Google addresses four high-severity flaws in Chrome
2021/10/09 SecurityAffairs — Google Chrome for Windows／Mac／Linux に存在する、深刻度の高い４つの脆弱性に対するセキュリティ・アップデートが公開された。最も深刻な脆弱性は、CVE-2021-37977として追跡されており、ガベージ・コレクションにおける解放後メモリ使用の問題であり、任意のコード実行につながる可能性がある。この脆弱性は匿名の研究者から報告されたもので、Google は同氏に対して $10,000 の報奨金を授与した。
Continue reading “Google Chrome の更新：Ver 94.0.4606.81 で FIX した４つの脆弱性とは？”Google warns 14,000 Gmail users targeted by Russian hackers
2021/10/07 BleepingComputer — Google は、同社のユーザー約14,000人に対し、ロシア由来の脅威グループAPT28 による、国家支援型のフィッシング・キャンペーンの標的になっていることを警告した。このキャンペーンは９月下旬に検出され、Google が毎月、対象となるユーザーに送信している Government-Backed Attack の通知の中で、通常よりも多い件数を占めている。
Continue reading “Google 警告：14,000 人の Gmail ユーザーがロシアン・ハッカーに狙われている”Google to turn on 2-factor authentication by default for 150 million users
2021/10/06 TheHackerNews — Google は、アカウントへの不正アクセスを防ぎ、セキュリティを向上させるための継続的な取り組みの一環として、約1億5,000万人のユーザーを二要素認証スキームに、年内を目標に自動的に登録する計画を発表した。また、200万人の YouTube クリエイターに対しても、二段階認証 (2SV) の設定を義務付けることで、チャンネル乗っ取りから守るとしている。
Continue reading “Google の二要素認証：年内に1億5000万人を自動的に移行させる”Google Contributes $1M to Reward Developers for OSS Security
2021/10/01 SecurityBoulevard — 今日 Google は、Linux Foundation により管理される Secure Open Source (SOS) Pilot Program を立ち上げた。このプログラムでは、オープンソース・ソフトウェアの安全性を高める取り組みを行った開発者に対して、$1 million の報酬が提供される。Google Open Source Security Team の Principal Engineer and Manager である Abhishek Arya は、「今回の取り組みは、Google が以前から行ってきた $10 billion 規模のオープンソース・セキュリティへの取り組みの最新版だ」と述べている。
Continue reading “Google が考えるセキュアな OSS：開発者たちに１億円の報奨金を準備する”Hydra malware targets customers of Germany’s second largest bank
2021/10/01 BleepingComputer — 銀行用トロイの木馬 Hydra が、ヨーロッパの インターネット・バンキング・ユーザーに対して、特にドイツ第２位の金融機関である Commerzbank の顧客に対して、再び攻撃を仕掛けているようだ。MalwareHunterTeam は、2年前に開発されたマルウェアが Commerzbank Security という名前で、公式アプリと同じアイコンを使用した悪意の APK (Android Application Package) として、ドイツのユーザーを狙う新たな配布キャンペーンに登場していることを発見した。
Continue reading “Hydra トロイの木馬 for Android：ドイツ第二の銀行の 1800万人がターゲット”Google pushes emergency Chrome update to fix two zero-days
2021/09/30 BleepingComputer — Google は、すでに攻撃者に悪用されている、Chrome の２つのゼロデイ脆弱性を修正するために、Windows／Mac／Linux 用の 94.0.4606.71 をリリースした。Google は、「脆弱性 CVE-2021-37975 と CVE-2021-37976 のエクスプロイトが、ワイルドに悪用されていることを認識している」と、本日にリリースされたセキュリティ FIX リストで述べている。
Continue reading “Google Chrome のゼロデイ脆弱性が FIX：９月は２回目 94.0.4606.71 へ”Emergency Google Chrome update fixes zero-day exploited in the wild
2021/09/24 BleepingComputer — Google は、Chrome 94.0.4606.61 を Windows／Mac／Linux 用にリリースした。今回は。ワイルドに悪用されている、深刻度の高いゼロデイ脆弱性に対処するための緊急アップデートである。Google は、今日のセキュリティ・アドバイザリで、脆弱性 CVE-2021-37973 がワイルドに悪用されていることを認識していると、明らかにしている。
Continue reading “Google Chrome にゼロデイ脆弱性：緊急アップデートが提供されている”Apple will disable insecure TLS in future iOS, macOS releases
2021/09/22 BleepingComputer — Apple は、最近リリースした iOS および macOS において、安全性の低い TLS (Transport Layer Security) 1.0／1.1 プロトコルを非推奨とし、今後のリリースではサポートを完全に削除する予定だという。TLS は、クライアント／サーバー・アプリケーションを使用して、インターネットを介して情報にアクセスする際などに、メッセージの盗聴／改竄／偽造からユーザーを保護するために設計された、セキュアな通信プロトコルである。
Continue reading “Apple iOS / macOS から TLS 1.0 / 1.1 が消えていく”Third Critical Bug Affects Netgear Smart Switches — Details and PoC Released
2021/09/16 TheHackerNews — Netgear Smart Switches に存在する脆弱性の、詳細が明らかになった。この脆弱性は Seventh Inferno (CVSS：9.8) と呼ばれ、Demon’s Cries (CVSS：9.8) および Draconian Fear (CVSS：7.8) と呼ばれる、３つのセキュリティ欠陥の一部を構成するものでもある。これらの一連の脆弱性は、Google の Security Engineer である Gynvael Coldwind により、Netgear のネットワーク／ストレージ／セキュリティ・ソリューション・プロバイダーに報告されている。
Continue reading “Netgear Smart Switches を完全に乗っ取る脆弱性のセットとは？”New Stealthier ZLoader Variant Spreading Via Fake TeamViewer Download Ads
2021/09/14 TheHackerNews — Google などの検索エンジンで、RDP (remote desktop) ソフトウェア TeamViewer を検索するユーザーは、気をつけないと悪意のリンクに誘導され、ZLoader マルウェアをシステムにドロップすることになる。その瞬間に、感染したデバイスに ZLoaderは 留まり、セキュリティ・ソリューションによる検知を逃れ、ステルス性の高い感染チェーンを広げていく。
Continue reading “ZLoader マルウェア亜種：TeamViewer フェイク広告から忍び込む”Google patches 10th Chrome zero-day exploited in the wild this year
2021/09/13 BleepingComputer — Google は、Chrome 93.0.4577.82 を Windows／Mac／Linux 向けにリリースし、11件のセキュリティ脆弱性を修正したが、そのうち２件はワイルドに悪用されているゼロデイである。Google は、「CVE-2021-30632 と CVE-2021-30633 のエクスプロイトが、ワイルドに存在することを認識している」と、Chrome の新バージョンのリリースノートで明らかにしている。
Continue reading “Google Chrome の２つのゼロデイ脆弱性が FIX”2021/09/10 DailySwig — Google Chrome を標的とする、サイドチャネル攻撃が新たに発見された。攻撃者は、この Web ブラウザのセキュリティ保護機能を回避し、Spectre 型攻撃を用いて機密情報を取得できる。この、Spook.js と名付けられたサイドチャネル攻撃は、投機的実行 (Spectre) 攻撃に対するChromeの防御機能を回避し、認証情報や個人情報などを盗み出すことができます。
Continue reading “Google Chrome／Chromium で発見された Spook.js サイドチャネル攻撃とは？”Google’s TensorFlow drops YAML support due to code execution flaw
2021/09/05 BleepingComputer — Google が開発した Python ベースの機械学習／人工知能プロジェクトである TensorFlow は、深刻ななコード実行の脆弱性に対処するため、YAML のサポートを終了した。YAML (Yet Another Markup Language) は、コンフィグレーション・ファイルや転送中のデータを扱い、人間が読める形にシリアライズする言語であり、開発者にとって便利な選択肢である。
Continue reading “Google TensorFlow から YAML が脱落：深刻な RCE 脆弱性が原因”DDoS Attacks Hitting Victims in High-Bandwidth ‘Bursts’
2021/09/02 DarkReading — 2021年の上半期、分散型サービス拒否 (DDoS) 攻撃の件数は４倍に増加し、攻撃量も２倍になったことが、新しいデータで明らかになった。セキュリティ企業の Imperva は、同社の顧客が遭遇した約5,600件の攻撃から情報を抽出し、攻撃の強度が高まり続ける一方で、攻撃時間は短縮されていることを明らかにした。Imperva によると、攻撃の半数以上は８分以内に終了し、攻撃者は同じ企業に繰り返し大量のデータを送りつけていた (１Tbpsを超える攻撃もあり)。
Continue reading “DDoS 調査：短時間と高帯域というトレンドに緩和策は有効なのか？”CISA: Don’t use single-factor auth on Internet-exposed systems
2021/08/30 BleepingComputer — 今日のこと、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、一要素認証 (SFA : Single Factor Authentication) を、同機関が推奨するサイバー・セキュリティのバッド・プラクティスに追加した。CISA のバッド・プラクティス・カタログには、連邦政府機関が非常に危険と判断したプラクティスが含まれており、政府機関や民間企業のシステムが脅威にさらされる、不必要なリスクを負うことになるため、使用すべきではないとしている。
Continue reading “CISA スバラシイ：一要素認証をバッド・プラクティスと認定する”Microsoft Warns of Widespread Phishing Attacks Using Open Redirects
2021/08/28 TheHackerNews — Microsoft の警告は、電子メールに含まれるオープン・リダイレクト・リンクでユーザーを騙し、セキュリティ・ソフトウェアを回避して悪意の Web サイトを訪問させるという、クレデンシャル・フィッシング・キャンペーンが蔓延していることに対するものだ。
Continue reading “Microsoft 警告：Office 365 や Zoom を装うフィッシングが流行っている”Google Discloses Details of Unpatched Windows AppContainer Flaw
2021/08/20 SecurityWeek — Google Project Zero の研究者である James Forshaw は、Windows firewall と AppContainer に関する調査結果をブログに掲載した。AppContainer とは、Microsoft に説明によると制限付きプロセス実行環境であり、この環境内で実行されるアプリケーションに制限を加え、ハードウェア／ファイル／レジストリ／他のアプリケーション／ネットワーク・リソースなどに、アクセスできなくするものだ。
Continue reading “Windows AppContainer の脆弱性が Google Project Zero により開示された”Google open-sourced Allstar tool to secure GitHub repositories
2021/08/13 SecurityAffairs — Google がオープンソース化した Allstar は、設定ミスを防ぐための一連のセキュリティ・ポリシーを施行することで、GitHub プロジェクトのセキュリティを確保するツールのプロジェクトである。このプロジェクトの説明には、「Allstar は、組織やリポジトリにインストールして、セキュリティ・ポリシーを設定／実施するための GitHub App だ。その目的は、リスクを伴う可能性のある GitHub の設定や、セキュリティのベスト・プラクティスに従わないリポジトリの、ファイル・コンテンツを継続的に監視／検出する点にある。Allstar により、リポジトリのコンプライアンス違反が発見された場合には、課題の作成やセキュリティ設定の復元などのアクションが実行される」と書かれている。
Continue reading “Google Allstar は GitHub のセキュアな運用のためのオープンソース”Black Hat Keynote: Mobile Platforms ‘Actively Obstructing’ Zero-Day Malware Hunters
2021/08/04 SecurityWeek — 著名なセキュリティ専門家である Matt Tait は、水曜日に開催された Black Hat アニュアル・カンファレンスの冒頭で、急増するモバイル端末のゼロデイ攻撃やサプライチェーン攻撃に対処するため、プラットフォーム・ベンダーに対して、大幅な技術変更を要求した。Google Project Zero や、英国情報機関 GCHQ ににも、研究者として所属していた経験を持つ Tait は、現在進行中のゼロデイ攻撃に対応するために、モバイル・プラットフォームはデバイス上での観察能力 (on-device observability) の向上を、早急に実現する必要があると述べた。
Continue reading “Black Hat キーノート：モバイル上のゼロデイ・マルウェア駆逐が必須”Amazon gets $888 million GDPR fine for behavioral advertising
2021/07/30 BleepingComputer — Amazon だが、ターゲット行動広告の実施方法に関する GDPR 違反の疑いで、€746 million ($887 million : 970億円)という記録的な罰金を科せられた。この罰金は、個人情報の収集と使用の合法性を監視するために設立された、独立公的機関であるルクセンブルグの CNPD (Commission nationale pour la protection des données) から要求されたものだ。本日に提出された SEC Form 10-Q において、この巨額の罰金は、2021年7月16日に CNPD から科されたものであり、個人データの不適切な処理に対するものとされると、Amazon は述べている。
Continue reading “Amazon に科された GDPR 罰金 970億円の意味と反論”Dozens of web apps vulnerable to DNS cache poisoning via ‘forgot password’ feature
2021/07/23 DailySwig — Web サイトにおいて、電子メールのドメイン解決に脆弱性が存在するため、多くのサイトが DNS 攻撃を受ける可能性があり、また、アカウントの乗っ取りにつながる可能性があることが、新たな調査で明らかになった。SEC Consult のセキュリティ研究者である Timo Longin が、146種類の Web アプリケーションを調査した結果、パスワード・リセットのためのメールを、悪意の行為者たちのサーバーにリダイレクトするために、悪用が可能なコンフィグレーション・ミスを発見した。
Continue reading “Web アプリのパスワード・リセットと DNS スプーフィングの組合せは最悪の結果を招く”Google Chrome now comes with up to 50x faster phishing detection
2021/07/21 BleepingComputer — 火曜日に Stable Channel へと移行した Google Chrome 92 では、フィッシング・サイトの検出が最大で50倍まで高速化された。フィッシング・サイトの検出速度の向上は、Chrome の画像処理技術の改善によるものであり、訪れた Web サイトのカラー・プロファイルを、Phishing Landing Page に関連するシグナルのコレクションと比較している。
Continue reading “Google Chrome のフィッシング検出が 50倍も高速化された”Google patches 8th Chrome zero-day exploited in the wild this year
2021/07/16 BleepingComputer — Google は、Chrome 91.0.4472.164 を Windows / Mac / Linux 向けにリリースし、7つの 脆弱性を修正した。そのうちの１つは、すでに悪用されている、深刻度の高いゼロデイ脆弱性である。Google は、「脆弱性 CVE-2021-30563 の、エクスプロイトが存在するという報告を認識している」 と明らかにしている。
Continue reading “Google Chrome のゼロデイ・エクスプロイトが FIX”Google: Russian SVR hackers targeted LinkedIn users with Safari zero-day
2021.07/14 BleepingComputer — Google Threat Analysis Group (TAG) と Google Project Zero の研究者たちは、Google Chrome / Internet Explorer / Apple Safari で使用されている WebKit の、４つのゼロデイ脆弱性を明らかにした。今年の初めに Google の研究者により発見された４つのゼロデイ・エクスプロイトは、悪用の実例があるものになった。
・ Chrome の CVE-2021-21166 / CVE-2021-30551
・ Internet Explorer の CVE-2021-33742
・ WebKit (Safari) の CVE-2021-1879
New Google Scorecards Tool Scans Open-Source Software for More Security Risks
2021/07/02 TheHackerNews — Google がオープンソースとして主導する、リスクスコアを自動作成すセキュリティ・ツール Scorecards がアップデートされた。このバージョンでは、チェック機能が改善され、生成されたデータの分析機能が強化されている。この木曜日に Google の Open Source Security Team は、「今日、多くのソフトウェアがオープンソース・プロジェクトに依存しているため、依存関係が安全かどうかを判断するための、簡単な方法が必要とされている。
Continue reading “Google Scorecards は OSS のセキュリティリスクをスキャンする”Google Shares Format for Open Source Vulnerability Data
2021.06/24 SecurityBoulevard — 今日、Google は、いくつかのオープンソース・コミュニティと共同で、オープンソース・ソフトウェアの脆弱性を記述するためのスキーマを発表した。Google の Staff Software Engineer である Dan Lorenc によると、「この脆弱性交換スキーマ (interchange schema) は、すべての脆弱性データベースがエクスポートできる標準フォーマットを定義している。
Continue reading “Google が共有する脆弱性のためのオープンソースとは？”NIST charts course towards more secure supply chains for government software
2021/06/22 DailySwig — UPDATED 米国の National Institute of Standards and Technology (NIST) は、急増するソフトウェア・サプライチェーン攻撃の脅威に対する連邦政府機関の防御力を強化するために、情報セキュリティ業界から提出された一連の提言をまとめた。
Continue reading “NIST が示す政府機関のためのセキュアなサプライチェーンとは？”Zephyr RTOS fixes Bluetooth bugs that may lead to code execution
2021/06/22 BleepingComputer — 組込み機器向けの RTOS である Zephyr は、6月の初めにアップデートを行い、サービス拒否 (DoS) やリモート・コード実行を引き起こす可能性のある、複数の脆弱性を修正した。これらの問題は、Zephyr の Bluetooth LE Link Layer (LL) および Logical Link Control and Adaptation Protocol (L2CAP) の実装において発見されている。
Continue reading “Zephyr RTOS の深刻な Bluetooth 脆弱性が FIX された”Google Launches SLSA, a New Framework for Supply Chain Integrity
2021/06/18 DarkReading — 今週の Google だが、ソフトウェアのサプライチェーン全体を通して、ソフトウェア成果物の整合性を確保するための End-to-End フレームワークである、Supply chain Levels for Software Artifacts (SLSA) を発表した。Salsa と発音される SLSA は、Google 社内で採用されている Binary Authorization for Borg (BAB) という、コード・レビュー・プロセスから着想を得ている。
Continue reading “Google が立ち上げる SLSA はサプライチェーンの完全性を護る新たなフレームワークだ”Qualcomm vulnerability impacts nearly 40% of all mobile phones
2021/05/06 BleepingComputer — Qualcomm の Mobile Station Modem (MSM) チップに、深刻度の高い脆弱性が見つかった。このチップには、最新の 5G に対応しているバージョンもあり、携帯ユーザーのテキスト・メッセージや通話履歴への不正アクセスや、会話を盗聴などが生じる可能性がある。
Continue reading “Qualcomm の脆弱性により Android の 40% が危険に晒される”Google Chrome 90 released with HTTPS as the default protocol
2021/04/14 BleepingComputer — 2021年4月14日に Google Chrome 90 Desktop の Stable Channel Update がリリースされ、セキュリティの改善や、新しい AV1 エンコーダの提供に加え、デフォルト・プロトコルの HTTPS への変更などが実施された。
Continue reading “Google Chrome 90 はディフォルト・プロトコルとして HTTPS を選ぶ”Vivaldi, Brave, DuckDuckGo reject Google’s FLoC ad tracking tech
2021/04/14 BleepingComputer — 先月に Google は、Chrome ブラウザとアド・サービス・サイトのプライバシー保護に特化した、Federated Learning of Cohorts (FLoC) と呼ばれる新機能を展開する計画を発表した。
Continue reading “Google の FLoC は Cookie を置き換えられるのか？”RCE Exploit Released for Unpatched Chrome, Opera, and Brave Browsers
2021/04/12 TheHackerNews — インドのセキュリティ研究者である Rajvardhan Agarwal が、Google Chrome/Microsoft Edge/Opera/Brave といった Chromium ベース・ブラウザで、新たに発見された脆弱性に対する PoC（proof-of-concept) エクスプロイト・コードを公開した。この PoC エクスプロイトは、それらの Web ブラウザに搭載されている V8 JavaScript レンダリング・エンジンに存在する、リモート・コード実行の脆弱性を利用するものである。
Continue reading “Chromium_based ブラウザにリモート・コード実行の脆弱性が”Joker malware infects over 500,000 Huawei Android devices
2021/04/10 BleepingComputer — 50万人以上の Huawei ユーザーが、同社の公式 Android Store でプレミアム・モバイル・サービスをサブスクライブするために、Joker マルウェアに感染したアプリケーションをダウンロードしているようだ。研究者たちが発見したのは、AppGallery 上の無害に見える10個のアプリに、悪意のコンフィグレーション・コンポーネントを受け取るためのコマンドや、悪意のサーバー接続のためのコードが含まれているという事実である。
Continue reading “Joker というマルウェアが 50万台の Huawei Android を占拠”Android malware infects wannabe Netflix thieves via WhatsApp
2021/04/07 BleepingComputer — 先日に Google Play Store で発見された、Netflix ツールを装う Android マルウェアは、WhatsApp の自動メッセージ返信機能を悪用して、他のデバイスに自動的に拡散されるようデザインされている。
Continue reading “Netflix を装う Android マルウェアが WhatsApp 経由で増殖”
IoT OT Security News 