿入された問題で、WordPress.orgは、侵害された複数のアカウントより、プラグインの改ざんが行われたことを明らかにした。 他ウェブサイトより流出したユーザー名やパスワードを組み合わせたパスワードリスト攻撃を受け、プラグインの開発に参加するコミッターのアカウン... 続きを読む

【セキュリティ ニュース】「サイバーセキュリティ経営可視化ツール」の新版公開 - 業界平均と比較可能に（1ページ目 / 全1ページ）：Security NEXT

2023/07/30 15 users Security NEXT 業界平均 比較 IPA 1ページ目

情報処理推進機構（IPA）は、「サイバーセキュリティ経営ガイドライン」で示された重要10項目の実施状況を可視化し、業界平均と比較も行える「サイバーセキュリティ経営可視化ツール」の新版をリリースした。 同ツールは、3月に公開された「サイバーセキュリティ経営ガイドライン Ver3.0」にある重要10項目の実施状況を5... 続きを読む

【セキュリティ ニュース】「OpenSSL」にセキュリティアップデート - 脆弱性の評価は下方修正（1ページ目 / 全1ページ）：Security NEXT

2022/11/01 19 users OpenSSL Critical セキュリティアップデート

OpenSSLの開発チームは、協定世界時11月1日に事前予告どおりセキュリティアップデート「同3.0.7」をリリースし、複数の脆弱性に対処した。当初重要度は「クリティカル（Critical）」を予定していたが、「高（High）」へと下方修正されている。 今回明らかにされた脆弱性は、「X.509証明書」の検証処理を通じてバッファオ... 続きを読む

【セキュリティ ニュース】QNAP製NASを狙うあらたなランサム攻撃 - アプリの更新を（1ページ目 / 全1ページ）：Security NEXT

2022/09/05 10 users ランサム攻撃 QNAP製NAS Security NEXT

QNAP Systems製NASの画像管理アプリを標的とするランサムウェアのあらたな攻撃キャンペーンが確認された。同社はアップデートをリリースし、脆弱性を修正するよう利用者に注意を呼びかけている。 同社NAS製品で利用できる画像管理アプリ「Photo Station」に脆弱性が存在し、インターネット上へ公開された同アプリを狙う... 続きを読む

【セキュリティ ニュース】テキストエディタ「vim」に脆弱性 - パッチで修正（1ページ目 / 全1ページ）：Security NEXT

2022/02/01 11 users vim テキストエディタ PoC バッチ 脆弱性

UNIX系OSをはじめ、広く利用されているテキストエディタ「vim」に脆弱性が明らかとなった。パッチにて修正されている。 ヒープバッファオーバーフローの脆弱性「CVE-2022-0318」が明らかとなったもの。脆弱性報告サイト「huntr」を通じて開発者に報告された。実証コード（PoC）も公開されている。「huntr」では共通脆弱... 続きを読む

【セキュリティ ニュース】メールアドレス流出、自動PPAP機能に不具合 - 原子力規制委（1ページ目 / 全1ページ）：Security NEXT

2021/06/23 13 users 原子力規制委 Security NEXT 1ページ目

原子力規制委員会は、メールシステムに不具合があり、メールの送信先である地方公共団体や報道機関のメールアドレスが受信者間に流出したことを明らかにした。 原子力規制庁によれば、6月16日に同庁の統合原子力防災ネットワークのメールシステムを使い、記者懇談会の案内を地方公共団体と報道機関にメールで送信したと... 続きを読む

【セキュリティ ニュース】ウェブで「IPAフォントが見つからない」と偽警告 - マルウェア感染狙う手口（1ページ目 / 全1ページ）：Security NEXT

2019/02/15 15 users IPAフォント 手口 IPA 偽警告 マルウェア感染

ウェブサイトの表示にあたり、フォントが不足しているなどとだまし、マルウェアを感染させるケースが確認されている。改ざんされた正規サイトで表示されるケースもあり注意が必要だ。 「不足しているフォント」などと偽の警告を発するよう正規サイトが改ざんされる手口を情報処理推進機構（IPA）が確認したもの。 問題の... 続きを読む

【セキュリティ ニュース】Google、2.7万件以上のバグを発見したファジングツールをオープンソース化（1ページ目 / 全1ページ）：Security NEXT

2019/02/08 38 users ファジングツール GitHub ClusterFuzz パク

Googleは、脆弱性の調査を行うためのファジングツール「ClusterFuzz」をオープンソース化した。GitHubより入手できる。 同ソフトウェアは、さまざまなデータを入力することでバグの有無を調査するほか、報告機能なども備えたファジングツール。同社では8年以上にわたり、同ツールの開発に取り組んできたが、今回あらたに... 続きを読む

【セキュリティ ニュース】GDPRにおける日本の「十分性認定」、1月23日に決定予定（1ページ目 / 全1ページ）：Security NEXT

2019/01/22 12 users GDPR 同日付け Security NEXT 欧州委員会

欧州委員会は、EU一般データ保護規則（GDPR）の日本に対する十分性認定を1月23日付で決定する予定だ。 1月23日に欧州委員会がGDPRに基づき、日本に対して十分性認定を行う予定で、これを受けて個人情報保護委員会でも、同日付けで個人情報保護法に基づき、EUを指定することを決定した。 日欧間における個人データ保護制... 続きを読む

【セキュリティ ニュース】「Windows」にゼロデイ脆弱性、PoCが公開 - 8月の「ALPC脆弱性」公表と同一人物（1ページ目 / 全1ページ）：Security NEXT

2018/10/24 13 users GitH PoC ゼロデイ脆弱性 権限昇格 同一人物

「Windows」に未修正の脆弱性が含まれていることがわかった。すでに「実証コード（PoC）」が公開されている。脆弱性を公表したのは、8月にも未修正の脆弱性を公開した研究者だった。 PoCが公開されたのは、「Windows」の「Data Sharing Service（DsSvc）」に関する権限昇格の脆弱性。公開したセキュリティ研究者は、GitH... 続きを読む

【セキュリティ ニュース】経産省、「サイバー・フィジカル・セキュリティ対策フレームワーク」のパブコメ結果を公表（1ページ目 / 全1ページ）：Security NEXT

2018/10/02 15 users 経産省 公表 Security NEXT IoT ページ目

経済産業省は、「サイバー・フィジカル・セキュリティ対策フレームワーク」のパブリックコメントを実施し、結果を取りまとめた。国内外から318件の意見が寄せられたという。 同フレームワークは、AIやIoTの利活用が進んだ「Society5.0」や「Connected Industries」において、産業界に求められるセキュリティ対策の全体像... 続きを読む

【セキュリティ ニュース】一部ルータに管理者以外がプロクシを設定できる問題 - 盗聴や改ざんのおそれ（1ページ目 / 全1ページ）：Security NEXT

2018/09/14 11 users 盗聴 改ざん プロキシ ブログじ Security NEXT

一部ルータにおいて、DHCPリクエストを受けたクライアントのホスト名を、DNSに自動登録する問題が指摘されている。同機能によって悪意あるプロキシやルータが設定され、通信の盗聴や改ざんに利用されるおそれがある。 一部ルータ機器がDNSの動的更新機能を搭載しており、DHCPリクエストでクライアント側から送られてくる... 続きを読む

【セキュリティ ニュース】「日ASEANサイバーセキュリティ能力構築センター」をタイに設立 - 各国関係者が「CYDER」受講（1ページ目 / 全1ページ）：Security NEXT

2018/09/09 10 users サイバーセキュリティ ASEAN CYDER カンボジア 一環

総務省は、タイのバンコクに「日ASEANサイバーセキュリティ能力構築センター」を設立した。開所式は9月14日にバンコクで開催する予定。 同センターは、2017年12月にカンボジアで開催された日ASEAN情報通信大臣会合の合意に基づき設立するもので、ASEANにおけるサイバーセキュリティの能力向上を支援する取り組みの一環。... 続きを読む

【セキュリティ ニュース】Windowsの「タスクスケジューラ」にあらたな脆弱性 - 修正方法は不明（1ページ目 / 全1ページ）：Security NEXT

2018/08/28 11 users タスクスケジューラ Twitter GitHub ALPC

Windowsの「タスクスケジューラ」にあらたな脆弱性が判明した。修正方法や回避策などはわかっていない。 「タスクスケジューラ」に権限昇格の脆弱性が判明したもの。「アドバンストローカルプロシージャコール（ALPC）」の処理に起因するものだという。 セキュリティ研究者がTwitterで公表したもの。GitHubで実証コード... 続きを読む

【セキュリティ ニュース】「Struts 2」脆弱性を狙う攻撃キャンペーン「Bleeding Thunder」 - 国内企業のサイト含む標的リストも（1ページ目 / 全1ページ）：Security NEXT

2018/08/28 18 users ウェブアプリケーションフレームワーク ダークウェブ ロシア

「Struts 2」脆弱性を狙う攻撃キャンペーン「Bleeding Thunder」 - 国内企業のサイト含む標的リストも ウェブアプリケーションフレームワーク「Apache Struts 2」に深刻な脆弱性が見つかった問題で、ダークウェブでは攻撃対象リストが流通しているという。 中国やロシアにおける地下の複数フォーラムにおいて、脆弱性に... 続きを読む

【セキュリティ ニュース】「情報セキュリティ白書2018」が発売 - PDF版はアンケート回答で無償（1ページ目 / 全1ページ）：Security NEXT

2018/07/19 16 users 無償 Security NEXT アンケート回答 ＰＤＦ版

情報処理推進機構（IPA）は、「情報セキュリティ白書2018」を発行した。PDF版は7月24日より提供する予定。 同書は、組織のシステム管理者をはじめとするセキュリティに携わる人やセキュリティに関心のある人を対象に、セキュリティインシデントの状況や事例、脆弱性の動向、国内のセキュリティ対策の状況、セキュリティ... 続きを読む

【セキュリティ ニュース】常時SSL化に向けてメモリ消費を抑える技術、IEEEで発表 - ペパボ研（1ページ目 / 全1ページ）：Security NEXT

2018/06/18 20 users IEEE メモリ消費 Security NEXT 技術 発表

ペパボ研究所は、SSL証明書の動的読み込みに関する論文を、国際会議「IEEE COMPSAC 2018」のワークショップで発表することを明らかにした。 今回発表する論文「高集積マルチテナントウェブサーバーの大規模証明書管理」は、複数ホストを収容するマルチテナント方式のサーバで、動的にSSL証明書を読み込むことにより、消... 続きを読む

【セキュリティ ニュース】「OpenSSL」のRSA鍵生成時に秘密鍵取得されるおそれ - 次期更新で修正予定（1ページ目 / 全1ページ）：Security NEXT

2018/04/19 10 users OpenSSL サイドチャネル攻撃 キャッシュ 脆弱性

「OpenSSL」に秘密鍵を取得されるおそれがある脆弱性が判明した。ただし、重要度は「低」とされており、次期アップデートで修正予定だという。 開発チームによれば、RSAキー生成時において、キャッシュのタイミングに関わる脆弱性「CVE-2018-0737」が判明したもの。 RSA鍵の生成プロセス中にアクセス権を持つ攻撃者によってサイドチャネル攻撃を受けた場合、秘密鍵を取得されるおそれがあるという。 ... 続きを読む

【セキュリティ ニュース】「WannaCry」ではない「Eternalblue」「Doublepulsar」攻撃が増加 - 「MS17-010」適用の再確認を（1ページ目 / 全1ページ）：Security NEXT

2018/02/14 12 users WannaCry EternalBlue よう注意 バッチ

「WannaCry」ではない「Eternalblue」「Doublepulsar」攻撃が増加 - 「MS17-010」適用の再確認を 「Eternalblue」「Doublepulsar」による攻撃活動の増加が観測されている。警察庁では、パッチの適用状況をあらためて確認するよう注意を呼びかけた。 同庁によれば、サイバー攻撃グループ「Shadow Broker」が公開した「Eternalblue」を... 続きを読む

【セキュリティ ニュース】「WordPress」にDoS攻撃を受けるおそれ、研究者が指摘（1ページ目 / 全1ページ）：Security NEXT

2018/02/09 13 users DoS攻撃 PoC WordPress 指摘 CMS

コンテンツマネジメントシステム（CMS）である「WordPress」において、DoS攻撃が可能となる脆弱性「CVE-2018-6389」が指摘されている。PoCも公開されており、最新版である「同4.9.4」においても容易に悪用できる状態となっている。 問題を指摘したのは、セキュリティ研究者のBarak Tawily氏。WordPressを導入しているサイトにおいて認証なくアクセスできるファイルより... 続きを読む

【セキュリティ ニュース】ISOG-J、効果的なセキュリティ情報共有のポイントを整理した資料公開（1ページ目 / 全1ページ）：Security NEXT

2017/10/30 16 users ISOG-J やりとり 発展途上 一方 強化

日本セキュリティオペレーション事業者協議会（ISOG-J）は、セキュリティ対応時の情報共有に関して、ポイントなどを整理した資料を公開した。 今回あらたに公開した資料は、「セキュリティ対応組織（SOC,CSIRT）強化に向けたサイバーセキュリティ情報共有の『5W1H』」。 セキュリティ対策において、「情報共有」の重要性が指摘される一方、発展途上にあり、成熟したやりとりが行われていないケースもあるとし... 続きを読む

【セキュリティ ニュース】ランサム「WannaCrypt」は「CryptXXX」亜種 - 標的型攻撃ではなく無差別攻撃（1ページ目 / 全1ページ）：Security NEXT

2017/05/15 10 users ランサム セキュリティベンダー WannaCrypt 亜種

ネットワーク内で脆弱な端末へと感染を広げるワームの機能も備えたランサムウェア 「WannaCrypt」への懸念が高まっている 。セキュリティベンダーでは復旧ツールの開発に取り組んでいる。 「WannaCrypt」は、感染すると端末内のファイルを利用できないよう暗号化し、復旧を条件に金銭を要求。さらに7日後にはファイルを削除し、永久にファイルが失われるとしてBitcoinを支払うよう迫る。 米Sym... 続きを読む

【セキュリティ ニュース】「PHPMailer」の脆弱性、「WordPress」などでは悪用できず（1ページ目 / 全1ページ）：Security NEXT

2016/12/28 28 users Drupal Joomla PHPMailer ウェブサーバ

PHPライブラリ「PHPMailer」に脆弱性が見つかった問題で、同ライブラリを利用する「WordPress」「Joomla！」「Drupal」いずれも、コア部分では脆弱性を悪用される懸念がないことがわかった。 問題の脆弱性は、ウェブサーバの権限で任意のコードを実行されるおそれがある「PHPMailer」の脆弱性「CVE-2016-10033」。修正版として「同5.2.18」が公開されたが、対策を... 続きを読む