Hori's Weblog

全くMSさんもなにやってんだか・・・

Mozilla、Microsoft製Firefoxアドオンを無効化 - ITmedia エンタープライズ

　WebブラウザFirefox向けMicrosoft製アドオンが、ブロックリストに追加された。Mozillaが10月16日、公式ブログで明らかにした。
　ブロックリストとは、そのアドオンをインストールするとFirefoxの動作に問題が発生するとMozillaが判断したアドオンのリストで、このリストにあるアドオンはインストールできない。また既にインストールされている場合は無効化される。
　新たにブロックリストに追加されたのは、「Microsoft .NET Framework Assistant」と「Windows Presentation Foundation」。これらはMicrosoftの「.NET Framework 3.5 SP1」をインストールすると自動的にFirefoxにインストールされるもので、Microsoft自身が10月のセキュリティアップデートで深刻な脆弱性を認めた。根本の原因となる脆弱性は10月13日公開のセキュリティ更新プログラム「MS09-054」を適用すればFirefoxでも解決されると強調しているが、Firefoxユーザーに対し無効化を勧めていた。
　だが、このプラグインを完全にアンインストールするのは一部のユーザーにとっては難しく、また無効にしなかった場合のリスクが非常に高いことから、Mozillaはこれらをブロックリストに追加したという。Microsoftには同日この決定を連絡し、同意を得たとしている。

普通の人にとってはこれでも良いんじゃないだろうか？なんせタダだし。

Microsoftの無料セキュリティソフト：「Microsoft Security Essentials」はインストールすべきか？ - ITmedia エンタープライズ

　Microsoftが提供を開始したWindows用の無償セキュリティソフト「Security Essentials」は現在、セキュリティ研究者による検証を受けているところだ。同製品は、XP、Vista、そして近く登場するWindows 7に対応する。セキュリティ研究者たちは、Security Essentialsのような無償製品は理想的なソリューションではないと指摘しているが、現実には、同製品は悪質なプログラムがWindows環境に大混乱を引き起こすのを防ぐのに効果を上げている。
　しかし市場には依然として、Security Essentialsに対する懐疑的な見方も存在する。多くのコンシューマーと中小企業は、Security Essentialsをコンピュータにインストールすべきか、それともMicrosoftのロゴが付いていない製品を選ぶべきなのか迷っているようだ。セキュリティ問題に対するMicrosoftの従来の取り組みには不十分な面も見られたが、Security Essentialsパックはコンシューマーと中小企業ユーザーに理想的なソリューションであるように思える

FirefoxにFlashのバージョンが古くないかチェックする機能が追加されたらしい。

FirefoxがFlashをチェック、旧版には警告 - ITmedia News

　間もなくリリース予定のFirefoxブラウザ更新版に、プラグインのAdobe Flash Playerが最新のバージョンかどうかをチェックする機能が加わった。Mozillaがセキュリティブログで明らかにした。
　新機能を提供するのはFirefox 3.5.3とFirefox 3.0.14。ユーザーがFlash Playerの古いバージョンを使っている場合、Firefox更新版をインストールした後の告知ページに「すぐにFlash Playerを更新してください」という警告メッセージを表示し、Adobeのダウンロードページへと誘導する。
　Mozillaによれば、古いバージョンのプラグインを使っていると、クラッシュなど安定性の問題を引き起こすばかりでなく、セキュリティ上の重大なリスクを抱え込むことになる。
　特にFlash Playerは人気の高さに加え、80％ものユーザーが古いバージョンを使っているとの統計もあることから、まず対応することにしたという。今後はほかのプラグインベンダーとも協力して、同じようなバージョンチェック機能を提供する予定だとしている。

実態はトロイの木馬らしい・・・

Firefoxを狙う偽Flash Player、実態はトロイの木馬 - ITmedia News

　セキュリティ企業の英Sophosは、Firefoxブラウザ用のFlash Playerプラグインを装って感染を広げているマルウェアを見つけたとブログで伝えた。
　問題のファイルを実行するとインストール画面が現れ、「Adobe Flash Updated Successfully」（Adobe Flashのアップデートに成功しました）というメッセージを表示。Firefoxを再起動後、アドオン画面で拡張機能をチェックすると、「Adobe Flash Player 0.2」というプログラムが追加されている。
　しかしこのアドオンの実態はトロイの木馬で、ユーザーがGoogleで検索した内容を記録して外部のサーバに送信してしまうほか、ユーザーの検索用語に関連した広告をWebページに挿入する。Sophosはこのトロイの木馬を「FFSpy-A」と命名し、同社製品で検出できるようにした。
　FFSpy-Aはインターネットのフォーラムを通じて出回っているとみられ、感染を避けるためには知らないサイトや不審なサイトから実行可能ファイルをダウンロードしない方がいいとSophosは忠告している。

んなとこまでゆんゆんな状態になってるのか。世の中世知辛いな。。。

ドラクエIXで改造データとのすれ違い通信に注意　スク・エニが警告 - ITmedia News

　ニンテンドーDS用ソフト「ドラゴンクエストIX ～星空の守り人～」のすれ違い通信で、マジコンを使って改変した宝の地図が出回っているとし、スクウェア・エニックスがユーザーに注意を呼び掛けている。改変した宝の地図を開くと、プレイに悪影響が起きたり、ゲームが遊べなくなったりする恐れがあるという。
　すれ違い通信は、無線通信機能を使ってユーザー同士が「宝の地図」を交換できる機能。通信を通じ、一部ユーザーが改変した地図が広がっている。こうした地図を使うと、最悪の場合、冒険の書が破損する可能性もあることがネット上で報告されている。

早々にアップデートを！

OpenOfficeに深刻な脆弱性、アップデートで解決 - ITmedia News

　オープンソースのオフィススイート「OpenOffice.org」に深刻な脆弱性が見つかり、8月31日付で解決のためのアップデート版がリリースされた。
　問題を発見したセキュリティ企業Secuniaによると、脆弱性は特定の記録を解析する際の整数アンダーフローエラーと境界エラーに起因する。細工を施したMicrosoft Word文書を使って悪用された場合、バッファオーバーフローを誘発され、任意のコードを実行される恐れがある。
　影響を受けるのはOpenOffice.org 3.1.0までのバージョン。問題を解決した3.1.1は、OpenOfficeのダウンロードページから入手できる。OSはWindows、Solaris、Linux、Mac OS X Intel版に対応。日本語版も公開されている。

もうそんなものが出てくる時期なのね－、、、

"両刀使い"に：MacもWindowsも1本で3台まで――「ウイルスバスター2010」発表 - ITmedia +D PC USER

　トレンドマイクロは9月2日、最新セキュリティスイート「ウイルスバスター2010」の製品発表会を開催した。同日Webダウンロード版の先行販売を開始、パッケージ版は9月4日に発売される（→製品ラインアップと価格）。
　ウイルスバスター2010の最大の目玉は、Mac OS X向けの「ウイルスバスター for Mac」を同梱した点だ。ライセンス数は従来通り最大3台までだが、WindowsとMacを自由に組み合わせて利用できる。同社は「MacはOSとしては堅牢だがフィッシング詐欺などのOSに依存しない脅威には対策を取る必要がある」と強調し、実際にTwitterを利用して危険なWebサイトへ誘導するといった事例を紹介、Macを狙ったWebベースの攻撃が増加傾向にあると指摘する。
　また、ウイルスバスター2010では1枚のメディアにWindows版とMac版の両方が格納されており、使用するPCに応じて対応するインストーラが立ち上がる仕様だが、同社は「Macは安全」という認識とともに、「Mac向けセキュリティソフトウェアの価格（Windowsの約1.8倍）が高い」「購入できる場所がWindows向け製品に比べて少ない」ことなどがセキュリティソフトを導入する障壁になっているとし、「2009年版から価格を据え置いたまま同一パッケージに同梱する新しいライセンスを採用した」と説明した。

とりあえずAES使っとけ、ということで・・・

無線LANセキュリティ「WPA」をわずか1分以内で破る手法発見される | エンタープライズ | マイコミジャーナル

無線LANセキュリティ技術として利用されているWPAだが、より安全なシステム構築のためには早々にWPA2へと移行が必要かもしれない。
日本の2人の研究者の発表によれば、同氏らが開発した手法を使えばWPAを利用したいかなるシステムであっても、1分とかからずに突破が可能だという。WPAの前身となるWEPの解読が数秒程度で可能なことはすでに知られているが、WPAもまたその脆弱性が明らかになりつつあるようだ。
今回の研究を発表したのは広島大学の大東俊博氏と神戸大学の森井昌克氏の2名で、8月6-7日に台湾で開催されたJWIS 2009 (Joint Workshop on Information Security 2009)の学会でその詳細が公開されている。JWIS 2009のサイトでその論文「A Practical Message Falsification Attack on WPA 」の内容が確認できる。
鍵長が短く、通信中に鍵の内容が変化しないWEPは潜在的な脆弱性を抱えていることは早期から知られており、その数々の問題を解決すべく実装が行われたのがWPAでサポートされている「TKIP (Temporal Key Integrity Protocol)」という方式だ。
TKIPの暗号化方式自体はWEPと同じものだが、鍵長が長くなっているほか(128bit)、一定時間ごとに鍵の内容が変化し、さらにパケット改竄やアクセスポイント偽装に対抗するためにMIC (Message Integrity Check)という64bitのメッセージダイジェストが追加されている。
WPAは無線LANのセキュリティ標準であるIEEE 802.11iの実装の一部であるとされ、より強力な暗号方式であるAES (Advanced Encryption Standard)を搭載したWPA2をサポートする機器が、802.11i標準準拠の製品として市販されている。これが802.11i、WPA、そしてWPA2の関係だ。

これが本当なら超危険。。。

Twitterに深刻な脆弱性？　つぶやきを見ただけでアカウント乗っ取りの恐れ - ITmedia エンタープライズ

　Twitterには深刻な脆弱性があり、ユーザーが特定のつぶやきを見ただけでアカウントを乗っ取られてしまう恐れがある――。英国のSEO情報ブログにそんな情報が掲載された。
　この情報は、SEOサービスの専門家デビッド・ネイラー氏のブログに8月25～26日に掲載された。それによると、脆弱性はサードパーティーのアプリケーションに起因する。Twitterのつぶやきは、例えばTweetDeck、TwitterFox、HootSuiteといった専用アプリケーションから投稿することもでき、この場合は使われたアプリケーション名がつぶやきの下に表示される。
　しかしこの部分は、外部のアプリケーション開発者がTwitterのフォームに入力した内容がそのまま反映され、例えばHTMLコードやJavaScriptのscriptタグでさえも表示させることができてしまうという。これを悪用すれば、ユーザーを別のページに誘導したり、ユーザーのアカウント情報を変更させたり、フォロワーを削除するといったことができてしまうとブログ筆者は解説する。
　Twitterは、Webアプリケーション開発において、外部から提供されたデータを盲目的に信頼するという基本的な過ちを犯したと筆者は断言。Twitterでは指摘を受けて問題を解決したとしているが、同社の取った措置では解決になっていないとブログ筆者は反論している。

Chromeがバージョンアップしました。4件の脆弱性に対応したようです。

Google Chromeの2.0.172.43がリリース、4件のセキュリティ問題に対処 - ITmedia News

　米Googleは8月25日、ブラウザ「Google Chrome」の脆弱性を修正したアップデート版のバージョン2.0.172.43をリリースした。
　Googleのブログによると、Chrome 2.0.172.43では4件の脆弱性およびセキュリティ問題に対処した。このうち3件は、深刻度が4段階で上から2番目に高い「High」となっている。
　V8 JavaScriptエンジンの脆弱性は、Webページ上で細工を施したJavaScriptを使って悪用される恐れがあり、場合によってはデータが流出したり、攻撃者に任意のコードを実行されたりする恐れがある。
　libxml2にかんする2件の脆弱性では、攻撃者が不正なXMLを使ってGoogle Chromeのタブプロセスをクラッシュさせ、Sandbox内部で任意のコードを実行できてしまう。
　もう1件のセキュリティ問題は、MD2またはMD4のハッシュ関数アルゴリズムによる証明書を使うHTTPS（SSL）サイトの安全性が不十分だとして、アクセスできないようにする措置を取った。

Delphiを使ってる人は要注意ってことで・・・

Delphi汚染ウイルス、「Vector」「窓の杜」収録ソフトに感染確認 -INTERNET Watch

　オンラインソフトのダウンロードサイト「Vector」で公開されていた一部ソフトに、プログラム開発環境「Delphi」を狙ったウイルス「Induc」が感染していたことがわかった。Vectorが対策を実施した21日20時40分時点で公開されていたソフトのうち、1人の作者が開発した7タイトルに感染していたという。
　ウイルス感染が確認されたのは、「BellTheCat 3.60/3.61/3.62」（ダウンロード数14件）、「BOB 3.22」（同13件）、「Clips 8.61」（同15件）、「HiG（BeS Tools）4.00」（同28件）、「kOSU 1.41/1.42」（同13件）の7タイトル。いずれも1人の作者が開発したもので、7タイトルに含まれる12ファイルへのウイルス感染が確認された。
　また、24日1時20分、詳細な検査を実施した結果、23日まで公開されていた「PicBack」（同188件）と「PickBack2」（同29件）の2タイトル・2ファイル、6月16日から8月5日まで公開されていた「Wise Disk Cleaner 4 Free4」（同8423件）と「WiseRegistryCleanerFree」（同2517件）の2タイトル・7ファイルにも感染の疑いがあることが判明した。
　Vectorは収録するソフトについて、「ウイルスバスター」「ノートンアンチウイルス」「McAfee VirusScan」の3種類のセキュリティソフトでウイルス検査を実施した上で、公開していた。しかし、ウイルス感染が確認されたソフトは8月17日までに公開したもので、各セキュリティソフトのウイルス定義ファイルが当該ウイルスに対応したのが8月18日以降だったため、公開時には感染を確認できなかったとしている。
　また、感染の疑いがあるとしたソフトについては、Vectorが数十種類のスキャナーでウイルス感染の有無を調査したもの。Vectorによれば、一部のスキャナではウイルス感染の恐れがあるという結果が出たものの、「現時点では『ウイルス』と判断できるレベルの調査結果が出ていない」ことから、「感染の疑いがある」として発表したという。

Namazuって名前、久しぶりに聞いた。古いバージョンには脆弱性があるそうなので、対象の方はバージョンアップを。

古いNamazuを使っていませんか？　IPAが注意喚起 - ITmedia エンタープライズ

　情報処理推進機構（IPA）は8月20日、オープンソースの日本語全文検索システム「Namazu」のユーザーを対象に、バージョンアップを求める注意喚起を行った。既知の脆弱性を抱えた旧バージョンを使用しているサイトが多数あるという。
　IPAによると、2008年以降にインターネット利用者などから、脆弱性に対処したバージョンが公表されているが、Webサイト運営者がそのバージョンを適用していないのではないかという内容の届出が増加している

SQLインジェクションによるwebサイト攻撃が急増中だそうだ。気をつけねば。

SQLインジェクションによるウェブサイト攻撃が急増、IPAが対策を呼びかけ - ソフトウェア - ZDNet Japan

　独立行政法人情報処理推進機構（IPA）は8月17日、ウェブサイトの改ざんやウェブサイトからの機密情報の漏えいなど深刻な被害が頻発していることから、2008年5月に続き再度、注意喚起を発表した。
　IPAが公開している「脆弱性対策情報データベースJVN iPedia」について、2009年4月から7月までのアクセスログを「SQLインジェクション検出ツールiLogScanner」で解析したところ、2008年激増したSQLインジェクション攻撃が6月頃から再び急増していることがわかったという。攻撃と思われる痕跡は、4月の21件に対して7月は534件と、約25倍に増えている。また、ディレクトリトラバーサルの脆弱性を狙った攻撃も継続している。
　この現状からIPAは、ウェブサイト運営者に対し、ウェブサイトがどれほどの攻撃を受けているのか、また攻撃によって被害が発生していないか、常に状況を把握し対策を講ずることが必要と警告している。ウェブサイトの脆弱性を検査し、脆弱性がある場合は早急に脆弱性対策をするよう呼びかけている。
　現状の把握のために、IPAではウェブサーバのアクセスログ調査ができる無料ツール「iLogScanner」を配布している。このツールによって、ウェブサイトが日頃どれだけの攻撃を受けているか、また、攻撃が成功した可能性があるかを解析できるという。ただし、簡易ツールであるため攻撃が検出されなくても脆弱性が存在する可能性はある。

ちょっと気をつけないといけませんね。。。

ユーザーが制御できない「秘密cookie」、半数強のサイトが利用 - ITmedia News

　Adobe Flashを使ってネット上のユーザーの行動を追跡し続ける「秘密cookie」を利用するサイトが増えているという。米カリフォルニア大学バークリー校などの研究チームがこのほど論文を発表した。
　「Flash cookie」は通常のcookieとは異なり、ブラウザのセキュリティ設定ではコントロールできないという。研究チームが大手サイトによる同cookieの利用実態について調べたところ、調査対象としたサイトの半数以上がFlash cookieを使ってユーザー情報を保存していることが判明した。
　中にはユーザーが削除したHTTP cookieを、Flash cookieを使って復活させているケースもあった。しかしその存在についてはサイトのプライバシーポリシーでもほとんど触れられておらず、ユーザーがプライバシー設定をコントロールする手段は存在しないという。
　SANS Internet Storm Centerはサイトやニュースレターでこの論文について触れ、Flash cookieをブロックできるアドオンとして、Firefox向けの「Better Privacy」を紹介している。

えーっと、警戒しろと言われても何もできないんですが・・・

スパム業者のアドレス収集攻撃が多発、Symantecが警戒を呼び掛け - ITmedia News

　それによると、DHAは特定のドメインあてに無作為の件名や内容のメールを何通も送りつける攻撃のこと。受信側の電子メールサーバを通過したアドレスはすべて有効と見なされ、スパム送信用のアドレス帳データベースに登録されてしまう。
　DHAで収集されたアドレスにはスパムやマルウェアが次々に届くことになりかねない。さらに、攻撃により負荷が発生してメールサーバのシステムリソースを大量消費してしまう恐れもあるとして、Symatecは警戒を呼び掛けている。ckquote>

9件中緊急が5件だそうです。緊急多すぎ・・・

MS、8月の月例パッチを公開--「Office」「Windows」の緊急の脆弱性に対応:ニュース - CNET Japan

　Microsoftは米国時間8月11日、9件の修正パッチを公開した。そのうち5件は「緊急」レベルで、「Windows」などのソフトウェア製品の脆弱性を修正するものだ。
　9件のパッチは、Windows、「Windows .NET Framework」「Microsoft Office」「Microsoft Visual Studio」「Microsoft ISA Server」「Microsoft BizTalk Server」「Remote Desktop Connection Client for Mac」の19件の脆弱性に対処している。
　今回対応した脆弱性の中には、Microsoftが2009年7月に警告した、「Office Web Components」に関係する脆弱性も含まれている。同コンポーネントは、スプレッドシートやチャートなどのドキュメントをウェブ上に掲載するのに使用される。Microsoftは今回の発表で、この脆弱性を突いた攻撃をすでに確認していると述べた。影響を受けるのは、「Office XP」「Office 2003」「Internet Security & Acceleration Server 2004」および「同2006」「Office Small Business Accounting 2006」だという。

SSLが使えないならせめてこのぐらいはやれ、ということで。

JavaScript暗号化ライブラリ「jCryption 1.0」が登場 - SourceForge.JP Magazine

　jCryptionは、HTMLフォームデータ（POST/GET-Data）を暗号化するプラグイン。RSAアルゴリズムとjQueryを利用してクライアント側でデータを暗号化する。解読は、サーバー側でPHPを利用して行う。
　SSLがない状態でもデータを高速かつシンプルに暗号化できることが特徴だが、認証の機能がないことなどから、SSLの代わりにはならないとしている。土台レベルのセキュリティ提供を目指すという。
　「Internet Explorer 6」以上、「Mozilla Firefox 3」以上、「Opera 9」以上、「Safari 3」、「Google Chrome」で動作確認済みとのこと。
ｊCryption.org
http://www.jcryption.org/ Google Codeの「jCryption」プロジェクトページ
http://code.google.com/p/jcryption/

脆弱性の対応だけじゃなく、パフォーマンスの改善も行われているらしい。

Javaの更新版リリース、多数の脆弱性とバグを解決 - ITmedia エンタープライズ

　米Sun Microsystemsは8月4日、Javaの更新版となるJDK／JRE 1.6.0_15（6 Update 15）をリリースした。
　Java SE 6のリリースノートやSunのセキュリティブログによると、1.6.0_15では多数の脆弱性を解決するとともに、パフォーマンス改善などのバグ修正が盛り込まれた。脆弱性については8件のアラートを公開して詳しい情報を掲載する予定。
　JDK／JRE 5.0 Update 20、JDK／JRE 1.4.2_22、JDK／JRE 1.3.1_26もリリースされた。

まさかこんなのに騙される人もそうそういないとは思いますが・・・

Windowsのブルースクリーンに見せかけた画面でだますマルウェアが出現 - ITmedia エンタープライズ

　Windowsのブルースクリーンに見せかけた画面でユーザーをだまして有料のソフトを買わせようとする新手のマルウェアが見つかった。セキュリティ各社がブログで伝えている。
　米Sunbelt Softwareや英Sophosによると、このマルウェアはセキュリティソフトを装ったトロイの木馬の1種。感染するとWindowsの壁紙を変えてしまい、重大なトラブルが起きた場合に表示されるブルースクリーンに見せかけた画面を表示する。次いで英語の警告メッセージを流し、「あなたのコンピュータはスパイウェアに感染しています」などの文言で脅してシステムのスキャンを迫る。
　最終的には、マルウェアを削除するためと称して有料の偽セキュリティソフトを購入させられる。今回の手口ではブルースクリーンを使っているためだまされやすいが、Sophosなどはマルウェア作者の狙いが金銭をだまし取ることにあるのは明らかだと指摘している。

3件の脆弱性に対処したFirefox3.5.2がリリースされました。3件中2件は危険度が最高レベルですので早々にアップデートを！

Firefox 3.5.2がリリース、深刻な脆弱性に対処 - ITmedia News

　Mozilla Foundationは、Firefoxブラウザの更新版「Firefox 3.5.2」をリリースした。Mozillaのセキュリティアドバイザリーによれば、3件の脆弱性が存在し、このうち2件が危険度「最高」に分類している。
「証明書の正規表現パースにおけるヒープオーバーフロー」（MFSA 2009-43）の脆弱性は、悪用されると攻撃者に任意のコードを実行される恐れがある。ただし、Firefox 3.5にアップデートしていれば影響を受けないという。
　「SSLで保護された通信の情報漏えい」（MFSA 2009-42）の脆弱性では、SSLクライアントと、サーバ証明書を発行する認証局（CA）との間でドメイン名の扱いに食い違いがあることが発覚。攻撃者がクライアントとサーバ間の暗号化された通信を傍受したり、改ざんしたりすることができてしまう恐れがある。この2件の脆弱性は、MozillaのThunderbirdとSeaMonkeyにも影響する。
　残る1件（MFSA 2009-38）は、特定のSOCKS5プロキシからの応答受信にまつわるデータ破損問題に対処したもので、危険度は4段階で最も低い「低」となっている。

脆弱性を修正したリリースです。

深刻な脆弱性に対処：Adobe ReaderとAcrobatの更新版がリリース - ITmedia エンタープライズ

　米Adobe Systemsは7月31日、Adobe ReaderとAcrobatの最新版となるバージョン9.1.3をリリースし、深刻な脆弱性に対処した。前日にFlash Playerの更新版をリリースしたのに続く措置。
　Adobe ReaderとAcrobatの最新版では、9.1.2までのバージョンに存在するメモリ破損の脆弱性を解決した。この問題を突かれた場合、悪質なSWFファイルを組み込んだPDF文書をユーザーが開くと、攻撃者が任意のコードを実行できるようになる。
　AdobeはReaderとAcrobatのパッチを四半期に1度の定例公開とする方針を決め、6月から実行している。しかし、今回の脆弱性はAdobeが対処する前に情報が公開されてゼロデイ攻撃も発生していたことから、臨時パッチの公開に踏み切った。次回定例パッチは10月13日にリリースする予定。
　Adobe Reader 9.1.3とAcrobat 9.1.3は、Windows、Mac、UNIXの各OS版が用意されている。ReaderをAdobeのサイトからインストールした場合は、最初に立ち上げた時点でAdobe Updater技術を使って最新版に更新される。既存ユーザーはヘルプ画面から「アップデートの有無をチェック」をクリックして確認できる。

深刻度がそれほど高くないのに臨時でリリースした裏はなんだろ？？？

MS、29日に臨時パッチを緊急リリース - ITmedia エンタープライズ

　米Microsoftは7月28日（日本時間29日）に定例外のセキュリティ情報を公開し、Visual StudioとInternet Explorer（IE）の脆弱性に対処する2件の更新プログラムを配布すると発表した。
　セキュリティ対策センター（MSRC）のブログや事前通知情報によると、Visual Studioの更新プログラムは深刻度が4段階で上から2番目の「重要」レベル」。特定のアプリケーションに影響を及ぼす問題を解決する。
　IEの更新プログラムでは、このVisual Studioの問題を突いた攻撃に対抗するためIEに多層防御を施すとともに、それとは別の非公開で報告された深刻な脆弱性を解決する。最大深刻度は「緊急」レベルで、IE 8までの全バージョンが影響を受ける。
　Microsoftは、次回8月11日の月例アップデートを待たずに臨時パッチを公開する理由については明らかにしていない。

3.0.xのサポートは来年1月までだそう。まぁとっとと3.5系列に移行しろってことかな。

3.0.xのサポートは2010年1月まで：Firefox 3.0.12リリース、6件の脆弱性を解消 - ITmedia エンタープライズ

　複数の深刻な脆弱性を修正したFirefoxブラウザの更新版3.0.12が、7月21日付でリリースされた。Mozillaのセキュリティアドバイザリーでは、6件の脆弱性を修正したという。
　このうちの5件は、深刻度が4段階で最も高い「最高」に分類されている、setTimeoutのXPCNativeWrapper消失、SVG要素上でwatchと__defineSetter__を利用したクラッシュとリモートコード実行、フォントグリフ描画ライブラリにおけるヒープ・整数オーバーフロー、Flash Playerプラグインのアンロード時に生じるクラッシュとリモートコード実行、メモリ破壊の形跡があるクラッシュに対処した。
　また、Firefox 3.0.11で生じていたWindows XP上でJavaプラグインにアクセスする際にFirefoxが時折フリーズするという問題、Mac OS Xで特定のAppleScriptが適切な情報を返すのに失敗するという問題などが修正された。
　Firefox 3.0.11はWindows、Mac、Linux版が用意され、日本語版も公開されている。
　なおMozillaはFirefox 3.0.xのセキュリティと安定性に関するアップデートを2010年1月まで行うが、ユーザーに対しFirefox 3.5へのアップデートを推奨している

Firefox3.5.1がリリースされました。JavaScriptに関する深刻な脆弱性の修正ですので、早いうちに適用しましょう。

「Firefox 3.5.1」リリース、JavaScriptに関する深刻な脆弱性を修正 | パソコン | マイコミジャーナル

Mozilla Foundationは7月16日、Webブラウザ「Firefox」のバージョン3.5.1を公開した。セキュリティアドバイザリの重要度が"最高"となっていたJavaScriptに関する深刻な脆弱性が修正された。
14日にSecurityFocusにおいて、Firefox 3.5のJIT(Just-in-time) JavaScriptコンパイラが特定の場合に破損状態になる脆弱性が報告された。マルウェアのインストールなどゼロディ攻撃に悪用される可能性があったため、米国時間の14日にMozillaはセキュリティブログを通じて、JITを手動で無効化する一時的な回避方法を公開していた。v3.5.1へのアップデートにより、このJITの問題が解決する。
最新版ではまた、一部のWindowsシステムで起動に時間がかかる問題を解決、安定性に関するいくつかの修正が行われた。
Firefox 3.5.1は、Windows、Mac OS X、Linuxなどに対応。Mozilla JapanのWebサイトからダウンロードできるほか、旧バージョンをインストールしている場合は自動更新を通じてアップデートできる。

リリースされたばかりですが、早速脆弱性が発見されたそうです。パッチはまだ公開されていませんのでしばし注意が必要。

Firefox 3.5に未解決の脆弱性、悪質サイトで攻撃される恐れ - ITmedia エンタープライズ

　Firefoxブラウザ最新版の3.5に、未解決の深刻な脆弱性があることが分かった。開発元のMozillaやUS-CERTは概略を公表し、パッチが公開までに回避策を取るよう呼び掛けている。
　Mozillaのセキュリティブログなどによると、脆弱性はFirefox 3.5のJust-in-time（JIT） JavaScriptコンパイラに存在する。この脆弱性を突く悪用コードを仕込んだWebページをユーザーが閲覧すると、攻撃者が任意のコードを実行できる可能性がある。US-CERTによれば、この問題を突いたエクスプロイトコードが既に出回っているという。
　Mozillaは当面の回避策として、JavaScriptエンジンのJITを無効にする方法を紹介している。ただしこの措置を取るとJavaScriptのパフォーマンスが低下するため、脆弱性の修正パッチが公開されたら設定を元に戻すことが望ましい。これとは別に、セーフモードでFirefoxを実行する方法もあるという。

キングソフトから無償版が出たようです。新規参入だからノウハウ面でどうなの？とは思うものの、ホントに軽いならありかなぁと思うなり。

サクサク動く？：キングソフトがNetbook向け軽量セキュリティソフトを無償提供 - ITmedia +D PC USER

　キングソフトは7月15日、Netbook向けのセキュリティソフト「Kingsoft Internet Security U Service Pack 1 quick」（以下、KISU SP1 quick）を発表した。初期費用／更新料はともに無料（ただし広告が表示される）で、年度更新料が980円の有料版（広告なし）も用意される。
　KISU SP1 quickは、現行の「Kingsoft Internet Security U SP1」から「SecurityCare SP1」の機能を省き、スキャン速度やスキャン時のCPU占有率、メモリ使用量を低減しているのが特徴だ。また、SSDなどを搭載するストレージ容量の少ないNetbook向けに、インストーラやインストール後のファイル容量も抑えた。

今月は月例アップデートに間に合わなかった脆弱性が残っているので注意が必要です。

7月のMSパッチは緊急3件を含む計6件、DirectShowの脆弱性に対処 - ITmedia News

　米Microsoftは7月14日（日本時間15日）、計6件のセキュリティ情報を公開する。深刻度が最も高い「緊急」レベルはこのうち3件で、ゼロデイ攻撃が発生しているDirectShowの脆弱性などに対処する予定。9日の事前通知で明らかにした。
　緊急レベルの3件は、いずれもWindows関連の脆弱性を解決する。このうちDirectShowの脆弱性ではMicrosoftが5月にアドバイザリーを公開し、この問題を突いた「限定的な攻撃」が起きていることを認めていた。
　残る3件はいずれも「重要」レベル。Publisher、Internet Security Acceleration（ISA）、Virtual PC／Virtual Serverの脆弱性をそれぞれ解決する。
　なお、Microsoftは6日にもActive Xコントロール関連のゼロデイの脆弱性情報を公開しているが、こちらの修正パッチは今回の月例アップデートには間に合わなかった。Microsoftはアドバイザリーで紹介した回避策を取るよう、ユーザーに勧告している。

MT4.25以前のバージョンに脆弱性が見つかったらしい。バージョンアップしてる暇がないんだけど・・・orz

ブログシステム「Movable Type」に複数の脆弱性:ニュース - CNET Japan

　今回確認された脆弱性は、Movable Type 4.25 Enterprise およびそれ以前、Movable Type 4.25（Professional Pack、Community Pack を同梱）およびそれ以前、Movable Type Commercial 4.25（Professional Pack を同梱）およびそれ以前、Movable Type 4.25（Open Source）およびそれ以前のバージョンに存在する。
　この脆弱性が悪用されると、悪意ある利用者によって細工されたウェブページをユーザーが読み込んだ場合、ユーザーのブラウザ上で任意のスクリプトを実行される可能性（クロスサイトスクリプティング）や、アクセス制限を回避されることで任意の宛先へ不正にメールを送信される可能性、当該製品に保存されている情報を閲覧される可能性がある。シックス・アパートでは、これらの脆弱性を解消する最新版を公開しており、バージョンアップするよう呼びかけている。

脆弱性（バッファフロー）のパッチが含まれています。早々にアップデートを。

Google Japan Blog: Google Chrome: Stable/Beta リリース 2.0.172.33

Google Chrome の Stable および Beta チャンネルが 2.0.172.31 にアップデートされました。このリリースでは深刻なセキュリティ問題と 2 つのネットワーク関連の不具合を修正しております。
CVE-2009-2121: HTTP レスポンス処理時のバッファオーバーフロー
Google Chrome に HTTP サーバーからのある種のレスポンスのハンドリング時にバッファオーバーフローを引き起こす脆弱性があります。サーバーからのレスポンスに施された仕掛けによりブラウザをクラッシュさせ攻撃者に任意のコードを実行を許す可能性があります。

7件の脆弱性に対応したリリースです。アップデートのアラートが出るらしい。気がきいてますな。

Mozilla、Thunderbird 2.0.0.22をリリース - ITmedia エンタープライズ

　Mozillaは、メールソフトウェア「Thunderbird」の最新版となるバージョン2.0.0.22を公開。7件の脆弱性に対処した。
　Mozillaのセキュリティアドバイザリーによると、7件のうち「multipart/alternative形式のメッセージ表示で起きるクラッシュ」（MFSA 2009-33）は危険度が高く、影響度が「High」に区分けされている。このほかは、危険度が「Moderate」が4件、「Low」が2件。
　Mozillaはユーザーに対し、バージョンアップを呼び掛けている。Thunderbird 2.0.0.xを使っているユーザーには、24～48時間以内に自動アップデートのアラートが表示される予定。

ウイルスバスター2010のβテストが始まったそうです。
この手のテストでいつも思うのはβテスト版から製品版へのアップグレードが認められていなくて、、、ということ。参加する気が失せます。なんか良い方法考えてくれたら良いのにー（笑

ウイルスバスター2010（仮称）の公開βテストを開始 - ITmedia +D PC USER

　トレンドマイクロは6月22日、ウイルス対策ソフト「ウイルスバスター2010（仮称）」の公開βテストを開始した。
　ウイルスバスター2010（仮称）は、同社製ウイルス対策ソフト「ウイルスバスター」の最新版で、フィッシング詐欺や迷惑メールなど各種不正プログラムの侵入を事前に抑止する統合機能を搭載。また、Windows 7への対応もうたわれている。
　βテスト版の提供時期は2009年6月22日から7月10日まで。プログラムは8月15日まで利用が可能だが、ウイルスバスター2010製品版へのアップグレードはサポートされない。対応OSはWindows XP／Vista／7（いずれも日本語版）。

FF（ファイナルファンタジーではありませんｐ）の3.0.11が公開されました。深刻度の高い脆弱性の修正が含まれているので早急にバージョンアップすることをお勧めします。

Firefox 3.0.11が公開、9件の脆弱性を解消 - ITmedia News

　複数の深刻な脆弱性を修正したFirefoxブラウザの更新版3.0.11が、6月11日付でリリースされた。Mozillaのセキュリティアドバイザリーでは、9件の脆弱性を修正したという。
　このうちの4件は、深刻度が4段階で最も高い「Critical」に分類されている。JavaScriptクロームの特権昇格問題、イベントリスナー利用にまつわる任意のコード実行の問題、NPObjectアクセスに関する競合状態の問題、メモリ破壊の形跡があるクラッシュ問題に対処した。

ほんとにいたちごっこですな。。。

アドバイザリーが複数公開：QuickTimeに未パッチの脆弱性が存在か - ITmedia News

　デンマークのセキュリティ企業SecuniaとフランスのVUPENは5月25日までに、AppleのQuickTimeに関する未パッチの脆弱性情報について、アドバイザリーを相次いで公開した。
　両社のアドバイザリーによると、脆弱性はPICT画像の「0x77」タグを処理する際のエラーに起因する。悪用された場合、細工を施したPICT画像を開いたり、悪質なサイトを閲覧したりすると、ヒープベースのバッファオーバーフローが誘発され、アプリケーションがクラッシュしたり、リモートの攻撃者に任意のコードを実行されたりする恐れがある。
　この脆弱性は、Appleが5月12日のパッチで対処した脆弱性と関連があるという。QuickTimeの最新版である7.6までのバージョンが影響を受けるとされ、SecuniaとVUPENによれば、ベンダーの公式パッチはまだ公開されていない。

Chromeに脆弱性が2件見つかったそうです。Google社内で見つかったそうなので、この脆弱性で問題になる可能性は低いと思いますが、深刻度が高いものなのでとっととバージョンアップしておいた方が無難。

2件の脆弱性に対処：Google Chromeの更新版がリリース - ITmedia News

　米GoogleのChromeブラウザに新たな脆弱性が見つかり、更新版となるバージョン1.0.154.64が5月5日付でリリースされた。
　脆弱性は2件あり、いずれもGoogleの社内で発見されたという。このうち、ブラウザプロセスの入力値検証エラーに起因する脆弱性は、悪用されるとログオンしたユーザーの権限で任意のコードを実行される恐れがあり、深刻度は最も高い「Critical」となっている。
　もう1件の脆弱性は、Skia 2Dグラフィックスの整数オーバーフロー問題に起因し、悪用されるとGoogle Chromeのサンドボックス内で任意のコードを実行される可能性がある。深刻度は上から2番目に高い「High」となっている。
　今回のバージョンではセキュリティ問題のほか、Google Chromeがデフォルトのブラウザになっていない場合は起動時に告知が表示されるようになった。また、Webアプリケーションをオフラインで使うためのツール「Gears」も、更新版の0.5.16.0にアップデートされた。

ようやく手を打つ気になったらしいです。これで助かる人も多いんじゃないかと。

マルウェアの悪用に対処：Microsoft、AutoRunの設定変更を表明 - ITmedia エンタープライズ

　USBメモリなどのリムーバブルメディアを挿入するとコンテンツが自動的に実行されるWindowsのAutoRun機能がマルウェアに悪用されている実態を受け、MicrosoftはAutoRunの初期設定を変更する方針を決めた。セキュリティ対策センター（MSRC）などのブログで明らかにした。
　現在のWindowsは、USBメモリなどのリムーバブルメディアを挿入すると初期設定でAutoRunが実行されるようになっているが、この機能を悪用したマルウェアが今年に入って急増。世界中で猛威を振るったConfickerはその典型だが、ほかのマルウェアにも悪用されているという。
　これを防ぐため、MicrosoftはAutoPlayの動作に変更を加え、CDとDVD以外のリムーバブルメディアを挿入しても、AutoRunが実行されないようにする。これにより、USBメモリを挿入しても、AutoRunのタスクが表示されてコンテンツが自動的に実行されることはなくなるという。
　また、外部メディアのコンテンツが実行されている際はそのことがはっきり分かるよう、文言も変更する。
　Microsoftはセキュリティとリムーバブルメディアの使い勝手のバランスを取って今回の措置を決めたと説明。CD-ROMなど書き込みができないメディアは一般的にマルウェアに利用されていないため、現状通りAutoPlayで対応するのが妥当だと判断した。
　AutoRunの設定変更はまずWindows 7のリリース候補（RC版）に盛り込み、いずれWindows VistaとWindows XPの更新版もリリースする計画だとしている。

確かにこれはちょっと危ない。滅多に使わないけど覚えとこ（笑

QRコード〜人間には読めないURLの罠／知って得するドメイン名のちょっといい話 #9 | Web担当者Forum

QRコードは見ただけでは内容がわかりません。カメラで読み取ると、画面にはURLが表示されますが、これをしっかり確認してからアクセスする、という人は、いったいどのくらいいるでしょうか。ウェブサイトにアクセスした後も、URLを意識することは少ないと思います。PCと違って、携帯のブラウザーにはアドレスバーがありません。この「URLを意識せずにサイトにアクセスしてしまう」というところに危険が潜んでいるのです。
実際、街中の看板やポスターなどに第三者がQRコードを重ねて貼り、無関係のサイトにアクセスを誘引する、という事例があるようです。その看板やポスターの内容に関連するサイトだと思って気軽にアクセスしてみると、その飛び先は、アダルトサイトであったり、偽サイトであったり。そう、これは紛れもなく「フィッシング」です。目の前にあるQRコードで簡単にアクセスできると思い込んでいると、罠にはまってしまうことになります。
さて、この対策はどうしたらよいでしょうか。まず、サイト運営者としては、QRコードを表示してアクセスさせる場合には、URLも併せて表示しておくことです。QRコードを読み取った時に画面に表示されるURLと同じかどうかユーザーが確認できるようにしておくことで、無関係のサイトに飛ばされるリスクが減少します。また、この効果を高めるためには、URLをシンプルにすることが有効です。ドメイン名だけの短いURLなら、確認も容易になります。
QRコードなら、URLが見えないから、どんなURLでもいいや、というわけではないのです。QRコードを利用するからこそ、URLとドメイン名はより一層重要なものとして考えるべきでしょう。
そして、もちろんアクセスするユーザーの立場であれば、QRコードを読み取った時に画面に表示されるURLを、きちんと意識することが必要です。

Google Chromeに深刻な脆弱性が見つかったそうです。対策版がすでにリリースされていますので早めにバージョンアップを！

任意のコマンド実行の恐れ：Google Chromeに深刻な脆弱性、アップデートで対処 - ITmedia News

　セキュリティ企業のSecuniaとフランスのVUPEN Securityは2月9日、GoogleのChromeブラウザに関する脆弱性情報を公開した。
　それによると、脆弱性はChromeによるURIハンドラの登録方法が適切でないことに起因する。この問題を悪用すると、攻撃者が任意のコマンドライン引数を挿入し、細工を施したWebページをユーザーに閲覧させることで任意のコマンドを実行できる恐れがある。
　深刻度はSecuniaが5段階評価で上から2番目に高い「Highly critical」、VUPENは4段階評価で最も高い「Critical」となっている。
　Google Chromeのリリースノートによると、この脆弱性に対処したバージョン1.0.154.48は2月3日付でリリース済み。同時にHotmailの不具合解消に関して1つ前のバージョンで生じた問題も修正したという。

あの手この手で仕掛けられますが、世の中そんなに甘くないってことを分かっていればそうそう引っ掛かるものではないような。。。

甘い言葉でだます：新たな展開を見せたTwitterフィッシング詐欺――餌はiPhone - ITmedia エンタープライズ

　最初の攻撃に関する警告は1月3日、Twitterブログに掲載された。この攻撃では、Direct Messagesに関するTwitterからの通知を装った電子メールを送りつけるという手口が用いられた。Twitterによると、この攻撃で送られた電子メールは「面白いブログがあるのでチェックしてごらん。君のことが書いてあるよ」といった文面のものが多く、偽のTwitterログインページへのリンクが含まれているという。
　Twitterの認証情報の盗難による被害は今のところ最小限にとどまっているようだが、今回の攻撃に見られるように、大規模なサイバー詐欺でこういった認証情報がソーシャルエンジニアリング目的で利用される可能性もある。「それに加え、多くの人々は、自分がアクセスするすべてのWebサイトに対して同じパスワードを使っている」とクルーリー氏は指摘する。

4週間遅れですが、脆弱性の指摘されているMT4.22からMT4.23にアップグレードしました。
システムのファイルを入れ替えてさっくり終了。

Six Apart - Movable Type News: [重要] セキュリティアップデート Movable Type 4.23 の提供を開始

Movable Type においてクロスサイトスクリプティングによる脆弱性が確認されました。この問題に対処するため、Movable Type の修正バージョンを公開致します。脆弱性の修正バージョンとなりますので、アップデートを推奨致します。

ぼちぼちちゃんと考えないとやばそうだな・・・

依然猛威を振るい続けるUSBワーム、今一度脅威の再認識を | トレンドマイクロ セキュリティ ブログ （ウイルス解析担当者による Trend Micro Security Blog）

■USBワーム対応策のまとめ
　USBワーム対策の適切な順序は以下となります。

1. 脅威を理解し、適切なポリシーを設定・運営する
2. ウイルス対策製品・OS・その他製品を常に最新の状態し必ず手動検索を行う
3. 自動実行を禁止する/「Autorun.inf」フォルダを作成しておく/Shiftキーを押して挿入する

メモ。

Windows Update／Microsoft Updateの主なエラー番号別対処方法－ ＠IT

ここ一週間ぐらいの話ですが、spamメールが激減しています。まぁ、日本語以外のもの限定の話ですが。
迷惑メールの流通量が75％減、悪質業者に対するネット遮断が奏功
上流ISPが訴えに応じて遮断、ボットネットの司令塔を多数つぶした
とかいうのが影響してたりするのかな？

修正版が公開されているので、使われている方は早々にバージョンアップを。

Mozilla製品に複数の脆弱性、修正版が公開:ニュース - CNET Japan

　影響を受ける製品とバージョンは、Firefox 3.0.4未満、Firefox 2.0.0.18未満、Thunderbird 2.0.0.18未満、SeaMonkey 1.1.13未満となっており、12件の脆弱性が公開されている。この中には、遠隔の第三者によって任意のスクリプトを実行されるものや、サービス運用妨害（DoS）攻撃を受けるものなどがある。
　これらの問題は、Mozillaが公開したFirefox 3.0.4、Firefox 2.0.0.18、SeaMonkey 1.1.13にバージョンアップすることで解消される。

自動保存でリアルタイム公開されるって何・・・

ネットの逆流（2）：Googleマイマップ、自動保存でリアルタイム公開の怖さ (1/3) - ITmedia エンタープライズ

　Googleマップのマイマップでは、公開範囲を「一般公開」と「限定公開」から選択できると前回紹介した。新しい地図を一般公開で作成すると、少々驚くことが起きた。新しい地図を作成している途中にもかかわらず、その情報は既に広いインターネットの世界に公開されているのである。「保存」ボタンを押すこともない。自動保存なのである。

誤ってシステム関係のdllを消してしまうことがあるらしい。
まぁこれを読めている人は問題ないんでしょうけど、XPのインストールCDから起動して～って普通の人はできないですよね。そもそも不具合が出たら対処方法にたどり着く手段がないでしょうし・・・

「AVG」でシステムファイル誤検出、Windows XP起動不能のトラブル

　AVG Technologies社製のウイルス対策ソフト「AVG」をWindows XPで使用していたユーザーの一部で、ウイルス定義ファイル更新後、システムファイル「user32.dll」を誤検出し、Windows XPが起動不能になるトラブルが発生していたことがわかった。
　AVG日本公式サイトでも11日付でこの問題を公表。さらに12日現在の対応状況として、ウイルス定義ファイルの修正は完了しており、アップデートしても問題は発生しないと13日付で発表した。なお、この問題が報告されているのはオランダ語版、フランス語版、イタリア語版、ポルトガル語版、スペイン語版のみで、日本語版での報告はないという。
　公式サイトでは、製品版の「AVG 8.0」「AVG 7.5」、無料版の「AVG 8.0 Free Edition」「AVG 7.5 Free Edition」について、問題が発生した場合の修復手順をそれぞれ説明している。Windows XPのインストールCDから起動後、コマンド入力により、まず「AVG常駐シールド」を無効化、さらにuser32.dllを復元。再起動した後、AVGの最新ファイルをインストールし、常駐シールドを再度有効化するという流れだ。

Googleのサーバから情報が削除されるまでに時間がかかることが原因とか言ってますが、そんなアホなという気がしないでもない・・・

Google「マイマップ」、削除しても情報が残る問題　「早急に対応する」 - ITmedia News

　一般公開されたマイマップの情報は「Googleの数千、数万というサーバに格納されている」（グーグルの広報担当者）ため、限定公開に変更したり、情報を削除した場合も、全サーバから情報を削除するのに時間がかかり、検索結果に表示され続けることがあるという。同社は「時間がたてば表示されなくなる。タイムラグがなくなるよう今、必死でトライしている。なるべく早く対応していく」としている。

Googleマイマップで一般に公開したくない情報を公開してしまった、というネタで問題になっているのは記憶に新しいところですが、どうやらそうなった時に情報を消そうとしても消えない、というか消しても情報が復活しちゃうなんていうカオス状態のバグがあるらしい。
誤って公開している間にキャッシュ取られたりしますし、やっぱり情報の公開は慎重にしましょうね、というところだろうか。。。

高木浩光＠自宅の日記 - 緊急周知 Googleマイマップの削除で残骸が生じて消せなくなる欠陥, 残骸ではなく復活している模様（7日追記）

Googleマップの「マイマップ」機能で、秘密にしなければならない情報を利用者が誤って登録していた事故が立て続けに発覚しており、各地でマップ作成者の割り出しと作成者による削除の作業が行われているところと思われるが、Googleのシステムには不具合（バグ、欠陥）があり、削除不能に陥ってしまう場合が少なくない頻度で発生していることがわかった。削除作業を行う場合には注意が必要である。

深刻な脆弱性に対応したAdobeReader8.1.3とAcrobat8.1.3がリリースされました。8.1.2を使っている人はとっととアップデートしましょう。

Adobe、ReaderとAcrobatの深刻な脆弱性に対処 - ITmedia エンタープライズ

　Adobe Reader 8とAcrobat 8に深刻な脆弱性が見つかった。悪用されるとアプリケーションがクラッシュしたりシステムを制御されたりする恐れがあり、Adobeはユーザーへアップデートを適用して、脆弱性を修正するよう求めている。
　Adobeのアドバイザリーによると、脆弱性はAdobe Reader／Acrobat 8.1.2以前のバージョンに存在する。なお、Adobe Reader 9／Acrobat 9は影響を受けない。
　脆弱性は入力値検証エラー、JavaScriptメソッドの入力値検証問題、Download Managerの入力値検証問題など複数あり、悪用されるとリモートからコードを実行されたり、サービス妨害（DoS）状態を誘発されたりする恐れがある。
　AdobeはAdobe Reader 8.1.3とAcrobat 8.1.3でこれら脆弱性に対処した。Reader 9／Acrobat 9へアップグレードできないユーザーは、8.1.3のアップデートを適用するよう促している。

先週緊急レベルのセキュリティパッチ、MS08-067がリリースされたばかりですが、これで修正された脆弱性を突く攻撃コードが確認されたそうです。MS08-067を適用していない人はお早めに。

MS、Windowsの脆弱性突く新たな攻撃コードを確認 - ITmedia News

　米Microsoftは10月27日、先週パッチをリリースしたWindowsの脆弱性を悪用する新たな攻撃コードが公開されたことを確認したと報告した。
　このコードは、問題の脆弱性を悪用してリモートでコードを実行するもの。この脆弱性を悪用するコードは既にほかにもインターネットに出回っていたが、今回のコードとは異なり、リモートコード実行ではなくサービス拒否（DoS）攻撃を起こすものだった。
　27日にMicrosoftが確認したコードはWindows Server 2003、Windows XP、Windows 2000に影響するが、先週のパッチを適用したシステムでは動作しない。

これ、とっても良さそう。

窓の杜 - 【NEWS】VistaのUAC機能を丸ごと置き換えてイライラを解消できる「Norton UAC Tool」

　米Symantec Corporationは、Windows VistaのUser Account Control機能（以下、UAC）を丸ごと置き換えて、ダイアログによる承認作業を省力化できるソフト「Norton UAC Tool」を公開した。Windows Vista/Vista x64に対応するフリーソフトで、テスト目的でのみ利用可能。現在、同社のラボサイト"Norton Labs"からダウンロードできる。なお、本ソフトは試験的に公開されており、バックアップなどを取ったうえで十分注意して利用してほしい。
　UACとは、ウイルスや不正な操作などによって、ユーザーが知らないうちにソフトが実行されてしまうことを防ぐWindows Vistaの新機能。ソフトがインストールされようとしたり、"Windows"フォルダなどの重要なフォルダへのアクセスがあると、デスクトップ全体が暗くなり、実行中の操作がユーザーの意図したものであるかどうかを確認するダイアログが表示され、ユーザーが承認しない限り操作が完了しない仕組みになっている。
　UACの確認ダイアログは、ソフトのインストール時や一部ソフトの起動時などに頻繁に現れるのでついつい面倒になり、確認もせずに承認してしまう人や、UAC自体をOFFにしているユーザーも多いだろう。しかし、それではせっかくのセキュリティ機能が無意味になってしまう。
　「Norton UAC Tool」は、そのようなWindows Vista標準のUACに対する不満を解消してくれるソフト。Windows Vista標準のUACを丸ごと置き換えて、代わりに本ソフトが専用の確認ダイアログを表示する。
　特長的なのが、確認ダイアログ上にある［Don't ask me again］チェックボックスで、これをONにすると次回からは同じ操作の際は自動で承認作業が行われる仕組み。安全だとわかりきっている操作の際にONにしておけば、以後は面倒な承認作業をスキップできる。また、Windows Vista標準のUACは起動に時間がかかることがあるが、本ソフトによるUACは高速に起動し、あまり待たされることがないのもよい。
　さらに、確認ダイアログ上では、UACが起動した原因が一目で確認できるのもうれしい。たとえば、デジタル署名のないソフトをインストールしようとした際は"Not signed"とダイアログ右側に表示されるなど、『なぜUACでの承認作業が必要なのか』を理解することができる。意味もなく面倒な作業をさせられるのは苦痛だが、UACの必要性を理解すればその面倒さも多少は緩和されるだろう。

なんて可能性があるらしいです。嫌な時代になったもので・・・

キーボード打鍵時の電磁波で情報漏えい、スイスの研究者が実証

　キーボードを叩く際に放射される電磁波を傍受することによって、情報が実際に漏えいすることが実験によって証明された。スイス連邦工科大学のMartin Vuagnoux氏とSylvain Pasini氏が実証実験によって示したもので、同大学のSecurity and Cryptography Laboratory（LASEC）が20日に発表した。
　実験では、2001年から2008年に製造された11種類の有線キーボード（USB、PS/2、ノートPC）が用いられた。キーを打つ際に電子部品からは微弱な電磁波が放射される。この電磁スペクトルを傍受・解析することにより、最大で20メートルの距離から、また隣室で壁によって隔てられていてもキーボードで打った文字を再現できることがわかった。4種類の攻撃方法が編み出されたが、実験対象となった11種類のキーボードすべてにおいて、そのいずれかの方法で傍受が成功したという。
　この実験の結論として、有線キーボードは設計する際のコスト削減圧力が強いため、電磁波を放射すると結論付けている。今回の実験では、非常に安価な機器しか使用されていないため、「攻撃手法をさらに改良できることに疑いの余地はない」としている。
　この攻撃手法についての論文は現在、会議で発表する前の査読中だと説明しているが、攻撃実験の模様が動画で公開されている。動画ではわずか1メートルのワイヤーをアンテナ代わりに使って、キーボードで打ち込んだ文字を解析し、表示してみせる様子が映し出されている。
　過去の研究では、キーボードのクリック音によって情報が漏えいすることや、ディスプレイの電磁放射から情報を読み取れることが判明していた。今回の結果は、キーボードからの情報漏えいの危険性を実証できたことに大きな意義があり、今後セキュリティの研究に大きな影響を与えると考えられる。

YahooMessengerとAOLインスタントメッセンジャーに脆弱性が見つかったそうです。
パッチがリリースされるまで気をつけましょう。

Yahoo MessengerとAIMにゼロデイ攻撃の脆弱性 - セキュリティ - ZDNet Japan

　YahooおよびAOLのインスタントメッセンジャー（IM）サービスに、ゼロデイ攻撃につながるエクスプロイトコードが発見され、頻繁にIMを利用するユーザーは、新種の攻撃を受ける危険にさらされる恐れがある。
　あるノンベンダーが発見した「Yahoo Messenger」の脆弱性を狙う2種類のエクスプロイトコードが、米国時間9月19日にリリースされた。この脆弱性は、Yahoo Messengerで発見されたセキュリティ上の不具合としては、ここ数カ月間で3番目のものである。現在、これらのエクスプロイトコードの回避方法や適用パッチはリリースされていない。
　別のノンベンダーが発見した「AOL Instant Messenger」の脆弱性は、新しいIMの受信を通知する機能を悪用する。セキュリティベンダーのSecuniaは、現在、AIMを使っているユーザーに対して、パッチがリリースされるまで、このオプション機能をオフにするように勧告している。

クロスサイドスクリプティングによる脆弱性があったそうで、修正バージョンとなるMT4.22がリリースされています。

Six Apart - Movable Type News: [重要] セキュリティアップデート Movable Type 4.22 の提供を開始

Movable Type の管理画面において、クロスサイトスクリプティングによる脆弱性が確認されました。この問題に対処するため、Movable Type の修正バージョンを公開致します。脆弱性の修正バージョンとなりますので、アップデートを強く推奨致します。

早くアップデートが出ないかしら・・・

"クリック乗っ取り"の脅威が現実的に - Adobeが対策を公表 | ネット | マイコミジャーナル

Adobeが7日に公開したFlash Playerの対策方法は、グローバルプライバシー設定で「常に拒否」を選択するというもの。これによりカメラとマイクへのアクセスへの許可を求めるダイアログが現れず、アクセスが常に禁止される。対象となるのは、現在の最新版であるAdobe Flash Player 9.0.124.0と以前のバージョンとなっている。これは一時的な対策であり、「クリックジャッキング問題を根本的に解決するFlash Playerのアップデートを10月末までに提供する計画だ」としている。

だそうです。持っている方は速やかに対応を。

ASUSTeK、「Eee Box」にウィルス混入 - 無償交換を実施 | パソコン | マイコミジャーナル

ASUSTeKは、10月2日より国内向けに発売しているミニパソコン「Eee Box」において、内蔵ドライブにウィルスが混入している可能性があることを発表した。製品の回収を進めるとともに、購入済みユーザーに対しては無償交換を実施する。
混入の可能性があるウィルスは、内蔵Dドライブ内の「Recycled.exe」で、Dドライブを開くと感染が始まる。Dドライブだけでなく、Cドライブ(レジストリ含む)、その他接続したリムーバブルドライブにも感染が拡がる恐れがあるため、USBメモリ、SDカード等の記憶装置を接続しないよう呼びかけている。

■ウィルスが混入している可能性がある製品型番、UPCコード
型番	UPCコード
EEEBOXB202-B	610839761807
EEEBOXB202-W	610839761814
EBXB202BLK/VW161D	610839530526
EBXB202WHT/VW161D-W	610839531202
EBXB202BLK/VK191T	610839547753

購入済みユーザーに対する無償交換は、こちら(http://www.asus.co.jp/news_show.aspx?id=12964)の同社告知ページ内に表記されている電話サポート窓口ならびにインターネット問い合わせフォームを通して行われる。

新機能の搭載はもういいから、安定して稼働するようにして・・・

トレンドマイクロ、セキュリティソフトの新機能は尽きず | BCNランキング

──過去のタイトルに比べ今回は新機能が少ない。セキュリティソフトに載せる機能は出尽くしたのか。
　そんなことはない。搭載したい機能はまだある。ただ、機能を多く搭載するほど、PCにかかる負荷が大きくなりPCのパフォーマンスを下げかねない。PCのパフォーマンスを維持するのと、複数の機能を搭載することは相反する。そのバランスを取りながら新機能を載せている。
　エンドユーザーを対象に行った独自調査データによれば、日本のユーザーがセキュリティソフトに期待している項目の上位は、「高い不正プログラム検知率」「PCのパフォーマンスに負荷をかけない設計」、そして「個人情報保護対策」だった。新版ではこうしたユーザーの要望をもとに開発した。IDやパスワード入力の暗号化機能やメモリ使用量の45％削減はその代表例だ。

またやられたようです。。。

Microsoftの強化型CAPTCHAも破る新手のボット出現 - ITmedia News

　MicrosoftがWebメールサービス「Hotmail」に実装している強化型のCAPTCHAを破り、自動的にアカウントを作成できるボットが出現したと、セキュリティ企業のWebsenseが伝えた。
　Websenseは以前から、MicrosoftのLive MailやLive Hotmail、GoogleのGmail、Yahoo MailなどのCAPTCHAが破られ、ボットを使って攻撃用アカウントが自動登録されていると警告していた。
　Microsoftはこうした攻撃を阻止する狙いでCAPTCHAシステムの複雑化を図ったが、その取り組みは失敗したとWebsenseは言う。
　新手の攻撃ではボットによって制御されたマシンにホストから命令を送り、テンプレートに従ってCAPTCHA破りと新規アカウント登録を実行させる。Live Hotmailアカウントの作成に成功する確率は10～15％。登録に成功すると、そのアカウントを使ってさまざまなスパムメールを送信する。
　この攻撃は、マルウェア作者とスパム業者が手を組んで戦略的に攻撃を強化していることを物語るものだとWebsenseは分析している。

と言うことでとっととアップデートしましょう。

Firefox更新版リリース、複数の脆弱性に対処 - ITmedia エンタープライズ

　Mozilla Foundationは9月23日、Firefox 2とFirefox 3のセキュリティアップデートを公開し、複数の脆弱性に対処した。ユーザーに早期適用を促している。
　Firefox 3.0.2では5項目の脆弱性を修正した。このうち、深刻度が最も高いのは「メモリ破壊の形跡があるクラッシュ」（MFSA 2008-42）と「XPCnativeWrapper汚染を通じた特権昇格」（MFSA 2008-41）の2件。いずれも悪用されると、任意のコードを実行される可能性がある。ThunderbirdとSeaMonkeyにも同じ問題が存在する。
　Firefox 2.0.0.17ではこの2項目を含め、計9項目の脆弱性に対処した。なお、MozillaはFirefox 2のユーザーに対し、Firefox 3へのアップグレードを勧告している。

またまたセキュリティネタですが、これは気づきにくいので注意が必要ですね・・・

本物のサイトにログインできるフィッシング詐欺 - ITmedia エンタープライズ

　通常、銀行などのサイトを装ったフィッシングサイトにログイン情報を入力すると、「パスワードが違います」といったエラーメッセージが表示され、ログインはできない。ユーザーはこの時点でフィッシングの被害に遭ったことに気付く可能性がある。
　だがFaceTimeのセキュリティ研究者クリストファー・ボイド氏が新たに発見したフィッシングサイトでは、偽のログインページから正規のサイトにログインできてしまう。ログイン後、通常と同じように正規のサイトを利用できるため、フィッシングに遭ったことに気付きにくいと同氏は指摘している。
　同氏が発見したのは、人気仮想世界「Habbo Hotel」の偽ログインページ。このページにログイン情報を入力したところ、本物のHabbo Hotelサイトにログインするための隠しコードを含んだWebページに転送されたという。
　同氏は本物のHabbo Hotelサイトにログインしたが、パスワードなどの情報は盗まれた。「ログインしようとしたときから実際にログインしたときまで、通常の手続きに何の中断もなく、フィッシングに遭ったことを示す兆候はなかった」と同氏は語り、この手口が銀行サイトのフィッシングに利用されたら、ユーザーがフィッシング対策製品を使うことがさらに重要になるとしている。

本物のDoCoMoなら、当然個人情報は分かってるはずでそんなことを店舗外で質問してくるわけがないのに未だに引っ掛かる人がいるようですね。電話でそんなこと聞いても免許証とかで確認できるわけでもないし、ちょっと考えたら不信感山盛りだというのに。。。

ドコモをかたるフィッシング詐欺が再発か - ITmedia エンタープライズ

　NTTドコモは8月26日、同社をかたった料金の架空請求や個人情報を聞き出すといった行為が増加しているとして注意を呼びかけた。
　同社によると、ユーザーなどの個人宅に「NTTドコモです。未納料金がありますので、ガイダンスに従って操作してください」という自動ガイダンスの着信があり、自動ガイダンスが指定する番号（9番)を押すと、同社の社員と称して不正に個人情報を聞き出す手口が増加している。
　さらに、同社をかたって料金の未払いを振り込むように促す手口や不審者が電話で個人情報を尋ねる、加入者あての携帯電話に「確認したいことがありますのでお電話下さい。コールセンター しま」という内容のショートメッセージが送信されるといった手口も見つかっている。

9.5.0173以前のバージョンで機能停止のおそれがあるそうです。使っている人は早々にバージョンアップを。

IPAが注意呼びかけ：ソースネクストの「ウイルスセキュリティ」に脆弱性　機能停止状態に - ITmedia エンタープライズ

　情報処理推進機構（IPA）は8月12日、ソースネクストのウイルス対策ソフトウェアに外部からの攻撃で機能が停止する脆弱性が含まれているとして、注意を喚起した。
　脆弱性が見つかったのは「ウイルスセキュリティ」および「ウイルスセキュリティZERO」。ファイルのスキャン処理の際に、細工された圧縮ファイルを適切に処理できないために、サービス停止（DoS）状態になるというもの。悪用されるとスキャン処理が停止し、ウイルスの検知ができなくなる。
　いずれも「バージョン9.5.0173」以前の製品において脆弱性が存在する。最新版の「バージョン9.5.0227」では脆弱性を解消している。IPAは最新版へのアップデートを呼びかけている。

したそうです。

グーグル、暗号化ツールキットをオープンソースで公開 － ＠IT

　Keyczarは、さまざまなアプリケーションに暗号化機能を組み込むための、開発者向けのツールキット。秘密鍵と公開鍵の両方による暗号化／認証機能をサポートし、鍵のバージョン管理システムも備える。公開時点ではJavaおよびPythonで実装されており、まもなくC++もサポートされる予定だ。
　一般にアプリケーションに暗号化機能を組み込む場合には、適切なアルゴリズムや鍵長、ローテーションなどについて開発者がきちんと考慮しないと、想定通りのセキュリティレベルが得られない。しかしKeyczarの場合は、鍵のバージョン情報から得られるアウトプットに自動的にタグ付けし、デフォルトで安全な方を選択することにより、こうした作業を抽象化。ソースコードに変更を加えたり、後方互換性を考慮することなく、鍵のローテーションや廃棄といった作業を行えるという。

Twitterに偽装されたプロフィールが掲載され、うっかりクリックするとトロイの木馬を仕込まれる懸念があるそうな。Twitterもそれだけメジャーな存在になってしまった、ということだろうか・・・

Twitterにセキュリティ懸念--トロイの木馬へのリンクや、自動追跡の脆弱性：ニュース - ZDNet Japan

　Kaspersky Labは、一般ユーザーのコンピュータに感染することを唯一の目的として作成された、偽のTwitterプロフィールを発見した。
　Kaspersky Labのブログ「Viruslist.com」によると、「かわいいウサギ」を意味するポルトガル語の偽名で作成されたこのプロフィールは、ポルノビデオを思わせるリンクを掲載しているが、このリンク先の正体は、MP3ファイルを装ってマシンからデータを盗むトロイの木馬ソフトウェアだという。
　「リンクをクリックすると、ビデオを視聴するのに必要であるとして、『新バージョンのAdobe Flash』と称するものの自動ダウンロードの進捗を示すウィンドウが現れる。ダウンロードが終わると、マシンにAdobe Flashという（偽の）ラベルが付いたファイルが保存される。この手口は、現在非常によく使われている」と、同ブログは述べている。
　この攻撃は危険だ。というのも、これにはプログラミング技術が不要なうえ、Googleの検索エンジンで上位にランキングされれば容易に広がる可能性があるためだ。Googleは保護されていないTwitterプロフィールをインデックスするので、検索結果の上位に表示されることも実際に起こり得る。
　Twitterが直面するセキュリティ上の問題はこれだけではない。研究者のAvi Raff氏は米国時間7月31日、Twitterのセキュリティ問題を専門に扱うサイト「Twitpwn」を立ち上げた。

次々新手のが出てきますね。ほんときりがない。。。

Microsoft装うスパム、IE 7をエサに - ITmedia エンタープライズ

　Microsoftを装ってInternet Explorer（IE）7を宣伝するスパムが出回っているとして、米IM企業FaceTime Communicationsのセキュリティ研究者が注意を促している。
　このスパムはMicrosoftからのメールマガジンをかたり、受信者にIE 7をダウンロードするよう呼び掛けている。受信者がスパム内のURLをクリックすると、IE 7ではなく偽のセキュリティソフトがダウンロードされる。
　このソフトは、不正なプログラムに感染したという偽の警告メッセージを表示し、セキュリティソフトを購入するよう迫る。さらに、偽ブルースクリーンを表示するMicrosoftのスクリーンセーバーを使ってユーザーを脅し、「画面のプロパティ」でスクリーンセーバーを元に戻せないようにする。
　最近、この偽セキュリティソフトをダウンロードさせようとするCNNニュースを装ったスパムも出回っており、FaceTimeの研究者は気をつけるよう呼び掛けている。

Adobe Flash Playerの脆弱性を突いてウイルスに感染してしまうことがあるらしい。とりあえず最新版にバージョンアップを、とのこと。

ブラウザ経由の攻撃に注意：Flash Playerの利用は最新版を――IPAが呼びかけ - ITmedia エンタープライズ

　IPAは、Webブラウザのプラグインとして利用されることの多いFlash Playerの脆弱性を突いてユーザーのマシンにウイルスを感染させようとする悪質サイトの存在を指摘。脆弱性を放置した状態では、悪質サイトを閲覧しただけでウイルスに感染してしまう。
　Flash Playerなどのプラグインソフトは、PC購入時から既にブラウザにインストールされていることが多く、ユーザーが意識せずに利用している場合が多い。また、自動更新機能のないものや、Webブラウザのバージョンアップの際にプラグインソフトの更新を見落してしまうケースも多い。
　IPAでは、WebブラウザにインストールしているFlash Playerのバージョンを小まめに確認して、最新バージョンを利用するように注意を促している。

ちょっとした改良で70％も減るのか。期待して良いのだろうか？

ウイルスバスターに新エンジン、メモリ使用量を最大70％削減へ － TechTargetジャパン

　従来のクライアント／サーバ対策製品向け検索エンジンは、パターンファイルすべてをカーネルメモリに展開して処理を行っていたが、VSAPI 8.9ではパターンファイルに含まれる不正プログラムの有無の確認に使用する情報だけをカーネルメモリに展開。不正プログラムの確認時には、パターンファイルから処理に必要な情報のみカーネルメモリに展開するため、平常時のVSAPIのカーネルメモリ使用量を最大70％削減するという。

たぶんこれ、大手企業の診断結果なんだろうから中小まで入れたらとんでもない数字が出てきそうな・・・
まぁ何にせよ気をつけないとヤバイぞ、と言うことで。。。

不正アクセス可能な企業サイトは41％――セキュリティ診断結果 - ITmedia エンタープライズ

　パスワードや個人情報、口座残高や注文履歴など、正規のユーザー以外はアクセスが制限されるべき「重要情報」に不正アクセスできるWebサイトは41％あった。重要情報の漏えいにつながる可能性があるサイトは30％、危険度の高い問題が発見されなかったサイトは29％だった。
　セキュリティ診断を初めて受けた企業のサイトのうち、重要情報に不正アクセスできたのは54％、情報漏えいにつながる可能性があったのは39％。診断を受けたことがある企業の場合は、重要情報に不正アクセスできたのは35％、情報漏えいにつながる可能性があったのは33％だった。

早ければ5分10分で乗っ取られるらしいので要注意ですね。

緊急対応を：DNS脆弱性を突く悪用コードが公開 - ITmedia エンタープライズ

　DNSプロトコルに関する脆弱性問題で、7月22日にこの脆弱性に関する詳細情報が流出したが、この情報を基に作成したとみられる悪用コードがすでにインターネット上で入手可能になっているもようだ。US-CERTやJPCERT コーディネーションセンターが警戒を呼びかけている。

WindowsVistaのネットワークでの認証レベルを変更するフリーソフトがあるそうです。

窓の杜 - 【REVIEW】Vistaのネットワーク認証レベル変更「LAN Manager 認証レベル チェンジャー」

　Windows Vistaでは、一部の古いNASに接続できないことがある。これは、NASがWindows Vistaの新しいネットワーク認証方式である"NTLMv2"に対応していないことが原因であることが多い。その場合は、Windows Vistaの"LAN Managerの認証レベル"を下げる必要があるが、これはレジストリや"ローカル セキュリティ ポリシー"の設定を編集する必要があり、慣れないユーザーにとっては敷居が高い。そこで本ソフトを利用すれば、この認証レベルを簡単に設定できて便利だ。
　認証レベルはプルダウンメニューより6段階から選択する仕組みで、レベルを下げるほどセキュリティも低くなる。Windows Vistaの認証レベルは、初期設定で"NTLMv2"を利用する"レベル3"になっているが、Windows XPなどで標準の"NTLM"を利用した"レベル2"まで下げればほとんどのNASに接続できるだろう。また、Windows Vistaだけでネットワークを構成している場合は、逆に認証レベルを引き上げてセキュリティを強化することも可能。

忘れないようにめも。

技術文書を改訂：Microsoft、WSUSの不具合に対処 - ITmedia エンタープライズ

　米Microsoftは7月9日、IT管理者向けの更新プログラム管理サービス「Microsoft Windows Server Update Services」 (WSUS）の不具合を解消するアップデートを公開した。
　この問題では特定の状況下で、WSUS 3.0と3.0 SP1を通じて導入されたアップデートが、Microsoft Office 2003をインストールしたクライアントシステムに配布できなくなっていた。
　Microsoftはこの問題に対処し、技術文書を改訂。影響を受けるユーザーに対し、アップデートの導入を促している。

Willcomだけじゃなく、イーモバも対応して欲しい・・・

マカフィー、WILLCOM 03向けウイルス対策ソフト発売 - ITmedia エンタープライズ

　マカフィーは7月8日、ウィルコムのスマートフォン端末「WILLCOM 03」向けにウイルス対策ソフト「マカフィー・ウイルススキャン・モバイル2.0」の提供を開始した。
　同製品は、スマートフォン上で読み込み／書き込みされるファイルデータのウイルススキャンと駆除を実行する。スマートフォン「W-ZERO3」シリーズに特化して開発しているのが特徴だという。
　WILLCOM 03以外に、WS003SHとWS004SH、WS007SH（W-ZERO3[es]）、WS011SH(Advanced/W-ZERO3[es]）の4機種でも動作する。利用料は月額315円で、ウィルコム公式ポータルサイトからダウンロード購入できる。

7月22日発売だそうですが、企業向けのみ・・・

スマートフォンもPCと同様にセキュリティ管理 － ＠IT

　トレンドマイクロは6月27日、スマートフォン向けのセキュリティ製品「Trend Micro Mobile Security」を発表した。同社が企業向けに提供している統合セキュリティソフトウェア「ウイルスバスター コーポレートエディション 8.0」のプラグイン製品として提供される。

いたちごっこはきりがないし、やっぱり「怪しいところは見るな」、ということに尽きるんだろうな。

IE 6とIE 7に危険度「中」の脆弱性 - ITmedia エンタープライズ

　デンマークのセキュリティ企業Secuniaは6月26日、MicrosoftのInternet Explorer（IE）で2件の脆弱性が発見されたとして警告を発した。危険度はいずれも、5段階評価で真ん中の「Moderately critical」としている。
　1つ目の問題は、ウィンドウオブジェクトの「location」「location.href」で入力確認エラーが起きることが原因。攻撃者がこれを悪用すると、クロスドメインスクリプティング攻撃が可能になるという。
　この脆弱性はWindows XP SP2上で動作するIE 6に影響する。Secuniaは対処策として、この問題の影響を受けないIE 7にアップグレードするよう勧めている。
　もう1つの問題は、IE 7で発見された。これを悪用すると、信頼できるサイトのフレームに不正なコンテンツをロードすることが可能になるという。この脆弱性はIE 7で確認されているが、それ以外のバージョンも影響を受ける可能性がある。
　Secuniaは対処策として、信頼できないWebサイトにアクセスしないこと、そうしたサイトのリンクをクリックしないことを勧めている。

銀行だけじゃなくて、あちこちのwebサイトをまねたフィッシングサイトができているらしい。
ほんといたちごっこですな。。。

mixi、ドコモ、ニフティまで――フィッシング詐欺の手口が多様化 － TechTargetジャパン

国内の有力SNSサイト「mixi」に名称を似せた「mixii」という詐欺サイトに誘導する電子メールが1月に出回ったほか、2月には携帯電話事業者であるNTTドコモやISPのニフティ（@nifty）、そして3月にはイーバンクやゆうちょ銀行のネットバンキングサイトをかたる詐欺サイトが見つかった。いずれもメールアドレスや口座番号、パスワードといった個人情報を盗み出すことを目的としたものだ。

最近セキュリティの強化に躍起になっているようです。悪い事じゃないんだけど、ゆうちょって家から近いし、相手がゆうちょ使ってなかったりであまりネットバンキングやらないんですよね（笑

フィッシング詐欺対策：ゆうちょ銀行、ネットバンキングのセキュリティを強化 - ITmedia エンタープライズ

　ゆうちょ銀行は、インターネットバンキングのフィッシング詐欺対策として、RSAセキュリティのフィッシングサイト閉鎖サービス「RSA FraudAction」を採用し、6月12日から利用を開始した。RSAセキュリティが6月18日に発表した。
　ゆうちょ銀行は、個人向けのネットバンキング「ゆうちょダイレクト」を提供している。ネットバンキングのセキュリティ強化の取り組みの中で、フィッシングサイト対策として、RSA FraudActionの採用を決めた。RSA FraudActionは世界中のフィッシングサイトを監視し、フィッシングサイト出現の連絡を受けるとそのサイトの閉鎖を試みるサービス。世界185カ国で8万サイト以上の閉鎖実績があるという。
　ゆうちょダイレクトは5月にはEV SSL証明書を導入するなど、セキュリティの強化に取り組んでいる。

だそうです。パッチがリリースされてますのでとっとと当てましょう。。。

XSSや任意のコード実行の恐れ：IBMのLotus DominoとSametimeに深刻な脆弱性、パッチを公開 - ITmedia エンタープライズ

　米IBMは、Lotus Domino WebサーバとLotus Sametime Community Servicesに深刻な脆弱性があるとし、これに対処するパッチを公開した。
　IBMやセキュリティ企業Secuniaのアドバイザリーによると、Lotus Domino Webサーバには2件の脆弱性が存在する。このうち、スタックオーバーフローの脆弱性では細工を施したHTTPリクエストを使って悪用し、任意のコードを実行できてしまう。クロスサイトスクリプティング（XSS）の脆弱性では、ブラウザで悪質なリクエストを処理させてXSS攻撃を仕掛けられる恐れがある。
　Secuniaの危険度評価は5段階で上から2番目に高い「Highly critical」。Lotus Domino 7.0.3 Fix Pack 1（FP1）と8.0.1で脆弱性が修正された。
　これとは別に、Lotus Sametime Community Servicesにも脆弱性が見つかっている。仏FrSIRTのアドバイザリーによると、Sametime Community Services multiplexer（MUX）で不正なHTTPリクエストを処理する際のバッファオーバーフローエラーが原因となり、システムのクラッシュや任意のコードを実行される可能性がある。
　FrSIRTの深刻度評価は4段階で上から2番目に高い「High Risk」となっている。影響を受けるのはLotus Sametime 7.5.xと8.x。バージョン8.0.1で問題が修正されている。

やっぱCiscoだから安全、なんてことは無いよな。
しかしこんなんが公開されたら困る人いっぱいいそうだな。。。

シスコのルータがマルウェアの標的に――セキュリティ専門家がルートキットを開発 : セキュリティ・マネジメント - Computerworld.jp

　米国Cisco Systemsのルータをねらったルートキット・ソフトウェアを、米国Core Security Technologiesのセキュリティ・リサーチャー、セバスチャン・ムニス（Sebastian Muniz）氏が開発した。同氏は、英国ロンドンで開催されるセキュリティ関連のコンファレンス「EuSecWest」（5月21・22日）で詳細を発表する予定だという。

IDとパスワードを盗み出すものですが、今のところ通信機能は持っていないのでネットカフェなどで使わないにすれば大丈夫でしょう。ただし、今後通信機能が組み込まれる可能性は十分あるので、注意が必要かと思われます。

偽Google Talk登場、セキュリティ企業が警告 - ITmedia エンタープライズ

　偽のGoogle Talkは本物に似せて作られており、ログイン情報を盗み出すことを目的としている。ただしこのソフトはインターネットには接続しないため、攻撃者は職場や学校、図書館、ネットカフェなど多数の人々が使うPCに直接このソフトをインストールし、直接データを回収する必要がある。
　ユーザーが偽Google Talkにログイン情報を入力すると、「認証できない」とする偽のエラーメッセージが表示される。ログイン情報はHDD内のテキストファイルに保存され、攻撃者が持ち出せるようになっている。

一度にHDD180台処理できるらしい。1回あたり26万8000円からなので手間を考えたら良いんだろうけど、そもそもそれだけ守らないといけないデータってあるのか、と問いたい。
CO₂の排出が従来の半分でエコだとか言ってるけど、そのままリユースする方が優れてるに決まってる訳だし、昨今の風潮はどっか間違ってるだろ、と激しく突っ込みたくなる（笑

イメーション、熱処理であらゆる記録媒体のデータを消去、CO₂削減も | BCNランキング

　移動式のサービスで、熱処理装置をトラックに積んで客先に出向きデータを消去する。処理後の生成物は再生利用のため回収し、リサイクル処理も行う。ユーザーは、完全なデータ消去を直接目で確認できるのが特徴。対象製品は、HDD、各種磁気テープをはじめ、FD、MO、CD・DVDなどで、これらの同時に処理することができる。
　例えばHDDは磁性体を剥離し、磁気テープは炭化させてデータを完全に消去。処理後は炭素や金属など、リサイクル可能な有価物になるため、産廃処理やマニフェストの発行は必要ない。一般的なデータ消去サービスでは、磁気イレーサーでデータ消去した後、廃棄物として焼却処分するが、この場合と比較して二酸化炭素の排出量は半分以下。さらに、削減された二酸化炭素については、CARBON OFFSET JAPANを通してカーボンオフセット処理し、他の二酸化炭素排出量と相殺することができる。

Lhaplus1.56以前のバージョンで脆弱性が発見されています。対策版の1.57がリリースされていますので使っている人はバージョンアップを。

IPA、「Lhaplus」の脆弱性に関する注意喚起 | パソコン | マイコミジャーナル

IPA(独立行政法人 情報処理推進機構)は28日、圧縮ソフト「Lhaplus」におけるセキュリティ上の弱点に関する注意喚起を公表した。 同機構によると、「Lhaplus」にはバッファオーバフローの脆弱性が存在し、これを悪用して、展開時に任意のコードが実行できる可能性があるという。なお、この脆弱性に対応した「Lhaplus Version 1.57」が作者サイトからダウンロード可能となっている。

ARJ 展開時のバッファオーバーフロー

概要

Lhaplus Version 1.56 以前には、ZOO 形式のアーカイブを処理するとき、
バッファオーバーフローが発生する可能性があります。
これを利用して、ZOO アーカイブに意図的に埋め込まれたプログラムコードを実行される恐れがあります。
Lhaplus は、拡張子が ZOO の場合に限らず、ファイル内容でアーカイブ形式を認識するため、
ZOO 形式を関連付けしない、といった手段では対応できません。

対応方法
この問題に対処した Lhaplus Version 1.57 以降へのバージョンアップをお願いいたします。
[ Lhaplus Version 1.57 インストーラのダウンロード ]
現在 Version 1.50 以降をお使いの場合は、Version 1.57 へのアップデータを利用できます。
[ Lhaplus Version 1.5x to 1.57 Updater のダウンロード ]

されました。個人利用ならフリーのこれで十分な気がする今日この頃。

窓の杜 - 【NEWS】スパイウェア対策機能が追加された「AVG Anti-Virus Free Edition」v8.0が公開

　（株）コージェンメディアは25日、フリーのウイルス対策ソフト「AVG Anti-Virus Free Edition 日本語版」の最新版となるv8.0を公開した。最新版の主な変更点は、新たにスパイウェア・アドウェアの検出・駆除機能が追加されたこと。
　また、IEで"Google"や"Live Search"の検索結果ページを表示した際に、リンク先が悪性コードを含んだページやフィッシングサイトでないかをチェックし、検索結果の右側へアイコンを付加して通知できる機能も追加された。
　「AVG Anti-Virus Free Edition 日本語版」は、常駐してリアルタイムにウイルス侵入を監視できるウイルス対策ソフト。Windows 2000/XP/Vistaに対応しており、非商用の個人利用に限り無料で利用可能。現在、AVGシリーズの公式ページや窓の杜ライブラリからダウンロードできる。

すでにCAPTCHAは破られていますが、新しい方式のCAPTCHAが登場しました。

スラッシュドット・ジャパン | 画像ベースの2段階方式CAPTCHA 「IMAGINATION」

googleのblogサービス、BloggerのCAPTCHAを破ってアカウントを作成し、blogを閲覧したユーザーをspamページにリダイレクトして連れて行ってしまうbotが出現したそうです。。。

Googleのブログを自動的に悪用、CAPTCHA破りのボットがさらに進化 - ITmedia エンタープライズ

　セキュリティ企業のWebsenseは4月24日、米Googleのブログサービス「Blogger」のアカウントを自動的に登録し、そこからユーザーをスパムサイトに誘導するボットを発見したと伝えた。
　Websenseによると、このボットはユーザーのシステムに感染後、スパマーの指示にしたがって動作する。自動的にBloggerのCAPTCHAを破り、さらにアカウントを登録・作成する。そのアカウントを中継点として、訪れたユーザーをスパムページにリダイレクトする機能を持っている。
　これを使えば、スパムメールに実際のスパムサイトのURLを表示しなくても、BloggerのURLを表示するだけで、スパム対策サービスをすり抜けることが容易になるという。Bloggerは何百万ものユーザーに利用されており、アカウントを継続的にチェックするのは困難だとみられる。

Windows XP SP3の開発が無事終了したそうです。
一般向けリリースが4月29日で、夏にはWindowsUpdateに登場するそうです。ってことで早目にシステムの検証しなきゃいけませんね。

Windows XP SP3がRTMに - 一般向けリリースは4月29日 | パソコン | マイコミジャーナル

Windows XP Service Pack (SP) 3の開発が終了し、RTM (製造工程向けリリース)になった。4月29日にDownload CenterおよびWindows Updateを通じた手動アップグレードが可能になる見通しだ。MicrosoftのTechNetフォーラムにおいて、リリースマネージャーのChris Keroack氏が明らかにした。
Windows XP SP3は、過去の全ての修正プログラムを1つのパッケージにまとめて提供し、Windows XPユーザーの利用環境を安定・改善するのが狙いだ。SP2ではセキュリティや通信機能を中心に大きな新機能追加が行われたが、ベータプログラムを通じて確認されているSP3の新機能は4つにとどまる。Windows Server 2008とのセキュアな連携を実現するNetwork Access Protectionへの対応、"ブラック・ホール" ルーター検出、カーネルレベルでのFIPS 140-1 Level 1準拠の暗号化サポート、プロダクトアクティベーションシステムの改良などだ。
Keroack氏によると、OEMおよびエンタープライズ顧客向けの提供に続いて4月29日に一般ユーザーも入手可能な手動アップグレード向けリリースが始まり、今年夏の早い段階にSP3が自動更新の対象になる。

ユーザーの声を聞いてから、って・・・
とっとと非公開をデフォルトにした方が良いと思うんだが。

Amazon「ほしい物リスト」検索が復活　「デフォルトで公開」設定変わらず - ITmedia News

　アマゾンジャパンは「一般ユーザーからの問い合わせに応じた調査を行うため」として11日ごろからほしい物リストの検索機能を停止。このほど、調査が終了したため検索機能を再開した。
　再開後も仕様変更などはなく、リストは従来通りデフォルトで公開されている。ただ、リストを公開している場合、リストのユーザートップページ表示される注意書きに「アカウント名や届け先都道府県が公開される」など、公開される情報の内容を紹介する文章が加わった。
　同社は「ユーザーの声を聞きながら機能を改善していく。デフォルトで非公開にするべきという声が多ければ、仕様変更を検討する」としている。

デフォルトの設定が間違ってされているらしく、認証機能がoffになっているそうです。
早急にファームのアップデートが必要。特に固定IPになっている人は要注意です。

アイ・オーの無線LANルータ製品、認証機能がデフォルトでオフに - ITmedia エンタープライズ

　アイ・オー・データ機器は3月18日、複数の無線LANルータ製品で認証機能が初期設定でオフになったままであることが判明したとして、情報処理推進機構セキュリティセンターを通じて情報を公開した。
　対象となるのは、「WN-APG/R」および「WN-WAPG/R」シリーズの各製品で、これらの製品ではWebブラウザで設定操作をするための認証機能がオフになったままだという。
　このため初期設定のまま製品を利用すると、第三者が管理画面に不正に接続してユーザーの意図しない操作をしたり、対象製品の管理用パスワード変更など設定変更をしたりする恐れがある。
　アイ・オー・データ機器では、ファームウェアを最新バージョンに更新するか、システムセキュリティ設定を「標準」から「中」「カスタム」「高」のいずれかに変更して、設定画面用のログインパスワードを設定するように呼びかけている。

注意しましょう。

日本のサイトを狙ったSQLインジェクション攻撃が急増 - ITmedia エンタープライズ

　感染サイトのURLは「www.2117966.net」となっており、閲覧者が気付かないようにマルウェアを感染させる可能性がある。同社によれば、このマルウェアはオンラインゲームの情報をPCから盗み出すタイプだと推定されるという。
　同社では、Webサイト管理者に対し、サイト内に「www.2117966.net」へ誘導するリンクの存在を至急確認するとともに、サーバのOSやアプリケーションを最新のバージョンに更新して脆弱性を解消するよう呼びかけている。
　また、インターネット利用者にはPCのOSやアプリケーションを最新のバージョンに更新して脆弱性を解消し、普段からアクセスしているサイトに悪意のあるリンクが埋め込まれていた場合に対処できるよう、JavaScriptを既定で無効にできるプラグインなどを活用してほしいとしている。

バージョンアップしておきましょう。

Google DesktopでXSSの脆弱性 - ITmedia エンタープライズ

　Google デスクトップ 5.1.706.29690より前のバージョンを利用している場合、ユーザーのWebブラウザ上で任意のスクリプトを実行される可能性があるという。
　Google デスクトップ 5.1.706.29690以降のバージョンでは脆弱性を修正している。IPAは、最新版へのアップデートを呼びかけている。

もうちょっと考えましょうよね＞デフォルトの設定・・・

Amazonの「ほしい物リスト」で本名や趣味がばれる？　ネットで騒動に - ITmedia News

　「Amazon.co.jp」でユーザーが欲しい商品を登録しておける機能「ほしい物リスト」（「ウィッシュリスト」から3月8日に名称変更）を通じて、ユーザーが公開を意図していない個人情報がもれている――と、3月11日ごろからネットで騒動になっている。
　ほしい物リストは、自分にプレゼントしてほしい商品を登録・公開できる機能。リストは非公開設定も可能だが、デフォルトでネット全体に公開され、従来から名前やメールアドレスで検索可能だった。メールアドレスで検索した場合、本名が登録されていれば、本名も表示する。
　「あの人にプレゼントしたい」と思い立った際、名前やメールアドレスで検索すれば、相手の欲しい物リストを見つけられる――という訳だ。
　だが今回、このリストを通じて、ユーザーが意図しない個人情報がもれていると騒動になった。リストや本名がデフォルトで公開されていると知らず、非公開のつもりでお気に入り商品メモのように使っていたり、本名や社名で登録していたりする人が多かったためだ。

これ、シャレになりませんな・・・

「トレンドマイクロが改ざん被害　ウイルスページに」IT‐インターネットニュース:イザ！

　「ウイルスバスター」で知られるコンピューターセキュリティー大手、トレンドマイクロ社は12日、同社のウェブサイトの一部が11日午後7時ごろに改ざんされ、コンピューターウイルスを拡散させるものになっていたと発表、利用者に謝罪した。

Gmail用の有償ツールで、ログイン情報を盗み取るやつがあるそうです。。。
なんとも恐ろしいことで・・・

【らめぇ】ログイン情報を盗む極悪Gmail用ツール（しかも有償）の存在が発覚 - Gmail Maniacs

McAfeeのSiteAdviserを使っているんですが、これも試してみるかな。FireWallの内側でも使えると良いんだけど。

元MS社員設立のセキュリティベンチャー、新ツールをβ公開 - ITmedia エンタープライズ

　Haute Secure 2.0は、Webサイトの安全度を評価したリストに沿って危険サイトを検出する。Hauteが作成したリストのほか、GoogleやPhishtankなどの他社によるリストも利用可能。ほかのユーザーと評価リストを共有するオプションもある。ブラウザは、Internet ExplorerとFirefoxに対応。GoogleおよびYahoo!検索での検索結果ページで各サイトの危険度を表示させることもできる。

今のところVistaはハッキングされていないそうですが、使っていないなら無効にしておいた方が良さそうです。

FirewireでWindowsをハッキング、研究者がツール公開 - ITmedia エンタープライズ

　F-Secureによれば、攻撃者がノートPCや手を加えたiPodをWindows XP搭載PCのFirewireポートに接続すると、PCメモリへの完全アクセスが可能になり、Windowsのロック解除、暗号鍵の窃盗、マルウェアのインストールなどどんなことでもできてしまうという。
　この問題はWindows Vistaでは確認されていないが、Vistaも安全とは言い切れないとF-Secureは述べている。
　現時点でこの問題の解決策は存在せず、コンピュータに使っていないFirewireがある場合は無効にした方がいいとF-Secureは勧告している。

4月1日にmixiの利用規約が変わって日記等に書き込んだ情報を無断出版される可能性が出てきました。
一騒動起こることは間違いないですね。

スラッシュドット・ジャパン | mixiが規約変更予定、日記の無断出版が可能に

x-AC 曰く、

「ベイエリア在住町山智浩アメリカ日記」の記事によると、日本最大のSNSであるおなじみ「mixi」が4月1日付で規約を変更するらしいのだが、その18条がこういうふうになるらしい。

第18条　日記等の情報の使用許諾等

1. 本サービスを利用して、ユーザーが日記等の情報を投稿する場合には、ユーザーは弊社に対して、当該日記等の情報を日本の国内外において無償かつ非独占的に使用する権利(複製、上映、公衆送信、展示、頒布、翻訳、改変等を行うこと)を許諾するものとします。
2. ユーザーは、弊社に対して 著作者人格権を行使しないものとします。

(強調は引用者)

つまり、mixiに記事をアップした段階で、mixi側がユーザーの日記を勝手に出版しても、一切文句は言えないという内容なわけだが、これはいくらなんでもちょっと非道いのではないだろうか?ユーザーだけでなく、そうでない人からも意見を伺いたいところだ。

なんだか懐かしい香りのする話のような気がします。察するに、余計なことを吹き込んで回っている弁護士か役所か、そのへんがいるんじゃないですかねえ。
追記: 附則によれば、「2 本利用規約の施行前にユーザーによって行われた行為についても本利用規約が適用されます。」だそうです (by mhatta Tue, 04 Mar 2008 11:13:31 +0900)

まだ一定の効果はあると思うんだけど、早く次の防衛手段が欲しいですね。。。

変形文字「CAPTCHA」はもう無意味？ - ITmedia エンタープライズ

　Webサービスでアカウントの不正取得を防ぐために使われている変形文字の「CAPTCHA」は、もう役に立たなくなっている――。人気WebメールのCAPTCHAを破るボットの相次ぐ登場を受け、セキュリティ研究者がこう指摘した。
　セキュリティ企業のWebsenseは先に、米Microsoftの無料Webメール「Windows Live Mail」のCAPTCHAを破るボットが出現したと報告。続いてGoogleのGmailのCAPTCHAも破られたと伝えている。

要注意です。

イーバンク銀行の偽サイトが出現 - ITmedia エンタープライズ

私は使ってないから良いんだけど・・・

MS月例パッチの直後、Worksの脆弱性突くエクスプロイトコード公開 - ITmedia News

　米US-CERTは2月15日、Microsoft Worksの脆弱性を突いたエクスプロイトコードが公開されたと伝えた。この脆弱性は、Microsoftが12日の月例パッチ（MS08-011）で対処したばかり。

Cookieの脆弱性だそうだ。使っている人は最新版に更新すべし！

Apache Tomcatに不正Cookieの脆弱性 - ITmedia エンタープライズ

　サーバ上でJavaアプリケーションを動作させるためのオープンソースソフトウェア「Apache Tomcat」で、不正なCookieが送信される脆弱性が見つかった。Apache Tomcatは、HTTPリクエストに基づくCookie情報の生成過程で特定の文字を適切に処理しないため、遠隔からユーザーのWebブラウザに不正なCookieが送信される可能性がある。

とは言ってもボットが直接CAPTCHAの画像を解析しているわけじゃなく、画像を転送して文字列が送り返されてくる、という仕組みらしいですが。
またspam増えるんだろうな・・・orz

Live Mailのキャプチャを破るボットが登場、不正アカウントを大量取得 - ITmedia News

　Live MailなどのWebサービスでは、アカウントが不正取得されるのを防ぐため、「CAPTCHA」と呼ばれる画像で人間にしか判読できない変形文字を表示して入力させている。
　しかしスパマー側は、CAPTCHAを破ってLive Mailのアカウントを取得できるボットを開発。登録したアカウントを使ってさまざまな攻撃を仕掛けているという。
　このボットはLive Mailの登録ページでユーザー名などの欄に無作為の情報を入力。CAPTCHAの変形文字を入力するところまで来ると、CAPTCHA破りサービスに画像を送って読み取らせ、テキストを受け取る仕組みになっている。
　CAPTCHA破りに成功する確率は平均で3回に1回程度。このプロセスを何度も繰り返し、悪用目的のアカウントを大量登録しているという。

やっぱり中国ですか・・・

スパムはどこから来るの？　「イマドキの日本語スパム」 (1/4) - ITmedia エンタープライズ

　これらのメールはどこから来るのだろうか？　以前の日本語スパムは地産地消というか、日本発信のものが多かったとされている。現在は一般に中国、韓国あたりが「怪しい」と言われているが、これは本当だろうか？

　今回は手始めとして@過去最高の受信数となった去年11月の2503通について送信IPアドレスの国コードを確認した。Yahoo!メールの場合、先の迷惑メール判定の関係か「X-Originating-IP:」というヘッダが入るのでこれを送信元IPアドレスと判断している。TOP10の結果は以下の通り。

2007年11月に届いたスパムの送信国

順位	送信数	国名
1	1429	中国
2	321	台湾
3	212	韓国
4	183	フィリピン
5	78	米国
6	46	ブラジル
7	28	タイ
7	28	日本
8	19	イタリア
9	17	フランス
10	14	インド

　実に57％が中国発のスパムで、これは予想通りだった。ちなみにハニーポットに届いているスパムの中には下の囲みで示しているような「Fromの名称がGB2312エンコード」されたものが少なからず届いている。GB2312は「中国語（簡体字：EUC-CN）のためのエンコード」であり、日本語用ではない。この辺りも「中国発説」を裏付けるものと言えるだろう。

SystemManagementServer2003の後継です。
この手のがあれば管理は楽になるわけですが、いかんせん導入費が高い・・・orz

マイクロソフト、Windows Mobile端末対応のIT資産・構成管理ソリューション | 経営 | マイコミジャーナル

マイクロソフトは1日、IT資産・構成管理ソリューション「Microsoft System Center Configuration Manager 2007」を発売した。販売は、ボリュームライセンスプログラムを通じての提供という形となる。価格は、Open License、System Center Configuration Manager 2007サーバライセンスが11万1,000円、System Center Configuration Manager 2007 エンタープライズ・サーバ管理ライセンスとSystem Center Configuration Manager 2007 スタンダード・サーバ管理ライセンスが2万9,800円、System Center Configuration Manager 2007 クライアント管理ライセンス(ユーザーごと)とSystem Center Configuration Manager 2007 クライアント管理ライセンス(OS環境ごと)が7,900円。

VistaのIE7だと意識していなくてもSSLの信憑性が色で認知できるので分かりやすい。
まぁそんな利点があるわけですが、組織内で使おうとすると、セキュリティ関係で結構な変更が行われているものだから動かないWEBアプリがあったりして使いにくい。どうにかならんのかねぇ・・・

VistaとIE7がもたらすもの「EV-SSL編」:セキュリティ - ZDNet Japan

　Windows VistaとIE7においてEV-SSL証明書に保護されたサイトにアクセスすると、アドレスバーが緑色に変わり、そのサイトが信頼できるサイトであることが視覚的に確認できる。
　また、アドレスバーの横に、証明書に記載されている組織名や、証明書を発行した認証局名が表示されるようになっている。アドレスバーが緑色になっている EV-SSL証明書は、なりすましやフィッシング詐欺を"阻止する"手段として、インターネットユーザーから期待されている。疑わしい証明書、あるいはフィッシングサイトと判断されると、アドレスバーは赤色で表示され、警告画面が表示される。

mixiを語る、と言うかmixiiなんて微妙な感じですが、メールアドレスとパスワードを入力させるサイトへ誘導するもので注意が必要。まぁ今時引っ掛かる方もアレだと思いますが。

「mixii」からのメールに注意　ミクシィが呼び掛け - ITmedia News

　ミクシィは、「mixii（ミクスィ）」「mixii運営事務局」と名乗る迷惑メールが出回っているとし、注意を呼びかけている。
　迷惑メールは、mixiに似た体裁のサイトや、不正にメールアドレス・パスワードを入力させるサイトへ誘導するというもの。mixiが送信するメールの体裁をまねたものもあった。
　「迷惑メールを受信した」という報告が多数あったという。同社は「mixiとは一切関係なく、誤ってメールアドレスやパスワードを書き込まないよう十分に注意してほしい」と呼び掛けている。

今のところ記事にもあるように、VistaのBitLockerはシステムドライブにしか適用できません。
ですが、SP1ではシステムドライブ以外にも適用できるようになるそうなので期待したいところです。

サクッとおいしいVistaチップス 32枚め：Vistaのドライブ暗号化機能「BitLocker」を理解する (1/2) - ITmedia +D PC USER

　Windows Vistaには、PCの紛失や盗難による情報漏えいを防ぐための新機能「BitLocker」が用意されている。BitLockerは、Enterprise／Ultimateのエディションのみで利用可能だ（Vista Businessには非対応）。Vista Enterpriseは企業向けのボリュームライセンスで販売されているため、一部の企業ユーザー以外でBitLockerを使うにはVista Ultimateが必須となる。

MicrosoftUpdateを語るspamメールが出回っているそうです。
実際にはアップデートではなくて、マルウェアに感染させられるので注意が必要です。

「Microsoftアップデート」をかたるスパムメールでマルウェアに感染 - ITmedia エンタープライズ

　セキュリティ企業の米Sunbelt Softwareは1月21日、Microsoftのアップデートを装ってマルウェアに感染させるスパムメールが出回っていると伝えた。
　Sunbeltがブログに掲載したスクリーンショットによると、問題のスパムは差出人に「Microsoft update（update@microsoft.com）」というアドレスを表示してMicrosoftから届いたように装い、件名は「Keep your computer up to date」となっている。

MTのセキュリティアップデートがあったので4.01aにアップしてみました。

Six Apart - Movable Type News: 【重要】 Movable Type セキュリティアップデートとパッチの提供について

Excelまで、って感じですが、セキュリティアップデートが提供されるまで注意しないと。。。

Excelに新たな脆弱性 － ＠IT

　米マイクロソフトは1月16日、表計算ソフト「Excel」に新たな脆弱性が存在することを明らかにし、アドバイザリを公開した。
　同社の情報によると、脆弱性が存在するのはExcel 2000／2002および2003 Service Pack 2、Microsoft Office Excel Viewer 2003。またMicrosoft Excel 2004 for Macにも存在する。ヘッダ情報に細工を施したExcelファイルを開くとメモリ破損が発生し、任意のコードが実行される恐れがあるという。すでに、限定的ながら、この脆弱性を悪用したターゲット攻撃が確認された。

Windowsのマターブートレコード（MBR）に隠れ込むルートキットが出現したそうです。
どうも感染したウェブサイトを閲覧した時にやられるようですが、WindowsUpdateを全適用している場合は感染率が低いんだとか。くわばらくわばら・・・

Windowsのマスターブートレコードを狙ったルートキットに注意:セキュリティ - ZDNet Japan

　セキュリティの専門家は米国時間1月9日、Windowsオペレーティングシステムのユーザーを狙った新種のルートキットに注意するように警告した。
　このルートキットはMBR（マスターブートレコード）、つまりパーティションテーブルのプライマリパーティションエントリを格納しているハードディスクドライブの先頭セクタに隠れる。VerisignのiDefenseリサーチ部門によると、このルートキットは既存のMBRを上書きするために発見が非常に困難であるという。ルートキットとは、ユーザーに知られることなくコンピュータの「root」（管理者）権限を取得することを目的としたプログラムまたはプログラムの一群を指す。
　Trend MicroおよびSunbeltは、特にエンドユーザーが利用可能なすべての「Windows Update」をシステムに適用している場合は感染率が低いようだと指摘する。

googleとかで検索した時に検出されたサイトの安全性を評価し、視覚的に表示するツール。無償なので入れてみた（笑

McAfee SiteAdvisor － Internet Explorer 用のダウンロード

McAfee SiteAdvisor は Internet Explorer と連動するダウンロード可能なツールです。次の機能を利用できます。
安全性をわかりやすく表示 検索中または閲覧中は、McAfee SiteAdvisor の安全性評価ボタンの色が検査結果に基づいて変化し、安全性をお知らせします。

NTTドコモ、Ericssonの技術を搭載したGPS対応セキュリティ装置を販売:ニュース - ZDNet Japan

　Ericssonは12月27日、NTTドコモが2007年12月7日より販売を開始した位置情報検索機能付き最新端末装置「CTG-001G」に、Ericssonが開発した技術が組み込まれていることを発表した。
　CTG-001Gは、GPS機能を搭載した位置情報専用端末。利用者に危険が迫った場合や緊急事態が起きた場合に、スライドスイッチを引くことで防犯ブザーが鳴り、連動して自分の居場所を家族や関係当局に通知したり、利用者の位置検索を行うことができる。

ウイルススキャンサービスの「暗黒面」 - ITmedia News

　複数メーカーのウイルス対策ソフトを使って怪しいファイルを検出できるオンラインサービスが、ウイルス作者にも利用されているという。さらに、ウイルス作者向けの専用サービスまで登場したと、ロシアのセキュリティ企業Kaspersky Labがブログで伝えている。

「40万人が感染」、グーグルのSNS「Orkut」でウイルスが大流行：ITpro

　セキュリティベンダー各社は2007年12月19日、米グーグルが提供するソーシャルネットワーキングサービス（SNS）「Orkut（オーカット）」において、大規模なウイルス感染が発生したことを明らかにした。現在は終息しているが、最終的には40万人以上のユーザーが感染したという。
　今回のウイルスは、感染を広げることだけを目的としている。ベンダー各社の情報によれば、ウイルスの実体はJavaScript。Orkutが備える「スクラップブック」機能を介して感染を広げる。スクラップブックは、あるユーザーに対して、ほかのOrkutユーザーがメッセージ（「スクラップ」と呼ばれる）を残せる機能。メッセージが残された場合には、Orkutから通知メールが送られてくる。

「クリスマススパム」シーズンが早くも到来 - ITmedia エンタープライズ

　友人からのeカードを装ったり美しい図柄を使ってユーザーをおびき寄せ、マルウェアに感染させようとするクリスマスカードスパムが早くも出回っている。
　米Symantecが今シーズン初のクリスマススパムとして報告している手口では、送信元を偽って有名企業から届いたように見せかけたメールを送り、受信者をだましてリンクをクリックするよう仕向けている。
　しかしこれはマルウェアに感染させるための仕掛けで、リンク先のサイトでは、ダウンローダの「sos385.tmp」をユーザーのコンピュータにダウンロードしようとする。

Yahoo!メール、なりすましメールの受信拒否を強化 - ITmedia エンタープライズ

　ヤフーは12月3日、メールサービス「Yahoo!メール」に、送信元アドレスを偽装した「なりすましメール」を受信拒否する機能を追加した。
　Yahoo!メールでは、送信サーバによって暗号化された送信メールのドメイン情報を、受信サーバがメールのヘッダーのドメインと照合する認証技術「DomainKeys」などにより、迷惑メールを防止してきた。
　ユーザーがメールオプションからなりすましメール拒否設定を有効にすると、Yahoo.co.jpやDomainKeysを導入しているプロバイダのメールになりすましたものを、受信サーバ側で拒否できる。
　また、Yahoo!メールのサブアドレスとして利用できる「セーフティーアドレス」を、最大10個まで作成可能になった。

不具合解消のFirefox 2.0.0.11がリリース - ITmedia エンタープライズ

　Firefoxブラウザの前回のセキュリティパッチで生じたバグ解消のアップデート「2.0.0.11」が、予告どおり11月30日に公開された。
　Firefoxのリリースノートによると、今回の2.0.0.11では、前回のアップデートで生じた一部サイトと拡張機能の互換性問題が修正された。

インフォマニア、成り済ましメール防止サービスをASPで提供 － TechTargetジャパン

　インフォマニアは12月3日、送信ドメイン認証（DKIM）技術を利用して成り済ましメールを防ぐサービス「DKIM filter」の提供を開始したと発表した。
　本サービスは、メールサーバ本体への実装なしに、簡単な設定変更のみでDKIMによるドメイン認証を実現するASPサービス。DKIMに対応できる技術者がいない企業でも、成り済ましメールやフィッシング詐欺メールに対応できるよう設計されているという。
　DKIM filterには主要な機能が2つある。1つは、同社が指定するDKIMサーバ経由でメールを送信することにより、送信時にDKIMによる電子署名をメールヘッダに付与してメールの正当性を認証できるようにする機能。もう1つは、利用ドメインのMX（Mail eXchange）レコードを同社のDKIMサーバに変更し、認証後に元のサーバに転送することで受信時にほかのDKIM対応サーバからのメールを認証する機能である。

yaari.comからの招待状を無視してください (recompile.net)

yaari.comというところから、私名義の招待状を受け取った方は、無視してくださいますようお願い申し上げます。このサイトは、悪質なスパムサイトです。
ことの経緯は、次の通りです。私がある人からyaari.comからの招待状をうけとりました。その人は海外の動向にも詳しく、何か面白いサービスを見つけたのだろうと考え、yaari.comで入会の手続きをしました。
その手続きの途中で、Gmailのパスワードを求められましたので、入力をしてしまいました。
これがまずかったようです。yaari.comは、Twitterのように登録してある友人を探すために利用するのではなく、spamをするためにこの情報を利用します。メールを送信するか、しないかという選択にかかわらず、アドレス帳にあるメールアドレス宛に招待メールを無差別に送信します。

MS、ウイルス対策からPCのケアまで「Windows Live OneCare」のパッケージ版 | パソコン | マイコミジャーナル

マイクロソフトは、セキュリティ対策からPCのメンテナンスまでトータルでPCをサポートするソフトウエア「Windows Live OneCare」の最新バージョンを12月4日から価格6,500円(税別)で発売する。他社セキュリティソフトからの乗り換えや、体験版を含むWindows Live OneCareの更新ユーザーなどをターゲットにした優待版が価格4,500円(税別)となる。また、90日間限定体験版も用意される。有効期限は1年間。
1パッケージで3台までのPCへのインストールが可能となる。対応OSはWindows XP(SP2以上) / Vista。なお、必要環境としてHDDの容量650MB(中央管理バックアップ機能を利用する場合は25GB)、Internet Expolore 6以降(フィッシング詐欺検出機能は7以降)などがある。なお、既存のWindows Live OneCareオンラインサービス版(有料)のユーザーに対しては、すでに無料でのアップグレード版をダウンロード提供している。
Windows Live OneCareは、ウイルスやスパイウエア対策、双方向ファイアウォールなどによるセキュリティ機能のほか、CD / DVD、ローカルネットワーク上のPC、外付けHDDなどへの定期バックアップ、Windowsの起動時間の短縮、オートデフラグ機能など多彩な機能を提供する。
新機能となる「OneCareサークル」では、複数のPCのセキュリティ対策やバックアップ、プリンタの共有などを1台のPCで遠隔操作できる。各PCの状況や設定変更の効果確認などをレポートで把握することも可能となっている。

窓の杜 - 【NEWS】「Lhaplus」に再びバッファーオーバーフローの脆弱性、修正版のv1.56が公開

　定番圧縮・解凍ソフト「Lhaplus」の作者であるSchezo氏は22日、同ソフトのv1.55以前にバッファーオーバーフローの脆弱性が存在することを発表し、脆弱性を修正した最新版v1.56を公開した。現在同氏のホームページや窓の杜ライブラリからダウンロードできる。
　本脆弱性の影響により、LZH形式の圧縮ファイルの解凍時にバッファーオーバーフローが発生し、圧縮ファイルへ意図的に埋め込まれたコードが実行されるおそれがある。
　なお、本ソフトは9月にも脆弱性対応のためにバージョンアップしていた。同氏によると、今後現行バージョンの更新は不具合修正にとどめるほか、1から設計し直した新規バージョンを開発中であるという。

窓の杜 - 【NEWS】定番圧縮・解凍DLL「UNLHA32.DLL」「UNARJ32.DLL」などに脆弱性、修正版が公開

　定番の圧縮・解凍用DLL「UNLHA32.DLL」などの作者として知られるMicco氏は10日、同氏が開発している圧縮・解凍用DLL「UNLHA32.DLL」「UNARJ32.DLL」および圧縮・解凍ソフト「LHMelt」に、ヒープオーバーフローの脆弱性が存在することを公表した。また同日、当該の脆弱性を修正した各ソフトの最新版を公開した。
　最新版のバージョンは、「UNLHA32.DLL」がv2.62a、「UNARJ32.DLL」がv1.10a、「LHMelt」が1.61b となっている。いずれもWindows 95/98/Me/NT 3.5/NT 4.0/2000/XP/Server 2003/VistaおよびWindows 3.1用のWin32s環境に対応するフリーソフトで、現在作者のホームページからダウンロードできる。また、「UNLHA32.DLL」「UNARJ32.DLL」は窓の杜ライブラリからもダウンロード可能。
　なお、「UNLHA32.DLL」「UNARJ32.DLL」はほかの圧縮・解凍ソフトに同梱されていたり、圧縮・解凍ソフトのDLL自動インストール機能によりインストールされることがある。圧縮・解凍ソフトを利用しているユーザーは、これらのDLLを自分でインストールした覚えがなくても、ソフトのReadmeやヘルプ、説明書などを参考にインストールの有無やバージョンを確認してほしい。

そこが知りたい　Windows Server Update Services（第6回） － ＠IT

　WSUS 3.0は現時点ではWindows Server 2003専用のため、Windows 2000 ServerをサポートしているWSUS 2.0よりシステム要件が厳しくなったように見える。更新プログラムの一覧と更新プログラム・ファイルの出どころはMicrosoft Updateであり、更新プログラムを受け取ってインストールするのはクライアントの自動更新である以上、WSUS 2.0とWSUS 3.0で更新プログラムの配布機能そのものに違いがないのはご指摘のとおりだ。
　だが、更新プログラムとクライアントの管理、そしてWSUSサーバ自体のメンテナンスについては、WSUS 3.0の方が格段に便利になっている。WSUS 3.0には更新プログラムの管理で困っている人に「じわり」と効いてくる、さまざまな心遣いが詰まっているのだ。具体的には次のようなメリットがある。筆者は初代のSoftware Update Services（SUS）からずっと利用しているが、WSUS 2.0 SP1からWSUS 3.0に移行した後は、もはやWSUS 2.0に戻りたいとは思わなくなった。

• 更新プログラムの到着がメールで通知される
• 便利になった自動承認
• メンテナンスも容易になった
• すべてのクライアントの状態を把握できる
• サポート期限が長い

迷惑メールの3割は米国発、ウイルス感染PCが送信元：ITpro

　セキュリティベンダーの英ソフォスは2007年10月24日（現地時間）、同社ラボが観測した迷惑メール（スパム）の数を基に、2007年第3四半期（7月から9月）の「スパム送信国（中継国）ワースト12」を発表した。それによると、迷惑メールの28.4％は米国に存在するコンピューターを経由。それらの多くは、ウイルスに感染して攻撃者に乗っ取られているパソコンであるという。
　今回発表された「スパム送信国ワースト12」は以下の通り。ワースト1は米国（カッコ内は全体に占める割合）。

1. 米国（28.4％）
2. 韓国（5.2％）
3. 中国（4.9％）
4. ロシア（4.4％）
5. ブラジル（3.7％）
6. フランス（3.6％）
7. ドイツ（3.4％）
8. トルコ（3.2％）
9. ポーランド（2.7％）
10. 英国（2.4％）
11. ルーマニア（2.3％）
12. メキシコ（1.9％）

　2007年第2四半期（4月から6月）の調査でもワースト1は米国だったが、そのときの割合は19.6％。第3四半期に急増していることが分かる。