先週のサイバー事件簿 - Microsoft、Apple、Adobe、製品アップデートを多数公開

12月11日週に発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。今週はマイクロソフトの月例セキュリティ更新プログラムや、Apple製品のアップデートなど、更新すべき内容が目白押し。確実にアップデートを実行しておきたい。悪意ある攻撃は後を絶たないので、いまできるセキュリティ対策を万全に。

マイクロソフト、12月のセキュリティ更新プログラムを公開

マイクロソフトは12月13日、12月のセキュリティ更新プログラムを公開した。更新されるのは、Internet Explorer、Microsoft Edge、Microsoft Windows、Microsoft Office、Microsoft Office Services、Web Apps、Microsoft Exchange Server、Chakra Core。

更新プログラムは、緊急4件と重要9件があり、できるだけ早期に更新プラグラムを適用するよう推奨している。ほかにも、11月の月例セキュリティ更新プログラム適用後に発生していた、一部のエプソン製プリンタで印刷に失敗する問題が解決されている。

「悪意のあるソフトウェアの削除ツール」には、Win32/Floxif、Win32/SilverMob、Win32/PlantomStar、Win32/Autophyte、Win32/FoggyBrass、Win32/TangentCobra、MSIL/DarkNeuronに対する定義ファイルが新たに追加された。

Apple、最新のアップデートを公開

Appleは12月14日、OSやアプリケーションの最新アップデートを公開。今回のアップデートを適用することで、悪意ある第三者による任意のコードの実行や、Krack、認証回避など、多くの脆弱性が解消される。対象となるソフトとバージョンは以下の通り。

iCloud for Windows 7.2以前
tvOS 11.2.1以前
iOS 11.2.1以前
AirPort Base Station Firmware 7.7.9以前
AirPort Base Station Firmware 7.6.9以前
iTunes 12.7.2 for Windows以前
Mac OS High Sierra 10.13.2以前
Mac OS Sierra以前
Mac OS X El Capitan以前
Safari 11.0.2以前
watchOS 4.2以前

Qt for Androidに複数の脆弱性

12月11日の時点で、Qt for Androidに複数の脆弱性が確認されている。OSコマンドインジェクションに関するものと、環境変数が改ざん可能なもの。

影響を受けるのは、Qt for Android 5.9.0以前(環境変数の改ざんの脆弱性は5.9.3以前)で、放置すると悪意ある第三者によりOSコマンドを実行されたり、Qt for Android を使用して作成したアプリケーションの環境変数を改ざんされる可能性がある。

対策は最新版へとアップデートすること。また、Qt for Android 5.7、および 5.8には修正パッチが提供されているので、これを適用すること。

ソニー、Media GoとMusic Center for PCに脆弱性

ソニーが提供するファイル管理ツール「Media Go」と「Music Center for PC」のインストーラに、DLL読み込みに関する脆弱性があることが確認されている。脆弱性があるのは、Media Go 3.2.0.191以前、Music Center for PC 1.0.00。

この脆弱性は、同一ディレクトリにある特定のDLLを読み込んでしまうもので、悪意のある第三者によって任意のコードが実行される可能性がある。Media Goは既に開発・配布が終了しているので、対策はインストールをしないこと。既にインストールしている場合、問題は発生しない。

Music Center for PCでは、最新のインストーラを使用すること。こちらも既にインストールしている場合は問題は発生しない。

Adobe、Flash Playerの脆弱性を解消するアップデートを公開

12月13日の時点で、Adobe Flash Playerに1件の脆弱性が確認されており、アップデートが公開済み。重要度は「中」だが、確実にアップデートしておきたい。対象となるのは以下のバージョン。

Adobe Flash Player Desktop Runtime　27.0.0.187以前(Windows、Mac、Linux)
Adobe Flash Player for Google Chrome　27.0.0.187以前(Windows、Mac、Linux、Chrome OS)
Adobe Flash Player for Microsoft Edge and Internet Explorer 11　27.0.0.187以前(Windows 10 / 8.1)

最新アップデートを適用すると、Adobe Flash Playerのバージョンは28.0.0.126となる。

ディノスオンラインショップで、「なりすまし」による不正アクセス

ディノス・セシールは12月7日、同社の通販サイト「ディノスオンラインショップ」において、「なりすまし」による不正アクセスがあったことを発表した。

不正アクセスは、外部で不正に取得されたとされるID(メールアドレス)やパスワードが使われた。顧客情報の一部改ざん、閲覧、不正注文などが行われたという。不正アクセスは11月4日と11月5日に発生し、11月4日の不正ログインでは「電話番号」「携帯番号」「住所」が改ざんされ、「勤務先情報」を閲覧された可能性がある。

11月5日の不正ログインでは、「電話番号」「FAX 番号」「住所」が改ざんされ、顧客のものではないクレジットカードによって商品の不正注文が試みられた。ただし、属性不一致によりキャンセルとなっている。

これらの顧客情報は、ファイルとして外部に流出していないことが確認されている。

今後の対策として、不正ログインされたアカウントを抹消するほか、不正アクセスを行った特定IPアドレスからのアクセスをブロック。「ディノスオンラインショップ」を利用している人には、注文履歴の確認とパスワード変更をおすすめする。