先週のサイバー事件簿 - NVIDIAのディスプレイドライバに脆弱性

8月5日週に発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。

NVIDIAのディスプレイドライバに脆弱性

NVIDIAが提供するディスプレイドライバに脆弱性が確認されている。対象となるのはWindows向けのもので以下の通り。

GeForce：431.60より前のバージョン
Quadro、NVS：431.70より前のバージョン、426.00より前のバージョン、すべてのR400バージョン、392.56より前のバージョン
Tesla：すべてのR418バージョン

脆弱性は5件存在し、最も高いレーティング（＊）は「8.8」となっている。攻撃を成功させるハードルは高いが、コードの実行、サービス拒否などにつながる可能性があるという。次に「7.8」と高いものが2件。こちらもサービス拒否やコード実行につながる可能性がある。

（＊）共通脆弱性評価システム（CVSS）における深刻度。最大値は「10」で、「9.0」以上になると深刻度「緊急」とされる。

このうち、Quadro、NVSにおけるすべてのR400バージョンは、ドライバの提供が8月19日の週に提供される。また、Teslaへの提供は8月12日の週に利用可能になる予定。それ以外はすでに対策済みドライバが提供されている。

パスワードスプレー攻撃がオーストラリアで大量発生

8月9日の時点で、大規模なパスワードスプレー攻撃が確認されている。パスワードスプレー攻撃とは、パスワードを総当たりで試すブルートフォース攻撃の一種。特定IDへの不正ログインを試行するときに、連続してアクセスに失敗しIDがロックされないように回数を制限し、広く浅く各所でログイン試行を繰り返す。

今回の攻撃は、オーストラリアサイバーセキュリティセンターによって確認された。攻撃はオーストラリア国内の組織に対して行われ、外部公開されているWebメールやリモートデスクトップアクセスなどが標的となった。

今はまだオーストラリアでしか大規模攻撃は確認されていないが、いつ日本がターゲットにされてもおかしくはない。ユーザー側としてできることは、ユーザーIDとパスワードを使い回さない、複雑なパスワードを設定する、パスワードを定期的に変更する、多要素認証を導入するといった、基本的なことだ。これだけでも、なりすましで不正ログインされる危険性は大きく低下する。

キヤノン製デジタルカメラに複数の脆弱性

キヤノンとキヤノンマーケティングジャパンは8月6日、同社製デジタルカメラが実装するPTP（画像転送プロトコル）通信とファームウェアアップデートに脆弱性があると発表した。対象となる機種は以下の通り。

EOSシリーズ（デジタル一眼レフ、ミラーレス）
PowerShot SX70HS
PowerShot SX740HS
PowerShot G5XMarkII

脆弱性は、PCやスマートフォンなどのモバイル端末が、ネットワークを介して第三者に乗っ取られた場合、カメラが攻撃を受ける可能性があるというもの。発表時点でこの脆弱性を利用したカメラへの被害は確認されていない。

対策はカメラのファームウェアアップデートを行い、必要がない場合はカメラのネットワーク機能をオフにしておくこと。そのほか一般論だが、カメラを接続するPCやネットワーク機器はセキュリティ設定をきちんと行い、ウイルス感染などの疑いがあるPCなどにカメラを接続しないこと、安全性が確認できないフリーWi-Fiなどのネットワーク環境は使用しないことだ。

omochabakoWEBSTOREが不正アクセス被害

オーガニックフードやグッズ類を手がけるおもちゃ箱が運営するWebサイト「omochabakoWEBSTORE」において、外部からの不正アクセスにより個人情報が流出した。

個人情報の流出は、攻撃者によるWebアプリの脆弱性を利用したクレジット決済アプリの改ざんによるもの。個人情報が流出した証跡を確認できたのは、2019年1月31日～3月8日までの決済で該当件数は210件。流出した証跡は確認できないが懸念が疑われるものは、2016年2月3日～9年3月11日までの決済。この期間でのカード決済件数40,233件が対象。

流出した情報にはクレジットカード情報も含まれている。情報の詳細は、カード会員名、クレジットカード番号、セキュリティコード、有効期限。現在はクレジットカードによる取引のモニタリングを依頼。被害に遭った人には別途メールで個別に連絡を行うとしている。