![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.2019021201.png){kind=logo}
「22 年目の X Window バグ」大解剖：新たに発見されたルート権限取得の欠陥～UNIX 風味のデスクトップを他人と共有している人は、すぐにパッチを（The Register）
libXfont は、X.Org が配布するすべての X サーバ上で、ユーザが指定したフォントファイルを読み込む目的で使用されており、そこには Xorg サーバ（多くの場合はハードウェアへのアクセスに、root 権限あるいは setuid-root が要求される）が含まれている
国際
TheRegister
libXfont のコードで新たに発見された（そして 22 年前から存在していた）この権限昇格のバグを、厄介なユーザーによって悪用される前に取り除くため、システム管理者たちは数日かけてコードにパッチを当てている。この欠陥は、何者かが脆弱となったマシンへログインし、X サーバをクラッシュできるようにするもの、あるいは、おそらくは何者かがスーパーユーザーとしてコードを注入し、実行できるようにするものだ。
このバグは、「何百」ものバグを見つけた Chaos Communication Congress のプレゼンテーション（それに関する X.org メーリングリストでの記述はここで閲覧できる）のすぐ後に続く形で、新しく発見された。それは典型的なスタックバッファオーバーフローのバグであり、その誕生は 1991 年にさかのぼる――そして、それは X11 のすべてのバージョンに存在している。
関連記事
-
エクスプロイトブローカーなど必要ない：バグ報奨金を均一化しよう～善玉、悪玉、卑劣漢――誰でも 1 件 15 万ドル（The Register）
-
OpenSSL が、NSA に汚染された暗号を利用するのが心配？ バグはあなたの味方だ～ソフトウェアの欠陥によって、不審な乱数発生器が無効化されていたことが判明（The Register）
-
DARPA、200 万ドルの「セキュリティのバグたたき」の挑戦でハッカーたちの才能を徴募する～Capture the Flag のコード競争に破格の賞金（The Register）
-
バグ報奨金のスタートアップ企業はクラウドテスティングで大儲けを企む～しかし、それをアウトソーシングするのは正解かもしれない（The Register）
Scan PREMIUM 会員限定記事
もっと見る-
製品・サービス・業界動向ＮＴＴデータ先端技術サイバーセキュリティインテリジェンスセンター設立目論見
NTTデータ先端技術株式会社が遡ること4月1日付、「サイバーセキュリティインテリジェンスセンター」を設立した。
-
一田和樹 サイバーブックレーダー「サイバー完全兵器」デービッド・サンガー著
北朝鮮、ロシア、中国からのアメリカに対する攻撃と、アメリカの他国への攻撃の双方が描かれ、ハイブリッド戦を挑まれたアメリカが大統領選で完敗した経緯の詳細もわかる。著者はその時期のキイパーソン（トランプにも）に直接取材しており、生々しい話が読める。
-
顧客データ人質にされた独大手 SI 企業の攻防、攻撃者が本誌に語った言い分（The Register）
オラクル、SAP、BT 他、さまざまな企業と契約し、それら企業の IT システムを管理しているサービスプロバイダがハッキングされ、その顧客データを人質に身代金が要求されている。
-
サイバー攻撃被害、日韓に存在した共通点
韓国の脅威分析と日本との関係に着目したセッションが、2018年10月に開催されたCODEBLUEで行われた。その内容を元に、日韓両国の脅威事情を紹介する。講演者はチャ・ミンソク氏（AnLab）。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
WordPress用プラグイン「WP Open Graph」に、意図しない操作される脆弱性（JVN）
三菱電機製「MELSEC-Qシリーズ」にDoSの脆弱性（JVN）
「Apache Camel」に任意のファイルを読みとられる脆弱性（JVN）
「Hitachi IT Operations Director」などにDoSの脆弱性（HIRT）
複数のCisco製品に脆弱性、対応を呼びかけ（JVN）
Intelが複数製品の12種類のアドバイザリを公開、アップデート推奨（JVN）
インシデント・事故 記事一覧へ
もみじまんじゅうの販売サイトに不正アクセス、カード情報が流出の可能性（藤い屋）
生徒の校外学習の写真を掲載したWebページのURLとパスワードを誤送信（大阪府）
「アンとケイト」に不正アクセス、登録情報が流出の可能性（マーケティングアプリケーションズ）
不正アクセスにより医師の氏名を騙るなりすましメールを送信（東京都保健医療公社 多摩北部医療センター）
国外から不正アクセス 個人情報削除、パスワードハッシュ化済も万全期し全件変更（愛媛CATV）
「広報ひがしよどがわ」不法投棄、宛名シール記載個人情報流出（大阪市）
調査・レポート・白書 記事一覧へ
一次通過経験ゼロ、知人にすら読んでもらえないレベルの素人がサイバーセキュリティ小説コンテスト大賞受賞に至った経緯とは
一田和樹 サイバーブックレーダー「サイバー完全兵器」デービッド・サンガー著
平成30年の特殊詐欺認知・検挙の数値を確定、減少に転じるも高水準（警察庁）
「噂の学園一の美少女な先輩がモブの俺に惚れてるって、これなんのバグですか？」瓜生 聖 (ブックレビュー)
Oracle WebLogic Serverにおけるリモートコード実行の脆弱性を検証（NTTデータ先端技術）
2018年度の標的型攻撃、中国政府関与とみられる攻撃多数（マクニカネットワークス）
研修・セミナー・カンファレンス 記事一覧へ
ＭＢＳＤ国分裕の「脆弱性診断士育成」カリスマ授業
サイバー攻撃被害、日韓に存在した共通点
中国サイバー攻撃組織の行動原則、中国製造 2025 と超限戦
蘇る ISMS、カギは２つの交絡因子
教育機関に対するサイバー攻撃の傾向を事例を交えて紹介（FireEye）
![[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行 画像](/imgs/std_m/27120.jpg)
![[おしらせ] 人気連載執筆者のご自宅玄関、扉の奥へ 画像](/imgs/std_m/26608.jpg)
