Windows 10に特権昇格が可能なゼロデイ脆弱性
Windows Defenderのバグ、12年も放置されていた - iPhone Mania
Windowsのセキュリティ対策ソフトウェアであるWindows Defenderに12年前から存在していたバグが、最近になってようやく修正されていたことがわかりました。 権限昇格攻撃を許す脆弱性 セキュリティ会社SentinelOneの研究者らが昨秋、Windows Defender（旧Microsoft Defender）に脆弱性があることを発見しました。Windows 7搭載機から、新しいWindows 10搭載機まで影響を与えるとのことです。 この脆弱性は権限昇格攻撃、つまり許可されていないユーザーが特権を取得することを許してしまうもので、悪意あるコードがWindows Defenderのシステムファイルに挿入されてしまう危険性があるそうです。 12年も放置されていた脆弱性 SentinelOneによると、Windows Defenderには悪意あるファイルを削除し、無害な新しいフ
【注意】iPhoneの動画ファイルでWindows PCが乗っ取られる脆弱性 - iPhone Mania
Windowsの脆弱性により、iPhoneで撮影された特定の動画を開くとPCが乗っ取られる可能性がある、と米政府のサイバーセキュリティ当局が注意を促しています。iPhoneとWindowsの組み合わせでお使いの方はセキュリティパッチの適用をご確認ください。 iOS11以降で使われている動画ファイル用コーデックに問題 アメリカのサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が、Windowsの脆弱性により、特定のファイルによってPCをリモートで乗っ取られる可能性がある、との注意喚起を現地時間10月16日に公表しました。 具体的には、Microsoft Storeで入手した、HEVC動画用のコーデックファイルをWIndowsで実行した場合、メモリーオーバーフローが生じ、PCがリモートで乗っ取られる可能性があります。 「HEVC」は、iOS11以降のiPhoneやiPadで
Bluetooth接続に脆弱性〜iOS、macOS、Windows機器に影響
iOS、macOS、Windows 10を搭載したデバイスでBluetooth接続を利用すると、使用しているデバイスが特定、追跡される危険性があるとの最新調査報告書を、ボストン大学が発表しました。米メディアZDNetが報じています。 Androidは影響を受けない 報告書によれば、AppleのMac、iPhone、iPad、Apple Watch、そしてMicrosoftのタブレットとラップトップPCがこの危険にさらされています。Androidは影響を受けません。 多くのBluetoothデバイスはパブリックチャンネルを使い、他の機器に存在を知らせますが、追跡されないようにMACアドレスの代わりに、定期的に変わるランダムなアドレスを使用します。 アドレス・キャリーオーバー・アルゴリズム ところがボストン大学が開発した新しい「アドレス・キャリーオーバー・アルゴリズム」を用いると、ランダムなア
Internet Explorerでゼロデイ脆弱性が発見される、PC上のファイルを盗まれる可能性
by mynetx セキュリティ研究者がMicrosoft製のウェブブラウザであるInternet Explorer(IE)にゼロデイ脆弱性が存在することを発見しました。この脆弱性を利用すれば、ハッカーがWindows搭載PCからファイルを盗み出すことが可能になるとのことです。 hyp3rlinx.altervista.org/advisories/MICROSOFT-INTERNET-EXPLORER-v11-XML-EXTERNAL-ENTITY-INJECTION-0DAY.txt http://hyp3rlinx.altervista.org/advisories/MICROSOFT-INTERNET-EXPLORER-v11-XML-EXTERNAL-ENTITY-INJECTION-0DAY.txt Internet Explorer zero-day lets hackers
Windowsタスクスケジューラに未解決の脆弱性、悪用コードも公開
米MicrosoftのWindowsに未解決の脆弱性が発覚し、米セキュリティ機関のCERT/CCが8月27日付でセキュリティ情報を公開した。既に悪用コードも公開されているという。 CERT/CCによると、脆弱性はWindowsタスクスケジューラの「Advanced Local Procedure Call（ALPC）」に存在する。ローカルユーザーに悪用された場合、権限を昇格されてシステム特権を獲得される恐れがある。 悪用コードはGitHubなどを通じて公開され、CERT/CCでは64ビットのWindows 10とWindows Server 2016に対して通用することを確認。このコードに手を加えれば、他のバージョンのWindowsに対しても使用できる可能性があるとしている。 危険度は、共通脆弱性評価システム（CVSS）のベーススコアで6.8（最高値は10.0）。現時点でMicrosoft
WindowsのAIアシスタント「Cortana」を使って誰でもPCのロックを解除できてしまう
by Christopher Schirner 「Windows10に搭載されているAIアシスタントCortanaを利用することで、誰でもPCのロックを解除可能だった」ということが、IT系のニュースサイトHacker Newsで報告されています。 Cortana Software Could Help Anyone Unlock Your Windows 10 Computer https://thehackernews.com/2018/06/cortana-hack-windows-password.html Want to Break Into a Locked Windows 10 Device? Ask Cortana (CVE-2018-8140) https://securingtomorrow.mcafee.com/mcafee-labs/want-to-break-int
「Windows 10」のセキュリティ機能を迂回可能？グーグル「Project Zero」が詳細公表
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Googleのセキュリティチーム「Project Zero」は米国時間4月19日、「Windows 10」のセキュリティ機能の迂回（うかい）を許す手法の概念実証コードを公開した。 Project Zeroは発見した脆弱性に関する情報を、開発元に通知してから90日後に一般公開するという方針を採っており、開発元に対して同期間内での脆弱性の公表や、パッチの公開を求めている。Microsoftは今回の件に関して一般公開の延期を求めたものの、2月に一般公開された特権昇格の問題に引き続き、その要求は拒絶された。 今回明らかにされた手法は、「Windows 10 S」マシン、あるいはユーザーモードのコード整合性（UMCI）を有効にしているあらゆるWi
Skypeにかなり深刻な脆弱性、WinのみならずMacやLinuxでも - りんごが好きなのでぃす
Skypeにかなり深刻な脆弱性があることが発見されたようです。 www.zdnet.com 問題点自体は簡単に言えば「悪意のある第三者によってシステムを乗っ取られ云々……」という割と耳にすることの多い類のもの。 一般的にこの問題が発見された時は当該ソフトウェアを提供しているデベロッパが修正プログラム（アップデータ）を作成・配布し、ユーザはこれをインストールすることで対処します。 がしかし、今回はそう簡単な話ではない模様。 手直しは無理……作り直すしか…… Skypeは現在Microsoftから提供されていますが、そのMicrosoftによれば件のトラブルについては既に把握しているものの『あまりにも修正箇所（工数）が多いため、修正プログラムで対応するには時間がかかりすぎる』らしい。 But Microsoft, which owns the voice- and video-calling
Microsoft Edgeに深刻な脆弱性、Microsoftが新たに情報公開【訂正あり】
この脆弱（ぜいじゃく）性を悪用すれば、攻撃者が細工を施したWebサイトをEdgeで閲覧するようユーザーを仕向けることによって、任意のコードを実行できてしまう恐れがある。 米Microsoftは8月4日、Webブラウザ「Edge」の深刻な脆弱（ぜいじゃく）性に関する情報を公開した。 【訂正：2017年8月7日14時51分更新 ※初出時に「修正する更新プログラムを定例外で公開した」との記載がタイトルおよび本文にありましたが、正しくは「脆弱性の情報追加」でした。おわびして訂正します】 Microsoftのセキュリティ情報によると、メモリ内のオブジェクトへの不適切なアクセスに起因するメモリ破損の脆弱性が存在する。 この問題を悪用すれば、攻撃者が細工を施したWebサイトをEdgeで閲覧するようユーザーを仕向けることによって、任意のコードを実行できてしまう恐れがある。改ざんされたサイトや、ユーザーの投
Windowsに新たな未解決の脆弱性、Google研究者が「最悪」と報告
米Microsoftは5月9日（日本時間の5月10日）に月例セキュリティ更新プログラムを公開する見通しだが、今回の脆弱（ぜいじゃく）性への対処は間に合わない可能性もある。 過去にMicrosoft Windowsの未解決の脆弱（ぜいじゃく）性を何度も発見してきた米Googleの研究者が、新たに極めて深刻な脆弱性を見付けたと報告した。 脆弱性を報告しているのはGoogleの研究者テイビス・オーマンディ氏。Twitterへの5月6日の投稿で、同僚と共にWindowsのリモートコード実行の脆弱性を見付けたと伝え、「最近の記憶の中で最悪。クレイジー」と形容している。 →日本時間の5月9日夜から、修正版の自動アップデートが配信されている 続いて「攻撃はデフォルトのインストールに対して通用する。同じLAN上にいる必要はない。しかもワームの作成が可能」とツイートした。現時点でそれ以上の詳細は公表していな
Windowsに未解決の脆弱性、Googleが独自方針で情報を公開
米Googleは10月31日、MicrosoftのWindowsに存在する未解決の脆弱性に関する情報を公表した。この脆弱性を突く攻撃が発生したことを受け、ユーザーを守るため公表に踏み切ったと強調している。 Googleのブログによると、同社は10月21日に、ゼロデイの脆弱性（それまで公になっていなかった脆弱性）に関する情報をMicrosoftとAdobe Systemsに報告した。Adobeは同月26日に緊急公開したFlash Playerのセキュリティアップデートでこの脆弱性を修正している。 しかし、Windowsの脆弱性はまだ修正されていないことから、Googleは「攻撃が発生している重大な脆弱性については、報告から7日たってもパッチがリリースされなければ公表する」というGoogle独自のポリシーに基づいて、情報を公開することにしたという。「今回の脆弱性は、既に悪用されているという点で
2015年に脆弱性の発見が最も多かったソフトウェアは｢OS X｣?? | 気になる、記になる…
CVE Detailsが公開しているデータによると、2015年に各種ソフトウェアで発見された脆弱性の数で、Appleの｢OS X｣が384件で1位だった事が分かりました。 2位は375件で同じくAppleの｢iOS｣、3位は314件でAdobeの｢Flash Player｣となっており、他にはMicrosoftの｢Internet Explorer｣が231件で7位、｢Windows 8.1｣が151件で12位、｢Windows 10｣が53件で35位に、Googleの｢Android｣は130件で20位にランクインしています。 ここで1つ気になるのが、｢OS X｣と｢iOS｣はバージョン別ではなく1つにまとめられているのに対し、｢Windows｣は各バージョンごとに別々に数えられているという事ですが、｢OS X｣や｢iOS｣と同じく｢Windows｣も同じ脆弱性が様々なバージョンに渡って
Windowsに脆弱性、悪用でパスワードが盗まれる恐れ
この問題は1990年代に発見され、Windows 10までのWindows全バージョンに存在。AppleやAdobeといった大手各社のソフトウェアアップデート機能が影響を受ける可能性があるという。 ソフトウェアの更新版チェックなどの機能に使われているHTTPリクエストを利用してユーザーを不正なSMBサーバに誘導し、パスワードなどの情報を入手できてしまう攻撃手法が発見された。セキュリティ企業Cylanceが4月13日のブログで伝えた。カーネギーメロン大学CERTも同日、セキュリティ情報を公開して対策を呼び掛けている。 この問題はWindows 10までのWindows全バージョンに存在していて、AppleやAdobeといった大手各社のソフトウェアアップデート機能が影響を受ける可能性があるという。 Cylanceやカーネギーメロン大学CERTによると、この問題は「file://」で始まるURL
物議を醸すグーグルの「Windows」脆弱性公表から学ぶべきこと
Paco Hope （Special to TechRepublic） 翻訳校正： 石橋啓一郎 2015-02-04 06:00 ゼロデイ攻撃の撲滅を目指すGoogleのProject Zeroは2014年の米国時間12月30日、Windows 8.1に存在する脆弱性の詳細（および実際に動作する攻撃コード）を公開した。問題はGoogleが、Microsoftがパッチを公開したかどうかに配慮することなく、90日で詳細を公開するというスケジュールを厳密に守ったことだ。その90日の期限は、冬のホリデーシーズンの最中に訪れた。 また2015年1月5日には、セキュリティ研究者のPaul Price氏が、数百万人単位の顧客のデータを漏えいさせる可能性のある、Moonpig.comのAPIに関する問題の詳細を公開した。同氏はMoonpig.comと連絡は取っていたものの、同社は1年間の間その問題を修正せ
誰のための情報公開？--未パッチの「Windows」脆弱性を公表するグーグルの是非
Tony Bradley （Special to TechRepublic） 翻訳校正： 川村インターナショナル 2015-01-19 06:00 米国時間1月13日はMicrosoftの月例パッチ公開日だったが、Googleはこの2日前に「Windows」の脆弱性に関する詳細を実証コードも含めて公表した（編集部注：さらに15日にも、Windowsの別の脆弱性に関する情報を公開している）。 Microsoftは、そうした無責任に思われるGoogleの情報の公表について、公然と批判している。しかしGoogleはもともと、その脆弱性の詳細を2014年10月13日にMicrosoftに伝えており、これは公開までに90日の猶予期間を設けるという厳格なポリシーに従っている。Microsoftの90日の猶予期間が切れた時点で、Googleはバグの詳細を公開した。 どちらの企業が正しいのだろうか。「責任
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Microsoftの印刷スプーラ脆弱性対策は不十分」と複数セキュリティ研究者が指摘
アイコンを見るだけでデータが破壊されるNTFSの脆弱性
Windows XPにも異例のパッチ提供 ～リモートデスクトップサービスにコード実行の脆弱性／「WannaCry」再来の悪夢を防止するためにも速やかな対策を
TechCrunch
