6月4日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。Apple製品のアップデータが提供されたほか、Adobe Flash Playerのアップデートも行われた。注意したいのはAdobe Flash Playerで、今回のアップデートで対策されている脆弱性を突いた攻撃が、すでに確認されている。

adobe Flash Playerの脆弱性に関する注意

アドビシステムズは6月8日、Adobe Flash Playerの脆弱性を公開した。対象となる製品とバージョンは以下の通り。

  • Adobe Flash Player Desktop Runtime (29.0.0.171) 以前(Windows、Mac、Linux)
  • Adobe Flash Player for Google Chrome (29.0.0.171)以前(Windows、Mac、Linux、Chrome OS)
  • Adobe Flash Player for Microsoft Edge and Internet Explorer 11 (29.0.0.171)以前(Windows 10、Windows 8.1)

脆弱性を悪用したコンテンツを開いてしまうと、リモートからの攻撃、任意のコードの実行、情報の窃取などが行われる可能性がある。

アドビシステムズによると、すでに脆弱性を突いた攻撃が確認されているので早急に対策を行うこと。対策済みの最新バージョンは提供済み。

Apple、複数の製品における脆弱性のアップデートを提供

Appleは6月4日、同社製品の最新版アップデートを公開した。対象となるのは以下の通り。

  • Swift 4.1.1 for Ubuntu 14.04以前
  • tvOS 11.4 より以前
  • iTunes 12.7.5 for Windows以前
  • watchOS 4.3.1以前
  • iOS 11.4以前
  • macOS High Sierra 10.13.5以前
  • macOS Sierra (Security Update 2018-003 未適用)
  • OS X El Capitan (Security Update 2018-003 未適用)
  • Safari 11.1.1以前
  • iCloud for Windows 7.5以前

脆弱性は、任意のコード実行、情報漏えい、権限昇格、情報改ざん、認証回避、サービス運用妨害 (DoS)、なりすまし攻撃、アドレスバー偽装など。対象製品を使用している場合は、早急に最新版へとアップデートを行うこと。

Webサーバソフト「H2O」にバッファオーバーフローの脆弱性

6月4日の時点で、オープンソースのWebサーバソフト「H2O」にバッファオーバーフローの脆弱性が確認されている。影響を受けるのは、H2O version 2.2.4以前。

バッファオーバーフローの脆弱性は、アクセスログの出力処理に起因するもの。放置すると第三者によって任意のコードを実行されたり、サービス運用妨害(DoS)を受ける可能性がある。対策バージョンはリリースされているので、導入している場合は早急にアップデートを行うこと。

LINEやセゾンを騙るフィッシングメール

LINEやセゾンNetアンサーを騙ったフィッシングメールの拡散が確認されている。メールの件名は「[LINE]二段階パスワードの設置」、「あなたのカードを再アクティブ化」など。

メール内に記載されているリンク先に飛ぶと、類似のフィッシングサイトに誘導されてしまう。メール本文のリンクをクリック/タップすることは控えるべきだ。設定の変更などは公式サイトから実行しよう。

セシールオンラインショップに不正アクセスが発覚

ディノス・セシールは6月6日、同社運営の通販サイト「セシールオンラインショップ」が不正アクセスを受けたことを公表した。

不正アクセスは、6月2日10時19分～22分にかけて同一IPアドレス(中国)から行われ、メールアドレスとパスワードを使った「なりすまし」によるものう。一部は不正ログインに成功し、顧客様情報(氏名、所有ポイント数)が第三者に閲覧された可能性があるとのこと。

その後、攻撃元IPアドレスを自動遮断処理によってアクセス不可にしたものの、複数IPアドレス(すべて中国)から不正ログイン試行が続いたため、プロバイダー単位でのアクセス遮断対応を実施している。

件数は、不正アクセスが1,938件、うち不正ログイン成功が490名分。なお、不正ログインされた顧客情報については、ファイルとして出力、転送、ダウンロードなどはされておらず、外部には流出していないとしている。登録されているクレジットカード情報などが閲覧された可能性もない。

不正アクセスに使われたメールアドレスは同社顧客のIDと一致しており、事前に顧客情報が流出したいたとの懸念があった。しかし調査の結果、既存登録者のメールアドレスを重複して登録できない「新規登録」の機能を悪用。この機能ですでに顧客登録済みのメールアドレスであるかを事前に確認し、選別したリストを用いてログインを試行したと見られている。