![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.2019021201.png){kind=logo}
「22 年目の X Window バグ」大解剖：新たに発見されたルート権限取得の欠陥～UNIX 風味のデスクトップを他人と共有している人は、すぐにパッチを（The Register）
libXfont は、X.Org が配布するすべての X サーバ上で、ユーザが指定したフォントファイルを読み込む目的で使用されており、そこには Xorg サーバ（多くの場合はハードウェアへのアクセスに、root 権限あるいは setuid-root が要求される）が含まれている
国際
TheRegister
libXfont のコードで新たに発見された（そして 22 年前から存在していた）この権限昇格のバグを、厄介なユーザーによって悪用される前に取り除くため、システム管理者たちは数日かけてコードにパッチを当てている。この欠陥は、何者かが脆弱となったマシンへログインし、X サーバをクラッシュできるようにするもの、あるいは、おそらくは何者かがスーパーユーザーとしてコードを注入し、実行できるようにするものだ。
このバグは、「何百」ものバグを見つけた Chaos Communication Congress のプレゼンテーション（それに関する X.org メーリングリストでの記述はここで閲覧できる）のすぐ後に続く形で、新しく発見された。それは典型的なスタックバッファオーバーフローのバグであり、その誕生は 1991 年にさかのぼる――そして、それは X11 のすべてのバージョンに存在している。
関連記事
-
エクスプロイトブローカーなど必要ない：バグ報奨金を均一化しよう～善玉、悪玉、卑劣漢――誰でも 1 件 15 万ドル（The Register）
-
OpenSSL が、NSA に汚染された暗号を利用するのが心配？ バグはあなたの味方だ～ソフトウェアの欠陥によって、不審な乱数発生器が無効化されていたことが判明（The Register）
-
DARPA、200 万ドルの「セキュリティのバグたたき」の挑戦でハッカーたちの才能を徴募する～Capture the Flag のコード競争に破格の賞金（The Register）
-
バグ報奨金のスタートアップ企業はクラウドテスティングで大儲けを企む～しかし、それをアウトソーシングするのは正解かもしれない（The Register）
Scan PREMIUM 会員限定記事
もっと見る-
調査・レポート・白書ネット世論操作の現状とこれから ～ アメリカ上院情報活動特別委員会に提出された 2 つのレポート：第 2 回「 IRA はネット広告代理店のように活動している ～ New Knowledge 社が暴いた IRA の 12 の戦術」
New Knowledge 社のレポートは IRA の基本的な 12 の戦術の解説に多くのページを割いている。それらを順を追って紹介したい。注目すべきは、IRA が行っているのは高度かつ長期間にわたるデジタル・マーケティングだ。
-
Nagios XI において RSS 機能の実装不備と sudo 権限の設定不備を悪用して遠隔から管理者権限で任意のコードが実行可能となる脆弱性（Scan Tech Report）
Nagios XI に、遠隔から管理者権限での任意のコード実行につながる、複数の脆弱性が公開されています。
-
x86 アーキテクチャの不可解な「仕様」
CVE-2018-8897によれば、x86アーキテクチャ（インテル、AMD）には、スタックセグメントを操作するx86命令の脆弱性によりユーザーモードからカーネルモードへのエスカレーションが発生するシーケンスが存在するという。
-
Heart of Darknet - インターネット闇の奥 第4回「企業がインテリジェンスを活用する理由」
歳を取ると、相対的に時の流れが早くなる。光陰矢の如しとはよく言ったもので、前回寄稿してからまさか1年以上が経過してしまうとは思ってもみなかった。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
「簡易CMS紀永」にシステム上の情報の取得や改ざんをされる脆弱性（JVN）
Intelが複数製品のアップデートを公開、対応を呼びかけ（JVN）
月例セキュリティ情報を公開、10種の製品を更新（IPA、JPCERT/CC）
サーバへの攻撃が増加、WordPressへの攻撃も2018年12月に急増（JP-Secure）
iOSアプリ「iChain保険ウォレット」に、情報漏えいの脆弱性（JVN）
Nagios XI において RSS 機能の実装不備と sudo 権限の設定不備を悪用して遠隔から管理者権限で任意のコードが実行可能となる脆弱性（Scan Tech Report）
インシデント・事故 記事一覧へ
FAX誤送信で長野県議会議員一般選挙立候補予定者の情報が流出（長野県）
電子海図データと紙海図画像データを収めたDVD-R等を紛失（海上保安庁）
約147,000件分の水道利用者情報が記録されたタブレットを紛失（岡崎市）
「キョードー東京チケットオンライン」にて一部の顧客情報が別のユーザーに表示される不具合（キョードー東京）
「鬼灯の冷徹」などを「BitTorrent」で販売し、逮捕（ACCS）
2018年後半の大規模障害にソフトバンクと東京証券取引所（IPA）
調査・レポート・白書 記事一覧へ
ネット世論操作の現状とこれから ～ アメリカ上院情報活動特別委員会に提出された 2 つのレポート：第 2 回「 IRA はネット広告代理店のように活動している ～ New Knowledge 社が暴いた IRA の 12 の戦術」
IoT機器へのエクスプロイトが急増--脅威レポート（フォーティネットジャパン）
サイバー保険の認知率、サイバー攻撃への危機意識とともに調査（日本損害保険協会）
個人の不正払い戻しの被害は減少傾向が続く（全銀協）
検出ゼロの22％、攻撃を可視化できていないだけの可能性（エフセキュア）
ネット接続後のIoT機器、5分以内に攻撃を受け、24時間以内に脆弱性を悪用される（NETSCOUT SYSTEMS）
研修・セミナー・カンファレンス 記事一覧へ
x86 アーキテクチャの不可解な「仕様」
車検証の電子化に向けてセキュリティ面を含めた技術的要件を検討（国土交通省）
西本逸郎の最近の頭の中
民間対民間のサイバー時代の終焉 ～ サイバーリーズン エバンジェリスト 増田幸美氏
「マルウェア完全に理解した」キヤノンマーケティングジャパン社マルウェアラボのお仕事
![[おしらせ] 人気連載執筆者のご自宅玄関、扉の奥へ 画像](/imgs/std_m/26608.jpg)
