Microsoft Exchange Online のベーシック認証が終了:10月1日から無効化が始まる

Microsoft will disable Exchange Online basic auth next month

2022/09/01 BleepingComputer — 本日、2022年10月1日から Microsoft は、Exchange Online のセキュリティ向上を目的として、世界中のテナントからベーシック認証を、順次無効にしていくことを顧客に通知した。今日の発表は、最初に発表された 2019年9月以降の3年間において、同社から繰り返して行われてきた、注意喚起と警告に続くものである。

Continue reading “Microsoft Exchange Online のベーシック認証が終了:10月1日から無効化が始まる”

OpenSSL 3.0.4 のリモートメモリ破壊の脆弱性:悪用の形跡はないがパッチ対応はこれから

OpenSSL to Release Security Patch for Remote Memory Corruption Vulnerability

2022/06/28 TheHackerNews — OpenSSL ライブラリの最新バージョン存在する脆弱性による、一部のシステムではリモートメモリ破壊が生じることが判明した。この問題は、2022年6月21日にリリースされた OpenSSL バージョン 3.0.4 で確認されており、AVX-512 命令セットを搭載した x64 システムに影響を及ぼすという。ただし、OpenSSL 1.1.1 および、OpenSSL フォークである BoringSSL と LibreSSL は影響を受けない。

Continue reading “OpenSSL 3.0.4 のリモートメモリ破壊の脆弱性:悪用の形跡はないがパッチ対応はこれから”

メッセージング・アプリの選び方:利便性と安全性をビジネス目線で考察する

Which Third-Party Messenger App Is Best for Secure Business?

2022/04/07 SecurityIntelligence — 2021年10月のこと、世界中で Facebook/Instagram/WhatsApp/Messenger が最大で6時間にわたり停止し、数十億人がメッセージ・サービスを受けられなくなった。Facebook のエンジニアたちが問題解決に奔走する間、ユーザーは他のアプリに移行してつながりを維持した。Telegram の創設者である Pavel Durov によると、この停止の後に、7000万人のユーザーが増加したという。

Continue reading “メッセージング・アプリの選び方:利便性と安全性をビジネス目線で考察する”

OpenSSL 証明書解析の脆弱性 CVE-2022-0778 が FIX:サービス拒否が発生

OpenSSL cert parsing bug causes infinite denial of service loop

2022/03/16 BleepingComputer — OpenSSL が公開したセキュリティ・アップデートは、そのライブラリの脆弱性を悪用により無限ループ関数が作動し、サービス拒否状態に陥るという脆弱性に対処するためのものである。サービス拒否攻撃は、最も悲惨なセキュリティ問題ではないかもしれないが、重要な事業の中断/長期的な財務的影響、ブランド評価の低下などを引き起こす可能性が生じる。

Continue reading “OpenSSL 証明書解析の脆弱性 CVE-2022-0778 が FIX:サービス拒否が発生”

ロシア政府による TLS 認証局 (CA) の設立:Yandex/Atom ブラウザで経済制裁に対抗

Russian Pushing New State-run TLS Certificate Authority to Deal With Sanctions

2022/03/11 TheHackerNews — ロシア政府は、ウクライナへの軍事侵攻に伴う西側諸国の制裁措置により発生した、Web サイトへのアクセスに関する問題に対処するため、独自の TLS 認証局 (CA) を設立した。Gosuslugi パブリック・サービス・ポータルに掲載されたメッセージによると、ロシアの Ministry of Digital Development は、TLS 証明書の取消/失効に際して、発行/更新を処理する国内代替機関を提供する予定とされる。このサービスは、ロシアで活動する全て法人に提供され、要求に応じて5営業日以内にサイト・オーナーに証明書が届けられるという。

Continue reading “ロシア政府による TLS 認証局 (CA) の設立:Yandex/Atom ブラウザで経済制裁に対抗”

Schneider APC UPS デバイスに深刻な脆弱性:TLStorm という総称を持つ RCE

TLStorm flaws allow to remotely manipulate the power of millions of enterprise UPS devices

2022/03/10 SecurityAffairs — IoT セキュリティ企業である Armis の研究者たちが、APC Smart-UPS デバイスに影響を与える3つの深刻なセキュリティ不具合を発見し、一連の脆弱性は TLStorm と名付けられた。この欠陥により、数百万台の企業向けデバイスの電源をリモートの攻撃者が操作し、効果的なサイバー・フィジカル攻撃を行うことが可能になる。Uninterruptible Power Supply (UPS) は、ミッション・クリティカルなシステムの、緊急バックアップ電源として使用されるものだ。

Continue reading “Schneider APC UPS デバイスに深刻な脆弱性:TLStorm という総称を持つ RCE”

Mozilla の暗号ライブラリ Network Security Services の深刻なバグが FIX

Mozilla fixes critical bug in cross-platform cryptography library

2021/12/01 BleepingComputer — Mozilla は、クロス・プラットフォームの暗号ライブラリ Network Security Services (NSS) に存在する、深刻なメモリ破壊の脆弱性に対処した。NSS は、SSL v3/TLS/PKCS #5/PKCS #7/PKCS #11/PKCS #12/S/MIME/X.509 v3 証明書などの、さまざまなセキュリティ規格に対応しており、セキュリティ機能を備えたクライアントおよびサーバー・アプリケーションを開発するために使用できる。

Continue reading “Mozilla の暗号ライブラリ Network Security Services の深刻なバグが FIX”

エンタープライズ・ストレージ環境の調査:惨憺たる結果は他人事ではない

Enterprise Data Storage Environments Riddled With Vulnerabilities

2021/10/15 DarkReading — ランサムウェア攻撃が急増しているが、企業におけるストレージ/バックアップ環境のセキュリティ対策は、IT インフラのコンピュータ/ネットワーク層に比べて、非常に脆弱であることが新しい調査で明らかになった。

Continue reading “エンタープライズ・ストレージ環境の調査:惨憺たる結果は他人事ではない”

Microsoft Exchange Online から Basic 認証が消える日:1年後の 2022年10月1日に決定

Microsoft will disable Basic Auth in Exchange Online in October 2022

2021/09/26 BleepingComputer — Microsoft は、数百万人の Exchange Online ユーザーを保護するために、2022年10月1日から全てのテナントの全てのプロトコルで、Basic 認証をオフにすることを発表した。今回の発表は、COVID-19 パンデミック対応のために、Exchange Online からの Basic 認証の削除を、2021年後半に延期したことを受けてのものである。

Continue reading “Microsoft Exchange Online から Basic 認証が消える日:1年後の 2022年10月1日に決定”

Apple iOS / macOS から TLS 1.0 / 1.1 が消えていく

Apple will disable insecure TLS in future iOS, macOS releases

2021/09/22 BleepingComputer — Apple は、最近リリースした iOS および macOS において、安全性の低い TLS (Transport Layer Security) 1.0/1.1 プロトコルを非推奨とし、今後のリリースではサポートを完全に削除する予定だという。TLS は、クライアント/サーバー・アプリケーションを使用して、インターネットを介して情報にアクセスする際などに、メッセージの盗聴/改竄/偽造からユーザーを保護するために設計された、セキュアな通信プロトコルである。

Continue reading “Apple iOS / macOS から TLS 1.0 / 1.1 が消えていく”

有名どころメール・クライアントにも影響する STARTTLS の脆弱性とは?

Dozens of STARTTLS Related Flaws Found Affecting Popular Email Clients

2021/08/16 TheHackerNews — セキュリティ研究者たちは、メールのクライアントやサーバにおける、オポチュニスティックな暗号化メカニズムに関連する、40件もの脆弱性を公開した。これらの脆弱性は、侵入者によるメール・ボックス内容の偽造や、認証情報の窃取などを可能にする、標的型中間者 (man-in-the-middle: MitM) 攻撃の扉を開くかもしれない。今回パッチが適用された欠陥は、多様な STARTTLS の実装で確認されており、30th USENIX Security Symposium において、Damian Poddebniak、Fabian Ising、Hanno Böck、Sebastian Schinzel などの各研究者のグループが詳細を発表している。

Continue reading “有名どころメール・クライアントにも影響する STARTTLS の脆弱性とは?”