皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

最近、投稿が出来ない日が結構増えてきていますが、世の中の状況などもあり、暫くはこのような状況が続く可能性があります。

さて、冒頭に書いた通り、『Firefox 74』において致命的な脆弱性が発覚し、既に悪用事例も出ているということですのでご紹介します。

Firefox74で致命的な脆弱性発覚

配信されたのは今朝ほどでしょうか。

今回の脆弱性ですが、特定の条件下において解放後メモリ使用（Use-after-free）によって競合状態が発生するというものです。

深刻度は最高の『Critical（クリティカル）』とされており、これを悪用した攻撃も確認済みということで、早急な対応が求められています。

通常版：Firefox 74.0.1

企業向け延長サポート（ESR）版：Firefox 68.6.1 esr

このバージョンにて修正されています。

また、3月にリリースされた『Firefox 74』においては『TLS 1.0/1.1』のサポートが廃止されていることも付け加えておきます。

ご参考までに

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

Microsoft（マイクロソフト）は先週末、同社の提供するブラウザ『Internet Explorer（IE）』の『ゼロデイ脆弱性』を公開し、既に悪用されていることも公開しています。

今日はそれをお伝えします。

IEにゼロデイ脆弱性で既に悪用を確認

Microsoft（マイクロソフト）によると、今回見つかった脆弱性は第三者がユーザーを悪意のあるサイトへ接続させたり、加工済みのOffice文書などを実行させたりする攻撃が行われる可能性があるとしています。

これを受けてJPCERT/CC（JPCERTコーディネーションセンター）などでは、対策や回避策を適用するまでは不審なサイトへの接続やファイルの実行を控える様に注意喚起を促しています。

＜対象の製品とバージョン＞

・Microsoft Internet Explorer 9

・Microsoft Internet Explorer 10

・Microsoft Internet Explorer 11

＜対策＞

・後術の回避策を実施するか、別のブラウザを使用する

＜回避策＞

・『jscript.dll』へのアクセス権限を制限することで影響を回避可能

※　IE11、IE10、IE9 は、本脆弱性の影響を受けない jscript9.dll がデフォルトで使用されているが、古いバージョンの JScript をサポートするために jscript.dllが提供されており、回避策を実施することで、jscript.dll の使用を制限すると、古いバージョンの JScript を使用する Web サイトや文書ファイルの閲覧に影響が生じる可能性があるため注意が必要。

なお、本脆弱性の修正パッチは2月のセキュリティ更新にて提供される予定です。

スクリプト エンジンが Internet Explorer でメモリ内のオブジェクトを処理する方法に、リモートでコードが実行される脆弱性が存在します。この脆弱性により、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できるように、メモリを破損させる可能性があります。攻撃者によりこの脆弱性が悪用された場合、攻撃者が現在のユーザーと同じユーザー権限を取得する可能性があります。現在のユーザーが管理者ユーザー権限でログオンしているときに、攻撃者によりこれらの脆弱性が悪用された場合、影響を受けるコンピューターが制御される可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除などを行ったり、完全なユーザー権限を持つ新たなアカウントを作成したりする可能性があります。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

日本時間の今日、米Microsoft（マイクロソフト）が『IE（Internet Explorer）』の脆弱性対応パッチをリリースしています。

今日はそれをお伝えします。

IE（Internet Explorer）に脆弱性発覚

『IE（Internet Explorer）』に発覚した脆弱性は既に悪用を確認しているようで、早急な対応が望まれます。

対象製品とバージョンは以下通りです。

Internet Explorer 11

・Windows 10 Version 1703 for 32-bit Systems

・Windows 10 Version 1703 for x64-based Systems

・Windows 10 Version 1803 for 32-bit Systems

・Windows 10 Version 1803 for x64-based Systems

・Windows 10 Version 1803 for ARM64-based Systems

・Windows 10 Version 1809 for 32-bit Systems

・Windows 10 Version 1809 for x64-based Systems

・Windows 10 Version 1809 for ARM64-based Systems

・Windows Server 2019

・Windows 10 Version 1709 for 32-bit Systems

・Windows 10 Version 1709 for 64-based Systems

・Windows 10 Version 1709 for ARM64-based Systems

・Windows 10 Version 1903 for 32-bit Systems

・Windows 10 Version 1903 for x64-based Systems

・Windows 10 Version 1903 for ARM64-based Systems

・Windows 10 for 32-bit Systems

・Windows 10 for x64-based Systems

・Windows 10 Version 1607 for 32-bit Systems

・Windows 10 Version 1607 for x64-based Systems

・Windows Server 2016

・Windows 7 for 32-bit Systems Service Pack 1

・Windows 7 for x64-based Systems Service Pack 1

・Windows 8.1 for 32-bit systems

・Windows 8.1 for x64-based systems

・Windows Server 2008 R2 for x64-based Systems Service Pack 1

・Windows Server 2012

・Windows Server 2012 R2

Internet Explorer 10

・Windows Server 2012

Internet Explorer 9

・Windows Server 2008 for 32-bit Systems Service Pack 2

・Windows Server 2008 for x64-based Systems Service Pack 2

以上、ご参考までに。

Kaspersky、Windowsの既知の脆弱性を悪用するランサムウェア「Sodin」を発見

既知のWindowsの脆弱性（CVE-2018-8453）を悪用する、暗号化型ランサムウェア「Sodin」は、感染したシステムの特権昇格の脆弱性の悪用や、CPUのアーキテクチャを巧みに利用し検知を回避します。このような機能を持つランサムウェアはまれです。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

冒頭の引用である程度気づかれた方もいるかもしれませんが、今日は少々注意喚起の意味を込めての話題です。

検知を回避するランサムウェア『Sodin』

先日『カスペルスキー』が発表したランサムウェア『Sodin』は少々厄介なランサムウェアのようです。

昨年発見された『Windowsのゼロデイ脆弱性（CVE-2018-8453）』を悪用し、権限を昇格させる高度なアプローチをとっているとされています。

例えば、通常のランサムウェアの場合、『メールの添付ファイル』を開いたり『悪意のあるリンクをクリック』するなどユーザー側の操作が必要ですが、『Sodin』を使った攻撃ではユーザー側の操作は不要になります。

つまり、攻撃を受けてしまった場合は勝手に操作されてしまうということになります。

また、この『Sodin』の検知を難しくしている理由として、『32ビットプロセスから64ビットコードを実行』でき、『セキュリティの検知を迂回して回避』しているようです。

ただし、このような『ランサムウェア』は『まれ』なものでもあるとされています。

このような『ランサムウェア』の被害に遭わないためにも『Windows』や『セキュリティソフト』は最新の状態を保つ必要があります。

『Windowsのゼロデイ脆弱性（CVE-2018-8453）』は2018年10月に『パッチ（セキュリティ更新プログラム）』がリリースされていますし、『セキュリティソフト』に関しては『カスペルスキー』がこの発表を行った以上、他社も直ぐに対応の『定義ファイル』を配信しているはずですから、最新の状態を保つことが被害を防ぐことにつながります。

＜追伸＞

7月4日時点の『Sodin』の感染率は台湾が約17％、日本・ドイツ・韓国が8％程度となっているようです。

さて、この『Password Checkup』とは？

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

日本国内においてもウェブブラウザのシェアが半数を超える『Google Chrome』ですが、今回、スタンフォード大学の協力を得て『Password Checkup』というものを開発しました。

では、『Password Checkup』とは？

Password Checkupで漏えいチェック

さて、『Google Chrome』の拡張機能として登場した『Password Checkup』とは、名前の通りパスワードをチェックしてくれるものです。

Chromeブラウザでアクセスしているサイトへのログイン情報が第三者に漏えいしていないかをチェックしてくれ、入力したIDとパスワードが流出データと一致していれば警告を発するようになっています。

元々、Googleアカウントに限ってはパスワードの漏えいや悪用を検知するとパスワードが自動的にリセットされる仕組みになっており、その仕組みの効果もあってリスクは通常の1/10程度にまで抑えられているとされています。

今回リリースされた『Password Checkup』はこのGoogleアカウントの保護機能の仕組みを応用し、他のサイトにおけるログイン情報の漏えいなどを検知できるようにしたものです。

ログイン情報が流出したアカウントは40億以上もあるとされており、そういったアカウントの流出は自身ではなかなか気づかないものです。

そのため、今回リリースされた『Password Checkup』などを使うことで警告が発せられた時点で即座にパスワード変更などの対応を取ることができることから、不正利用などによるデータ侵害を未然に防ぐことが期待できそうです。

参考：『Google Security Blog “Protect your accounts from data breaches with Password Checkup”』

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

日本時間の昨日公表されたマイクロソフト製品に関する脆弱性修正に関して、IPA（独立行政法人 情報処理推進機構）などからも注意喚起がされているようですのでお知らせしておきます。

Microsoft製品の脆弱性対策

昨日公表されたMicrosoft製品に関する脆弱性の修正プログラムは、悪用された場合、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンを制御されたりして、様々な被害が発生する可能性があります。

また、これらの対象となるソフトは以下の通りです。

・Internet Explorer

・Microsoft Edge

・Microsoft Windows

・Microsoft Office と Microsoft Office Service、Web Apps

・Microsoft Exchange Server

・Chakra Core

攻撃された場合の影響は大きいとされているため、早期に修正プログラムを適用した方が良いです。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

ウェブサイト構築において多く用いられているWordPressですが、これを含めた各種CMS（content management system/コンテンツマネジメントシステム）などにも必ずと言って良いほど脆弱な部分は存在します。

これらの脆弱性を悪用した被害にあわないためには、どのような対策を講じる必要性があるのでしょうか？

WordPressサイトが改ざんされた理由

今回の改ざん事例は実際に先週末あたりから被害が報告されており、原因はREST APIと呼ばれる処理に起因した脆弱性が存在したことにあります。

※　REST APIとは、Webシステムを外部から利用するためのプログラムの呼び出し規約の種類の一つです。

この脆弱性が悪用された場合、第三者からのリモート攻撃によってサーバ上のコンテンツを改ざんされる可能性があったわけですが、それが実際に起きてしまいました。

WordPressを大至急アップデートせよ

今回影響を受けたのは、WordPress4.7.0から4.7.1のバージョンで、現在の最新バージョンは4.7.2です。

影響を受けるバージョンを使われている場合、大至急WordPressを4.7.2にアップデートする必要があります。

またWordPress.orgは、バージョン4.7.2を2017年1月26日にリリースしたのですが、利用者の安全確保のため、この脆弱性の内容については2月1日まで公開を遅らせていたようです。

このように、WordPressなどのCMSにおいても脆弱性を悪用された被害は以前から存在します。

そして、これらのものを使っている以上、常に最新版を維持するよう、アップデートをしておく必要性があります。

今回影響を受けた対象はWordPress4.7.0から4.7.1ではありますが、それ以前のバージョンにおいても脆弱性は存在しています。

従って、常に最新版を維持する必要があるというのは、基本的に全てのWordPress利用者が対象であるということです。

以前にもお話ししましたが、WordPressなどのCMSを使っている以上、アップデートへの対応は継続的に行わなければいけません。

＜参考情報＞

WordPress.org
『WordPress 4.7.2 Security Release』
https://wordpress.org/news/2017/01/wordpress-4-7-2-security-release/

独立行政法人情報処理推進機構 (IPA)
『WordPress の脆弱性対策について』
https://www.ipa.go.jp/security/ciadr/vul/20170206-wordpress.html