ネットセキュリティニュース

◆ネットのインチキ広告にご用心、課金サイトやアプリの罠（2018/06/28）

　Webサイトの閲覧中に突然、「おめでとうございます」とか「ウイルスに感染しています」といったメッセージが表示されることがある。初めて遭遇した時には、誰もが一喜一憂してしまうその元凶は、広告に紛れて配信されてくるインチキキャンペーンだ。

■当選詐欺――サイト閲覧中に「おめでとうございます」

　Webサイトの閲覧中に「おめでとうございます」というメッセージが表示され、アンケートに答えるとiPhoneがもらえるなどと言われたら要注意だ。鵜呑みにすると有料サイトに登録され、毎月の課金が待ち受けているかもしれない。

　ケイ・オプティコムは6月20日、ブラウザやポップアップで、同社をかたる当選サイトが表示される事例が確認されているとして注意を呼びかけた。今年4月には、日本郵便からも同様の注意喚起が出ているが、勝手に名前を使われているだけで、各社とは無関係に行われている、いわゆる当選詐欺の一種だ。真に受けてアンケートに答えていくと、最終段階で個人とクレジットカード情報を要求される。賞品を獲得したかのように見せかけて、有料サイトの試用期間に登録させようとしているのだ。

　登録させようとしているのは、試用期間中は無料で、その間にキャンセルしなければ自動的に有料サービスへと移行するという、よくあるパターンのサイトだ。試用期間はおおむね数日で、その後は毎月数千円の会費が登録したクレジットカードから引き落とされることになる。

■感染詐欺――サイト閲覧中に「ウイルスに感染しています」

　「ウイルスに感染しています」というメッセージもしばしば表示され、ユーザーを慌てさせる。真に受けて指示に従うと、アプリをインストールさせられ、課金が待っていることもある。

　ファイル転送サービス「ギガファイル便」の公式ツイッターは6月20日、「お使いのシステムは3件のウイルスに感染しています」と表示されたMacのブラウザ画面を掲載して、注意を呼びかけた。同サービスのサイトに配信しているいずれかの広告が原因で、このようなメッセージが表示されているとして、同社はその後、全ての広告の配信を一時停止した。

　偽の感染メッセージを表示するアプリの押し売りは、閲覧者のアクセス環境に合わせて表示しているので、Macに限らず、Windows、iPhone、Androidいずれでも発生する。MacやWindowsでは、それぞれのセキュリティソフトらしきもののダウンロードサイトに。iPhoneやAndroidでは、公式ストアの特定のアプリへと誘導する。

■対処法――「広告そのものを止める」という荒業も

　当選詐欺や感染詐欺のインチキ広告は、その他の広告に紛れてある日突然配信されて来る。スポンサーが広告を出稿しているとは限らず、アフィリエイト目的で誰かが出稿している可能性もある。いずれにせよ悪質な存在なのだが、一向に止む気配はなく、何年にも渡って延々と続いている。詐欺まがいの怪しい広告は、無視してページを閉じればよいのだが、端から広告そのものを止めてしまうという荒業もある。

　iPhoneとAndroid用のMicrosoft Edgeは、今月から広告をブロックする「Adblock Plus」が標準で付属するようになり、[設定]メニューの[コンテンツブロッカー]でオンオフできるようになった。他の主要なブラウザは、アドオンや拡張機能という形で同種の機能を追加することができる（Android版のGoogle Chromeは拡張機能をサポートしていない）。ブラウザの拡張機能は、一歩間違えると危険なものを追加しかねないが、検討してみると良いだろう。

（2018/06/28 ネットセキュリティニュース）

【関連記事】
・弊社をかたる不正な当選サイトについて（eoネット）
http://support.eonet.jp/news/669/
・弊社をかたる不正な当選サイトについて（mineo）
https://support.mineo.jp/news/706/
・ギガファイル便公式ツイート
https://twitter.com/GigaFile_TV/status/1009292364240674816

◆モジラ、深刻な脆弱性を修正した「Firefox 61」を公開（2018/06/27）

　モジラは27日、Webブラウザ「Firefox」の最新版「Firefox 61」を公開した。対象となるのは、Windows、Mac、Linux、Android。法人向けの延長サポート版（ESR）も公開されている。

　最新版の「Firefox 61.0」では、暗号化通信規格の最新版「TLS 1.3」のドラフト版（正式規格になる前の策定段階の規格）の標準サポートなどの新機能の追加や機能改善、パフォーマンスの向上が行われたほか、18件の脆弱性が修正されている。

　修正された脆弱性は、深刻度が4段階評価で最も高い「最高」が6件、次に高い「高」が5件、「中」が6件、「低」が1件の計18件。悪用されると任意のコードが実行されるおそれのある、メモリーがらみの危険な脆弱性が複数修正されている。

　法人向けの延長サポート版（ESR）は、現在移行時期になっており、「52.9」と「60.1」の両バージョンが用意されている。
　「ESR 52.9.0」では、「61.0」と共通する「最高」3件、「高」4件、「中」3件の計10件。「ESR 60.1」では、「61.0」と共通する「最高」5件、「高」4件、「中」6件の計15件の脆弱性が修正されている。

　デスクトップ用の最新版は、自動更新機能を通じて配布されているほか、今すぐ手動で更新することもできる。手動更新は、WindowsではFirefoxのメニューボタン「≡」をクリックし、[ヘルプ]→[Firefoxについて]を選択する。または、[Alt]キーを押してメニューバーを表示し、[ヘルプ]メニューの[Firefoxについて]を選択する。OS Xでは、Firefoxメニューの[Firefoxについて]を選択する。
　自動や手動で更新したデスクトップ版のFirefoxは、ブラウザの再起動後に最新版が利用できるようになるので、ブラウザを起動したままでいる方は注意していただきたい。

　Android用の最新版は、「Google Play」で配信される。27日13時の時点ではまだ配信が始まっていないが、アプリの自動更新が有効に設定されている場合には、配信開始後、自動的に更新される。「Google Play」の「マイアプリ＆ゲーム」で「アップデート」を表示し、手動で更新することもできる。

（2018/06/27 ネットセキュリティニュース）

【関連URL：モジラ】
＜Firefox 61.0＞
・リリースノート（デスクトップ版）
https://www.mozilla.jp/firefox/61.0/releasenotes/
・リリースノート（Android版）
https://www.mozilla.jp/firefox/android/61.0/releasenotes/
・Security vulnerabilities fixed in Firefox 61
https://www.mozilla.org/en-US/security/advisories/mfsa2018-15/

＜Firefox ESR 60.1＞
・リリースノート
https://www.mozilla.jp/firefox/60.1.0/releasenotes/
・Security vulnerabilities fixed in Firefox ESR 60.1
https://www.mozilla.org/en-US/security/advisories/mfsa2018-16/

＜Firefox ESR 52.9.0＞
・リリースノート
https://www.mozilla.jp/firefox/52.9.0/releasenotes/
・Security vulnerabilities fixed in Firefox ESR 52.9
https://www.mozilla.org/en-US/security/advisories/mfsa2018-17/

◆2018年5月の国内フィッシング事情（2018/06/22）

　実在する企業やサービスを装ったメールやSMSで偽のWebサイトに誘導し、ログイン情報やクレジットカード情報などを騙し取るフィッシングが、連休もお構いなしに5月も休むことなく毎日続いた。アップル、アマゾン、LINEの常連に加え、5月も通信事業者とクレジットカード会社を装うフィッシングが活発に行われた。

　フィッシング対策協議会の2018年5月の月次報告によると、同協議会に寄せられたフィッシング報告件数 (海外含む) は、前月から804件増加の2701件。2016年2月の2935件以来の200件超えとなった。ユニークなURL件数は、53件減って524件。悪用されたブランド件数 (海外含む) は、4件増えて34件だった。同協議会が出した緊急情報は、常連組のアップルとアマゾンに、昨年から怪しい動きを見せている仮想通貨関連からMyEtherWallet（マイイーサウォレット）とbitFlyer（ビットフライヤー）が加わり、計4回だった。協議会からの注意喚起はないが、キャリア決済やクレジットカード情報を狙うグループの攻撃が一段と活発化し、各社が注意を呼びかけた。

■増加に転じたアップルをかたるフィッシング

　協議会の総評では、アップルをかたるフィッシングが多く、同じ文面、URLで大量に何度も配信される傾向があり、報告数は全体の約65%を占めたという。件数に換算すると1756件だ。前月の状況が分からないので比較することができないが、前月のアップルをかたるフィッシングの報告が全体の93％以上を占めるようなことがない限り、アップルの報告数が増加している。ちなみに昨年の10月～12月の報告書では、占める割合が62％～70％、件数に換算すると982件～1396件だった。

　筆者の観測では、昨夏に急増したアップルをかたるフィッシングが、年末にかけて減少していったものの、ここに来て盛り返してきた感じだ。1日に観測されたユニークなメールの数は、昨年9月の約6.2をピークに、12月～3月には2前後にまで減少していた。それが、4月には約2.6に、5月には約3.8に増加している。この傾向は、今月に入ってからも続いているので、騙されないよう気を付けたい。不正ログインやアカウントの停止などを理由に、リンクをクリックさせようとするメールが届いたら要注意だ。

　iPhoneなどのiOSは、[設定]アイコンから[自分の名前]→[パスワードとセキュリティ]と進むと、安全にログインできるかどうかを確認でき、必要があればパスワードの変更なども行える。Macの場合は、[設定]→[iCloud]→[アカウントの詳細]と進む。パスワードの変更は[セキュリティ]タブで行える。

■仮想通貨関連のフィッシング

　国内の仮想通貨関連のフィッシングは早くから行われており、巨額のビットコイン消失で破産した、ビットコイン取引所Mt.Gox（マウントゴックス）のフィッシングに始まる。同社を装うフィッシングは、2011年から2014年にかけて幾度となく繰り返されたが、同社の拠点が日本国内にあったというだけで、仮想通貨関連のフィッシングの当時のターゲットは、まだ英語圏のユーザーだった。

　国内のユーザーを狙った攻撃は、昨春から観測されるようになり、仮想通貨流出事件のあったCoincheck（コインチェック）をはじめ、bitFlyer、BTCボックス、ビットバンクなどの偽物が次々と登場した。5月に観測されたのは、協議会の緊急情報にもあったbitFlyerとMyEtherWalletの日本語フィッシングに加え、メッセージングアプリのテレグラムが実施した仮想通貨による資金調達、ICO（Initial Coin Offering）の日本語フィッシングもあった。これらはいずれも、メールを使って誘導するオーソドックスなフィッシングだが、ほかに検索サイトの検索結果に表示される広告を悪用し、偽サイトへと誘導するフィッシングも度々観測された。

■メールアカウントを狙うフィッシング

　協議会の総評にもあるように、メールアカウント情報の詐取を目的としたフィッシングも定常的に発生している。よく狙われるのが、大学のメールやプロバイダメールだ。大学では、福井大学、首都大学東京、横浜市立大学、富山県立大学、麗澤大学などが標的にされ、横浜市立大学と富山県立大学では、詐取されたメールアカウントにメールの転送設定が不正に行われ、メールが外部流出する被害も出ている。

　プロバイダ関連では、ドコモメールの使用法を確認するだけで1万2千円プレゼントするという触れ込みのNTTドコモをかたるフィッシングや、indeedの掲載会社10000社突破記念と称して1万円プレゼントするといって誘導し、ソフトバンクの「MySoftBank」のアカウントを騙し取るフィッシングが行われたほか、5月30日付でアイタイネットからメールアカウントのアップグレードを促すメールの注意喚起が出ている。

■キャリア決済を狙うフィッシング

　2月頃から続く同じグループによるキャリア決済やクレジットカード情報狙いのフィッシングが、5月も頻繁に繰り返された。詳しくは、末尾にあげた関連記事「4月のフィッシング事情」や「狙われる「キャリア決済」、通信事業者を装うフィッシングに注意」をご覧いただきたいが、NTTドコモやソフトバンクのキャリア決済が、攻撃者のApple IDに登録され、限度額まで不正購入が行われる被害が多数発生している。各社を装う「【重要】●●から緊急のご連絡」「●●より重要なお知らせ」「●●からのご連絡」などの件名のメールにはくれぐれも注意していただきたい。携帯電話番号とその番号にSMSで届く4桁の確認コードを渡してしまうと、App Store/iTunesの支払い方法にキャリア決済が勝手に登録されてしまうということを心得ていただきたい。

（2018/06/22 ネットセキュリティニュース）

【関連URL：フィッシング対策協議会】
・2018/05 フィッシング報告状況
https://www.antiphishing.jp/report/monthly/201805.html
・bitFlyer をかたるフィッシング (2018/05/24)
https://www.antiphishing.jp/news/alert/bitflyer_20180524.html
・Amazon をかたるフィッシング (2018/05/17)
https://www.antiphishing.jp/news/alert/amazon_20180517.html
・MyEtherWallet をかたるフィッシング (2018/05/15)
https://www.antiphishing.jp/news/alert/myetherwallet_20180515.html
・[更新] Apple をかたるフィッシング (2018/05/07)
https://www.antiphishing.jp/news/alert/apple_20180507.html

＜各社の注意喚起＞
・アイタイネットを名乗る不審なメールにご注意ください
https://www.aitai.ne.jp/page.jsp?id=32272
・ドコモを装ったメール、ウェブサイトにご注意ください
https://www.nttdocomo.co.jp/info/notice/page/180206_01_m.html
・ソフトバンクを装う電子メールに関するご注意
https://www.softbank.jp/mobile/info/personal/news/support/20180418a/

◆仮想通貨のマイニングで摘発相次ぐ（2018/06/19）

　仮想通貨のマイニングを行うプログラムを設置していたサイトの運営者が、不正指令電磁的記録供用などの容疑で相次ぎ摘発された。摘発の是非を問う声が上がる一方で、誤解やデマとも思える情報を流すメディアが相次いでいる。

　マイニングは、仮想通貨の運営に必要な計算を行う作業のこと。計算した報酬として仮想通貨が発行されるため、広告の代わりにマイニングプログラムを採用するWebサイトやアプリがある。広告が、「画面の一部を占有して外部から画像や動画を読み込んで表示させる」、「閲覧者情報を収集して外部サイトに送信する」、「クリックによりキャンペーンサイト等に誘導する」といったことで報酬を得るのに対し、マイニングは、閲覧者に計算を行わせ、結果を外部に送信することで報酬を得る。

どちらも報酬を得られることから悪用が後を絶たず、改ざんサイトや攻撃サイトにマイニングプログラムが埋め込まれていたり、悪質なキャンペーンに誘導されたりすることがあるので注意したい。Webサイトの閲覧中には何が起こるか分からないので、次のようなことで身の安全を図っていただきたい。

（１）使用しているシステムやブラウザ、プラグイン、アプリのセキュリティアップデートは欠かさず迅速に適用する。
（２）閲覧中にブラウザが何かをダウンロードしようとしたり、開こうとしたりした場合には迷わずキャンセルする。
（３）閲覧中に何らかの警告が出たら、それ以上先に進まない。
（４）「当選しました」、「会員登録しました」、「感染しました」等の予期せぬ出来事は、真に受けない。

■嘘か真かメディアが報じたマイニングの脅威

　今回の一連の報道では、仮想通貨のマイニングに対して以下のようなことが報じられていた。いつになく首を傾げざるをえないような内容が目についたため、検証してみた。

（１）パソコンに高負荷がかかる
（２）動作が止まったり遅くなったりする
（３）端末の通信速度が著しく低下する
（４）余分な電気代がかかる
（５）バッテリーが急減する
（６）PCを遠隔操作される
（７）パソコンが壊れる

（１）（２）について。全力で計算させると、確かにCPUに高負荷をかけることができる。ただし、システムは複数のプログラムを並行して動作できるようになっているため、通常は他のアプリが利用できなくなるほどにはならない。CPUの使用率が100％を超えると、実行時間を分けあうため、それぞれが連続した計算処理を行っている場合には、実行速度が如実に遅くなる。例えば、CPU使用率100％のマイニングプログラムを2つ走らせると、それぞれの処理速度は半減してしまう。

　ところが、一般的なアプリの操作は断続的に処理が行われるため、与えられた時間で十分処理がこなせる間は、処理速度の低下はあまり感じない。処理速度の遅いパソコンになると、動作にもたつきを感じるものの、相当古くない限りは、極端な速度低下や動作が止まるという症状が発生するまでには至らない。そのような場合には、何か別の問題がある可能性が高い。

　よくある問題が、頻繁にアクセスが発生する処理の遅い部品「ハードディスク」だ。ディスクの読み出しや書き込みは、まとまった処理を終えないと次の処理に移れないことも多いため、しばしば長い待ち時間が生じ、極端な速度低下を招くことがある。例えばアプリのインストールやアップデート、セキュリティソフトのウイルスチェック、メンテナンスツールのディスクチェックなどを行うと、高速なパソコンでもしばしば操作がもたついてしまう。アクセスが競合する場合は特に深刻で、順番が回ってくるまで動作が止まったようになることもある。

　このディスクアクセスは、メモリが不足している場合にも発生する。現在のパソコンは、実装している以上のメモリが利用できるようになっており、プログラムやデータが実メモリに収まりきらなくなると、システムがメモリの一部をディスクに書き出し、必要になると読み込むという動作を繰り返すようになる。メモリがひっぱくした状態では、アプリのファイル処理とは別にこうしたディスクアクセスが頻繁に発生し、速度低下を招く大きな要因となっている。

　（３）の端末の通信速度が著しく低下するという指摘について。マイニングで通信するデータ量は少量なので、データ量の関係で遅くなることは考えられない。負荷でブラウザの動作が遅くなったのを誤認した可能性があるので、試しにCPU使用率100％のプログラムをブラウザに実行させてみたが、処理が著しく低下するようには見えなかった。何か別の問題があったのだろう。

　電力がらみの（４）（５）については、CPUの使用率を調節できるマイニング「AuthedMine」で実測してみた。使用したのは、Core i7のノートパソコンで、何もしていない状態で20W前後の電力を消費する。ここでブラウザGoogle Chromeを使い、CPUの使用率を10％にしたマイニングを実行させると、消費電力は5割増しの約30Wになった。次にHDビデオのストリーミング再生と同じくらいの負荷となる、20～30％のCPU使用率にすると、消費電力は40W前後に上昇した。ビデオ再生のような大量のデータ転送は発生しないので、このレベルでもWebの閲覧には何の支障もない。バックでマイニングを行っているかどうかも気づかないレベルだった。

　CPU使用率40～60％で冷却ファンが回るようになり、消費電力は40～50Wへ。CPU使用率70％でファンが高速回転するようになり、動作のもたつきよりもこの騒音が気になりだす。消費電力は60W前後まで上昇し、以後100％までほぼこの状態だった。バッテリーの減りも早くなるようだが、ここまで負荷をかけて閲覧を続けてもらうのは難しいと感じた。電気代を26円/kWhで換算すると、CPU使用率20～30％で1時間あたり約1円。70％越えで約1.6円。電源を入れた状態からの余分にかかる電気代は、1時間あたり0.6円～1.1円。高いと思うかどうかは人それだが、ブラウザベースのマイニングで得られる仮想通貨よりも、電気代の方が高くつくようだ。

　（６）のPCを遠隔操作されるという指摘は明らかな間違いで、ブラウザ上で実行するクリプトには、遠隔操作らしいことは一切できない。Windowsのマルウェア感染でよく使われる、Windowsのシステム上で実行するJavaScript互換のJScriptやプログラミング言語のJavaと、ブラウザ内で実行するJavaScriptとを取り違えたのかもしれないが、これらは別物だ。（７）パソコンが壊れるも同様、パソコンの寿命が尽きるまで実行するスクリプトはあっても、実行するとパソコンが壊れるスクリプトはない。

（2018/06/19 ネットセキュリティニュース）

【関連URL】
・仮想通貨を採掘するツール（マイニングツール）に関する注意喚起（警察庁）
http://www.npa.go.jp/cyber/policy/180614_2.html

◆偽の「当選通知メール」「モニター募集メール」に注意、ばらまき継続中（2018/06/15）

　国内の企業をかたった、偽の当選通知メールのばらまきが続いている。賞品発送のためだとして住所、氏名、電話番号などを騙し取ろうとする詐欺メールだ。新たに「商品のモニターを募集している」とするパターンも見つかっている。十分注意していただきたい。

　こうしたメールが目立ち始めたのは今年5月で、本通信では同17日に、この件についてお伝えした。この時には見られなかった「新商品のモニターを募集しております」とする詐欺メールが、5月末に確認されている。このメールでは、モニターに協力すると現金をプレゼントするとうたい、商品の試作品とモニター用紙を送るためとして個人情報を返信させようとしていた。

　これらのメールの内容を信じて指示通りに返信すると、あなたの個人情報をメールアドレスとセットで詐欺師に渡してしまうことになる。同時に、あなたがこうしたメールを信じてしまう人物であることも伝わってしまう。

■個人情報を送ってしまったら

　氏名、住所、電話番号を送ってしまった場合は、今後、あなたの名前と住所を記載した詐欺メールやSMSが送られてくる可能性がある。さらに、ハガキによる架空請求も考えられる。これらが届いても無視してかまわないのだが、心配な方は、最寄りの消費生活相談窓口を紹介してくれる「消費者ホットライン」（電話番号「188」番）、または「警察相談電話」（短縮ダイヤル「#9110」番）に電話しよう。いつでも無料で相談にのってくれる、安全で確かな公共機関だ。

■実際の文面と差出人のメールアドレス

　この件について、名前をかたられた企業が下記の通り、注意を呼びかけている。カカクコム、マーシュ、ゴールドパックからの注意喚起では、詐欺メールの文面を見ることができる。また、モバレンとラッキーコーポレーションの注意喚起には、メールの文面に加え、差出人のメールアドレスも掲載されている。意味不明の英数字が並んだ、企業が使うとは思えないメールアドレスであることが見て取れる。スマートフォンでメールを見る場合、画面が小さいためにメールアドレスが表示されていないことも多いが、差出人の長押しや詳細表示などで表示できるので覚えておこう。

＜各社の注意喚起＞

・重要なお知らせ【ご注意ください】（ノーリツ）
http://www.noritz.co.jp/
・モバレンを装った迷惑メールについて（モバレン）
http://mobaren.com/%e3%83%a2%e3%83%90%e3%83%ac%e3%83%b3%e3%82%92%e8%a3%85%e3%81%a3%e3%81%9f%e8%bf%b7%e6%83%91%e3%83%a1%e3%83%bc%e3%83%ab%e3%81%ab%e3%81%a4%e3%81%84%e3%81%a6/
・弊社社名と類似名称を使用したメールにご注意お願いいたします。（花畑牧場）
http://www.hanabatakebokujo.com/news/detail/20180612.html
・弊社キャンペーンをかたった不審なメールにご注意ください（大正製薬）
http://www.taisho.co.jp/company/release/2018/2018060801.html
・大正製薬×食べログを装った不審なメールにご注意ください(2018年6月8日)（カカクコム）
https://tabelog.com/support/announcement?id=459
・ポーラ（POLA）を装った不審なメールにご注意ください[PDF]（ポーラ）
https://www.pola.co.jp/company/pressrelease/pdf/2018/po20180608_2.pdf
・トップバリュキャンペーンを装う不審なメールについて[PDF]（イオン）
http://www.aeon.info/news/important/pdf/180607R_1.pdf
・D style webを名乗る架空メールにご注意ください。（マーシュ）
https://dstyleweb.com/note/20180529
・【注意喚起】"co-op配送サービスお客様担当"を名乗ったメールにご注意ください。（おうちCO-OP）
http://www.ouchi.coop/info/info_83.html
・キリン商品のキャンペーン等を装い個人情報の提供を求める、不審なメールにご注意ください（キリン/キリンビール）
http://www.kirin.co.jp/common/inc/info/info_180511.html
・弊社社名を装ったスパムメールにご注意ください。（ゴールドパック）
http://www.gold-pak.com/news/notice/%E5%BC%8A%E7%A4%BE%E7%A4%BE%E5%90%8D%E3%82%92%E8%A3%85%E3%81%A3%E3%81%9F%E3%82%B9%E3%83%91%E3%83%A0%E3%83%A1%E3%83%BC%E3%83%AB%E3%81%AB%E3%81%94%E6%B3%A8%E6%84%8F%E3%81%8F%E3%81%A0%E3%81%95%E3%81%84.html
・【重要なお知らせ】当サイト「焼酎紀行」を想起させるメールついて（ヤマエ久野）
https://www.shochu-kikou.com/news/180521.html
・アサヒスーパードライのキャンペーン当選を装い個人情報の提供を求める
不審なメールにご注意ください。（アサヒビール）
https://www.asahibeer.co.jp/info/attention_02.html
・【注意】「ラッキーディップ」という宛名の不審な当選メールにご注意ください（ラッキーコーポレーション）
https://lucky.jp/careful.html

（2018/06/15 ネットセキュリティニュース）

◆マイクロソフト、6月度の月例セキュリティパッチを公開（2018/06/13）

　マイクロソフトは13日、6月度の月例セキュリティパッチ（セキュリティ更新プログラム）を公開した。深刻な脆弱性が多数修正されており、同社はできるだけ早期にパッチを適用するよう呼びかけている。

　公開されたパッチは、深刻度が4段階評価で最も高い「緊急」9件と、次に高い「重要」2件の計11件。Windows、Windows Server、Internet Explorer、Edge、Office関連のソフトウェア、SharePoint関連のソフトウェア、ChakraCoreが影響を受ける。アドビが7日に定例外で公開したFlash Player用のパッチも、今回のパッチに含まれている。

【更新プログラムの内容】
＜緊急＞
・Windows 10/Windows Server 2016（Edge含む）：リモートコード実行の脆弱性
・Windows 8.1/Windows Server 2012 R2：リモートコード実行の脆弱性
・Windows Server 2012：リモートコード実行の脆弱性
・Windows RT 8.1：リモートコード実行の脆弱性
・Windows 7/Windows Server 2008 R2：リモートコード実行の脆弱性
・Windows Server 2008：リモートコード実行の脆弱性
・Internet Explorer：リモートコード実行の脆弱性
・ChakraCore：リモートコード実行の脆弱性
・Adobe Flash Player：リモートコード実行の脆弱性

＜重要＞
・Office関連のソフトウェア：リモートコード実行の脆弱性
・SharePoint関連のソフトウェア：リモートコード実行の脆弱性

　今回は、CVEベースで50件の脆弱性が修正されている。このうちInternet Explorerに影響する、スクリプトエンジンのメモリ破損の脆弱性（CVE-2018-8267）については、パッチ提供前に情報が一般公開されていたが、悪用は確認されていない。

　このほか、新たに「Plutruption!ARXep」と「Plutruption!ARXbxeに対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンが公開されている。

（2018/06/13 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・セーフティとセキュリティセンター
https://www.microsoft.com/ja-jp/safety/default.aspx
・セキュリティ更新プログラムガイド
https://portal.msrc.microsoft.com/ja-jp/
・2018年6月のセキュリティ更新プログラム（月例）
https://blogs.technet.microsoft.com/jpsecurity/2018/06/13/201806-security-updates/

◆グーグル、深刻な脆弱性を修正した「Google Chrome 67.0.3396.87」公開（2018/06/13）

　グーグルは7日、「Google Chrome 67」の最新安定板「67.0.3396.87」を公開した。対象となるのは、Windows、Mac、およびLinux。Android版の配信も始まっている。

■デスクトップ版

　JavaScriptエンジン「V8」で発生する、領域外のメモリーにアクセスしてしまう問題が修正されている。この問題の深刻度は、5段階評価の上から2番目の「高」とされている。

　最新版への更新は自動的に行われるほか、メニューの[Google Chromeについて]を選択すると、ただちに最新版の確認とアップデートが行える。Mac版はChromeメニューから、Windows版は右端の設定アイコン→[ヘルプ]と進むと選択できる。

　最新版はブラウザの再起動後に利用できるようになるので、ブラウザを起動したままでいる方は注意していただきたい。

■Android版

　Android版では、パフォーマンスや機能の改善に加え、[設定]→[パスワード]から、保存されているパスワードを簡単に検索できるようになった。更新は、「Google Play」の「マイアプリ＆ゲーム」→「アップデート」から行える。

（2018/06/13 ネットセキュリティニュース）

【関連URL：グーグル】
・Stable Channel Update for Desktop[英文]
https://chromereleases.googleblog.com/2018/06/stable-channel-update-for-desktop_12.html
・Chrome for Android Update[英文]
https://chromereleases.googleblog.com/2018/06/chrome-for-android-update.html

◆大学標的にフィッシング多発、3大学でメールアカウント乗っ取られ個人情報漏えい（2018/06/12）

　大学関係者をターゲットに、メールシステムの管理者を装ってメールを送り付け、メールアカウントを乗っ取ろうとするフィッシング攻撃が行われている。5月以降、国内の3つの大学が被害にあい、メールに含まれていた個人情報が外部に漏えいしたことを明らかにしている。

■横浜市立大学、メールの不正転送で個人情報5794件が漏えい

　横浜市立大学（本部：横浜市金沢区）は6日、教職員と学生のメールアカウント29件がフィッシングで乗っ取られ、これらのアカウント宛てに送られたメール3512通が外部に転送され、メールや添付ファイルに含まれていた個人情報5794件が漏えいしたと発表した。

　同大学によると、4月24日から5月23日にかけ、同大学のメール管理者を装う英文のメールがメールアドレス1037件に送り付けられた。「送信サーバの障害によりメールの送信ができませんでした。再送信する場合は、以下のリンクをクリックしてください」という内容で、リンクをクリックすると、同大学で利用しているマイクロソフトのクラウドサービス「Office365」のログイン画面に酷似した、偽のログイン画面が表示された。

　偽ログイン画面には、メール受信者のIDが初期値として表示されていた。この画面でパスワードを入力してサインインボタンを押したことにより、29のアカウントが乗っ取りの被害にあい、届いたメールが攻撃者の所有するメールアドレスに転送されるように設定された。

　5月15日から30日までの間に、メール3512通が攻撃者に不正に転送されたという。これにより、差出人の氏名とメールアドレス3512件，および本文や添付ファイルに含まれていた個人の氏名、住所、電話番号2266件、学生情報16件、計5794件が漏えいしたことが確認されている。

　同大学では事態発覚後、すべての教職員に対しパスワードの変更を呼びかけ、パスワードを変更していない場合はメールサービスにログインできないようにする措置をとった。また、漏えいが確認されたメールの差出人には謝罪文を送付した。添付ファイルやメール本文に記載されていた個人情報の漏えいについては、改めて事情説明や謝罪を行うという。

・【お詫び】電子メールの不正転送被害による個人情報の漏えいについて（横浜市立大学）
https://www.yokohama-cu.ac.jp/news/2018/pr/owabi180607.html
・電子メールの不正転送被害による個人情報の漏えいについて[PDF]（横浜市立大学）
https://www.yokohama-cu.ac.jp/news/2018/pr/dr3e64000000d0fh-att/180606_emailpressrelease.pdf
・【注意喚起】なりすましメールにご注意ください（横浜市立大学）
http://www-user.yokohama-cu.ac.jp/~ictpromo/index.php/2018/05/23/20180523/

■富山県立大学、メールの不正転送で210名の個人情報が漏えい

　富山県立大学（本部：富山県射水市）は5月30日、教職員のメールアカウント5件がフィッシングで乗っ取られ、このアカウントに対して送られたメール275件が外部に転送されて学生の個人情報等が漏えいしたと発表した。

　同大学によると、5月16日と同23日にクラウドサービスをかたるフィッシングメールがばらまかれ、教職員5名がIDとパスワードを入力した。このうち3名のアカウントについて、届いたメールが攻撃者宛てに転送されるよう設定され、5月16日から同28日までの間にメール275通が不正に転送された。

　5月30日付の各紙の報道によると、不正転送されたメールには、聴講生21名の氏名、住所、電話番号、メールアドレスと、学生189名の氏名および学籍番号が含まれていた。ほかに、当該教職員の送受信フォルダに保存されていたメールが攻撃者に盗み見られた可能性もある。

　同大学では、当該教職員5名のパスワードを変更する措置をとったほか、不正なメール転送を防止するためシステムの設定を変更したという。個人情報漏えいの対象者には経緯を説明して謝罪し、不審なメール等に注意するよう依頼した。

・富山県立大学におけるメールの転送被害による個人情報等の漏えいについて（富山県立大学）
http://www.pu-toyama.ac.jp/news/news_outline/2018/05/30/20337/
・富山県立大学におけるメールの転送被害による個人情報等の漏えいについて[PDF]（富山県立大学）
http://www.pu-toyama.ac.jp/wordpress/wp-content/uploads/2018/05/300530kaikensiryou.pdf

■立命館大学、メールの不正転送で264名の個人情報が漏えい

　立命館大学（本部：京都市中京区）は5月2日、国際研修申し込み受付用のメールアカウントがフィッシングで乗っ取られ、このアカウントに対して送られたメールが外部に転送されて研修応募者264名の個人情報が漏えいしたと発表した。

　同大学によると、乗っ取られたのは、同大学の歴史都市防災研究所が海外の文化遺産保護や防災の専門家を対象に募集した「2018年ユネスコチェア国際研修『文化遺産と危機管理』」の申し込み受付用アカウント。4月24日、事務局にメールシステムの管理者を装ったメールが届き、職員がメール内のリンクをクリックして、メールアカウントのIDとパスワードを入力した。攻撃者はこの情報を使ってメールアカウントに不正ログインし、アカウントに届いたメールが外部に転送されるように設定情報を書き換えていた。

　漏えいが確認された個人情報は、応募者261名の氏名、生年月日、年齢、性別、国籍、メールアドレス、電話番号、現職などのほか、これらに加え顔写真や自宅住所なども含まれる参加申請書と履歴書3名分。また、不正転送されたメールの中に、上記261名の参加申請書および履歴書を保管していた外部共有フォルダのURLが記載されたものがあったことから、同フォルダにアクセスされてこちらも漏えいした可能性があるという。同フォルダにはパスワードがかけられていなかった。
　同大学では、対象者に個人情報漏えいの事実をメールで報告し、謝罪している。

・国際研修参加申込者の個人情報漏洩に関するお詫びとご報告（立命館大学）　05/02
http://www.ritsumei.ac.jp/news/detail/?id=1045

（2018/06/12 ネットセキュリティニュース）

◆不正アクセスによる情報流出相次ぐ――クレカ情報流出で不正利用被害も発生（2018/06/11）

　不正アクセスを受けて情報が流出する事故が相次いで報告された。クレジットカードが不正に利用される被害も発生している。流出の規模が大きいもの、クレジットカードの情報が流出したものをまとめた。

■キルフェボンWEB STORE――会員メールアドレスとパスワード3万7149件流出

　洋菓子店「キルフェボン」を運営するラッシュ（本社：静岡市葵区）は5日、「キルフェボン WEB STORE」が外部から不正アクセスを受け、会員の情報が流出したと発表、11日に続報を公開した。
　同社によると、サイト内の脆弱性を突かれ、同WEB STOREに登録している一部の会員のメールアドレスとパスワードが流出した。流出数は3万7149件。4日に外部から流出の可能性を指摘され、調査の結果、事態が判明した。この件では、流出した情報が海外のWebサイト1か所で公開されていたことがわかっている。11日の時点で、当該サイトから情報は削除されているという。
　同社は全会員のパスワードをリセットした上で、メールを送って変更を依頼しているほか、メールアドレスとパスワードを他のサービスでも使い回している場合は変更してほしいと呼びかけている。

・メールアドレスおよびパスワード情報流出に関するお詫びとご報告（キルフェボン）
http://www.quil-fait-bon.com/news/?twn=263&i=2

■森永乳業通販サイト――顧客情報9万2822件流出のおそれ、不正利用被害も発生

　森永乳業（本社：東京都港区）は5月9日、同社が運営する「健康食品通販サイト」から顧客情報が流出した可能性があると発表、6月4日に続報を公開した。
　同社によると、当該サイトでは2017年10月16日にサーバーの入れ替えを実施したが、入れ替え前の旧サーバーに存在した脆弱性を突かれて流出に至ったとみられている。最大で、サイトを開設した2012年1月から2017年10月16日までの利用者9万2822名について、氏名、住所、電話番号、メールアドレス、性別、職業、生年月日、届け先情報などが流出した可能性がある。さらに、このうち2015年1月7日以降にカード決済を行った最大2万9773名については、カード番号、名義、有効期限も流出した可能性がある。セキュリティコードは流出していない。該当者にはメールと書面で連絡している。
　この件ではカードの不正利用も発生しており、4日の時点で約300件、約2000万円の被害が確認されている。

・健康食品通販サイトにおけるお客さま情報の流出に関するお詫びと調査結果のお知らせ（森永乳業）
http://www.morinagamilk.co.jp/information2/newsentry-2900.html
・（第一報）健康食品通販サイトにおけるお客さま情報の流出懸念に関するお知らせ（森永乳業）
http://www.morinagamilk.co.jp/information2/newsentry-2876.html

■MS&Consulting――登録情報57万件流出のおそれ

　覆面調査サービスなどを手掛けるMS&Consulting（本社：東京都中央区）は5月14日、同社が運営する「ミステリーショッピングリサーチ」のWebサイトが不正アクセスを受け、登録会員の情報が流出したおそれがあると発表、6月1日に続報を公開した。
　同社によると、2000年5月から2018年5月2日までに登録した会員のメールアドレス、パスワード、電話番号約57万件が流出した可能性がある。SQLインジェクション攻撃を受けて流出に至った。同社では当該攻撃への対策としてWebアプリケーションファイヤーウォール（WAF）を導入していたが、設定に誤りがあったため流出を防げなかったという。
　また、第一報では5月2日に不正アクセスを受けたとされているが、外部専門機関による調査で、それ以前にも同様の不正アクセスを受けていたことが判明。流出の可能性がある件数が6119件から57万件に修正されている。該当者にはメールまたは電話で連絡している。

・当社ホームページへの不正アクセスによるご登録情報の流出可能性について（続報）―調査結果と再発防止策―[PDF]（MS&Consulting）
http://v4.eir-parts.net/v4Contents/View.aspx?cat=tdnet&sid=1596488
・当社ホームページへの不正アクセスによるご登録情報の流出可能性について[PDF]（MS&Consulting）
http://v4.eir-parts.net/v4Contents/View.aspx?cat=tdnet&sid=1585982

■こうのとり検査薬.NET――カード情報1万1314件流出のおそれ

　排卵検査薬の個人輸入代行を行う「こうのとり検査薬.NET」が不正アクセスを受け、顧客のカード情報が流出した可能性があることが分かった。同サイトを運営する一康商事が5月23日に発表した。
　同社によると、外部からWebアプリケーションの脆弱性を利用した攻撃を受け、流出に至った。流出した可能性があるのは、2017年8月7日から2018年1月18日の間にクレジット決済を新規で行った人のカード情報で、最大で1万1314件。カード会員名、カード番号、有効期限、セキュリティコードが含まれている。2018年1月にカード会社から決済代行会社を通じて指摘を受け、調査の結果、流出が判明した。該当者にはメールで連絡している。

・「こうのとり検査薬.NET」への不正アクセス発生についてのご報告とお詫び（一康商事）
https://kensayaku.net/html/user_data/info20180523.html

■ワールドインポートツールズ――カード情報1003件流出のおそれ

　工具販売店「ワールドインポートツールズ」のECサイトが不正アクセスを受け、カード情報1003件が流出した可能性があることが分かった。同店およびECサイトを運営していたナカミツは2017年12月に廃業しており、代表清算人が5月21日に発表した。
　発表によると、2017年4月20日から同7月26日までに同サイトでカード決済を利用した顧客が流出の対象。2017年7月26日にカード会社から決済代行会社を通じて指摘を受け、同社では外部機関に調査を依頼。その結果、不正アクセスの直接的な証跡は発見されなかったが、カード情報が抜き取られた可能性は否定できないことが判明したという。
　カードに関する問い合わせは各カード会社に、それ以外については、同社が廃業していることにより、同サイトが利用していた決済代行会社のSMBCファイナンスサービスに問い合わせてほしいとされている。

・不正アクセスによるカード情報流出に関するお知らせとお詫び（ナカミツ）
http://www.worldimporttools.com/

■A-Web倶楽部――カード情報3412件流出のおそれ、不正利用被害も発生

　コンタクトレンズのメニコンの子会社で、コンタクトレンズ販売を手掛けるダブリュ・アイ・システム（本社：東京都豊島区、販売店名：エースコンタクト）は5月17日、同社が運営する「A-Web（エース ウェブ）倶楽部」が不正アクセスを受け、宅配サービス利用者のクレジットカード情報が流出したと発表した。
　同社によると、2017年12月17日から2018年3月27日の間に同サイトでカード決済をした顧客について、カードの会員名、番号、有効期限が3412件流出した可能性がある。Webアプリケーションの脆弱性を利用した外部からの攻撃を受け、流出に至った。
　対象者にはメールと書面で連絡している。この件では、5月2日の時点で、27名、約668万円の不正利用被害が発生している。

・A－Web倶楽部「宅配サービス」におけるお客様情報流出に関するお詫びとご報告[PDF]（ダブリュ・アイ・システム）
https://goace.jp/files/user/pdf/180517.pdf
・連結子会社株式会社ダブリュ・アイ・システムのエースコンタクト会員専用サイト「A-Web倶楽部」におけるお客様情報流出に関するお詫びとお知らせ（メニコン）
http://www.menicon.co.jp/company/news/vol679.html

　このほか、今年5月以降に公表された不正アクセス関連の事故として、以下が確認されている。

＜6月9日公表＞
・KLab ID への不正ログインに関するお知らせ（KLab）
http://www.klab.com/jp/press/info/detail/id=6034

＜6月6日公表、6月8日第2報公表＞
・弊社「セシールオンラインショップ」への"なりすまし"による不正アクセスについて[第2報][PDF]（ディノス・セシール）
https://www.dinos-cecile.co.jp/pdf/20180608_topics2.pdf
・弊社「セシールオンラインショップ」への"なりすまし"による不正アクセスについて[PDF]（ディノス・セシール）　06/06
https://www.cecile.co.jp/fst/information/c_20180606.pdf

＜4月5日公表、6月1日調査結果公表＞
・不正アクセスによるお客様情報の流出に関するお詫びと調査結果のご報告（冨美家）
http://www.kyoto-fumiya.co.jp/topics/

＜5月25日公表＞
・当社ネットワークへのサイバー攻撃に関するお知らせ（パーソルキャリア）
https://www.persol-career.co.jp/pressroom/news/corporate/2018/20180525_01/

＜5月25日公表＞
・鉄道総研ホームページへの不正アクセスに関するお知らせとお詫び[PDF]（鉄道総合技術研究所）
https://www.rtri.or.jp/ugf84300000000pw-att/notification.pdf

（2018/06/11 ネットセキュリティニュース）

◆アドビ、ゼロデイ攻撃に対処した「Flash Player」最新版を緊急公開（2018/06/08）

　アドビシステムズは7日、コンテンツ再生ソフト「Flash Player」の最新版「30.0.0.113」を公開した。攻撃への悪用が確認されている問題を汲む4件の脆弱性が修正されており、同社はアップデートを呼びかけている。

　脆弱性の影響を受けるのは、Windows版、Macintosh版、Linux版、Google Chrome搭載版、Internet Explorer/Edge搭載版の「29.0.0.171」以前のバージョン。アップデート後は「30.0.0.113」となる。

　システムにインストールされているFlash Playerのバージョンは、下記のバージョン確認ページにアクセスするか、コントロールパネルやシステム環境設定の「Flash Player」の[更新]タブで確認できる。最新版への更新はFlash Playerの自動更新機能を通じて行われるほか、同社サイトからダウンロードすることもできる。

　Google Chromeに搭載されているFlash Playerについては、同日公開の「67.0.3396.79」とともに自動更新機能を通じて配信されている。
　Windows 8.1/10に搭載されているInternet Explorer 11およびEdge用のFlash Playerについては、Windows Updateを通じて配信されている。

■ゼロデイ攻撃の概要とActiveX版Flash Player

　攻撃に悪用されたのは、修正された4件の脆弱性のうちのひとつで、スタックベースのバッファオーバーフローが発生する問題（CVE-2018-5002）である。脆弱性を報告した中国のセキュリティ企業Qihoo 360（奇虎360）の発表によると、今月1日、細工したSWFファイルを埋め込んだExcelファイルを使い、マルウェアに感染させる限定的な攻撃が中東で行われたのを確認したという。

　Flash Playerは、Web上のコンテンツ再生に使われており、一般にはブラウザのプラグインとして知られている。主要なブラウザに組み込まれているほか、OS別に各種ブラウザ向けのプラグインが用意されており、Windows向けには、主にFirefoxに使われているNPAPI（Netscape Plugin Application Programming Interface）版、主にOperaに使われるPPAPI（Pepper Plugin Application Programming Interface）版、Windows 7/Vista/XP上のInternet Explorerに使われるActiveX版の3種類が提供されている。

　このうちのActiveX版に関しては、Microsoft OfficeをはじめとするWindowsアプリでも利用することができ、文書ファイルに埋め込んだ、あるいはリンクしたFlashコンテンツを文書上で再生することができる。Flashs Playerを使用しているつもりがなくても、システムにActiveX版がインストールされていると、文書ファイル経由で攻撃されることがあるので注意したい。特に必要がなければ、アンインストールしておくことをお勧めする。

　ActiveX版がインストールされた環境でも、現在のMicrosoft Office（2010以降）は、ネット上からダウンロードしたファイルやメールの添付ファイルを開く際に、ほとんどの機能を無効にした「保護ビュー」という特別なモードで開くようになっている。保護ビューで開いた文書には、メッセージバーに警告メッセージが表示され、「編集を有効にする」をクリックして保護ビューを解除しない限り、ActiveXは有効にならない。

（2018/06/08 ネットセキュリティニュース）

【関連URL】
・Security updates available for Flash Player | APSB18-19[英文]（アドビシステムズ）
https://helpx.adobe.com/security/products/flash-player/apsb18-19.html
・Stable Channel Update for Desktop[英文]（グーグル）
https://chromereleases.googleblog.com/2018/06/stable-channel-update-for-desktop.html
・Adobe Flash Player のセキュリティ更新プログラム: 2018 年 6 月 7日（マイクロソフト）
https://support.microsoft.com/ja-jp/help/4287903/security-update-for-adobe-flash-player

◆モジラ、深刻な脆弱性を修正した「Firefox 60.0.2」を公開（2018/06/07）

モジラは7日、Webブラウザ「Firefox」の最新版「60.0.2」を公開した。対象となるのは、Windows、Mac、Linux、およびAndroid。法人向けの延長サポート版（ESR）「52.8.1」「60.0.2」も公開されている。

　最新版では、画像をスムーズに描画するアンチエイリアス機能を無効にした状態で細工されたSVGファイルを描画すると、ヒープベースのバッファオーバーフローが発生する問題1件が修正されている。悪用されるとアプリが異常終了するおそれがある。重要度は、4段階評価で上から2番目に高い「高」と評価されている。

　デスクトップ用の最新版は、自動更新機能を通じて配布されているほか、今すぐ手動で更新することもできる。

　手動更新は、Windowsではメニューボタン「≡」をクリックし、[ヘルプ]→[Firefoxについて]を選択する。または、[Alt]キーを押してメニューバーを表示し、[ヘルプ]メニューの[Firefoxについて]を選択する。

　OS Xでは、Firefoxメニューの[Firefoxについて]を選択する。自動や手動で更新したデスクトップ版のFirefoxは、ブラウザの再起動後に最新版が利用できるようになるので、ブラウザを起動したままでいる方は注意していただきたい。

　Android用の最新版は、「Google Play」で配信されている。アプリの自動更新が有効に設定されている場合は自動的に更新されるほか、「Google Play」の「マイアプリ＆ゲーム」で「アップデート」を表示すると、手動で更新できる。

（2018/06/07 ネットセキュリティニュース）

【関連URL】
＜Firefox 60.0.2＞
・リリースノート（デスクトップ版）[英文]
https://www.mozilla.jp/firefox/60.0.2/releasenotes/
・リリースノート（Android版）[英文]
https://www.mozilla.jp/firefox/android/60.0.2/releasenotes/

＜Firefox ESR 52.8.1＞
・リリースノート[英文]
https://www.mozilla.jp/firefox/52.8.1/releasenotes/

＜セキュリティアドバイザリ＞
・Mozilla Foundation Security Advisory 2018-14[英文]
https://www.mozilla.org/en-US/security/advisories/mfsa2018-14/

◆グーグル、深刻な脆弱性を修正した「Google Chrome 67.0.3396.79」公開（2018/06/07）

　グーグルは7日、「Google Chrome 67」の最新安定板「67.0.3396.79」を公開した。対象となるのは、Windows、Mac、およびLinux。

　最新版では、ブラウザが読み込むリソースをサイト側で制御するCSP（Content Security Policy）ヘッダーが正しく処理されない問題が修正されている。深刻度は、5段階評価の上から2番目「高」と評価されている。

　最新版への更新は自動的に行われるほか、メニューの[Google Chromeについて]を選択すると、ただちに最新版の確認とアップデートが行える。Mac版はChromeメニューから、Windows版は右端の設定アイコン→[ヘルプ]と進むと選択できる。

　最新版はブラウザの再起動後に利用できるようになるので、ブラウザを起動したままでいる方は注意していただきたい。

（2018/06/07 ネットセキュリティニュース）

【関連URL：グーグル】
・Stable Channel Update for Desktop[英文]
https://chromereleases.googleblog.com/2018/06/stable-channel-update-for-desktop.html

◆アップル、深刻な脆弱性を修正したmacOSの最新版などを公開（2018/06/04）

　アップルは2日、深刻な脆弱性を修正した「macOS High Sierra 10.13.5」と「セキュリティアップデート2018-003 Sierra」、「セキュリティアップデート2018-003 El Capitan」、「Safari 11.1.1」、「iCloud for Windows 7.5」を公開した。

　最新版へのアップデートは、Macは自動更新や通知をクリックするか、手動で「App Store」を確認する。Appleメニューから[App Store]を選択し、ツールバーの[アップデート]ボタンをクリックすると、利用可能なアップデートが表示される。

　Windows用のソフトウェアは、iTunesやiCloudと一緒にインストールされている「Apple Software Update」で行う。

　今回のセキュリティアップデートに伴い、5月30日に先行公開されていた「iOS 11.4」「iTunes 12.7.5 for Windows」の脆弱性情報が公開されたので、あわせてご紹介する。

■macOS High Sierra 10.13.5、セキュリティアップデート 2018-003

　Mac用OSの最新版「macOS High Sierra 10.13.5」では、iCloudへのメッセージ保管などの新機能がサポートされたほか、CVEベースで30件（同梱のSafariを除く）の脆弱性が修正されている。修正された脆弱性には、マルウェア（ウイルス）感染に悪用されるおそれのあるコード実行の脆弱性や特権昇格の脆弱性など、深刻な問題が多数含まれている。
　Sierra用とEl Capitan用の「セキュリティアップデート2018-003」では、macOS High Sierraと共通の問題を含む6件の脆弱性が修正されており、これらにも深刻な問題の修正が含まれている。

＜関連URL＞
・macOS High Sierra 10.13.5、セキュリティアップデート2018-003 Sierra、セキュリティアップデート2018-003 El Capitan のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT208849

■Safari 11.1.1

　macOS High Sierraに同梱されているWebブラウザSafariの最新版「11.1.1」が、macOS SierraとEl Capitan用に提供されている。
　最新版では、Webページを描画するレンダリングエンジン「WebKit」の脆弱性11件を含む、13件の脆弱性が修正されている。WebKitの脆弱性には、悪用されると細工されたWebページを閲覧するだけで、マルウェアに感染してしまうおそれがある危険な脆弱性が多数含まれている。

＜関連URL＞
・Safari 11.1.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT208854

■iOS 11.4
　5月30日に公開されたモバイル端末用OSの最新版「iOS 11.4」では、iCloudへのメッセージ保管や、2ペアのステレオオーディオ再生をサポートする「AirPlay 2」のサポートなどの新機能に加え、35件の脆弱性が修正されている。うち26件は、High SierraおよびSafariと共通の脆弱性で、マルウェアに感染してしまうおそれがある危険な脆弱性が多数含まれている。

＜関連URL＞
・iOS 11.4 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT208848

■Windows用iTunes 12.7.5、iCloud 7.5

　アップルがWebページの描画に使用しているレンダリングエンジン「Webkit」は、Windows版のiTunesやiCloudにも使われており、それぞれWindows用の最新版が提供されている。Windows版で修正されたWebKitの脆弱性は13件あり、マルウェア感染悪用されるおそれのある危険な脆弱性が多数含まれている。これにmacOS、iOSと共通のローカルユーザーが機密情報を表示できる等のセキュリティの問題3件を加えた、計16件の脆弱性が修正されている。

＜関連URL＞
・iTunes 12.7.5 for Windows のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT208852
・iCloud for Windows 7.5 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT208853

（2018/06/04 ネットセキュリティニュース）