piyolog Mk-II 第1回「4月末のInternet Explorerの脆弱性騒動から見えてきたコト」
今回の脆弱性の影響を回避するために、Internet Explorerの使用禁止の案内を出している組織を見かけました。案内文をいくつか見てみましたが(中略)内容が十分とは言えないものもありました。
今回は4月末に起きたInternet Explorerの脆弱性に関連する一連の動きについて振り返りつつ、この騒動から見えてきたコトについて考えてみたいと思います。
●IEの脆弱性を悪用する攻撃、今回は電子メールのリンクから
2014年4月27日(日本時間)にMicrosoftとFireEyeがInternet Explorerに当時未修正の脆弱性(CVE-2014-1776)が存在し、さらにこの脆弱性を悪用する動きを確認したと情報を公開しました。それから5日後の5月2日にMicrosoftはこの脆弱性を修正する更新プログラムMS14-021を緊急リリースしました。更新プログラムをインストールすることで脆弱性が修正され、影響を受けることは無くなります。
セキュリティベンダが公開した情報によれば、今回の攻撃は対象に電子メールを送り、文中に記載されているURLをクリックさせることでマルウェアに感染させる手口が取られていました。攻撃開始時期は明らかとはなっていませんが、4月25日頃にはこの電子メールが確認されています。ただし、確認されているのはいずれも海外です。
意外だったのはMicrosoftのWindows XPに対する措置です。Windows XPは4月9日にサポート終了を迎えており、今回の修正もXP向けには行われないものと思われていました…
※本記事は有料版メールマガジンScanに全文を掲載します
ソース・関連リンク
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
-
今日もどこかで情報漏えい 第23回「2024年3月の情報漏えい」なめるなという決意 ここまでやるという矜恃
今回は毛色が違う。営業DXサービス「Sansan」を利用中の顧客に対し、不正にIDやパスワードを入手しログインしたとして、不正アクセス禁止法違反の疑いで会社員が逮捕された旨の報道があったと、その社員とは無関係の「Sansan」を提供するSansan株式会社が公表を行ったことだ。感覚的には「Gmail アカウントが乗っ取られスパムメール送信に利用された件について犯人が逮捕された」と Google が発表するようなものだろうか。
-
Linux の GSM ドライバにおける Use-After-Free の脆弱性(Scan Tech Report)
2024 年 1 月に公開された、Linux カーネルの脆弱性を悪用するエクスプロイトコードが公開されています。攻撃者は当該脆弱性の悪用により、一般権限での侵入に成功した OS の管理者権限が奪取可能です。Linux カーネルのアップデートにより対策してください。
-
訃報:セキュリティの草分けロス・アンダーソン氏 死去 67 歳、何回分かの生涯に匹敵する業績
彼は英国王立協会のフェローでもあり、ニュートン、ダーウィン、ホーキング、チューリングが名を連ねる「知の殿堂」入りを果たしていた。
ピアツーピアシステムとハードウェアの耐タンパー性における草分け的存在である彼は、チップや銀行の暗証番号カードなどの安全な設計に長年取り組み大きな影響を与えた。そして、ATM におけるセキュリティ上の欠陥を公表するというアンダーソンの取り組みにより、世界中で ATM の設計が変更されることとなった。