2026.10.03（土）
- 注目検索ワード
Apple Quicktime にバッファオーバーフローを引き起こしてしまう脆弱性が報告されました。
Android OS には、アプリの署名の検証が不十分な脆弱性が存在します。
スマホ狙うワンクリック詐欺業者、トラフィックエクスチェンジサービス悪用（マカフィー：ブログ）他
ラックは、「ラック レポート 2013 SUMMER」を発行した。
Oracle Java SE 7 の ProviderSkeleton クラスにサンドボックスによるセキュリティ制限を回避して、任意のコードが実行可能な脆弱性が報告されました。
Apache Struts 2 に "action:","redirect:","redirectAction:" プレフィックスを含むリクエストの取り扱いに起因して、任意の Java コードが実行可能な脆弱性が報告されました。
ラックは、Webアプリケーションを構築するためのフレームワークである「Apache Struts2」における脆弱性（S2-016）を悪用した攻撃が7月17日から急増しているとして、注意喚起を発表した。
ラックは、「統合リスク管理レポート vol.10『突如発生するセキュリティインシデントへの備え方～原発事故対応の報告書から考える教訓～』」を公開した。
FreeBSD には、仮想メモリシステムの実装に不備が存在するため mmap/ptraceシステムコールを介して権限昇格が可能な脆弱性が存在します。
ラックは、「Googleグループ」における意図しない情報公開が行われてしまうリスクに関し、注意喚起を発表した。
Ruby on Rails には、Action Pack のパラメータ解析処理に起因する任意コード実行の脆弱性が存在します。
Microsoft Internet Explorer (IE) の vgx.dll に整数オーバーフローを引き起こしてしまう脆弱性が報告されました。
Oracle Java SE 7 の DriverManager クラスにサンドボックスによるセキュリティ制限を回避して、任意のコードが実行可能な脆弱性が報告されました。
nginx の Chunked Transfer Coding 処理には、chunk_size の取り扱いに起因したスタックバッファオーバーフローの脆弱性が存在します。
ラックは、「JSOC侵入傾向分析レポートVol.19」を発表した。2012年は、特にApache Struts2、Tomcat、JBoss といったミドルウェアの脆弱性や設定不備を狙った攻撃が増加し、実際に被害を受けたケースがあった。
Mozilla Firefox にセキュリティ制限を回避して、chrome 特権で任意のJavaScript が実行可能な脆弱性が報告されました。
Apache Struts 2に任意のコードが実行可能な脆弱性が報告されました。
Linux Kernel には、パフォーマンスイベントの取り扱いに起因して、権限昇格が可能な脆弱性が存在します。
phpMyAdmin には、Replace table prefix 機能における preg_replace() 関数の不適切な利用に起因して、任意の PHP コードが実行可能な脆弱性が存在します。
ラックとセキュアソフトは、企業のセキュリティ対策やサイバー攻撃などによる不正侵入防御のさらなる向上と、両社の事業拡大を目的に、販売・技術協力における契約を締結したと発表した。
IRCD-Hybrid には、ネットマスクに特定の値が指定された IPv4 アドレスを含む IRC コマンドを処理した場合に、サービス運用妨害 (DoS) が発生する脆弱性が存在します。
ラックは、コールセンターのオペレータ応対品質の向上と運営コストダウンを実現する「カスタマーセンター応対評価システム」の提供を開始した。
Microsoft Internet Explorer (IE) 8 に解放済みメモリを使用してしてしまう 0-Day の脆弱性が報告されました。
Oracle Java SE 7 には、リフレクション処理を行う際にデータ型を誤って取り扱う脆弱性が存在します。
PostgreSQL には、ハイフンで始まるデータベース名を含む特定の接続リクエストを介して、PostgreSQL データディレクトリ内の任意のファイルを操作することが可能な脆弱性が存在します。
Linux Kernel には、MSG_PEEK フラグが指定された特定の UDP パケットを処理した場合に、システムがハングアップする脆弱性が存在します。
XORSearchとは、Didier Stevens氏によって開発された「XORSearch」は、XOR, ROL, ROT演算を利用して暗号化されたファイルに対して、ブルートフォースで復号化を試みることができるコマンドラインツールです。
Linux Kernel には、特定の Netlink メッセージを介して権限昇格が可能な脆弱性が存在します。システムにアクセス可能なローカルの悪意あるユーザに利用された場合、root権限を取得され、システムを完全に制御される可能性があります。
Oracle Java SE 7 の JMX クラスにサンドボックスによるセキュリティ制限を回避して、任意のコードが実行可能な脆弱性が報告されました。
ラックとアカマイは、DDoSサイバー攻撃に対応するセキュリティソリューションの提供で連携し、サービスを開始した。
Foxit Reader に同梱される Firefox プラグインにバッファオーバーフローを引き起こしてしまう脆弱性が報告されました。
Microsoft Internet Explorer (IE) に解放済みメモリを使用してしてしまう脆弱性が報告されました。
Oracle Java SE 7 の MethodHandle クラスにサンドボックスによるセキュリティ制限を回避して、任意のコードが実行可能な脆弱性が報告されました。
Nagios に同梱される history.cgi にバッファオーバーフローを引き起こしてしまう脆弱性が報告されました。
RealNetworks RealPlayer にバッファオーバーフローを引き起こしてしまう脆弱性が報告されました。
ラックは、「統合リスク管理レポート vol.07『標的型攻撃にみるマルウェア対策のパラダイムシフト～カウンターインテリジェンス対策から標的型攻撃を考える～』」を公開した。
Oracle Java SE 7 にサンドボックスによるセキュリティ制限を回避して、任意のコードが実行可能な脆弱性が報告されました。
Samba の PIDL パーサにヒープオーバーフローを引き起こしてしまう脆弱性が報告されました。リモートの第三者に利用された場合、Samba デーモンを不正に停止される、あるいはシステム上で不正な操作が実行される可能性があります。
Microsoft Internet Explorer (IE) に解放済みメモリを使用してしてしまう0-Day の脆弱性が報告されました。ユーザが悪質な Web ページを閲覧した場合に、リモートの第三者によってシステム上で不正な操作が実行される可能性があります。
Webmin にディレクトリトラバーサルの脆弱性が報告されました。Webmin にアクセス可能な悪意あるユーザに利用された場合、システム上の重要な情報を不正に取得され、さらなる攻撃に悪用される可能性があります。
インターポールとNECは、グローバルなサイバーセキュリティ対策で提携した。複雑で高度化するサイバー犯罪などを調査・分析し、国際レベルでのセキュリティ強化を目指す。
MySQL にバッファオーバーフローを引き起こしてしまう脆弱性が報告されました。
オンラインバンキングを乗っ取って送金するという手口は、日本にもやってきました。これは、国際的な犯罪組織が日本をマーケットとして見出した、そして日本の犯罪組織も国際化したということです。今年は『サイバー犯罪開国元年？？』かも知れません。
SSH Tectia Server に SSH のパスワード認証を回避可能な脆弱性が報告されました。
lighttpd には、特定の Connection ヘッダを含む不正なリクエストを処理した場合に、サービス運用妨害 (DoS) が発生する脆弱性が存在します。
Apple Quicktime の 3GPP コンポーネントにバッファオーバーフローを引き起こしてしまう脆弱性が報告されました。
GIMP の FITS プラグインに Null ポインタデリファレンスが発生する脆弱性が報告されました。
ラックは、「統合リスク管理レポート vol.06『セキュア開発プロセスモデル実践のすすめ～セキュアなシステム開発のベストプラクティス～』」を公開した。
Oracle Java SE の JAX-WS にサンドボックスによるセキュリティ制限を回避して、任意のコードが実行可能な脆弱性が報告されました。
IrfanView の JPEG 2000 プラグインにバッファオーバーフローを引き起こしてしまう脆弱性が報告されました。
ラックの岩井博樹氏は、ゲストブロガーとして参加するエフセキュアブログで、Javaで開発されたRAT（Remote Administration Tool：いわゆるトロイの木馬）について紹介している。
ZABBIX に SQL インジェクションの脆弱性が報告されました。リモートの第三者に利用された場合、ZABBIX が使用するデータベース上で不正な操作が実行される可能性があります。
標的型サイバー攻撃を行う攻撃者はITのプロということを認識した対策が必要で、そこに100％はありません。入口対策のレベルアップはもちろん、内部と出口をうまく組み合わせて脅威の緩和につとめて欲しいと思います。特に内部は脅威が一番わかりやすく出てきます。
標的型サイバー攻撃の実態と、対策製品の種類と用途、具体的製品名称、それぞれの有効性について、最新のサイバー脅威に詳しい株式会社ラックの上級サイバー分析官、岩井博樹氏に聞いた。
Trend Micro Control Manager (TMCM) のアドホッククエリモジュールに SQL インジェクションの脆弱性が報告されました。
標的型サイバー攻撃の実態と、対策製品の種類と用途、具体的製品名称、それぞれの有効性について、最新のサイバー脅威に詳しい株式会社ラックの上級サイバー分析官、岩井博樹氏に聞いた。
Trend Micro InterScan Messaging Security Suite (InterScan MSS) の管理コンソールにXSSおよびCSRFの脆弱性が報告されました。
ラックは、「統合リスク管理レポート vol.05『今、あらためて特権管理を考える！～複雑な特権管理業務を、いかに平準化できるか～』」を公開した。
D-BUS のライブラリ (libdbus) に権限昇格が可能な脆弱性が報告されました。システムにアクセス可能なローカルの悪意あるユーザに利用された場合、root 権限を取得され、システムを完全に制御される可能性があります。
Webmin に任意のコマンドが実行可能な脆弱性が報告されました。Webmin にアクセス可能な悪意あるユーザに利用された場合、システム上で不正な操作が実行される可能性があります。
Microsoft Internet Explorer (IE) に解放済みメモリを使用してしてしまう脆弱性が報告されました。
ラックは、「統合リスク管理レポート vol.04『セキュリティ対策の“現実解”はモニタリングから導き出す～どこまでやれば良いのか？ 対策実装の前に評価実装～』」を公開した。
ISC DHCP には、特定のクライアント識別子を含む DHCP メッセージを処理した場合に、サービス運用妨害 (DoS) が発生する脆弱性が存在します。
