2026.10.13（火）
- 注目検索ワード
インド、エジプト、アフリカのハッカーたちがグーグル社のバグ発見報奨金の支払いで貧困から脱出している。ムンバイの親たちは息子が弁護士になることを夢見てきたが、経済的解放がバグハンターとしての成功によってもたらされることに気付いた。
IPAおよびJPCERT/CCは、libarchiveが提供するアーカイブソフト「libarchive」にバッファオーバーフローの脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、OpenSSL Projectが提供する「OpenSSL」に複数の脆弱性が存在すると「JVN」で発表した。
JPCERT/CCは、「ImageMagick」の脆弱性（CVE-2016-3714）に関する注意喚起を発表した。
アドビは、「Adobe Reader」および「Acrobat」のセキュリティアップデートの事前通知（APSB16-14）を発表した。
Dr.WEBは、2016年4月におけるモバイルデバイスを狙った脅威についての総括を発表した。
IPAおよびJPCERT/CCは、Accellionが提供する「Accellion File Transfer Appliance（FTA）」に複数の脆弱性が存在すると「JVN」で発表した。
警察庁は、@policeにおいて2016年3月期の「インターネット観測結果等」を発表した。
IPAおよびJPCERT/CCは、Network Time Protocol daemon（ntpd）に複数の脆弱性が存在すると「JVN」で発表した。
日本IBMは、Apache Struts2の脆弱性を悪用する攻撃と考えられる通信が発生していることをTokyo SOCにおいて確認しているとして、注意を呼びかけている。
ラックは、「Apache Struts 2」への攻撃増加、および攻撃による被害を「JSOC」において確認したとしてブログを公開し、注意を呼びかけている。
キヤノンITSは、不審なマルウェアを解析してレポートする有償サービス「マルウェア解析サービス」を7月1日より提供開始すると発表した。
IPAおよびJPCERT/CCは、Zoho Corporationが提供する特権ID管理ソフトウェアである「ManageEngine Password Manager Pro」にアクセス制限不備の脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、Webアプリケーションを構築するためのフレームワークである「Apache Struts2」に任意のコードを実行される脆弱性が存在すると「JVN」で発表した。
保育士夫婦の息子Wakelamがハイスクールから脱出したのは、3年生の終わりだった。両親は、将来を見据えた決断だとして支持した。バグ発見報奨金は儲かる仕事として、また履歴書の穴を埋めるものとして、中退したWakelamに最適だった。
JPCERT/CCは、「ケータイキット for Movable Type」の脆弱性（CVE-2016-1204）に関する注意喚起を発表した。
14日に熊本県益城町で震度7の強い揺れを観測して以来、熊本県と大分県にわたる広い地域で地震が続く。発生から10日を経過したが、いまだ警戒が必要だ。気象庁は24日も会見を開き、注意を呼びかけた。
IPAおよびJPCERT/CCは、HPが提供するバックアップ・リカバリソフト「HP Data Protector」に複数の脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、サイボウズが提供するAndroid向けアプリ「kintone mobile for Android」に複数の脆弱性が存在すると「JVN」で発表した。
「さあ、ゲームをしよう」……不気味な殺人鬼が、登場人物たちを絶望の淵に叩き込むホラー映画「SAW」。7作目まで作られた人気シリーズだが、その恐怖が2016年に甦ることとなった。
IPAおよびJPCERT/CCは、Webテクノロジを使ったクロスプラットフォームのデスクトップアプリケーションを開発するためのソフトウェアフレームワーク「Electron」にNodeモジュール読み込みのパスを適切に制限していない脆弱性が存在すると「JVN」で発表した。
![[RSA Conference 2016 USA] IOC (Indicator of Compromise) は死んだのか？ タニウム社 講演レポート 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/19802.jpg)
講演でRyanは、「マルウェアの95%は1か月以内に消滅するため、ファイルハッシュのIOCは実に短命です。IOCは本来、このような問題を解決するために生み出されたはずなのに」と問題提起を行った。
IPAは、Oracle社が提供するJavaプログラムを実行するためのソフトウェア実行環境「JRE」の脆弱性対策について発表した。
IPAおよびJPCERT/CCは、エヌ・ティ・ティ・コミュニケーションズが提供するスマートフォンアプリ「Photopt」にSSLサーバ証明書の検証不備の脆弱性が存在すると「JVN」で発表した。
昨今のランサムウェアは、パターンファイル型の対策が間に合わない。荒木氏は、いくらユーザーに怪しい添付ファイルを開かないよう教育しても限界があるため、できる限りシステム側でリスク軽減し、ビジネスインパクトを低減するべき段階に来ているという。
世界最大手のテクノロジー企業や家電メーカーのセキュリティホールを見つけ出して報告するという、バグ発見報奨ブームに乗った世界中に数百人ほどいる有能なハッカーのうちの1人が彼だ。
IPAおよびJPCERT/CCは、アップルが提供するマルチメディアプレイヤー「QuickTime for Windows」に複数のヒープバッファオーバーフローの脆弱性が存在すると「JVN」で発表した。
Blizzard Entertainmentは、同社のサービスBattle.netに対して、外部からDDoS攻撃が行われていたことを発表しました。
Apple 社の OS である OS X および iOS に、競合状態制御の不備により管理者権限で任意のコードが実行されてしまう脆弱性が報告されています。
![[RSA Conference 2016 USA] EDR (Endpoint Detection and Response)とは？ ～ タニウム社 チーフセキュリティアーキテクトに聞く 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/19641.jpg)
タニウムが注力している EDR（Endpoint Detection and Response）は、まだ日本ではあまりなじみのないジャンルです。まず、従来のエンドポイントセキュリティと EDR との違いを教えて下さい。
IPAおよびJPCERT/CCは、東京スター銀行が提供するスマートフォンアプリ「東京スター銀行アプリ」にSSLサーバ証明書の検証不備の脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、SAMRおよびLSADプロトコルによる通信では、RPCのチャネルが正しく確立されないことが原因で脆弱性が存在すると「JVN」で発表した。
日本マイクロソフトは、2016年4月のセキュリティ情報を公開した。公開されたセキュリティ情報は13件で、このうち最大深刻度「緊急」は6件、「重要」は7件となっている。
「ランサムウェア」（身代金脅迫型ウイルス）による脅威が、今年に入り急拡大している。個人から組織まで、PCからモバイル端末まで、その攻撃対象が広がっていることがある。
2014年ごろより猛威を振るっている、ゆうちょ銀行を騙るスパムメール（迷惑メール）。「ログイン画面リニューアル」「本人認証」などといって、フィシングサイト（偽サイト）へ誘導する内容だ。
アドビは、「Adobe Flash Player」のセキュリティアップデート（APSB16-10）を公開した。
IPAおよびJPCERT/CCは、Lemur Vehicle Monitorsが提供する、自動車のOBD2ポートに接続して車両の性能に関する情報を提供するデバイス「BlueDriver LSB2」にBluetooth アクセスを認証しない脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、サイバーウィルが提供する EC-CUBE 用プラグイン「ソーシャルボタン設置プラグイン -プレミアム-」にXSSの脆弱性が存在すると「JVN」で発表した。
ここ数か月、急速に国内でも危険度が高まっている「ランサムウェア」（身代金型ウイルス）だが、Flashの脆弱性を悪用した攻撃で、ランサムウェアに誘導する事例がいよいよ発生していることが明らかとなった。
日本IBMは、「IBM X-Force 脅威に対するインテリジェンス・レポート:2016年（日本語版）」を発表した。
米アドビは、「Adobe Flash Player」のセキュリティアップデートの事前通知（APSA16-01）を発表した。
IPAおよびJPCERT/CCは、ヒニアラタが提供する「baserCMS」用の複数のプラグインに脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、Autodeskが提供するネットワークレンダリング管理ソフトウェア「Backburner」にバッファオーバーフローの脆弱性が存在すると「JVN」で発表した。
以上の3つの方法で調べた結果、こんな特徴が見られたら、あなたの会社は要注意でいつ炎上してもおかしくない状態だといえるだろう。
IPAおよびJPCERT/CCは、シャープが提供する「EVAアニメータ用 ActiveX コントロール」にバッファオーバーフローの脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、ファルコンシステムコンサルティングが提供するワンタイムパスワード認証製品「WisePoint」にクリックジャッキングの脆弱性が存在すると「JVN」で発表した。
「 『有事』の経験をあまり持たない企業の場合、『有事』 『インシデント』という言葉に惑わされ、混乱に陥るケースも見受けられます。」
新端末「iPhone SE」が販売開始となり、盛り上がっているが、iPhone、iPadなどの「iOS端末」は、ウイルスなどに攻撃されない・されにくいという“安全神話”が、長年流布してきた。しかし近年は、大きく揺らぎ始めている。
IPAおよびJPCERT/CCは、NECが提供する複数の無線LANルータにクロスサイトリクエストフォージェリの脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、Patterson Dental Supply, Inc.が提供する歯科医向けの情報管理ソフトウェア「Eaglesoft」に、データベースのパスワードがハードコードされている脆弱性が存在すると「JVN」で発表した。
![[編集長セキュリティカンファレンス放浪記] TROOPERS16 ～ ドイツの古城でひとりぼっち 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/19551.jpg)
特に興味を引いた発表としては、『Uber』のタダ乗りとドライバーを追跡するというソーシャルハッキング的なテクニックを組み合わせたものでした。
![[RSA Conference 2016 USA] スキルとコスト低下で増加するDDoS攻撃、最新傾向「おとりDDoS攻撃」とは(NSFOCUS) 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/19538.jpg)
APTなどの高度な攻撃に向けた先端対策技術や研究発表が多くを占める RSA Conference だが、DDoS攻撃の進化する現状と対策に関する製品やセッションも、同様に強い注目を集めていた。
マンチェスター在住のコーダーRuby ‘rubiimeow’ Nealon氏は、Steamのループホールを利用してValveの審査を回避しながら『Watch Paint Dry』なるゲームを一時的にリリースしました。
IPAおよびJPCERT/CCは、サーバサイドのWebアプリケーションを開発するための実行環境である「Node.js」のパッケージマネージャ「npm」にワームプログラムの感染拡大を許す脆弱性が存在すると「JVN」で発表した。
米Appleは22日、iPhone新モデル「iPhone SE」の発表にあわせて、iOSの最新版「iOS 9.3」を公開。旧機種でも利用可能としたが、iPhone 5s以前やiPad Air以前などの一部デバイスで、アップデート時に問題が発生した。そのため「iOS 9.3」配布は、一時停止となった。
Microsoft Windows の WebDAV (Web Distributed Authoring and Versioning)
に含まれる脆弱性により、権限昇格や DoS 攻撃が実行可能であることが報告
されています。
IPAおよびJPCERT/CCは、Granite Data Servicesが提供するオープンソースのFlex向けデータサービス「Granite Data Services」にXML外部実体参照処理の脆弱性（XXE）が存在すると「JVN」で発表した。
JPCERT/CCは、「Oracle Java SE の脆弱性（CVE-2016-0636）に関する注意喚起」を発表した。
警察庁は、平成27年における不正アクセス行為の発生状況などを発表した。
IPAおよびJPCERT/CCは、Apple社が提供する複数の製品に脆弱性が存在すると「JVN」で発表した。
BBソフトサービスは、「インターネット詐欺リポート（2016年2月度）」を発表した。
IPAおよびJPCERT/CCは、SolarWindsが提供するヘルプデスクのリモートデスクトップ接続などによるサポート作業を補助するソフトウェア「DameWare Mini Remote Control」にバッファオーバーフローの脆弱性が存在すると「JVN」で発表した。
警察庁は、「平成27年におけるサイバー空間をめぐる脅威の情勢について」をまとめ、発表した。
