このセキュリティ更新プログラムには深刻度が『緊急』のものが含まれていますので、早急なアップデートが望まれます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、今日は先週Microsoft（マイクロソフト）からリリースされている月例パッチ（セキュリティ更新プログラム）に関してお伝えします。

（例によって深刻度『緊急』のものが含まれています。）

2020年8月のセキュリティ更新プログラム

前述の通り、今回の月例パッチ（セキュリティ更新プログラム）にも深刻度が『緊急』のものが含まれています。

脆弱性を悪用された場合、リモートからの攻撃により任意のコードが実行されるなどの危険性がありますので、早急なアップデートが望まれます。

以下が今回のアップデート対象製品です。

・Microsoft Windows

・Microsoft Edge (EdgeHTML ベース)

・Microsoft Edge (Chromium ベース)

・Microsoft ChakraCore

・Internet Explorer

・Microsoft スクリプト エンジン

・SQL Server

・Microsoft Jet データベース エンジン

・.NET Framework

・ASP.NET Core

・Microsoft Office、Microsoft Office Services および Web Apps

・Microsoft Windows Codecs Library

・Microsoft Dynamics

また、深刻度が『緊急』のものには以下のものがあります。

・.NET Framework のリモートでコードが実行される脆弱性

・Windows Media のリモートでコードが実行される脆弱性

・メディア ファンデーションのメモリ破損の脆弱性

・スクリプト エンジンのメモリ破損の脆弱性

・NetLogon の特権の昇格の脆弱性

・Microsoft Outlook のメモリ破損の脆弱性

・Microsoft Windows Codecs Library のリモートでコードが実行される脆弱性

・MSHTML エンジンのリモートでコードが実行される脆弱性

・Microsoft Edge PDF のリモートでコードが実行される脆弱性

以上となります。

また、マイクロソフトによると一部の脆弱性の悪用を確認しているとのことですので、セキュリ

ティ更新プログラムの早期の適用が望まれます。

このセキュリティ更新プログラムには深刻度が『緊急』のものが含まれていますので、早急なアップデートが望まれます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、今日はMicrosoft（マイクロソフト）からリリースされている月例パッチ（セキュリティ更新プログラム）に関してお伝えします。

（例によって深刻度『緊急』のものが含まれています。）

2020年7月のセキュリティ更新プログラム

前述の通り、今回の月例パッチ（セキュリティ更新プログラム）にも深刻度が『緊急』のものが含まれています。

脆弱性を悪用された場合、リモートからの攻撃により任意のコードが実行されるなどの危険性がありますので、早急なアップデートが望まれます。

以下が今回のアップデート対象製品です。

・Microsoft Windows

・Microsoft Edge (EdgeHTML ベース)

・IE モードの Microsoft Edge (Chromium ベース)

・Microsoft ChakraCore

・Internet Explorer

・Microsoft Office、Microsoft Office Services および Web Apps

・Windows Defender

・Skype for Business

・Visual Studio

・Microsoft OneDrive

・オープン ソース ソフトウェア

・.NET Framework

・Azure DevOps

また、深刻度が『緊急』のものには以下のものがあります。

・Microsoft Office の特権の昇格の脆弱性

・Hyper-V RemoteFX vGPU のリモートでコードが実行される脆弱性

・.NET Framework、SharePoint Server、Visual Studio のリモート コードが実行される脆弱性

・Microsoft Outlook のリモートでコードが実行される脆弱性

・Windows DNS サーバーのリモートでコードが実行される脆弱性

・リモート デスクトップ クライアントのリモートでコードが実行される脆弱性

・VBScript のリモートでコードが実行される脆弱性

・DirectWrite のリモートでコードが実行される脆弱性

・Windows アドレス帳のリモートでコードが実行される脆弱性

・LNK のリモートでコードが実行される脆弱性

・GDI+ のリモート コードが実行される脆弱性

・Windows フォント ライブラリのリモートでコードが実行される脆弱性

・PerformancePoint Services のリモートでコードが実行される脆弱性

以上となります。

セキュリティ更新プログラムの早急な適用が望まれます。

このセキュリティ更新プログラムには深刻度が『緊急』のものが含まれていますので、早急なアップデートが望まれます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、今日はMicrosoft（マイクロソフト）からリリースされている月例パッチ（セキュリティ更新プログラム）に関してお伝えします。

（例によって深刻度『緊急』のものが含まれています。）

2020年3月のセキュリティ更新プログラム

前述の通り、今回の月例パッチ（セキュリティ更新プログラム）にも深刻度が『緊急』のものが含まれています。

脆弱性を悪用された場合、リモートからの攻撃により任意のコードが実行されるなどの危険性がありますので、早急なアップデートが望まれます。

以下が今回のアップデート対象製品です。

・Microsoft Windows

・Microsoft Edge (EdgeHTML ベース)

・Microsoft Edge (Chromium ベース)

・ChakraCore

・Internet Explorer

・Microsoft Exchange Server

・Microsoft Office、Microsoft Office Services および Web Apps

・Azure DevOps

・Windows Defender

・Visual Studio

・オープン ソース ソフトウェア

・Azure

・Microsoft Dynamics

また、深刻度が『緊急』のものには以下のものがあります。

・LNK のリモートでコードが実行される脆弱性

・スクリプト エンジンのメモリ破損の脆弱性

・メディア ファンデーションのメモリ破損の脆弱性

・Chakra スクリプト エンジンのメモリ破損の脆弱性

・Microsoft Edge のメモリ破損の脆弱性

・Internet Explorer のメモリ破損の脆弱性

・VBScript のリモートでコードが実行される脆弱性

・Microsoft Word のリモートでコードが実行される脆弱性

・GDI+ のリモート コードが実行される脆弱性

・Dynamics Business Central のリモートでコードが実行される脆弱性

以上となります。

今回の月例パッチは過去最大規模となる115件の脆弱性が修正されているということ、ショートカットファイルの処理に含まれている脆弱性は簡単に悪用できるものであるということなどから、早急にセキュリティパッチを適用した方が良いでしょう。

これにより、特定のドメイン名が名前解決できない現象が徐々に増えていく注意喚起が出ています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、先週末の2019年2月1日にインターネットの世界ではDNSの回避策の機能を削除するということが起きています。

この機能削除の日を『DNS flag day』と言います。

今日はそれをお伝えします。

DNS flag day 以降の名前解決に問題が

まず、DNS（Domain name system）はインターネットにおいて重要なもので、これがないとウェブサイト（ホームページ）やメールの利用はできません。

そして、このDNSにはEDNS（Extension Mechanisms for DNS）という拡張機能があり、このEDNSの実装が正しくない、動作に不具合があるようなサーバなどに対しても名前解決ができるよう、回避策が実装されていました。

しかし、このような回避策を実装するという対応はDNSサーバの処理速度低下を招いたり、プログラムコードのメンテナンスや新規機能の実装を困難にさせたりする要因になっており、今回、それを改善するため、各種オープンソース実装をしている複数の組織が2019年2月1日以降にリリースされるDNSソフトウェアから『回避機能を取り除く』ことを発表したのです。

これによって何が起きるのか？

いくつかの現象が発生することが予想されていますが、その中の1つとして、正しくないEDNS実装のDNSサーバに対してEDNSを用いた通信ができなくなることにより、そのDNSサーバが提供するドメイン名に対して名前解決ができなくなる可能性がある。

つまり、ウェブサイト（ホームページ）の表示やメールの送受信が行えなくなることや、必要以上に遅延が発生する可能性があるということになります。

ただし、これは2019年2月1日（DNS flag day）を過ぎた時点で直ぐに何かが起きるわけではなく、新しいバージョンのDNSサーバの普及とともに徐々に増えていくとされています。

さて、この問題に対して自社や自店では何をすれば良いのか？

確認サイトが公開されていますので、自社や自店などのドメインを確認してみてください。

EDNS Compliance Tester

※　ドメイン名はwww.example.com等ではなく、example.comで確認してください。

その結果、『All OK』と出れば問題ありませんが、『The Following Tests Failed』と出てしまうようであれば問題があります。

その場合、契約しているサーバ会社などに確認をしてみると良いかもしれません。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

昨日、IPAがとてもありがたいページをサイト上に公開してくれました。

今日はそれに関してお伝えします。

IPAのセキュリティ情報ページとは

IPAが公開した『セキュリティ情報』のページとは、ウェブサーバ上で動作しているサーバ用ソフトウェアのうち、日本で広く利用されているオープンソフトウェアを対象としてまとめてくれたものになります。

対象としているのはウェブサイト運営者、ウェブサイト・ウェブシステムを構築する事業者、システム管理者、ということになっています。

情報源はインターネット上で公開されている製品情報とセキュリティに関する情報にはなりますが、週1回程度の更新を予定しているため、定期的に当該ページをチェックすることである程度一括して情報把握ができます。

もちろん、従来の重要なセキュリティ情報は随時更新されます。

そして、このページでは以下のオープンソースソフトウェアに関する製品及びセキュリティ情報が掲載されます。

・Apache HTTP Server

・Apache Struts

・Apache Tomcat

・ISC Bind

・OpenSSL

・WordPress(日本語)

・Joomla!Japan

また、各オープンソースソフトウェアの掲載内容は以下のものが掲載されます。

・開発者情報（ウェブサイトへのリンク）

・ダウンロード情報

・セキュリティ情報

・最新バージョン情報

・脆弱性などに対する注意喚起情報などの参考情報

以上のような感じになっております。

ウェブ担当者の方などは是非活用されると良いです。

参考：『サーバ用オープンソースソフトウェアに関する製品情報およびセキュリティ情報』

それを受け、JPCERTやIPAにおいても注意喚起が促されています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

昨日、米国のセキュリティ機関が、3月に発覚したApache Struts2の脆弱性を突いた攻撃事案が急増していることを報告しました。

Apache Struts2とは？

そもそもApache Strutsというのは、Apacheソフトウェア財団が開発したオープンソースのJava Webアプリケーションフレームワークの機能改良版です。

従って、サーバにてJava Webアプリケーションフレームワーク、Apache Struts2が使われていなければ今回の問題は無関係ですので無視して構いません。

ランサムウェアに悪用されてしまう

Apache Struts2を使っている環境においては直ぐに更新版をインストールする必要があります。

今回の脆弱性を突かれてしまった場合、悪用された場合にはリモートでコードを実行し、不正なスクリプトを通じてコンピュータにダウンロードされ、ファイルを暗号化してしまい、身代金を要求されることになります。

こういった、Windowsに対する攻撃に悪用される事例が多く発生しているようなのです。

この脆弱性の対象は、Apache Struts 2.3.5からStruts 2.3.31までと、Apache Struts 2.5-Struts 2.5.10までで、それぞれ、Apache Struts 2.3.32、Apache Struts 2.5.10.1へアップロードする必要性があります。

自社内サーバではなく、社外のレンタルサーバなどを使用している場合においては各社の対応状況を確認しておいた方が良さそうです。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

日本で最も使われているオープンソースのオンラインショップ構築プログラムとしてEC-CUBEというものがありますが、こういったオープンソースのオンラインショップ構築プログラムにもマイナーアップデートが存在します。

それは不具合修正だけではありません。

脆弱性対応のアップデート

このようなオンラインショップ構築プログラムにおいても、いくつかの脆弱性を修正したマイナーアップデートがあります。

それは、個人情報漏えいに対するものであったり、悪意のあるスクリプトを入れられてしまったりするものなどさまざまです。

これらの対策がなされていない場合、インターネットショッピングサイトにてお買い物をしていただいたお客様の情報が漏えいしてしまったりするので、その脆弱性を修正したプログラムを使用していないと非常に危険です。

カスタマイズへの対応

これらのオンラインショップ構築プログラムを使ったインターネットショッピングサイトは、多くのケースでカスタマイズが施されています。

その場合、制作会社に依頼して修正プログラムにアップデートしてもらうしかないのですが、制作会社がドキュメントを残していないとなると結構厳しいものがあります。

要は、カスタマイズされているものに対してはそのままアップデートはできないので、カスタマイズされている部分をアップデートできるように修正してもらわなければいけないからです。

この作業はケースにもよりますが、非常に手間がかかりますので、コスト的にもそれなりの費用負担が発生します。

運営者としての責務

万が一個人情報が漏えいしてしまった場合、まず運営者としての責任が発生します。

保守メンテナンスを制作会社に委託していたとしても、運営会社としては監督責任としての問題があります。

何かあるごとに業者の責任にするのではなく、常に自社の問題として認識する必要があり、自社においても定期的に脆弱性情報の確認などを行い、自ら業者側に対してアップデートの見積依頼をするくらいでないといけません。

このように、インターネットショッピングサイトを運営する上では、必ずセキュリティアップデートの対応をするものと認識してサイト運営を行ってください。

個人情報は適切に管理されなければなりません。