Internet Infrastructure Review （IIR）Vol.35
2017年6月20日

1月のインシデント

日付	分類	内容
5	脆	Adobe Acrobat及びReaderに不正終了や任意のコード実行の可能性がある複数の脆弱性が見つかり、修正された。「Adobe Acrobat および Reader に関するセキュリティアップデート公開」(https://helpx.adobe.com/jp/security/products/acrobat/apsb17-01.html)。
6	他	D-Link社の製品が不十分なセキュリティ対策によって消費者のプライバシーを危険にさらしているとして、米国の連邦取引委員会(FTC) が提訴した。"FTC Charges D -Link Put Consumers' Privacy at Risk Due to the Inadequate Security of Its Computer Routers and Cameras | Federal Trade Commission"(https://www.ftc.gov/news-events/press-releases/2017/01/ftc-charges-d-link-put-consumers-privacy-risk-due-inadequate)。
10	脆	Adobe Flash Playerに、不正終了や任意のコード実行の可能性がある複数の脆弱性が見つかり、修正された。「Adobe Flash Player に関するセキュリティアップデート公開」(https://helpx.adobe.com/jp/security/products/flash-player/apsb17-02.html)。
11	脆	Microsoft社は、2017年1月のセキュリティ情報を公開し、MS17-003の1件の緊急と3件の重要な更新を含む合計4件の修正をリリースした。「2017 年 1 月のマイクロソフト セキュリティ情報の概要」(https://technet.microsoft.com/ja-jp/library/security/ms17-jan.aspx)。
	セ	GoDaddyのSSL証明書の発行時におけるドメイン認証の手続きに不備があり、正当なドメイン所有者でなくても証明書が発行された可能性のあることが分かった。その対応としてGoDaddyは、2016年7月からこれまでに発行された証明書のおよそ2%にあたる8,850 の証明書を失効させた。これにより約6,100の同社顧客に影響があった。"Information about SSL bug - The Garage" (https://www.godaddy.com/garage/godaddy/information-about-ssl-bug/)。
		イギリスのLloyds Banking Groupが1月11日～1月13日にDoS攻撃を受けており、その影響でインターネットバンキングが一時的に利用できない障害が発生した。また攻撃者から金銭を要求する脅迫メールが送られていた。
12	セ	ISC BIND 9に、DNS応答の処理に不具合があるため、リモートからの攻撃によってnamedが異常終了する複数の脆弱性が見つかり、修正された。"CVE-2016-9131: A m alformed response to an ANY query can cause an assertion failure during recursion"(https://kb.isc.org/article/AA-01439/)。"CVE-2016-9147: An error handling a query response containing inconsistent DNSSEC information could cause an assertion failure" (https://kb.isc.org/article/AA-01440/)。"CVE-2016-9444: An unusually-formed DS record response could cause an assertion failure" (https://kb.isc.org/article/AA-01441/)。"CVE-2016-9778: An error handling certain queries using the nxdomain-redirect feature could cause a R EQUIRE assertion failure in db.c"(https://kb.isc.org/article/AA-01442/)。
13	セ	イスラエルのセキュリティ会社CellebriteのWebサーバに外部から不正アクセスがあり、顧客情報などを含む約900GBの内部データが漏えいした。"Cellebrite - Cellebrite Statement on Information Security Breach"(http://www.cellebrite.com/Mobile-Forensics/News-Events/Press-Releases/cellebrite-statement-on-information-security-breach)。「Cellebrite社 旧ユーザー管理システムへの不正アクセスに関するお知らせとお詫び|サン電子株式会社ホームページ」(http://www.sun-denshi.co.jp/news/i_news/details/?id=304)。
15	セ	日本版「STOP. THINK. CONNECT.」Webサイトにおいて、外部からの不正アクセスによる改ざんが発生した。2月16日の最終報告の結果、原因は管理者権限のアカウントへのなりすましによる不正ログインと判明した。フィッシング対策協議会、「日本版 「STOP. THINK. CONNECT.」 Web サイト改ざんに関するお詫び」(https://www.antiphishing.jp/news/info/STC20170115.html)。フィッシング対策協議会、「日本版 「STOP. THINK. CONNECT.」 Web サイト再開に関するお知らせ」(http://www.antiphishing.jp/news/info/STC20170216.html)。
17	脆	Oracle社は、四半期ごとの定例アップデートを公開し、Java SEやOracle Database Serverなどを含む複数製品について、合計270件の脆弱性を修正した。"Oracle Critical Patch Update Advisory - January 2017" (http://www.oracle.com/technetwork/jp/topics/ojkbcpujan2017-3454417-ja.html)。
	セ	アパホテルのWebサイトがDoS攻撃を受け、その影響によりサービスが利用できなくなった。これはホテル客室に設置されている同グループ代表の著書における近現代史の内容が史実に反するとして、批判する動画が中国のSNSサイトに投稿されたことがきっかけとなった。サイトはその後対策を行い、1月23日に復旧した。「アパホテル公式サイトの復旧について | 【公式】アパグループ」(https://www.apa.co.jp/newsrelease/8298)。
23	脆	Apple社は、iOS 10.2.1、macOS Sierra 10.12.3のセキュリティアップデートをリリースし、リモートの攻撃者によって任意のコードを実行される可能性があるなどの複数の脆弱性を修正した。また、併せてtvOS 10.1.1とwatchOS 3.1.1もリリースされた。「iOS 10.2.1 のセキュリティコンテンツについて - Apple サポート」(https://support.apple.com/ja-jp/HT207482)。「macOS Sierra 10.12.3 のセキュリティコンテンツについて - A pple サポート」(https://support.apple.com/ja-jp/HT207483)。「tvOS 10.1.1 のセキュリティコンテンツについて - Apple サポート」(https://support.apple.com/ja-jp/HT207485)。「watchOS 3.1.3 のセキュリティコンテンツについて - A pple サポート」(https://support.apple.com/ja-jp/HT207487)。
26	セ	ロングランプランニング株式会社のWebサイトに外部からの不正アクセスがあり、顧客情報が流出した可能性があることが分かった。「不正アクセスによるお客様情報流出の可能性に関するお知らせとお詫び(2017年1月26日):プレスリリース | ロングランプランニング株式会社」(https://longrun.biz/release/20170126/01/report01.html)。
29	セ	オーストリアの高級ホテルの情報システムがランサムウェアに感染し、部屋の電子キーを発行できなくなるなどの影響が出た。ホテル側は2BTC(約1,500€)の支払いに応じてシステムを復旧させた。

1.インフラストラクチャセキュリティ

• 1.1 はじめに
• 1.2 インシデントサマリ
• 1.3 インシデントサーベイ
• 1.4 フォーカスリサーチ
• 1.5 おわりに