マルウェアEmotetの感染再拡大に関する注意喚起
JPCERT-AT-2022-0006 JPCERT/CC 2022-02-10（新規） 2023-03-20（更新） I. 概要JPCERT/CCでは、2021年11月後半より活動の再開が確認されているマルウェアEmotetの感染に関して相談を多数受けています。特に2022年2月の第一週よりEmotetの感染が急速に拡大していることを確認しています。Emotetに感染しメール送信に悪用される可能性のある.jpメールアドレス数は、Emotetの感染が大幅に拡大した2020年に迫る勢いとなっています。詳細は後述する「V. 観測状況」をご確認ください。感染や被害の拡大を防ぐためにも、改めて適切な対策や対処ができているかの確認や点検を推奨します。 （更新: 2023年3月8日追記） 2022年11月以降、Emotetの感染に至るメールの配布は確認されていませんでしたが、2023年3月7日より配布
複数のEC-CUBE 3.0系用プラグインにおけるクロスサイトスクリプティングの脆弱性に関する注意喚起
JPCERT-AT-2021-0028 JPCERT/CC 2021-06-15 I. 概要JPCERT/CCは複数のEC-CUBE 3.0系用プラグインの脆弱性に関する情報を確認しています。該当製品には、クロスサイトスクリプティングの脆弱性があり、悪用された場合、EC-CUBEにアクセスした管理者やユーザーのWebブラウザー上で、任意のスクリプトを実行される可能性があります。詳細は、開発者が提供する情報を参照してください。なお、JPCERT/CCでは、脆弱性（CVE-2021-20735）を悪用した攻撃をすでに確認しています。該当製品を利用している場合は、早期のアップデートを推奨します。 ETUNA（CVE-2021-20735） 配送伝票番号プラグイン(3.0系)における脆弱性発覚と対応のお願い（2021/06/11） https://www.ec-cube.net/release/d
Intel製品に関する複数の脆弱性について
2021年6月8日（米国時間）、Intelから複数のセキュリティアドバイザリが公開されました。影響を受ける製品やバージョンについての詳細は、Intelのアドバイザリを参照いただき、影響範囲の確認と対策の実施をご検討ください。 INTEL-SA-00401: Intel Thunderbolt Controller Advisory https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00401.html Intel Thunderbolt Controllerにサービス運用妨害（DoS）が可能な脆弱性 INTEL-SA-00440: Intel FPGA OPAE Driver Advisory https://www.intel.com/content/www/us/en/security-c
2021年6月マイクロソフトセキュリティ更新プログラムに関する注意喚起
JPCERT-AT-2021-0027 JPCERT/CC 2021-06-09 I. 概要マイクロソフトから同社製品の脆弱性を修正する2021年6月のセキュリティ更新プログラムが公開されました。これらの脆弱性を悪用された場合、リモートからの攻撃によって任意のコードが実行されるなどの可能性があります。マイクロソフトが提供する情報を参照し、早急に更新プログラムを適用してください。 マイクロソフト株式会社 2021 年 6 月のセキュリティ更新プログラム https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2021-Jun マイクロソフト株式会社 リリース ノート https://msrc.microsoft.com/update-guide/releaseNote これらの脆弱性の内、マイクロソフトは次の6件の脆弱性について悪用
EC-CUBEのクロスサイトスクリプティングの脆弱性（CVE-2021-20717）に関する注意喚起
JPCERT-AT-2021-0022 JPCERT/CC 2021-05-10 I. 概要2021年5月7日、株式会社イーシーキューブから、EC-CUBEのクロスサイトスクリプティングの脆弱性（CVE-2021-20717）に関する注意喚起が公開されました。脆弱性が悪用された場合、ECサイトの管理者のブラウザー上で任意のスクリプトが実行され、結果としてECサイトへの不正アクセスや個人情報の窃取などが行われる可能性があります。株式会社イーシーキューブによると、本脆弱性を悪用した攻撃を確認しているとのことです。 EC-CUBE 4.0系: クロスサイトスクリプティング脆弱性について https://www.ec-cube.net/info/weakness/20210507/ すでに攻撃に悪用されていることから、該当する製品を利用している場合には、早期にパッチ適用などの対応の実施を推奨します
Pulse Connect Secureの脆弱性（CVE-2021-22893）に関する注意喚起
JPCERT-AT-2021-0019 JPCERT/CC 2021-04-21（新規） 2021-05-06（更新） I. 概要2021年4月20日（米国時間）、Pulse SecureからPulse Connect Secureの脆弱性（CVE-2021-22893）に関するアドバイザリが公開されました。脆弱性が悪用された場合、遠隔の第三者が認証を回避し、任意のコードを実行するなどの可能性があります。同日、FireEyeがブログを公開し、本脆弱性や既知のPulse Connect Secureの脆弱性を悪用した攻撃を確認していると明らかにしています。 2021年4月21日現在、脆弱性を修正するバージョンやパッチは公開されていませんが、すでに脆弱性を悪用した攻撃が確認されているため、同製品を利用している場合は、回避策の適用や侵害確認ツールを用いた調査を推奨します。詳細は、Pulse Se
Microsoft Internet Explorer の未修正の脆弱性 (CVE-2020-0674) に関する注意喚起
HOME緊急情報を確認するMicrosoft Internet Explorer の未修正の脆弱性 (CVE-2020-0674) に関する注意喚起 JPCERT-AT-2020-0004 JPCERT/CC 2020-01-19(新規) 2020-02-12(更新) I. 概要2020年1月17日 (米国時間)、マイクロソフトから Microsoft Internet Explorerの脆弱性 (CVE-2020-0674) に関する情報が公開されました。脆弱性を悪用された場合、リモートからの攻撃によって任意のコードが実行される恐れがあります。マイクロソフトによると、本脆弱性の悪用を確認しているとのことです。 Microsoft ADV200001 | Microsoft Guidance on Scripting Engine Memory Corruption Vulnerabili
複数の SSL VPN 製品の脆弱性に関する注意喚起
JPCERT-AT-2019-0033 JPCERT/CC 2019-09-02(新規) 2019-09-06(更新) I. 概要JPCERT/CC では、複数の SSL VPN 製品の脆弱性について、脆弱性に対する実証コードなどの詳細な情報が公表されていることを確認しています。 - Palo Alto Networks (CVE-2019-1579) - Fortinet (CVE-2018-13379) - Pulse Secure (CVE-2019-11510) これらの脆弱性を悪用された場合に、攻撃者がリモートから任意のコードを実行できる可能性 (CVE-2019-1579) や、任意のファイルを読み取り、認証情報などの機微な情報を取得する可能性 (CVE-2018-13379, CVE-2019-11510) があります。なお、脆弱性の報告者からは、それぞれの製品について、上記
Web Diary Professional を使用している Web サイトの改ざんについて
JPCERT/CCでは、CMS の「Web Diary Professional」というツールを使用しているサイトが複数改ざんされているとの報告を受けています。 これらの改ざんの特徴は、Kaspersky Labs から 2014年に公開された記事の例に類似しています。また、攻撃により設置された WebShell を含む複数の不審なファイルの更新日時が 8年以上前と古いことから、長期間にわたって攻撃者が Web サーバを悪用できる状態であったと考えられます。 Kaspersky Labs 日本独自のブログ作成ツールが攻撃者の標的に！ https://blog.kaspersky.co.jp/obsolete-japanese-cms-targeted-by-criminals/3856/ 2018年12月19日現在、Web サイト改ざんに至った原因は確認できていませんが、共通して Web
NTTドコモ Wi-Fi STATION L-02F の脆弱性に関する注意喚起
各位 JPCERT-AT-2017-0034 JPCERT/CC 2017-09-12 <<< JPCERT/CC Alert 2017-09-12 >>> NTTドコモ Wi-Fi STATION L-02F の脆弱性に関する注意喚起 https://www.jpcert.or.jp/at/2017/at170034.html I. 概要 NTTドコモが提供する LG Electronics 製 Wi-Fi STATION L-02F には脆弱性が あります。脆弱性を悪用された場合、リモートからの攻撃によって、任意のコー ドを実行されたり (CVE-2017-10845)、機器に保存されている設定情報を取得 される (CVE-2017-10846) 可能性があります。脆弱性の詳細については、JVN の情報を参照してください。 JVN#68922465 Wi-Fi STATION L-02
Apache Struts 2 の脆弱性 (S2-052) に関する注意喚起 | JPCERTコーディネーションセンター（JPCERT/CC）
各位 JPCERT-AT-2017-0033 JPCERT/CC 2017-09-06(新規) 2017-09-07(更新) <<< JPCERT/CC Alert 2017-09-06 >>> Apache Struts 2 の脆弱性 (S2-052) に関する注意喚起 https://www.jpcert.or.jp/at/2017/at170033.html I. 概要 Apache Software Foundation は、2017年9月5日に Apache Struts 2 の脆弱性 (CVE-2017-9805) に関する情報 (S2-052) を公開しました。Struts REST Plugin を用いている場合に、脆弱性を悪用するよう細工した XML リクエストを処理 することで、Apache Struts 2 が動作するサーバにおいて任意のコードが実行 される可能性があ
STOP! パスワード使い回し!キャンペーン2018
□ パスワードの文字列は、長めにする（12文字以上を推奨） □ インターネットサービスで利用できる様々な文字種（大小英字、数字、記号）を組み合わせると、より強固になる □ 推測されやすい単語、生年月日、数字、キーボードの配列順などの単純な文字の並びやログインIDは避ける □ 他のサービスで使用しているパスワードは使用しない これまでは、英大文字・小文字、数字に加えて記号を混ぜ込むことが多々推奨されてきました。しかし、「アルファベットを数字や記号に置き換える」等の方法では、憶えやすさが損なわれたり（※後述のコラムを参照）、「p@ssword」（aをアットマーク「@」に置き換え）のような置き換えの場合、辞書攻撃であらかじめ推測されている恐れがあります。したがって、現在では、これまでの方法より数文字でも多くの文字を使うことが望ましいと考えられています。 例えば、8文字で英大小文字＋数字＋記号（9
MSC03-J. センシティブな情報をハードコードしない
パスワードやIPアドレス、暗号化鍵等センシティブな情報をハードコードすると、それらの情報を攻撃者に晒してしまう可能性がある。クラスファイルにアクセスできる者であれば誰でも、クラスファイルを逆コンパイルし、センシティブな情報を取り出すことができる。したがって、プログラムにセンシティブな情報をハードコードしてはならない。 また、センシティブな情報をハードコードしてしまうと、その変更に応じてコードを管理する必要が増す。たとえば、実運用中のプログラムにハードコードしたパスワードを変更するには、パッチを配布が必要となる[Chess 2007]。 違反コード 以下の違反コード例では、String クラスのオブジェクトにサーバのIPアドレスをハードコードしている。 class IPaddress { String ipAddress = new String("172.16.254.1"); publi
WordPress の脆弱性に関する注意喚起
各位 JPCERT-AT-2017-0006 JPCERT/CC 2017-02-06 <<< JPCERT/CC Alert 2017-02-06 >>> WordPress の脆弱性に関する注意喚起 https://www.jpcert.or.jp/at/2017/at170006.html I. 概要 WordPress の REST API には、脆弱性が存在します。本脆弱性を悪用された 場合、リモートからの攻撃によって、WordPress のコンテンツが改ざんされる 恐れがあります。 すでに、本脆弱性を悪用する実証コードが公開されており、JPCERT/CC にて 実証コードを用いて検証した結果、WordPress のコンテンツが改ざんできるこ とを確認しました。また、対象となる WordPress を利用していると思われる 国内の複数のサイトが改ざん被害を受けています。また、本脆
STOP!!パスワード使い回し!!キャンペーン2016
インターネット上のサービスを利用するにあたって必要なアカウント ID とパスワードが「認証情報」です。この認証情報を狙った攻撃が継続しており、認証情報が流出する事件が国内外で報道されています。 複数のインターネットサービスで、同じ認証情報を使い回すことにより、どれか1つのサービスから認証情報が流出した際に、他のサービスに不正にアクセスされ、不正送金などの金銭的被害に遭う恐れがあります。 【 パスワードを使い回している場合…… 】 こうした被害のリスクを減らすために、認証情報の使い回しや、単純なパスワードを設定しないように注意してください。また、インターネットサービスで提供されているセキュリティ機能を活用し、インターネットサービスを安全に利用しましょう。 ■ 認証情報の設定について 複数のインターネットサービスで同じパスワードを設定しないようにしましょう 推測されやすい単純なパスワードを避け
OWASPアプリケーションセキュリティ検証標準
本資料は、OWASP の Application Security Verification Standard (ASVS:アプリケーションセキュリティ検証標準) 3.0.1 を翻訳したものです。 ASVS プロジェクトは、アプリケーションの設計、開発、脆弱性診断などにおいて必要となるセキュリティ要件の標準を確立することを目指して活動しています。ASVS v3.0.1 では、アーキテクチャ、認証、セッション管理、アクセス制御など、アプリケーションに必要とされるセキュリティ要件を総計19のカテゴリに分類してまとめています。 また、これらのセキュリティ要件は、必ずしもすべて満たすべきというわけではありません。例えば「入力値検証はサーバ側で実装されている(5.5)」のように、すべてのアプリケーションが満たすべきセキュリティ要件がある一方で、「セキュリティログに完全性を保証する機構が備わっており許
Apache Struts 2 の脆弱性 (S2-037) に関する注意喚起
各位 JPCERT-AT-2016-0027 JPCERT/CC 2016-06-20(新規) 2016-06-21(更新) <<< JPCERT/CC Alert 2016-06-20 >>> Apache Struts 2 の脆弱性 (S2-037) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160027.html I. 概要 Apache Software Foundation が提供している Apache Struts 2 には脆弱性 (S2-037/CVE-2016-4438) が存在します。REST Plugin*1 を使用している場合、 遠隔の攻撃者が、脆弱性を悪用するように細工した HTTP リクエストを送信す ることで、Apache Struts 2 を使用するアプリケーション (Struts アプリケー ション) を実行して
ケータイキット for Movable Type の脆弱性 (CVE-2016-1204) に関する注意喚起
各位 JPCERT-AT-2016-0019 JPCERT/CC 2016-04-26(新規) 2016-05-06(更新) <<< JPCERT/CC Alert 2016-04-26 >>> ケータイキット for Movable Type の脆弱性 (CVE-2016-1204) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160019.html I. 概要 アイデアマンズ株式会社のケータイキット for Movable Type には、OS コ マンドインジェクションの脆弱性 (CVE-2016-1204) があります。この脆弱性 を悪用された場合、当該製品が動作するサーバ上で任意の OS コマンドを実行 される可能性があります。 本脆弱性や影響の詳細については、以下を参照してください。 Japan Vulnerability Notes
API00-C. 関数のなかで引数を検証する
API00-C. 関数のなかで引数を検証する 呼び出し元と呼び出し先の両方でテストを実施する防衛的プログラミングは、C/C++ のコミュニティにおいて、おもに性能上の問題から疑問視されている。C/C++ の基本方針は、呼び出し元か呼び出し先どちらか一方で検証処理を行うことである。 呼び出し元に引数を検証させることでコードが速くなる可能性がある。なぜなら無効な値を関数に渡されないようにする不変条件(invariant)を呼び出し元は知っているかもしれないからだ。一方、呼び出し先に引数の検証を要求すると、検証用コードが 1 つの場所にカプセル化されるため、コードサイズを縮小でき、一貫した適切な方法で検査を実行できる可能性が高くなる。 安全性とセキュリティの理由から、このコーディングスタンダードでは、呼び出し先の関数で引数を検証することを推奨する。引数の妥当性を検証することで、関数はある種の誤用
ISC BIND 9 サービス運用妨害の脆弱性 (CVE-2014-8500) に関する注意喚起
各位 JPCERT-AT-2014-0050 JPCERT/CC 2014-12-09 <<< JPCERT/CC Alert 2014-12-09 >>> ISC BIND 9 サービス運用妨害の脆弱性 (CVE-2014-8500) に関する注意喚起 https://www.jpcert.or.jp/at/2014/at140050.html I. 概要 ISC BIND 9 には、サービス運用妨害 (DoS) の原因となる脆弱性があります。 本脆弱性を使用された場合、遠隔からの攻撃によって named が異常終了する 可能性があります。 該当するバージョンの ISC BIND 9(権威 DNS サーバ、キャッシュ DNS サー バ) を運用している場合は、「III. 対策」を参考に、修正済みバージョンの 適用について検討してください。 なお、ISC 社の情報によると、本脆弱性を使用す
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
