2013年7月3日(米国時間)、米国のモバイルセキュリティ企業が Android端末上に存在する脆弱性を確認したと発表。これによると、確認された脆弱性により、インストールされたアプリは、ユーザに気付かれることなく改変される恐れがあります。問題の脆弱性は Android のバージョン1.6(Donut)以降の端末に存在するため、ほぼすべての Adnroid端末が影響を受けることになります。現在、「Samsung Galaxy S4」のみ、この脆弱性に対するパッチが施されています。
続きを読むOracle は、2013年6月18日(米国時間)、定例のセキュリティアップデート「Oracle Java SE Critical Patch Update Advisory – June 2013」を公開。これには、Java SE における40件のセキュリティ更新が含まれており、そのうち37件は、不正プログラムの実行をもたらす脆弱性を修正します。さらに1件は、”Javadoc ツール” に存在する脆弱性も修正します。この Javadoc ツール とは、HTML ページを生成するツールであり、主に Web サイトで使用されます。
続きを読むトレンドマイクロは、「Plesk」の旧バージョンに影響を及ぼすエクスプロイトコード(脆弱性攻撃コード)を監視しています。このエクスプロイトコードは、攻撃者が脆弱性の影響を受けた Webサーバを完全に制御することを可能にするものです。Plesk とは、米「Parallels」の人気ホスティング向けコントロールパネルです。今回の脆弱性の対象となる旧バージョンは、既にサポート期限が切れており、修正プログラムが存在しないゼロデイ攻撃の状態となっています。これはつまり、問題のエクスプロイトコードの影響を受ける Plesk の旧バージョンを利用する、すべての Webサイトが被害を受ける危険性があることを意味します。今回確認されたエクスプロイトコードの影響範囲に関しては、Parallels の情報をご参照ください。
続きを読むトレンドマイクロは、2013年1月15日のブログ記事において、Webアプリケーションフレームワーク「Ruby on Rails」に存在する深刻な脆弱性「CVE-2013-0156」について取り上げました。同記事では、問題の脆弱性を利用した攻撃は確認されていない(当時)こと、しかしこのエクスプロイトコードがフレームワーク「Metasploit」の一部として公開されていることから、今後この脆弱性を利用する攻撃の危険性が高くなるということを指摘しました。つまりこの深刻な脆弱性が利用されることは時間の問題でした。そのためトレンドマイクロは、サーバ管理者に対し、使用している Ruby on Rails に最新の修正プログラムを適用することを強く推奨しました。
続きを読むトレンドマイクロは、「2013年におけるセキュリティ予測」のなかで、従来の不正プログラムは、新たな脅威を作り出す代わりに、ツールの改良に注目すると予測しました。この予測の好例として、攻撃ツール「Blackhole Exploit Kit(BHEK)」がセキュリティ業界による努力を絶え間なく回避しようとしている状況を挙げることができます。実際、「TrendLabs(トレンドラボ)」は、2013年2月末、ある BHEK を利用する攻撃に関する報告を受けました。これは、「JAVA_ARCAL.A」として検出される脆弱性利用型不正プログラム(エクスプロイト)を取り入れており、2月末に対応されたばかりの脆弱性「CVE-2013-0431」を対象とします。
続きを読む2013年に1月初旬から引き続き確認されたゼロデイ脆弱性。「ゼロデイのシーズン」は当分終わりを迎えそうにないようです。そのことが、”Adobe Reader” の特定のバージョンに存在するゼロデイ脆弱性を狙う不正プログラム(エクスプロイト)が確認されたという報告から暗示されます。今回の事例は、2013年2月7日(米国時間)に報告された “Adobe Flash Player” に存在するゼロデイ脆弱性の事例に引き続きて起こりました。
続きを読むAdobeは、2013年2月7日(米国時間)、毎月のセキュリティ更新公開より数日予定を早めて、2つの深刻なゼロデイ脆弱性に対応する定例外のセキュリティアップデートを公開しました。Flash Player に存在するバッファオーバフローを引き起こす脆弱性「CVE-2013-0633」は、利用されると、リモートからのコード実行または「サービス拒否(DoS)」攻撃を引き起こす恐れがあります。すでに悪用されていることが確認されているこの脆弱性は、Flash Player の ActiveXバージョンを悪用して Windows のシステムを狙います。こうした攻撃においては、Microsoft の文書ファイル内に埋め込まれた不正な Flashファイル(拡張子SWF)によりユーザは欺かれることなります。
続きを読む1月上旬にもゼロデイ脆弱性が確認されている Java ですが、続けて複数の危険性の高い脆弱性が 2月にも確認されています。既に Oracle社からは、クリティカルパッチアップデート(Java 7 Update 13)が、2月1日に公開されております。影響回避のためにも、Java 利用者には、緊急修正プログラムの早急な適用を推奨します。 |
(さらに…) 続きを読む