Google Chrome アップデート公開(33.0.1750.149)

先日Google Chrome安定版のアップデートが11日公開された。今回の更新でバージョン番号は33.0.1750.149となる。

今回はフラッシュプレイヤーの更新 12.0.0.70→12.0.0.77、セキュリティ更新7個(危険度高が3個を含む)が行われている。


更新方法はいつものごとく最新版をダウンロードページからインストールし直すか、設定～Google Chromeについてから確認するとアップデートのチェックが行われるほか、バックグラウンドでの自動更新も行われる。

公式リリースノート
http://googlechromereleases.blogspot.jp/2014/03/stable-channel-update_11.html

Google Chrome アップデート公開(33.0.1750.146)

先日Google Chrome安定版のアップデートが3日公開された。今回の更新でバージョン番号は33.0.1750.146となる。

今回はセキュリティ更新19個(危険度高が3個を含む)が行われている。


更新方法はいつものごとく最新版をダウンロードページからインストールし直すか、設定～Google Chromeについてから確認するとアップデートのチェックが行われるほか、バックグラウンドでの自動更新も行われる。

公式リリースノート
http://googlechromereleases.blogspot.jp/2014/03/stable-channel-update.html

IE10および9のゼロデイ攻撃について(2014/2/20更新)

Internet Explorer10(以下IE10、もしかしたらIE9も含まれる)の0-day脆弱性に関する情報について

JVNVU#96727848
Internet Explorer に解放済みメモリ使用 (use-after-free) の脆弱性
https://jvn.jp/vu/JVNVU96727848/

当該の攻略用プログラムが攻撃を行う条件
(1)IE 10を使用している
(2)Adobe Flash Playerがインストールされている
(3)IEのアクティブスクリプトが有効
(4)EMETがインストールされていない

ウイルス対策ソフトの各メーカーは対応に乗り出したが、IE本体の修正が提供されていない状況のため当面のところ緩和策を適用すると幸せになれます。

--------
緩和策
--------
(1)当該の攻略用プログラムはEMETを導入した環境では稼働しないため、リスク緩和のため(根治対策ではない)下記のEMETのインストールを推奨。

MS EMET(Enhanced Mitigation Experience Toolkit)4.1
ダウンロードページ(英語)
http://www.microsoft.com/en-us/download/details.aspx?id=41138
※downloadボタンをクリック、EMET Setup.msiにチェックをいれて右下のNEXTをクリックするとダウンロードが始まります。あとはダウンロードしたファイルを実行してEMETをインストール。インストールの最後で選択肢がでたら上のRECOMMEND…を選択(チェックを入れる)すること。

EMET概要の説明(日本語)
http://support.microsoft.com/kb/2458544/ja

(2)あるいは通常のWeb閲覧にIEを利用せず、Google Chrome等別のブラウザを利用すること

上記いずれかの緩和策をとることを強く推奨する。

------------------------------------
(2014/02/20追記)
マイクロソフトからアドバイザリが出されました。
https://technet.microsoft.com/ja-jp/security/advisory/2934088

また問題を緩和するためのFixitの提供が行われています。
Microsoft security advisory: Vulnerability in Internet Explorer could allow remote code execution
http://support.microsoft.com/kb/2934088/ja

Google Chrome アップデート公開(32.0.1700.102)

先日32へとアップデートしたGoogle Chrome安定版だが、早くも次のアップデートが27日公開された。今回の更新でバージョン番号は32.0.1700.102 となる。

今回はセキュリティ更新14個(危険度高が2個を含む)のほか、以下のバグ修正が行われている。
・マウスポインタがフルスクリーン終了後非表示となる問題
・クロームへのファイルのドラッグ・アンド・ドロップが正常に機能しないことがある問題
・QuickTimeのプラグインがクラッシュする問題
・Chromeがハングアップする事がある問題
・トラックパッドで水平スクロールができない場合がある問題
・コンボボックスでスクロールが動作しない問題
・CSSの動作の修正

更新方法はいつものごとく最新版をダウンロードページからインストールし直すか、設定～Google Chromeについてから確認するとアップデートのチェックが行われるほか、バックグラウンドでの自動更新も行われる。

公式リリースノート
http://googlechromereleases.blogspot.jp/2014/01/stable-channel-update_27.html

Android4.1以前に致命的な脆弱性が発見される

JVNよりAndroid OSに致命的な脆弱性がアナウンス。
だいたい対象は一昨年の春モデル以降が対象になる。
-------------------
詳細情報：
Android OS には、任意の Java のメソッドが実行される脆弱性が存在します。

想定される影響：
Android 標準ブラウザや WebView クラスを利用しているアプリで、細工されたウェブページを閲覧した際に、ユーザの意図に反して Android OS の機能を起動されたり、任意のコードを実行されたりする可能性があります。
------------------
(引用元)JVN#53768697
Android OS において任意の Java のメソッドが実行される脆弱性
https://jvn.jp/jp/JVN53768697/index.html

中華スマホなど、状況を把握できない端末もあるので国内で販売されている端末では結構な数に昇るんじゃないだろうか？

で、二次焼き(コードパクリ)アプリなど、すでに活用…と言うか悪用したアプリもすでに存在しそうな予感。

------------------------------------
2013/12/20追記：このAndroidの致命的バグを発見したのは日本人だったのか。

Androidの脆弱性を見つけちゃった話
http://tama-sand.blogspot.jp/2013/12/JVN53768697.html

脆弱性がOSそのものにあるので、その機能を利用するアプリがあればなんでもできるとのこと。

Androidの脆弱性（まとめ版）
http://tama-sand.blogspot.jp/2013/12/android-browser.html

これ読むとますますヤバイです。

Windows8.1へのアップデートでつまづいている人へ(その1)

Windows 8.1アップデート時に
Sentinel Runtime Driverをアンインストールせよ
と出てアップデート出来ない場合の対処方法。







以下のURLからランタイムインストーラー(zip圧縮)をダウンロード。
http://sentinelcustomer.safenet-inc.com/DownloadNotice.aspx?dID=8589947873
※使用許諾が出るのでページ最下部の『I Accept』をクリックしてダウンロード。

ダウンロードしたZIPを展開、その中のhaspdinst.exeを任意のフォルダに移動。
※Cドライブ直下にworkというフォルダを作ると後のコマンドプロンプト入力が楽。

その後コマンドプロンプトを開き、haspdinst.exeを展開したフォルダに移動。

haspdinst -remove

を実行。
これで幸せになれます。

JPCERT/CC オープンリゾルバテストページ開設

ここ最近不正アクセスを行うための手法として、オープンリゾルバを利用したDNS amp攻撃が増えている。

DNS amp攻撃：
オープンリゾルバ(外部からの逆引き問合せに応答するDNSサーバーを利用して、小さなパケットを巨大なサイズのパケットにして送り込むことで、対象をダウンさせようとするDDoS攻撃手法の一つ)

イメージ図：

(IIJてくろぐより)

詐称したIPで問合せ　→　オープンリゾルバDNS　→　詐称されたIPへ応答

という流れ。

プロバイダにおける対応はだいぶ進んだとはいえ、一般家庭のブロードバンドルーターにも脆弱性があって、オープンリゾルバ状態のルーターがまだ多数存在する。実際にNTTを攻撃した際はこのルーターの脆弱性が活用された。

これら一般家庭のオープンリゾルバ問題の解消のために、JPCERT/CCがオープンリゾルバ確認サイトの運用を開始しているので、ルーター利用者は一度ためしてみることをおすすめする。

JPCRT/CC オープンリゾルバテストページ
http://www.openresolver.jp/