【対象】
BIND 9.0.0 から 9.8.x までのバージョン
BIND 9.9.0 から 9.9.11 までのバージョン
BIND 9.10.0 から 9.10.6 までのバージョン
BIND 9.11.0 から 9.11.2 までのバージョン
BIND 9.9.3-S1 から 9.9.11-S1 までのバージョン
BIND 9.10.5-S1 から 9.10.6-S1 までのバージョン
BIND 9.12.0a1 から 9.12.0rc1 までのバージョン

【対策】
・アップデートする
※本脆弱性対策済みバージョンはこちら
BIND 9.11.2-P1
BIND 9.10.6-P1
BIND 9.9.11-P1
BIND 9.12.0rc3

・DNSSEC 検証を無効にする

【参考情報】
DNS サーバ BIND の脆弱性対策について(CVE-2017-3145)：IPA 独立行政法人情報処理推進機構
 ISC BIND 9 の脆弱性に関する注意喚起
 （緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2017-3145）
BIND 9の脆弱性 ( CVE-2017-3145 ) — | サイオスOSS | サイオステクノロジー
 【セキュリティニュース】「BIND 9」にリモートより攻撃可能な脆弱性 - DoS攻撃受けるおそれ（1ページ目 / 全1ページ）：Security NEXT

Ciscoセキュリティ製品（ASA）に脆弱性

【概要】
Ciscoセキュリティ製品（ASA： Adaptive Security Appliance）に脆弱性が存在し、第三者がリモートから任意のコードを実行されてしまう可能性がある

【CVE番号】
CVE-2018-0101

【対象】
3000 Series Industrial Security Appliance（ISA）
ASA 5500 Series Adaptive Security Appliances
ASA 5500-X Series Next-Generation Firewalls
ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
ASA 1000V Cloud Firewall
Adaptive Security Virtual Appliance（ASAv）
Firepower 2100 Series Security Appliance
Firepower 4110 Security Appliance
Firepower 9300 ASA Security Module
Firepower Threat Defense Software（FTD）

【対策】
・アップデートする

【参考情報】
Cisco Adaptive Security Appliance Remote Code Execution and Denial of Service Vulnerability
CiscoのASAソフトウェアに重大な脆弱性、多数の製品に影響 - ITmedia エンタープライズ
 CiscoのASAソフトウェアに重大な脆弱性、多数の製品に影響 - ITmedia NEWS
シスコのセキュリティ製品に脆弱性--深刻度は「最大」と評価 - ZDNet Japan
【セキュリティニュース】Ciscoセキュリティ製品に深刻なRCEの脆弱性 - Catalyst向けモジュールにも影響（1ページ目 / 全1ページ）：Security NEXT

Lenovoの指紋認証マネージャーに脆弱性

【概要】
LenovoのThinkPadの一部に導入されている「Lenovo 指紋認証マネージャー Pro」に脆弱性が存在し、ユーザーのアカウントデータや指紋データが第三者によってアクセスできてしまう可能性がある

【CVE番号】
CVE-2017-3762

【対象】
ThinkPad L560
ThinkPad P40 Yoga、P50s
ThinkPad T440、T440p、T440s、T450、T450s、T460、T540p、T550、T560
ThinkPad W540、W541、W550s
ThinkPad X1 Carbon (Type 20A7、20A8)、X1 Carbon (Type 20BS、20BT)
ThinkPad X240、X240s、X250、X260
ThinkPad Yoga 14 (20FY)、Yoga 460
ThinkCentre M73、M73z、M78、M79、M83、M93、M93p、M93z
ThinkStation E32、P300、P500、P700、P900
※Windows 10ではデフォルトの指紋読み込みシステムが使われているため影響なし

【対策】
・アップデートする
※バージョン 8.01.87、またはそれ以降にアップデート

【参考情報】
Lenovo Fingerprint Manager Pro for Windows 7/8 / 8.1（10は含まず）の認証セキュリティの脆弱性
 Lenovo、複数のPCにパスワードハードコードなどの脆弱性 | マイナビニュース
 Lenovoの一部ラップトップに脆弱性。指紋認証の迂回が可能 | ギズモード・ジャパン
 ThinkPadの指紋認証マネージャーに脆弱性、Windows 7/8ユーザーは更新を - PC Watch

注意喚起やニュースのアレコレ

幻冬舎のWebサイトで不正アクセス、最大9万人の会員情報が流出した可能性

【概要】
幻冬舎のWebサイト「幻冬舎plus」が不正アクセスを受け、最大9万人の会員情報が流出した可能性

【参考情報】
不正アクセスによる会員情報の流出に関するご報告とお詫び | 株式会社幻冬舎
 ニュース - 幻冬舎のサイトから最大9万3000人の情報が流出、会員の指摘まで気づかず：ITpro
「幻冬舎plus」に不正アクセス最大9万人の会員情報が流出した恐れ - ITmedia NEWS
幻冬舎のWebサイト、不正アクセスで個人情報流出の可能性対象は登録者9万人以上 - ねとらぼ

無線LANの暗号化方式「WPA3」が2018年後半より利用可能になる見込み

【概要】
Wi-Fi Allianceが無線LANの暗号化方式「WPA2」をより強化した「WPA3」を2018年後半より利用可能にする見込みであると発表した

▼WPA3の4つの新機能
1．複雑ではないパスワードを設定した場合にも弾力性のあるパスワードベースの認証機能を提供
2．ディスプレイなど設定のないデバイスに対するシンプルなセキュリティ設定機能の提供
3．デバイスとルーターやアクセスポイント間で個別にデータを暗号化
4．米国国家安全保障局と米国政府が機密情報をやりとりするための暗号アルゴリズム「CNSA（Commercial National Security Algorithm Suite）」に準拠した192ビット暗号化の採用
（参照：https://internet.watch.impress.co.jp/docs/news/1100132.html）

【参考情報】
Wi-Fi Alliance® introduces security enhancements | Wi-Fi Alliance
Security | Wi-Fi Alliance
ニュース解説 - 脆弱なWPA2は消える、WPA3登場で進化する無線LANセキュリティ：ITpro
Wi-Fiのセキュリティを強化する「WPA3」、2018年に登場 | マイナビニュース
 「WPA3」2018年後半より利用可能に、WPA2を拡張するWi-Fiセキュリティ機能 - INTERNET Watch

GMOペパボのネットショップサービスで不正アクセス、最大7万件の個人情報が流出した可能性

【概要】
GMOインターネットのグループ会社、GMOペパボのネットショップサービス「カラーミーショップ」で不正アクセス、最大7万件の個人情報が流出した可能性

【参考情報】

ニュース - GMOペパボで不正アクセス、最大7万7385件の個人情報流出：ITpro
GMOペパボ「カラーミーショップ」に不正アクセスクレジットカード情報が流出 - ITmedia NEWS
GMOペパボ運営サービスで、クレジットカードを含む個人情報流出最大約9万件 - ねとらぼ

OnePlusのオンラインストアから、4万人のクレジットカード情報流出した可能性

【概要】
OnePlusのオンラインストアの決済ページに不正なスクリプトが仕込まれ、4万人のクレジットカード情報流出した可能性
OnePlus：中国のスマートフォンメーカー

【参考情報】
OnePlusのサイトから4万人のクレジットカード情報流出、カード不正利用の報告も - ITmedia NEWS
OnePlusのオンラインストアから、4万人規模のクレジットカード情報が流出 | ギズモード・ジャパン
 最大4万人の顧客クレジットカード情報が漏洩 - OnePlus | マイナビニュース

IntelのAMTにセキュリティ上の問題が発覚

【概要】
IntelのPCリモート管理機能AMT（Active Management Technology）にセキュリティ上問題があり、第三者が物理的にPCにアクセスし、AMTを設定するためのMEBxを選択して、デフォルトのパスワード「admin」を入力することで、ログインができてしまう問題が発覚した

【参考情報】
A Security Issue in Intel’s Active Management Technology (AMT)
パスワード「admin」で簡単にIntel AMTに入れ、リモートアクセスできる問題が発覚 - PC Watch
IntelのPC管理機能AMTにセキュリティ問題、簡単に悪用可能 - ITmedia エンタープライズ
 Intelの管理機能「AMT」にリモート攻撃の危険性 | マイナビニュース

Android スパイウェア「Skygofree」が発見される

【概要】
Android スパイウェア「Skygofree」が発見され、システムアップデートを装って端末にインストールしてしまうと端末の位置情報を追跡したり、電話帳やSMS、通話履歴といったユーザー情報や端末情報を収集されてしまう。
なお、LINEや日本製もしくは日本の携帯電話会社が発売したアンドロイド型のスマートフォンを対象としているため、今後日本のユーザーを標的にする可能性がある

【参考情報】
ＬＩＮＥ連絡先入手、盗聴、撮影、追跡…ハリウッド映画並みウイルス暗躍 : 科学 : 読売新聞（YOMIURI ONLINE）
LINEユーザーを狙うAndroidスパイウェア「Skygofree」に注意 | マイナビニュース
 新手のAndroidスパイウェア「Skygofree」、ユーザー監視の高度な機能を実装 - ITmedia エンタープライズ
 LINEユーザーを標的にした高度なAndroidスパイウェア「Skygofree」
Skygofree：ハリウッド映画ばりのモバイルスパイウェア – カスペルスキー公式ブログ
 LINEなどが監視されるAndroidマルウェア「Skygofree」が見つかる、周囲の音や会話も自動的に録音 - INTERNET Watch

仮想通貨取引所「Coincheck」が不正アクセスを受け、仮想通貨「NEM」が流出

【概要】
仮想通貨取引所「Coincheck」が不正アクセスを受け、仮想通貨「NEM」を流出した。被害額は日本円に換算すると約580億円。

【参考情報】（参考情報が多数のため抜粋です）
記事一覧 | コインチェック株式会社
 【１日目】Coincheckハッキング事件裏で犯人を追跡するみなりんさんのテレグラム中継まとめ１ - ビットコインバーゲン
 NEM.io財団幹部に直撃「犯人は盗難した大部分を保有」、JKホワイトハッカー“みなりん*”の正体も判明 | Abema TIMES
ニュース - 金融庁がコインチェックに異例の立ち入り検査、運用管理やセキュリティを目視で確認：ITpro
コインチェック窃盗犯、米取引所にも送金被害者らは団体発足へ (1/2) - ITmedia NEWS

仮想通貨「モナコイン」を不正入手するウイルスを作成した高校3年生が逮捕

【概要】
仮想通貨「モナコイン」を不正に入手するウイルスを作成し、そのプログラムをネット上に公開し、ダウンロードした人のPCに感染させるなどの容疑で大阪府の高校3年生が逮捕された

【参考情報】
仮想通貨不正入手ウイルス作成容疑、大阪の高３男子逮捕…狙った通貨は「モナコイン」 - 産経WEST
仮想通貨「モナコイン」盗むウイルス入りソフト作成容疑 17歳高校生を逮捕 - ITmedia NEWS
ニュース - 仮想通貨を盗むウイルス作成容疑の高校生逮捕、掲示板に本人らしき弁明も：ITpro
モナコインとはなにか？日本初の仮想通貨 | マイナビニュース
 高校生逮捕、仮想通貨「モナコイン」のウォレットを盗む不正プログラムを解析 | トレンドマイクロセキュリティブログ

「Spectre」の脆弱性緩和策を無効にするパッチをMicrosoftが公開

【概要】
CPUの脆弱性「Spectre」の脆弱性緩和策を無効にするパッチ「KB4078130」をMicrosoftが緊急に公開した

【参考情報】

Windowsの臨時アップデート公開、「Spectre」の脆弱性緩和策を無効に - ITmedia NEWS
Microsoft、脆弱性「Spectre」の緩和策を無効にするパッチ公開 | マイナビニュース
 MicrosoftがWindowsの臨時アップデートを公開、Intel製チップの脆弱性問題「Spectre」の緩和策を無効に - GIGAZINE
MS、インテルの「Spectre」向けフィックスを無効化する緊急アップデートを公開 - ZDNet Japan

セキュリティレポートのアレコレ

IPA（独立行政法人　 情報処理推進機構）

情報セキュリティ10大脅威 2018：IPA 独立行政法人情報処理推進機構
 IPA 独立行政法人情報処理推進機構：
安心相談窓口だより：IPA 独立行政法人情報処理推進機構
 コンピュータウイルス・不正アクセスの届出状況および相談状況［2017年第4四半期（10月～12月）］：IPA 独立行政法人情報処理推進機構
 脆弱性対策情報データベースJVN iPediaの登録状況 [2017年第4四半期（10月～12月）]：IPA 独立行政法人情報処理推進機構
 ソフトウェア等の脆弱性関連情報に関する届出状況[2017年第4四半期（10月～12月）]：IPA 独立行政法人情報処理推進機構

JPCERT コーディネーションセンター

JPCERT/CC 活動概要 [2017年10月1日～2017年12月31日]
https://www.jpcert.or.jp/pr/2018/PR20180116.pdf

ソフトウェア等の脆弱性関連情報に関する届出状況[2017年第4四半期（10月～12月) ]
https://www.jpcert.or.jp/press/2018/vulnREPORT_2017q4.pdf

インターネット定点観測レポート(2017年 10～12月)
LogonTracerを用いた不正ログオンの調査(2018-01-24)
Japan Security Analyst Conference 2018

今回もここまで読んでいただきありがとうございました。

ではでは！

＜更新履歴＞

2018/02/05 AM　公開

2018-01-25

「あなたの知らないセキュリティの非常識」辻伸弘 (著)を読んでみた。

セキュリティ

どもどもにゃんたくです(｢・ω・)｢ｶﾞｵｰ

さて、今回は表題にも書いてあります、「あなたの知らないセキュリティの非常識」という本を読んでみました。

f:id:mkt_eva:20180110233646j:plain

coin.nikkeibp.co.jp

そうそう、辻伸弘さんの本といえば2016年にもコチラが出版されていましたよね。

coin.nikkeibp.co.jp

「あなたのセキュリティ対応間違っています」を読んだ感想も過去に書いたので、まだこの本読んだことのない方はぜひ参考にしてみてください。

mkt-eva.hateblo.jp

前回同様、今回も「あなたの知らないセキュリティの非常識」を読んだ僕の感想だけを書いているのであしからず。

感想を書くにあたって以下の本をこう呼びますが許してください。

「あなたのセキュリティ対応間違っています」→黄色本

「あなたの知らないセキュリティの非常識」→ピンク本

さて読了して感じたのは、黄色本の時と同様、今回のピンク本も非常に『読んで良かったな』という内容になっていました。

(￢з￢)<いやいやいや、『読んで良かったな』って抽象的すぎでは？

はい。そうでしたね。

ではこのピンク本を読んで『読んで良かったな』と感じたポイントを書いていきます。

ポイント①：どこから読んでも良い
ポイント②：2017年を振りかえることができる
ポイント③：読んだその日からセキュリティリサーチャーになれるかも!?
ポイント④：piyokangoさんの正体が･･･

ポイント①：どこから読んでも良い

このピンク本の章立てですが、今回は大きく6つに分けられています。

・最新の攻撃手口を知っておこう

・これがセキュリティの非常識

・ランサムウエアにお金を払うか？

・Webサーバーが狙われる理由

・セキュリティ担当になったら

・攻撃の被害者になったら

ちなみに僕は目次をざっと見て、最初に『セキュリティ担当になったら』から読んでみて、その後は目次に載っている気になる題名から順々に読み、読了しました。

読み終わって「前から順々に読めばよかった」と感じることはありませんでした。

ぶっちゃけ、本を読む時間って割とあるようでなかったりするじゃないですか。

なのでまずは『自分が興味のある部分』を読むだけでも良いと思います。

読まなかった箇所があったとしても、読んだ箇所については自分が今まで知らなかったと思える部分がきっとあるはずです。

ポイント②：2017年を振りかえることができる

昨年2017年もたくさんのセキュリティの事件やニュースが発生しました。

例えば、ランサムウェアのWannacry、ホームページを書き換えられてしまう脆弱性、不正アクセスからの情報漏えい、不審なメールにウイルス添付･･･等、色々起こった2017年でした。

このピンク本では昨年あった『色々』について言及されています。

セキュリティの話題って割と新しい話題ばかりがフィーチャーされがちですが、過去になにがあったかを知る事は大事なことだと僕は思っています。（温故知新という言葉があるように。）

このピンク本を読んだ上で、2018年に備えることで、より一層セキュリティに対する意識が高まるのではないかと感じました。

ポイント③：読んだその日からセキュリティリサーチャーになれるかも!?

このピンク本を読んで感じたことの１つとして、セキュリティについて調査や情報の収集、整理などのツールや方法が結構書いてあったな、と感じました。

僕も自称セキュリティウォッチャーとして日々セキュリティ情報を追っていますが、参考になるツールやサイトの情報がこのピンク本には書いてありました。正直この情報だけでも、ピンク本買ってよかったと感じております。

ここに書かれている全てをいきなり始めるのは大変かもしれないので、まずはやれそうな1つからやってみる、だけで良いかもしれませんよ。

ポイント④：piyokangoさんの正体が･･･

セキュリティのまとめ、といったら「piyolog（http://d.hatena.ne.jp/Kango/）」ですが、その著者であるpiyokangoさんがコザクラインコなのかヒトなのか･･･それがはっきりわかる部分がありますので、piyokangoさんファンは必見ですよ！！！

とまぁ読んで良かったなと感じた部分が沢山あったのですが、ピンク本を読了してから黄色本も読み返してみたんですよ。

そこで感じたのが、今回のピンク本はどちらかと言うと黄色本にくらべて、なんとなくですがセキュリティの仕事をしてる人向けかな、と。

なので、

セキュリティの現場で仕事をしていてインシデントが起きたらどうすればいいのか。

セキュリティの現場を指揮するにあたってどういったことを知っておくべきか。

セキュリティの情報をとにかく知るにはなにを読めばいいか。

辻さんの講演を聴いたことがあって（無くてもいい）、辻さんはセキュリティについてどんなことを考えているか。

等を感じている方にとっては非常に役立つ本だと思います。

もちろんセキュリティってよくわからない！って方々が読んでも楽しんで読める本だとは思いますけど！

さてさてさて。

僕が黄色本、ピンク本共に読んで上記以外に感じたのは、

辻さんの

・セキュリティへの『愛』

・一人でも多くの人にセキュリティについて知ってもらいたいという気持ち

でした。

いきなりですが、せっかくこのブログをここまで読んでいただいている皆様に僕からプレゼントです。（まぁプレゼント、と呼べるかはアレですが）

過去に下記のシンポジウムにて、辻さんが講演された時の資料を見つけました。

第16回サイバー犯罪に関する白浜シンポジウム＆危機管理コンテスト

辻さんの資料（PDF）↓

http://www.riis.or.jp/symposium/vol.16/tssuji_SE%EF%BC%88Shirahama_Edition%EF%BC%89.pdf

ざっくりでいいので上記に目を通してみてください。

5年以上も前の資料ですが、皆さんはこれを読んでどう感じましたか?

アノニマス、不審なメール、標的型訓練メール、セキュリティ対策･･･

なんだか今でも役立つ資料だと感じませんか?

そう、辻さんはいつでも我々にとって、セキュリティについての大事なことを常に伝え続けてくれているということです。

では、そんな辻さんに自分たちはなにを返すことができるでしょうか。

辻さんの本を買うこと?

辻さんの講演を聴きに行くこと?

辻さんのTwitterをフォローすること?

もちろんこれらも大事です。

でも僕はそうではないと思っています。

たぶんですが、辻さんは「辻さん自身になにかを返してほしい」とは思っていないのではないかと僕は感じます。

辻さんは「自分たちがなにか1つでもできることをやってほしい」と願っているはずです。

自分たちができること、それは、セキュリティの情報を1つでもいいから知ること、そして、何か1つでも自分たちが知り得たセキュリティの情報を自分たちが発信していくこと、だと思います。

セキュリティのニュースをリツイートする、不審なメールが来た、不審なサイトを見つけた、ウイルスに感染してしまった、発信する情報はなんでもいいと思います。

日本はまだまだセキュリティ意識が低いと言われています。

だからこそ、一人ひとりのセキュリティの発信が、日本のセキュリティ意識の向上に繋がると僕は信じています。

僕もひとりの「発信者」として、誰か一人のためにでもなれるような情報を発信していこうと改めて感じました。

今回もここまで読んでいただき、ありがとうございました。

もしこのブログを読んでくださって、興味をもっていただき、実際に本を読んでいただけたら嬉しいです。そして、本を読んだあとに、『こんな本読んだ！』とどこかで発信してくれたらもっと嬉しいです。

ではでは。

あなたの知らないセキュリティの非常識

作者: 辻伸弘
出版社/メーカー: 日経BP社
発売日: 2017/11/24
メディア: 単行本
この商品を含むブログを見る

2018-01-15

2017年に起こったセキュリティニュースのアレコレをふりかえってみた。

セキュリティ

どもどもにゃんたくです(｢・ω・)｢ｶﾞｵｰ

2018年がスタートし、いきなりCPUの脆弱性の話題でセキュリティ業界がわちゃわちゃしておりますね。

そんな時こそ、一度一息入れるつもりで、昨年なにが起こったかを知っておく、ってのも悪くないのではないでしょうか。

さて、この「にゃんたくのひとりごと」ブログで毎月更新している、

『201x年xx月に起こったセキュリティニュースのアレコレをまとめてみた。』ですが、

昨年2017年の1年間継続して公開することができました。

これもひとえにブログを読んで頂いた方々から「参考になったよ」等と言って頂いたおかげです。本当にありがとうございます。非常に励みになりました。

ちなみに、2017年1月から12月を並べるとこんな感じです。

2017年1月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

2017年2月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

2017年3月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

2017年4月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

2017年5月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

2017年6月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

2017年7月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

2017年8月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

2017年9月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

2017年10月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

2017年11月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

2017年12月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

今回振り返るにあたり、

・昨年分の僕のブログ

・昨年分の＠IT『セキュリティクラスタまとめのまとめ』セキュリティクラスタまとめのまとめ - ＠IT

の2つを参考に2017年を振り返ってみます。

ざっくりとしたふりかえりとなりますので、「こんなニュースとかあっただろ！」というご指摘をいただく可能性もありますが、その点はあくまでも『僕視点』ですのでご了承ください。あ、意見やコメントはTwitterなどでも受け付けますよ！

あ！そうそう。

2017年のよく読まれたセキュリティ記事や2017年のセキュリティ事故をふりかえってみた系の記事をいくつか確認できたので、こちらもぜひ昨年を振り返る際には参考にしてみてください。

2017年セキュリティふりかえり系記事まとめ

▼JNSA

www.jnsa.org

▼ZDNet

2017年、海外の重大ハッキングや情報流出事件を振り返る - 2/26 - ZDNet Japan

▼＠IT

サイバーセキュリティ、2017年に読者の人気を集めた記事20本 - ＠IT

▼ITPro

▼ITmedia

2017年、ITmedia エンタープライズで最も読まれた記事は？年間アクセスランキングベスト10 - ITmedia エンタープライズ

▼ASCII.jp

ASCII.jp：2017年セキュリティ事件ベスト10 知らないあなたは標的になる!?

▼Kaspersky

2017年最大の脅威 – カスペルスキー公式ブログ

では、昨年2017年のまとめです。

2017年1月
2017年2月
2017年3月
2017年4月
2017年5月
2017年6月
2017年7月
2017年8月
2017年9月
2017年10月
2017年11月
2017年12月

2017年1月

・MongoDBを狙ったランサムウェア攻撃が急増

・「OFFICE のプロダクトキーが不正コピーされています」フィッシングメールが出回る

・フィッシング対策啓発サイト「STOP. THINK. CONNECT.」の日本語版ウェブサイトが改ざんされる

・「go.jp」ドメインじゃない国税支払いサイトが現れる

・セキュリティフォントが“大人気”

【参考情報】

2017年1月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

「セキュリティフォント」が一世を風靡した1月：セキュリティクラスタまとめのまとめ 2017年1月版 - ＠IT

2017年2月

・WordPressに簡単に記事を書き換えることができてしまう脆弱性が存在し、多数のサイトが被害を受けた

・「SHA-1」衝突攻撃が初めて実証成功

・「第2回情報セキュリティ事故対応アワード」開催

・JPCERTコーディネーションセンターの類似ドメインに注意

【参考情報】

2017年2月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

WordPressサイトが書き換えられまくり、SHA-1が衝突した2月：セキュリティクラスタまとめのまとめ 2017年2月版 - ＠IT

「第2回情報セキュリティ事故対応アワード」に行ってみた。 #事故対応アワード - にゃんたくのひとりごと

2017年3月

・Apache Struts2に脆弱性（S2-045/S2-046）が存在し多数のWebサイトが攻撃を受けた

・GoogleがSymantecの発行したTLS証明書に不信感

・「IIS 6」にゼロデイの脆弱性

・「DMM. com」を騙り、料金を要求する詐欺に注意

【参考情報】

2017年3月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

Apache Struts 2の脆弱性がヤバい、外部からサーバコマンドを実行：セキュリティクラスタまとめのまとめ 2017年3月版 - ＠IT

2017年4月

・Ghostscript に脆弱性

・偽口座への送金を促す“ビジネスメール詐欺”の注意喚起

・「Microsoft Office」に脆弱性が存在（CVE-2017-0199）

・無線ＬＡＮの「ただ乗り犯」に無罪判決

【参考情報】

2017年4月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

無線LANのただ乗りに「無罪判決」の驚き：セキュリティクラスタまとめのまとめ 2017年4月版 - ＠IT

2017年5月

・ランサムウェアの「WannaCry」が世界で大流行

・Sambaに任意のコードがリモート実行される脆弱性（SambaCry）

・「サイバーセキュリティに関する総務大臣奨励賞」に個人2人と団体1人が初受賞

・｢Shadow Brokers｣が毎月有料で新たな流出情報の提供を予告

【参考情報】

2017年5月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

「WannaCry」の次は「SambaCry」？：セキュリティクラスタまとめのまとめ 2017年5月版 - ＠IT

WannaCryについてのネット記事をまとめてみた。（2017年5月31日更新終了） - にゃんたくのひとりごと

2017年6月

・ランサムウェア「Petya (GoldenEye)」が欧州各国を中心に大流行

・男子中学生がランサムウェアを作成し、逮捕

・韓国のホスティングサービス企業「NAYANA」が、ランサムウェア攻撃の被害を受ける

・フリマアプリ「メルカリ」で一時利用者の個人情報が他社から閲覧できる状態になる

【参考情報】

2017年6月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に：セキュリティクラスタまとめのまとめ 2017年6月版 - ＠IT

2017年7月

・Apache Struts 2 に脆弱性 (S2-048)

・Sambaに脆弱性（Orpheus’ Lyre）

・ソフトバンク・テクノロジーに不正アクセス、「仮想通貨採掘プログラム」のインストールを目的とした攻撃か

・macOSをターゲットにしたマルウェア「FruitFly」の存在が明らかに

【参考情報】

2017年7月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

Flash Playerが廃止、影響は？：セキュリティクラスタまとめのまとめ 2017年7月版 - ＠IT

2017年8月

・MaLionに複数の脆弱性

・Microsoft Windowsのショートカットファイル処理に脆弱性

・エイチ・アイ・エス（HIS）の国内バスツアー予約サイトから約1.2万人分の予約個人情報が流出

・2017年8月25日に日本国内で大規模な通信障害が発生

・「ITパスポート試験」に9歳が合格

【参考情報】

2017年8月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

インターネットで大規模障害、DDoS攻撃か？：セキュリティクラスタまとめのまとめ 2017年8月版 - ＠IT

2017年9月

・Apache Struts2に脆弱性（S2-052、S2-053）

・Bluetooth の実装に複数の脆弱性（脆弱性名：BlueBorne）

・「CCleaner」が改ざんされ、マルウェアが混入

・iOS上で大量のアイコンを作成する「YJSNPI ウイルス」に注意

・大手消費者信用情報会社Equifaxがハッキングされ約1.4億人の個人情報が流出

【参考情報】

2017年9月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

Struts 2の脆弱性、三度目の正直なのか：セキュリティクラスタまとめのまとめ 2017年9月版 - ＠IT

Apache Struts 2の脆弱性(S2-052)や(S2-053)についてのまとめてみた。 - にゃんたくのひとりごと

2017年10月

・WPA2 (Wi-Fi Protected Access II) に脆弱性（KRACKs）

・Dnsmasqに複数の脆弱性

・新種のランサムウェア「Bad Rabbit」の感染が拡大

・TOKYO MXに不正アクセスがあり、最大37万件の個人情報流出

・GMOインターネットの「サイトM＆A」から顧客情報1万4612件が流出

【参考情報】

2017年10月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

他人のCPUを使ってビットコインを採掘、マルウェアなのか：セキュリティクラスタまとめのまとめ 2017年10月版 - ＠IT

ランサムウェア『Bad Rabbit』について超絶簡単にまとめてみた。 #BadRabbit - にゃんたくのひとりごと

仮想通貨をマイニングするコードが埋め込まれているChromeの拡張機能（エクステンション）を見つけた話。 - にゃんたくのひとりごと

2017年11月

・Microsoft Officeの数式エディタに脆弱性（CVE-2017-11882）

・セキュリティ会社の社員が不正指令電磁的記録（ウイルス）保管容疑で逮捕

・Apple macOS High Sierraにrootでログイン可能な脆弱性

・ランサムウェア「Bad Rabbit」配布の踏み台にされたアイカ工業のWebサイトが再開

・「著作権侵害訴訟最終通知書」という架空請求ハガキに注意

・ロボット掃除機「COCOROBO」に脆弱性

【参考情報】

2017年11月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

ウイルス検体を業務で公開、なぜ逮捕？：セキュリティクラスタまとめのまとめ 2017年11月版 - ＠IT

NHKスペシャル『あなたの家電が狙われている～インターネットの新たな脅威～』を見てみた。 - にゃんたくのひとりごと

2017年12月

・TLS実装に脆弱性（脆弱性名「ROBOT」）

・「ディズニーランドの入場券をご獲得になりました！」という件名の不審なメールが出回る

・日本航空がビジネスメール詐欺（BEC）により3.8億円の被害

・メールの送信者を偽装できる脆弱性「Mailsploit」の注意喚起

【参考情報】

2017年12月に起こったセキュリティニュースのアレコレをまとめてみた。 - にゃんたくのひとりごと

ビジネスメール詐欺が現実に、取引先を偽装：セキュリティクラスタまとめのまとめ 2017年12月版 - ＠IT

最後に。。。

今回もここまでよんでいただきありがとうございました。

いつも感じているのですが、僕がブログを更新すると、ブログ内容をTwitter等でつぶやいてくれる皆様には本当に感謝しております。ありがとうございます。

この『201x年xx月に起こったセキュリティニュースのアレコレをまとめてみた。』が、誰か一人のためにでもなってくれていたら、それだけで嬉しいです。

まぁ元々は自分のために書き出したものだったんですけどね。

はい、というわけで、2018年もよろしくお願いいたします！

ではでは。

2018-01-05

投機的実行機能を持つCPUに関する脆弱性（Meltdown、Spectre）情報についてまとめてみた。

セキュリティ

どもどもにゃんたくです(｢・ω・)｢ｶﾞｵｰ

新年早々から表題の脆弱性対応に追われた方々は多いのではないでしょうか。

多数のサイト、Twitter等で注意喚起や情報が発信されておりました。

現状までに収集できた注意喚起情報等をまとめてみましたので、参考にしてみて下さい。

※あくまでも僕視点ですのでご了承ください

※ 本部ブログ内容を更新、修正した場合は＜更新履歴＞に記載しております

本脆弱性について
日本の記事まとめ
海外の記事まとめ
＜更新履歴＞

本脆弱性について

【概要】
投機的実行機能を持つ CPU に対してサイドチャネル攻撃を行われてしまう脆弱性

脆弱性名：「Meltdown」「Spectre」

※サイドチャネル攻撃とは↓

サイドチャネル攻撃（side-channel attack） | IoT

【CVE番号】
CVE-2017-5715（Spectre）

CVE-2017-5753（Spectre）

CVE-2017-5754（Meltdown）

【対象】
投機的実行機能を持つ CPU

【対策】

・OS をアップデートする

※各ベンダーが提供する情報を参照して下さい

※Microsoftの定例外パッチがリリースされておりますが、適用した場合、ウイルス対策ソフトとの間に互換性の問題が発生し、ブルースクリーン状態に陥る恐れがあります

※Microsoftの定例外パッチと各ウイルス対策ソフトの対応状況は、下記を参考にして下さい

CVE-2017-5753, CVE-2017-5715, and CVE-2017-5754 (Meltdown and Spectre) Windows antivirus patch compatibility

▼各主要OSのパッチ、アップデート情報

■Microsoft

・ADV180002 | Guidance to mitigate speculative execution side-channel vulnerabilities
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/adv180002

・Windows Server を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス
https://support.microsoft.com/ja-jp/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution

・投機的実行のサイドチャネルの脆弱性から保護するための IT プロフェッショナル向け Windows クライアントガイダンス
https://support.microsoft.com/ja-jp/help/4073119/protect-against-speculative-execution-side-channel-vulnerabilities-in

■Apple

・ARM ベースおよび Intel CPU の投機的実行の脆弱性について
https://support.apple.com/ja-jp/HT208394

・Appleのセキュリティアップデート情報
macOS High Sierra 10.13.2補足アップデート
→http://support.apple.com/ja-jp/HT208397

Safari 11.0.2
→http://support.apple.com/ja-jp/HT208403

iOS 11.2.2
→http://support.apple.com/ja-jp/HT208401

■Linux

※各ディストリビューションによって対策は異なります

※本脆弱性に対応済みか調べる方法が公開されております

→https://news.mynavi.jp/article/20180109-linux_vulnerability/

（元記事：https://www.cyberciti.biz/faq/check-linux-server-for-spectre-meltdown-vulnerability/）

日本の記事まとめ

JVN

JVNVU#93823979: CPU に対するサイドチャネル攻撃

JVNVU#94630516: 複数の Apple 製品における脆弱性に対するアップデート

ITpro

ニュース解説 - 最大2割の性能低下も、大手ITがCPU脆弱性対策のテスト結果を公表：ITpro

ニュース - 「再起動の問題に対処する」、インテルが顧客からの指摘受け：ITpro

ニュース - ヴイエムウェアがCPU脆弱性対策を追加、仮想化ソフトの対策進む：ITpro

ニュース解説 - 古いCPUで顕著な性能低下も、脆弱性問題で企業は大わらわ：ITpro

ニュース - CPU脆弱性問題の影響か、佐賀県庁で一時Office365が利用できず：ITpro

ニュース - iPhoneやFirefoxでもCPU脆弱性問題、更新版の提供始まる：ITpro

ニュース - CPU脆弱性問題でAWSとAzureの対応状況が判明：ITpro

ニュース - インテル、CPUの脆弱性に「AMDやアームとともに対応」：ITpro

ニュース - グーグルがCPU脆弱性の詳細を明らかに、Intel・AMD・Armが対象：ITpro

ITmedia

Intel、脆弱性対策パッチによるリブート増加問題やパフォーマンスへの影響について説明 - ITmedia NEWS

Oracleが四半期パッチ公開、Intel CPUの脆弱性に対処 - ITmedia NEWS

IntelのPC管理機能AMTにセキュリティ問題、簡単に悪用可能 - ITmedia NEWS

Intelの一部CPU搭載マシン、脆弱性対策パッチ適用でリブート増加 - ITmedia NEWS

AMD、RyzenとEPYCのSpectre対策を今週中に提供へ GPUには影響なし - ITmedia NEWS

脆弱性対策パッチで6〜8％のパフォーマンス低下 Intelがベンチマーク公表 - ITmedia NEWS

Google、Chromebookの「Meltdown」対策リストを公開 - ITmedia NEWS

NVIDIA、CPUの脆弱性対応でドライバのアップデート公開 GPUは影響受けず - ITmedia NEWS

Windowsパッチで一部AMDマシンに不具合、Microsoftが対応説明 - ITmedia NEWS

Apple、「Spectre」の緩和策もリリース SafariとWebKitのセキュリティ対策強化 - ITmedia NEWS

Apple、プロセッサ脆弱性「Meltdown」と「Spectre」の対策について説明 - ITmedia NEWS

Intel、プロセッサ脆弱性対策で「来週末までに過去5年に製造したプロセッサの9割に更新実行」 - ITmedia NEWS

Intel、プロセッサ脆弱性はAMDやArmにもあり、対策で協力中と説明 - ITmedia NEWS

プロセッサ脆弱性「Meltdown」と「Spectre」のまとめサイト開設 - ITmedia NEWS

＠IT

プロセッサの脆弱性問題、Azureは対策済み、オンプレミスの対応策は？――Windows関連のまとめ：Microsoft Azure最新機能フォローアップ（46） - ＠IT

ZDNet

MS、CPU脆弱性パッチによるAMDシステムの起動エラーに対応--修正版を公開 - ZDNet Japan

インテルのCPU脆弱性対策パッチによる再起動の問題、新世代チップでも - ZDNet Japan

オラクルが定例パッチ公開--「Meltdown/Spectre」対策も - ZDNet Japan

「Spectre」のような脆弱性は「おそらくほかにも」--ArmのCEOが警告 - ZDNet Japan

グーグル、「Spectre」フィックスによる性能への影響はほぼ無いと強調 - ZDNet Japan

インテル、「Meltdown/Spectre」に対処するファームウェアのバグを認める - ZDNet Japan

CPU脆弱性に慌てるべからず--Windows管理者が持つべき4つの心構え - ZDNet Japan

CPU脆弱性対策パッチによる性能への影響、インテルがベンチマーク公開 - ZDNet Japan

AMD製チップにも「Spectre」脆弱性の影響--CTOが認める - ZDNet Japan

CPUの脆弱性騒動、これまでの動きから見えたこと - ZDNet Japan

CPUの脆弱性パッチがLinuxマシンの性能に与える影響--レッドハットが検証 - ZDNet Japan

IBM、脆弱性「Meltdown/Spectre」への対策を「POWER」CPU向けに公開 - ZDNet Japan

NVIDIA、GPUドライバを更新--「Spectre」問題に対処 - ZDNet Japan

MS、CPUの脆弱性対策パッチによる性能への影響示す--古いWindowsでより顕著 - ZDNet Japan

マイクロソフト、一部AMDチップ搭載PCへのCPU脆弱性パッチを一時停止 - ZDNet Japan

CPU脆弱性への修正含む「Windows」アップデートでAMDユーザーに不具合 - ZDNet Japan

「iOS11.2.2」リリース、プロセッサの脆弱性「Spectre」に対処 - ZDNet Japan

CPU脆弱性のパッチ提供が本格化、Windowsはアンチウイルスの確認も - ZDNet Japan

CPUの脆弱性、Linux関係者らの見方や対応 - ZDNet Japan

プロセッサの脆弱性は全てのMacとiOS機器に影響--アップル、対策を公表 - ZDNet Japan

インテル、CPUに影響する脆弱性「Meltdown」「Spectre」対策でパッチを公開 - ZDNet Japan

インテル、ARM、AMDなど多数のCPUに脆弱性--各社が対応急ぐ - ZDNet Japan

マイクロソフト、CPUの脆弱性問題で緩和策を緊急公開 - ZDNet Japan

Gigazine

IntelがCPUの脆弱性「メルトダウン」「スペクター」対策後のパフォーマンス低下の結果一覧を公開 - GIGAZINE

CPU脆弱性対策パッチでAMDマシンが起動しなくなる不具合を受けてMicrosoftが更新プログラムの配布を停止 - GIGAZINE

プロセッサの脆弱性問題「メルトダウン」「スペクター」対応パッチでAMDユーザーの一部がPCを使えなくなる恐れ - GIGAZINE

CPUの脆弱性問題の根本原因の「投機的実行」との格闘はXbox 360時代から存在する - GIGAZINE

CPUに内在する脆弱性問題「メルトダウン」「スペクター」への各社の対応まとめ - GIGAZINE

Intel製CPUに内在する脆弱性問題の根は深く「すべてのプロセッサが安全性と高速性を両立できない問題を抱える」との指摘 - GIGAZINE

Intelのプロセッサチップに根本的な設計上の欠陥が発覚、各OSにアップデートの必要性 - GIGAZINE

Security NEXT

【セキュリティニュース】Oracle、定例アップデートで脆弱性237件を解消 - 「Spectre」の緩和策も（1ページ目 / 全1ページ）：Security NEXT

【セキュリティニュース】「VMware Workstation」「Fusion」に深刻な脆弱性 - 「Spectre」緩和策と同時に修正（1ページ目 / 全1ページ）：Security NEXT

【セキュリティニュース】「ESXi」「Workstation」などにゲストOS向けの「Spectre」緩和策（1ページ目 / 全2ページ）：Security NEXT

【セキュリティニュース】Apple、「Spectre」緩和策を追加した「macOS」や「iOS」を公開（1ページ目 / 全2ページ）：Security NEXT

【セキュリティニュース】主要メーカー「CPU」に脆弱性、データ漏洩のおそれ - クラウド含む幅広い環境へ影響（1ページ目 / 全3ページ）：Security NEXT

【セキュリティニュース】MS、CPU脆弱性緩和策で定例外パッチ - セキュリティ対策ソフトとの互換性問題も（1ページ目 / 全3ページ）：Security NEXT

【セキュリティニュース】VMware、「Spectre」対策で「VMware ESXi」などにパッチ提供（1ページ目 / 全1ページ）：Security NEXT

【セキュリティニュース】「Meltdown」「Spectre」の影響、MacやiOSデバイスにも - 一部は修正済み（1ページ目 / 全1ページ）：Security NEXT

【セキュリティニュース】脆弱性「Spectre」の影響を緩和した「Firefox 57.0.4」がリリース（1ページ目 / 全1ページ）：Security NEXT

マイナビニュース

脆弱性「Spectre」「Meltdown」のパッチを偽装したマルウェアに注意 | マイナビニュース

AMD、CPUの脆弱性「Spectre」の影響受けると発表 | マイナビニュース

LinuxでCPUのマイクロコードをアップデートする方法 | マイナビニュース

NVIDIA、同社製品が「Spectre」の影響を受けないと修正発表 | マイナビニュース

Windowsの「Spectre」対策、古いCPUほど遅くなる - Microsoft | マイナビニュース

NVIDIA、脆弱性「Spectre」に対処したGPU Display Driverを公開 | マイナビニュース

JVN、CPUに対するサイドチャネル攻撃の脆弱性関連情報 | マイナビニュース

脆弱性「Meltdown」「Spectre」からWindows/Android/iOSを守る方法 | マイナビニュース

Linuxが脆弱性「Spectre」「Meltdown」に対応済みか調べる方法 | マイナビニュース

Intelプロセッサの脆弱性対応でWindowsとLinux性能低下の見通し | マイナビニュース

CPUの脆弱性「Meltdown」「Spectre」、IoTデバイスでは特に注意が必要 | マイナビニュース

Microsoft

Microsoftの定例外パッチ情報はこちら↓

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

[重要: 2018 / 1 / 4 更新] [告知] 2018 年 1 月 2 日より Azure IaaS 仮想マシンのメンテナンス期間が開始します – Japan Azure Technical Support Engineers' Blog

CPU の脆弱性から Azure のお客様を保護するために – Japan Azure Technical Support Engineers' Blog

Windows Server を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス↓
https://support.microsoft.com/ja-jp/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution

投機実行サイドチャネル上の脆弱性から保護するための IT プロフェッショナル向け Windows クライアントのガイダンス↓

https://support.microsoft.com/ja-jp/help/4073119/windows-client-guidance-for-it-pros-to-protect-against-speculative-exe

piyolog

CPUの脆弱性 MeltdownとSpectreについてまとめてみた - piyolog

サイオステクノロジー

CPU由来の脆弱性情報(Meltdown and Spectre Vulnerability : CVE-2017-5753, CVE-2017-5754, CVE-2017-5715) — | サイオスOSS | サイオステクノロジー

日立ソリューションズ

複数のCPUに、サイドチャネル攻撃を許す脆弱性(MeltdownとSpectre)が確認される | セキュリティニュース | 日立ソリューションズの情報セキュリティブログ

その他

AWSもSpectreとMeltdownの対策完了を報告。対策後、Amazon EC2で性能の低下は見られないと－ Publickey

GoogleはSpectreとMeltdownの対策を昨年6月に開始し12月には完了していた。性能低下の報告はなし－ Publickey

Ashampoo、CPU脆弱性“Spectre”“Meltdown”のGUIチェックツールを無償公開 - 窓の杜

CPUの脆弱性[Spectre], [Meltdown] は具体的にどのような仕組みで攻撃する？影響範囲は？ | SEの道標

Azure、AWS、GCP、Alibaba CloudのCPU脆弱性対応のまとめ | 技術的な何か。

Apple、チップのセキュリティ欠陥「Spectre」の修正パッチをリリース - iPhone Mania

macOS 10.13.2 High Sierraでも実行可能なCPU脆弱性「Spectre」のPoCが公開される。 | AAPL Ch.

CPU脆弱性Meltdownのパッチ適用でベンチマークスコアが25％低下した - Qiita

もともとは「お化け」とか「妖怪」といった意味だという。英語の「スペクター」という単語だ。カール・マルクスとフリードリヒ・：日本経済新聞

Googleが発見した「CPUの脆弱性」とは何なのか。ゲーマーに捧ぐ「正しく恐れる」その方法まとめ - 4Gamer.net

CPU脆弱性問題でインテルに複数の集団訴訟。公表の遅れや修正による性能低下の損害を主張 - Engadget 日本版

Meltdown, Spectre で学ぶ高性能コンピュータアーキテクチャ - FPGA開発日記

インテルのチップに潜む「欠陥」が、コンピューターの基本的なセキュリティを脅威にさらす｜WIRED.jp

Google、CPU脆弱性“Meltdown”“Spectre”の緩和策を「Google Chrome 64」へ導入 - 窓の杜

Apple曰く、メルトダウンとスペクター問題は「全MacシステムとiOSデバイス」に影響を与えるが長くは続かない | TechCrunch Japan

プロセッサの脆弱性は全てのMacとiOS機器に影響--アップル、対策を公表 - CNET Japan

プロセッサの脆弱性「Meltdown」と「Spectre」についてまとめてみた｜ Developers.IO

インテル：多くの半導体にハッカー攻撃への脆弱性－「バグ」は否定 - Bloomberg

GoogleのProject ZeroチームはCPUの重要な欠陥を昨年発見していた | TechCrunch Japan

インテル、ARM、AMDなど多数のCPUに脆弱性--各社が対応急ぐ - CNET Japan

マイクロソフト、CPUの脆弱性対策でAzureの計画メンテを前倒し、全リージョンの仮想マシンを今朝から強制再起動。Googleは対策済みと発表－ Publickey

Azure、AWS、GCPのCPU脆弱性対応のまとめ | 技術的な何か。

【CPU脆弱性対応情報・追加】（2/2）

なお、依然脆弱性が残されており、順次緩和策で対応するとのことですので、アップデートの通知が来たら、速やかに更新を行って下さい。

詳細→　https://t.co/Z4GLYvcTbl #Meldown #Spectre
— 内閣サイバー(注意・警戒情報) (@nisc_forecast) 2018年1月5日

【CPU脆弱性情報】(3/3)
Google Chrome ブラウザに関しては、一部対処の方法が公開中。該当ブラウザで
chrome://flags/#enable-site-per-process
を入力。「Strict Site Isolation」を「有効」に。
参考：Google ヘルプ→https://t.co/AsaR1jmYcp #Meltdown #Spectre [終]
— 内閣サイバー(注意・警戒情報) (@nisc_forecast) 2018年1月4日

MSの定例外パッチへの各アンチウィルスの対応状況は、以下のGoogle Docsにまとまっている。https://t.co/xdLuNRz4wB
— 北河拓士 KITAGAWA,Takuji (@kitagawa_takuji) 2018年1月4日

海外の記事まとめ

Vulnerability Note VU#584653 - CPU hardware vulnerable to side-channel attacks

https://newsroom.intel.com/news/intel-responds-to-security-research-findings/

Securing Azure customers from CPU vulnerability | Blog | Microsoft Azure

Processor Speculative Execution Research Disclosure

Google Online Security Blog: Today's CPU vulnerability: what you need to know

Project Zero: Reading privileged memory with a side-channel

Meltdown and Spectre

CVE-2017-5753, CVE-2017-5715, and CVE-2017-5754 (Meltdown and Spectre) Windows antivirus patch compatibility

以上です。

＜更新履歴＞

2018/01/05 AM 公開

2018/01/06 PM 一部内容更新（ITpro,ITmedia,ZDNet,Trend Micro,piyolog,Gigazine,その他）

2018/01/08 PM 一部内容更新（Security NEXT,サイオステクノロジー,その他）

2018/01/09 AM 一部内容更新（Appleのセキュリティアップデート情報,その他）

2018/01/10 AM 一部内容更新（【▼各主要OSのパッチ、アップデート情報】の項目を追加、JVN,ITpro,ITmedia,ZDNet,Trend Micro,Gigazine,マイナビニュース,＠IT,Security NEXT,その他）

2018/01/11 AM 項目追加（McAfee,Kaspersky,Symantec）及び一部内容更新（ITmedia,ZDNet,Gigazine）

2018/01/13 AM 一部内容更新（Security NEXT,ITpro,ITmedia,ZDNet,Gigazine,マイナビニュース,日立ソリューションズ,その他）

2018/01/15 AM 一部内容更新（ZDNet,その他）

2018/01/17 AM 一部内容更新（ITpro,ITmedia,ZDNet,マイナビニュース）

2018/01/20 AM 一部内容更新（Security NEXT,ITmedia,ZDNet）

コインチェック株式会社

日経 xTECH（元ITpro）

Enter prise Zine

SOPHOS INSIGHT

BuzzFeed News

Yahoo！ニュース 個人

東洋経済ONLINE

ダイヤモンド・オンライン

脆弱性のアレコレ

CPUに複数の脆弱性（Meltdown、Spectre）

Oracle WebLogic Serverに脆弱性

Lhaplusに脆弱性

DNSサーバのBIND9に脆弱性

Ciscoセキュリティ製品（ASA）に脆弱性

Lenovoの指紋認証マネージャーに脆弱性

注意喚起やニュースのアレコレ

幻冬舎のWebサイトで不正アクセス、最大9万人の会員情報が流出した可能性

無線LANの暗号化方式「WPA3」が2018年後半より利用可能になる見込み

GMOペパボのネットショップサービスで不正アクセス、最大7万件の個人情報が流出した可能性

OnePlusのオンラインストアから、4万人のクレジットカード情報流出した可能性

IntelのAMTにセキュリティ上の問題が発覚

Androidスパイウェア「Skygofree」が発見される

仮想通貨取引所「Coincheck」が不正アクセスを受け、仮想通貨「NEM」が流出

仮想通貨「モナコイン」を不正入手するウイルスを作成した高校3年生が逮捕

「Spectre」の脆弱性緩和策を無効にするパッチをMicrosoftが公開

セキュリティレポートのアレコレ

IPA（独立行政法人 情報処理推進機構）

JPCERT コーディネーションセンター

LAC

wizSafe Security（IIJ）

piyolog

ポイント①：どこから読んでも良い

ポイント②：2017年を振りかえることができる

ポイント③：読んだその日からセキュリティリサーチャーになれるかも!?

ポイント④：piyokangoさんの正体が･･･

2017年1月

2017年2月

2017年3月

2017年4月

2017年5月

2017年6月

2017年7月

2017年8月

2017年9月

2017年10月

2017年11月

2017年12月

本脆弱性について

日本の記事まとめ

ITpro

＠IT

Security NEXT

マイナビニュース

piyolog

日立 ソリューションズ

その他

海外の記事まとめ

＜更新履歴＞

Yahoo！ニュース個人

Android スパイウェア「Skygofree」が発見される

IPA（独立行政法人　情報処理推進機構）

日立ソリューションズ