2026.10.02（金）
- 注目検索ワード
これらの全キットはデフォルトの状態で脆弱なので、このエクスプロイトは非常に危険だ。伝えられるところによると、FireEye は、すでに契約期間が終了している顧客にもサポートを提供している。
「実在するひとつの Beacon で、たった1,000 の SNP クエリを用いて、我々は Personal Genome Project から『一人の個人のゲノム』の存在を検出することができた」
「私の（発見した）TrueCrypt のバグは、バックドアではなかったとはいえ、それが監査の目をくぐり抜けることができたのは明白だ」とForeshawは記した。
韓国は攻撃される面が大きいのに対し、北朝鮮はインターネットのインフラが非常に小さいので、多くの観察者は北朝鮮が有利だと語る。また北朝鮮政府は「Bureau 121」部隊のハッカーに多額の報酬を与えていると示唆されている。
つまり幸運にも「秘匿サービスをホスティングするコンピュータの番人」という立場になれた敵であれば、88％の確信を持って、それをサービスのホストとして識別できるということになる。
Chrysler が、このワイヤレスの脆弱性について伝えられたのは約 7 か月前のことだった。そして同社は修正の調整をしたのち、今月（2015 年 7 月）初頭に、広報活動を行うこともないまま、サービスパックの中にパッチを入れた。
それらの車は、Fiat Chrysler のセルラーネットワーク uConnect を経由してインターネットに接続するため、その車のパブリック IP アドレスを知っていれば、誰でも数マイル離れた場所からアクセス、改ざんを行うことができる。
「ほとんどの場合、そのトークンは、500 ドル（編集部註：約 6 万 2 千円）ほどで購入できる最新の GPU 上で、特別なブルートフォース用のプログラムを用いれば、1 日とかけずに解読できる」
「残念ながら、それはデバイスにサードパーティのアプリケーションをプレインストールするキャリアと OEM にとって典型的な話だ」と、NowSecure の研究者 Ryan Welton はブログに記した。
Pynnonen は、このプラグインをFacebookが積極的に推奨していることを指摘した。また我々は、BBCのCBeebies（子供向けポータルサイト）でも、それを利用する必要があることを発見した。
「この攻撃は、DHE_EXPORT 暗号をサポートする全てのサーバと、近代的な全てのウェブブラウザに影響を与える。『Top 1 Million』のドメインの 8.4％は、もとより脆弱だ」と、Green は Logjam のサイトに記している。
感心なことに Google は、この件を取り上げた The Register にコメントを求められた数時間後には迅速な回答をしており、またその技術（Password Alert）のアップデートも済ませている。
彼によれば、一部のアップロードポータルは非常に脆弱であるため、「ファイルの拡張子が jpg だ」というだけの理由で、悪質な動的コンテンツのアップロードを許してしまう。
このデバイスは、同州で10年以上に渡って使われており、それは年に一度の州選挙だけではなく、過去3回の大統領選挙でも利用されていた。昨年はバージニア州の30の郡が、そのマシンで投票を記録したという。
「この攻撃に対してできることは、『攻撃者から物理的に遠ざかること』以外に何もない。これは『Wi-Fi が利用できなくなる DoS（denial-of-service）』ではない――『オフラインモードですら、デバイスが利用できなくなる DoS』だ」
「それはローカルで、あるいは遠隔コードを実行するエクスプロイトと組み合わせて利用することができる、ローカル権限の root 権限への昇格だ」
「その小さなプログラム『Dell Service Tag Detector』は、サービスタグを確認する以外にも数多くのことを行う」「攻撃者が恣意的にファイルをダウンロードし、実行するためのプログラムを遠隔起動できる可能性もある」とForbesは語った。
「セキュリティ専門家たちにより（SDCS:SA Server、SDCS:SA Client Policies の）セキュリティ監査が行われ、そして全ての確認された問題が解決されるまで、そのソフトウェアを利用しないことを、SEC Consult は強く薦める」
GHOSTがHeartbleedのような広がりを見せることはないだろう。しかしそれは、多くの企業のIT運営チームが、いますぐ全てのインスタンスを調べ、一刻も早くパッチを当てられるよう努めるのに充分となるほど深刻である。
5.3から5.6までの各バージョンのPHPで、既知の脆弱性を含んでいないのは僅かな数のマイナーバージョンのみだったが、その「安全なバージョン」を大多数のシステムは利用していなかった。
このプログラミングの問題は、IOActive のセキュリティ研究者 Ilja van Sprundel が発見したものだ。IOActive は、この古くから存在していた問題にパッチを適用するために X.org と協働しており、ユーザーにはパッチの適用が促されている。
この攻撃に対して F5 キットが脆弱であると Langley は記しており、それに F5 Networks も同意した（アドバイザリが下記 URL に掲載されている）。また、このパッチには A10 ユーザーも注目すべきだと Langley は考えている。
「このセキュリティのバグは、それが生まれて以来、何万ものウェブサイトに広がってきたように見える。あくまでも大雑把な推測ではあるが、このバグの影響を受けるウェブサイトが 20,000 あったとしても、私は驚かない」
攻撃者たちは、「root」「admin」「support」のユーザー名 と、「toor」「password」「123456」などといったデフォルトで設定される一般的なパスワードを利用してログインを試みていた。
の脆弱性は、何者かが sudo コマンドを利用する際に行われる「パスワードの要求」を覆すもので――つまり、スーパーユーザーとしてシェルにアクセスするということになる。
「ハッカーが試みるのは、あなたのセッション Cookie のハッキングである。つまり彼らは、あなたのアカウント用のパスワードを手に入れることはないが、あなたのアカウントに『あなたとして』ログインすることが可能となるだろう」
影響を受ける製品には、最低25万ドルのクラスタアプライアンス「Oracle Exalogic」、Oracle Data Appliance、Big Data Appliance、SPARC Supercluster、Sun ZFS Storage Appliance Kit、様々なソフトウェア製品、全範囲に渡る Oracle Communications が含まれている。
「我々は、できるかぎり迅速に修正を提供する所存だ。今後、提供されるすべての PIXMA 製品では、『PIXMA ウェブインターフェイス』にユーザーネームとパスワードが追加され、また 2013 年後半以降に販売されたモデルも、このアップデートに対応する」
これは犠牲者に、脆弱なエンドポイントの領域で任意のリクエストを行うように仕向け、機密情報である可能性のあるデータを敵陣へ（JSONP 応答に限定することなく、攻撃者がコントロールするサイトへと）密かに持ち出すものだ。
だが、ここで問題となるのは、特定のデバイスがその動作を起こすかどうか、テストを行わずに知る方法がないことだ。たとえば HTC One が Wi-Fi のデータを漏らすことは判明しているが、HTC One Mini は漏えいしていない。
Markus Oberhumer によって 1994 年に開発された LZO は、この 20 年に渡り、OpenVPN や FFmpeg、Linux カーネルなど、無数のシステムで広範に利用されてきた。
推定 3296 件は、ハードウェアのデフォルトのパスワードでアクセスすることができた。その世界最悪のコード「password」は、（アクセス権を持たない）その他大勢の人々にアクセスを許可するだろう。
「我々のシステムで、ここに記述された悪用を行うことは可能であるものの、同じアカウント、および（あるいは）リンクされたアカウントによる繰り返しの悪用は対応される」と、PayPal は Cernaianu に語ったと伝えられている。
修復されたばかりのバグを悪用する攻撃者に対抗するため、多種多様なサーバや、その他のインターネット接続したシステムをアップデートする必要があると、脆弱性管理会社 Rapid7 の Nicholas J. Percoco は語った。
eBay の滅茶苦茶なパスワードシステムは、LastPass で生成されたランダム性の高いパスワードに対して「弱い」というフラグ付けをし、よりリスクの高い、ありがちなパスワードを「より強力」なオプションとして昇降している。
それらの値は、特にランダムではないため、犠牲者をプリプレイ攻撃に晒してしまう。この攻撃は、銀行の記録を見たとき、「物質として完全にコピーしたカードを利用した状態」と区別がつかない。
すなわち Ingram の研究は、「Android のストアに置かれている危険なアプリが、スマートフォンやタブレットを乗っ取る際の方法」とほぼ同様の手口で、スマートテレビが悪用される可能性があるということを見出している。
「私が発見した脆弱性は、100 ドル以下の安価なハードウェアでプログラミングしたシンプルなエクスプロイトを開始することで、基本的に誰でもデバイスの完全な制御を得て、虚偽のデータを交通管制システムに送ることができるものだ」
最終的に、Heartbleed に関する情報が公開されたとき、ネットワークのディフェンダーたちは先を争って修復を行った。そのことによって、一般のユーザーたちは「パスワードをいつ変更する必要があるのか」という点に関して混乱させられた。
現在も Tor ノードの一部は、破られたバージョンの OpenSSL を走らせており、それは暗号キーなどの機密データを漏えいさせる目的で利用することができる。
脆弱性は全ての環境で等しく危険というわけではなく、攻撃者にとって攻撃がしにくい、利用しづらい環境が存在します。攻撃者はユーザ環境の中で、もっとも攻撃しやすいポイントを攻撃します。それがWindows XPのような古いバージョンのOSやアプリケーションなのです。
一部のセキュリティ研究者たちは、そこに強制力がない、あるいはいずれにせよ無視されるものだと語っている。一方、別の研究者たちは、その活動が「役に立つ（助けとなる）」場合、これらの法律に免除があるようにするべきだと主張している。
そのメモリには、メッセージやパスワードなどといった旨みのある情報が含まれている。そして別の heartbeatMessage を送信することにより、別の 64KB が漏えいされるため、被害者のシステムを徹底的に調査して御馳走を得るよう、それは繰り返される。
それらのプログラムの報酬はまだ高額ではないが、それでも一部では、重大な未知の脆弱性に対し、セキュリティの組織や政府のバイヤーから非常に高額な報酬を得られる可能性があるということを、その報告書は指摘している。
それが問題なのだと Kocialkowski は語っている。なぜなら、そのモデムは「それ以外の電話の機能」を提供する CPU とは切り離されたマイクロプロセッサによって供給されており、さらにこのプロセッサは独自の OS を動かしている。
さらに同社は、引き出しの業務を一度に復帰することはないと述べている――おそらく MtGox は、これまで苛立たされた顧客たちが資金を回収するため、一斉にアカウントへアクセスするのを避けようとしているものと思われる。
トラフィックの洪水は頭痛を引き起こすものではあるものの、この問題の結果、Bitcoin コミュニティ全体は、より堅牢で安全になりつつあるようだとBlockchain セキュリティのボスは考えている。
リモートコードの実行を許す脆弱性は、脆弱なウェブサイトを訪問するネット閲覧者たちにマルウェアを投じるタイプの攻撃に役立つものとなるだろう。それは非常に深刻なリスクであり、だからこそ Facebook のバグ報奨金プログラムで高額の支払いが行われた。
「闇市場と同じ価格で、あるいはそれを上回る価格で、発見されるすべての脆弱性を組織的な購入で買い上げることにより、サイバー犯罪者たちが脆弱性へアクセスする機会を奪うことの経済性について検討する時が来た」と Frei は主張している。
「我々が Operation DeputyDog に関する最初の報告をしてから、少なくとも他に 3 つの APT 攻撃（Web2Crew、Taidoor、th3bug と呼ばれている）の活動が、それぞれの目標に対して独自のペイロードを送り込むために、同じエクスプロイトを利用してきた」
しかし、その JavaCard のバグは「まだそこにあった」と Nohl は我々に話しており、それがバックドア、または重大な怠慢、あるいはその両方でありつづけていることは「明らか」だと語った。
サイボウズは、同社のクラウドサービスを題材とした脆弱性発見コンテスト「cybozu.com Security Challenge」を開催すると発表した。
SIM から秘密鍵を得ることは容易ではない――しかし計算能力の増加と貧弱な実装の状況との結合が、最初の欠陥を生んだ。この欠陥は、ネットワークオペレータと SIM だけが知っているものでなければならない秘密鍵を暴く。
この脆弱性が Android 1.6 (Donut) から存在するものであり、また、この脆弱性にパッチをあてている機種が Samsung Galaxy S4 のみであるため、ほぼ全ての Android デバイスが危機に晒されている状態だと Trend Micro は警告している。
このキーを手に入れたなら、第 2 のテキストメッセージが、目標の携帯電話を完全に乗っ取るソフトウェア――そこには盗聴やなりすまし攻撃を行うものが含まれる――をインストールする。
HP では現在セキュリティアドバイザリを発表しており、それは以下のような文章で始まっている：「この脆弱性は、デバイスへの不正なアクセスを遠隔的に得る目的で悪用される可能性がある。
「我々は、第 2 の嫌疑のかかった脆弱性（CVE-2013-3926 と指定された脆弱性）の存在を立証できなかった。このレポートの著者は、これまで Atlassian に接触しておらず、この主張の検証を困難にしている」
しかし、その発見は「モラルの問題」としてハッカーが責任を持って開示すべきであると反対派は示唆している。その一方で、ソフトウェアの欠陥に関しては、活発な闇市場（とりわけゼロデイ脆弱性を対象としたもの）が存在している。
SAP システムへの侵入に成功することは、容易に「ビジネスの終わり」を意味するかもしれない、と Polyakov は主張した。
それは製造者としての実践の知識を持つハッカーによって設定を変更されたり、不正なファームウェアをインストールされたりする可能性がある、と同レポートは述べている。
それに対し GroundWork は、同社のユーザーが「最大の安全性」よりもむしろ「使いやすさ」を探していると述べた。同社はパッチを発表しておらず、また（セキュリティの）強化設定はオプションで選択できるとユーザーに語った。
2013年3月15日（金）、16日（土）に福島県の星野リゾートアルツ磐梯スキー場にて「Health 2.0 Fukushima Chapter/Medical × Security Hackathon 2013」が開催された。
「そういった金銭の流通は実際に存在しており、また、グレーマーケティングの水路を流れるものは公になることがない」。
