2月10日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。

  • 先週のサイバー事件簿

三菱電機、マルウェアの感染により防衛省の「注意情報」などが流出

三菱電機は2月12日、1月20日に公表した不正アクセスによる個人情報と企業機密の流出ですべての端末を精査したところ、防衛省の指定した「注意情報」が含まれていることを明らかにしてた。精査の結果判明した日付は2月7日で、同日、防衛省に報告している。

「注意情報」は、防衛装備庁が2018年10月30日に企業へ貸し出した装備品にかかわる研究試作の入札に関する情報。研究試作に関する総合評価落札方式の評価基準や、研究試作に対する性能などの要求事項などが含まれていた。この件について三菱電機は、重要インフラに関する情報や機密性の高い技術情報、取引先との契約で定められた重要な情報については流出していないとする。

一連の不正アクセスはマルウェア感染によるもので、感染が疑われる端末台数は国内外を含め132台。そのうち個人情報や顧客への報告が必要な重要情報に関わる端末は。国内の9台となる。中国の拠点でも感染の疑いがある端末が確認されているが、当該端末からアクセス可能な範囲に機密性の高い技術情報などは含まれていないとしている。そのほかの海外拠点については攻撃を受けていないことを確認済み。

三菱電機は今後、グループ全体の情報セキュリティ体制を強化するため、情報セキュリティ全般の企画・構築・運営の機能を一元的に担う社長直轄の統括組織を4月1日付で新設するという。

Windows版ウイルスバスタークラウドに脆弱性

トレンドマイクロは2月7日、ウイルスバスタークラウド（Windows版）に脆弱性があることを明らかにした。対象のバージョンは「15」で、月額版も含む。

脆弱性は「サービス運用妨害」で、システム起動中に特定のファイルが操作され、ウイルスバスタークラウドが無効化される可能性があるという。

バージョン「16」にてこの脆弱性は解消済み。2月7日現在、この脆弱性を突いた攻撃は確認されていないが、放置すると悪用される可能性もある。ウイルスバスタークラウド（Windows版）を使用している場合は、早急にアップデートを行うこと。

マイクロソフト、2月のセキュリティ更新プログラムをリリース

マイクロソフトは2月12日、2月のセキュリティ更新プログラムを公開した。対象ソフトは以下の通り。

  • Microsoft Windows
  • Internet Explorer
  • Microsoft Edge（EdgeHTML-based）
  • Microsoft Edge（Chromium-based）
  • ChakraCore
  • Microsoft Office、Microsoft Office Servers および Web Apps
  • Adobe Flash Player
  • Microsoft Exchange Server
  • Microsoft SQL Server
  • Windows Malicious Software Removal Tool
  • Windows Surface Hub

脆弱性に関するセキュリティ更新プログラムは、緊急5件、重要7件。修正内容はリモートでコードが実行される、特権の昇格、セキュリティ機能のバイパスなど。既存の脆弱性情報も2件更新している。今月の「悪意のあるソフトウェアの削除ツール」に追加はない。

Mozilla、脆弱性6件を修正した「Firefox 73」を公開

Mozilla Foundationは2月11日、Firefoxの最新バージョン「73.0」を公開した。今回のアップデートでは、セキュリティ関連6件を修正している。セキュリティリスクの内訳は、高3件、中3件。

「高」にカテゴリされている脆弱性は、親プロセスで読み取られた共有メモリの境界チェックがないなど、メモリ関連のものが含まれる。「中」の脆弱性は、JavaScriptインジェクションが発生する可能性があるものや、デフォルトのPDFリーダーとして設定されている場合に他アプリからPDFのリンクを開くと、任意のコードが実行される可能性があるというもの。

緊急の脆弱性はないものの、Firefoxを使っている場合はできるだけ早期にアップデートしておくことだ。

Javaライブラリ「HtmlUnit」に脆弱性

2月10日の時点で、HtmlUnitに任意のコード実行が可能となる脆弱性が存在する。対象バージョンは、HtmlUnit 2.37.0 より以前。

HtmlUnitは、JavaアプリケーションにWebブラウザ機能を提供するためのライブラリ。内部にはMozilla Rhinoエンジンが組み込まれており、JavaScriptコードからJavaオブジェクトへのアクセスが可能となっている。

脆弱性はこのRhinoエンジンに存在。初期化の際に不適切な部分があるという。細工されたJavaScriptコードによって、任意のJavaコードを実行される可能性がある。Android向けの初期化部分にも不適切な部分があり、Androidアプリに組み込んで使う場合でも影響が出る。脆弱性はすでに最新版のHtmlUnit 2.37.0で修正されている。

Ghostscriptにアクセス制限回避の脆弱性

2月13日の時点で、Artifex SoftwareのGhostscriptに脆弱性が確認されている。対象のバージョンはGhostscript 9.27 およびそれ以前。

脆弱性はアクセス制限回避で、遠隔の第三者によって細工されたファイルをGhostscriptが処理すると、Ghostscriptの権限で任意のコマンドを実行される可能性がある。最新版のGhostscript 9.50でこの脆弱性を解消済み。