皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

冒頭に書きました通り、今日はWeb系の脆弱性情報をお伝えします。

PHP･Apache･HTTP/2の脆弱性について

8月1日と8月20日に、JPCERTコーディネーションセンターは以下の脆弱性を発表しています。

＜PHP にバッファオーバーフローの脆弱性＞

PHP には、バッファオーバーフローの脆弱性があり、遠隔の第三者が、サービス運用妨害 (DoS) 攻撃を行ったり、任意のコードを実行したりする可能性がある。

対象は、

・PHP 7.3.8 より前のバージョン

・PHP 7.2.21 より前のバージョン

・PHP 7.1.31 より前のバージョン

PHP開発者や配布元提供の修正済みのバージョンへの更新で解決。

＜Apache HTTP Web Server 2.4 に複数の脆弱性＞

Apache HTTP Web Server 2.4 系に以下の脆弱性があり、情報改ざん、悪意のあるページへのリダイレクト、情報漏えい、サービス運用妨害（DoS）攻撃の影響を受ける可能性がある。

・mod_proxy のエラーページに限定的なクロスサイトスクリプティングの脆弱性

・mod_rewrite に潜在的なオープンリダイレクトの脆弱性

・mod_http2 に h2 コネクション切断時における解放済みメモリ読み込みの脆弱性

・mod_http2 にメモリ破壊の脆弱性

・mod_http2 に h2 worker 枯渇によるサービス運用妨害 (DoS) 攻撃の脆弱性

・mod_remoteip にスタックバッファオーバーフローおよび NULL ポインタ逆参照の脆弱性

対象は、Apache HTTP Web Server 2.4.41 より前のバージョン

Apache Software Foundation提供の修正済みのバージョンへの更新で解決。

＜HTTP/2 の実装に対するサービス運用妨害（DoS）攻撃＞

HTTP/2 通信の処理は、HTTP/1.1 通信の処理と比較して多くのリソースが必要であり、RFC7540 の Security Considerations セクションにおいても、サービス運用妨害（DoS）状態に関する検討が行われている(10.5. Denial-of-Service Considerations)。しかし、どのように対策すべきかは実装者にまかされており、これが以下の問題につながっている。

・Data Dribble

・Ping Flood

・Resource Loop

・Reset Flood

・Settings Flood

・0-Length Headers Leak

・Internal Data Buffering

・Empty Frame Flooding

各 HTTP/2 実装者が提供するアップデートの適用を実施。

これらのものに該当する場合、早めに修正済みバージョンへ更新されることをお勧めします。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

今日はiOSやmacOSなどの脆弱性情報をお伝えします。

iOSやmacOSなどの脆弱性対策アップデート

先週の23日、Appleの各OSのアップデート版がリリースされました。

まず、影響を受ける対象は以下の通りとなります。

・iOS 12.1.3 より前のバージョン

・macOS Mojave 10.14.3 より前のバージョン
・macOS High Sierra (Security Update 2019-001 未適用)
・macOS Sierra (Security Update 2019-001 未適用)
・tvOS 12.1.2 より前のバージョン
・watchOS 5.1.3 より前のバージョン
・Safari 12.0.3 より前のバージョン
・iCloud for Windows 7.10 より前のバージョン

そして、上記のApple製品において想定される影響は各脆弱性により異なるようですが、次のような影響を受ける可能性があるとされています。

・サンドボックス回避

・任意のコード実行
・権限昇格
・情報漏えい
・情報改ざん
・サービス運用妨害 (DoS)
・任意のスクリプト実行

一部では、『iOS』において前回バージョンの際に起きていた『通信回線につながらない』不具合が未だ残っているという情報もありますので暫く様子見した方が良いとも言えますが、周りの方の状況などを情報収集し、可能であればできる限り早めにアップデートされた方が良いと思われます。

ちなみに、私のiPhone xsは『iOS 12.1.3』にアップデートしても通信障害は起きていません。

他の方のiPhone 7も『iOS 12.1.3』へのアップデートにて問題は確認されませんでした。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

JPCERTコーディネーションセンター（JPCERT/CC）は昨日、DDoS攻撃の停止と引き換えに金銭を要求する脅迫メールを受け取った企業などの報告が複数出ていることを公表しました。

これは数ヵ月前にも類似のものがあり、JPCERT/CCでは注意喚起を行っています。

DDoS攻撃のおさらい

DoS攻撃とは、サーバの負荷や通信量を増加させ、サーバのサービスを低下させることを目的とした攻撃のことを言い、DDoS攻撃とは、DoS攻撃をさらに悪質化させ、攻撃元を分散させたもののことを言います。

この攻撃元を分散したDDoS攻撃は最も防御が難しい攻撃と言われており、今までに多くのサーバが被害にあっています。

DDoS攻撃への対応策

こういったDDoS攻撃は攻撃元が分散していることもあり、対策が講じにくいものではあります。

しかし、何も行わないわけにはいかなくなりますから、次にことを行ってみると良いです。

１．DDoS攻撃が発生した際の対応を再確認しておく

２．管理しているサーバやルータなどが踏み台とならないよう、適切な設定を行う

３．海外からのアクセスを拒否してしまう

　　ただし、これは日本国内向けだけをサービス対象としている場合に限ります。

４．同一IPからのアクセス回数を制限する

　　場合によっては拒否する

といった感じになります。

また、以前お伝えした通り、DDoS攻撃はIoT機器全体が踏み台にされる可能性があります。

これらを踏まえ、予めIoT機器に対して適切な設定を行っておかなければいけません。

意識の欠如がさらなる被害を生む、つまり他へ迷惑をかけることにもなります。