先週のサイバー事件簿 - noteサービスでIPアドレスを確認できる不具合

8月10日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。

ノート、IPアドレスが確認できてしまう不具合

ノートは8月14日、noteサービスにおいて、記事投稿者のIPアドレスが確認できる不具合を確認したことを明らかにした。

今回見つかった不具合は、note利用者が直近でログインしたIPアドレスが、記事詳細ページのソースコードから確認可能になっていたこと。対象となるのは、noteアカウントを持ち、記事を2つ以上投稿したことのあるnoteユーザー。なお、IPアドレスから判別できるのは、利用しているインターネット接続事業者名と、発信者の大まかな地域で、特定個人の住所などを入手することはできない。

この不具合は、8月14日の10時40分に検知され、同日10時58分にnote全体へのアクセスを遮断。11時56分に修正対応を完了している。修正内容は、IPアドレスを外部から閲覧できないようにするもの。対策として以下の処理を実施した。

全ソースコードに対して、IPアドレスとそれ以外のセンシティブな情報が露出するような欠陥がないことを調査。
対応するデータベースからのIPアドレスのデータを削除。
CEOとCTO直轄の特別対策チームを編成し、直接の対策と構造的な課題や開発体制などの見直し。
ソースコードのレビューとテストに、今回の不具合やセキュリティに対する観点を追加。
データの持ち方やセンシティブな情報にアクセスするプロセスの見直し。
noteの脆弱性を発見し対策できるよう、外部の複数の専門企業に依頼して第三者の目線で脆弱性診断を行う。

マイクロソフト、8月のセキュリティ更新プログラムをリリース

マイクロソフトは8月12日、8月のセキュリティ更新プログラムを公開した。対象ソフトは以下の通り。

Microsoft Windows
Microsoft Edge（EdgeHTML-based）
Microsoft Edge（Chromium -based）
ChakraCore
Internet Explorer
Microsoft Office、Microsoft Office Servers および Web Apps
.NET Framework
Microsoft Scripting Engine
SQL Server
Microsoft JET Database Engine
ASP.NET Core
Microsoft Windows Codecs Library
Microsoft Dynamics

脆弱性についてのセキュリティ更新プログラムは、緊急7件、重要4件。修正内容はリモートでのコード実行、なりすまし、サービス拒否を含む。ほかにも、既存の脆弱性情報2件を更新している。

8月の定例リリースでの注意点は、情報を公開した脆弱性に対応するため、Active Directory環境におけるNetLogonセキュアチャネルが、secure RPCを求めるように動作変更を行っていること。この動作変更は、2020年8月の月例更新プログラムと、2021年2月に公開予定の月例更新プログラムの2回にわたり段階的に実施する予定となっている。