2014年4月のセキュリティ情報が5分で説明できるわけがない！ 2014/05/03 Sat LT駆動開発03 http://ltdd.doorkeeper.jp/events/10730

1. 20142014年年44月の月の
セキュリティ情報がセキュリティ情報が
55分で説明できる分で説明できる
わけがない！わけがない！
2014/05/03 Sat
LT駆動開発03

2. 自己紹介
広島在住、広島を中心に勉強会に出没

オープンソースカンファレンス2014(準備中)
Hiroshima地元実行委員 @oschiroshima の中の人
調整中ですが 2014/09/20(土) or 9/14(日)

広島サーバユーザ友の会(仮称)
はじめた奴

hiroshima.rb 広報担当?
・・・最近何もしていないような(汗

日本Androidの会 中国支部 運営スタッフ?
・・・最近全然何もしていないような(汗

Ustreamで勉強会の配信とかやってます。

Twitter @takatayoshitake

3. 告知
(既に誰かがやってるかも知れないけど)
● 日本Androidの会 中国支部 第33回勉強会
● 日時 :2014/05/10 13:30 to 17:00
● 定員 :45 人
● 会場 :広島県健康福祉センター
（広島市南区皆実町1-6-29）
● http://atnd.org/events/50204

4. お約束
この発表は個人的な物で
仕事や所属等は全然関係ありません。
誤記や間違い等あればご指摘頂けると
助かります。
@takatayoshitake

5. https://www.ipa.go.jp/security/announce/alert.html

6. IPA 重要なセキュリティ一覧
● 2014年5月2日 更新：Internet Explorer の脆弱性対策について(CVE-2014-1776)
● 2014年4月30日 Adobe Flash Player の脆弱性対策について(APSB14-13)(CVE-
2014-0515)
● 2014年4月28日 更新：Apache Struts2 の脆弱性対策について(CVE-2014-0094)
(CVE-2014-0112)(CVE-2014-0113)
● 2014年4月16日 OpenSSL の脆弱性に対する、ウェブサイト利用者（一般ユーザ）の対
応について
● 2014年4月16日 Oracle Java の脆弱性対策について(CVE-2014-0429等)
● 2014年4月15日 更新：OpenSSL の脆弱性対策について(CVE-2014-0160)
● 2014年4月9日 Microsoft 製品の脆弱性対策について(2014年4月)
● 2014年4月9日 更新：Microsoft Word の脆弱性対策について(CVE-2014-1761)
● 2014年4月9日 Adobe Flash Player の脆弱性対策について(APSB14-09)(CVE-2014-
0506等)
https://www.ipa.go.jp/security/announce/alert.html

7. 先月(2014年4月)は
重要なセキュリティ情報が
多数発表されました。
一般ユーザにも対処が必要な
内容もあり、ご紹介します。

8. 時間の関係でかなり
ざっくりした紹介なので、
とりあえず
「こんなのがあったんだ」
と知って頂けると幸いです。
詳しくは各リンク先をご確認下さい。

9. 1. OpenSSL の脆弱性対策について
(CVE-2014-0160)
● オープンソースの暗号通信ライブラリである
OpenSSL に、情報漏えいの脆弱性が発見されま
した。
● この脆弱性を悪用された場合、本来秘匿すべき情
報（暗号通信の内容や、暗号に使う秘密鍵など）が
漏えいする可能性があります。
https://www.ipa.go.jp/security/ciadr/vul/20140408-openssl.html

10. 通称 Heartbleed Bug
● この脆弱性は、OpenSSL バージョン1.0.1／1.0.2
系に存在する。Heartbeat拡張の実装に見つかっ
た致命的なバグであることから、
「Heartbleed」バグと称されています。
「Heartbleed」等で検索すると、詳しい情報が多数
出てきます。

11. Heartbreed 具体的には・・・
● Webページにアクセスするとき「https://」で始まる
通信は暗号化されているので安全…と言われてい
ましたが、実は2年前から欠陥があった。
● Google , Facebook , Dropbox 等 多数のサービ
スに影響あり。

12. 一般ユーザの対応
● バグが修正されたらパスワードを変更しましょう！
http://www.cnet.com/how-to/which-sites-have-p
atched-the-heartbleed-bug/
– 「Vulnerability patched. Password change
recommended」脆弱性対応完了。
パスワード変更を推奨。
– 「Was not vulnerable」脆弱ではありませんでした。
(対応は不要)
※同じパスワードを使っていた場合は変更しましょう！

13. 参考)利用サイトの対応状況確認サイト
https://lastpass.com/heartbleed/

14. 2. Internet Explorer の脆弱性対策
について(CVE-2014-1776)
● Microsoft 社の Internet Explorer に、悪意のある細工がされたコンテ
ンツを開くことで任意のコードが実行される脆弱性が存在します。
●
この脆弱性が悪用された場合、アプリケーションプログラムが異常終
了したり、攻撃者によってパソコンを制御され、様々な被害が発生する
可能性があります。
● Microsoft 社は「脆弱性を悪用しようとする限定的な標的型攻撃を確
認しています。」と公表しており、今後被害が拡大する可能性があるた
め、至急、修正プログラム(MS14-021)を適用して下さい。
※情報公開は2014/04/26 更新プログラムは 2014/05/02より配信
https://www.ipa.go.jp/security/ciadr/vul/20140428-ms.html

15. 一般ユーザの対応
● Windows Update 等で自動更新して下さい。
※回避策「VGX.DLL を無効にする」を実施してい
た場合は必要に応じて有効にする。

16. 3. Apache Struts2 の脆弱性対策について
(CVE-2014-0094)(CVE-2014-0112)
(CVE-2014-0113)
● Apache Software Foundation が提供する Apache Struts は、Java のウェブアプ
リケーションを作成するためのソフトウェアフレームワークです。
● Apache Struts 2 には、ClassLoader を操作される脆弱性(CVE-2014-0094 および
CVE-2014-0112、CVE-2014-0113)が存在します。
●
本脆弱性が悪用された場合は、ウェブアプリケーションの動作権限内で情報の窃取
や特定ファイルの操作、およびウェブアプリケーションを一時的に使用不可にされて
しまいます。さらに、攻撃者が操作したファイルに Java コードが含まれている場合、
任意のコードが実行される可能性があることがわかっています。
●
本脆弱性を狙ったリクエストが確認されていますので、これらの脆弱性が対策されて
いるバージョン 2.3.16.2 へのアップデートや回避策を至急実施してください。
※注: Struts1 にも同様の影響あり
https://www.ipa.go.jp/security/ciadr/vul/20140417-struts.html

17. 一般ユーザの対応
● Webサーバ等からパスワード等の個人情報が漏
洩する可能性があります。
※昨年(2014)7月にも同様の問題が多発した。
● パスワードリスト攻撃等に利用されないように複数
のサービスでパスワードを使いまわししている方が
居たら個別に変更するようにしましょう！

18. 2014/04 フィッシング報告状況
http://www.antiphishing.jp/report/monthly/201404.html

19. まとめ
●
脆弱性の全く無い製品やサービスはありません。
●
パスワードの使い回しをやめて定期的に変更
しましょう。
●
・・・記憶では限界があるし変更も大変なので
現実的にはパスワード管理ソフト等を使いましょう。
パスワード管理ソフト例
– 1Password https://agilebits.com/onepassword
– KeePass http://keepass.info/

20. ご清聴
ありがとう
ございました

21. 会場のみなさんに質問
ここからはＵｓｔ配信無しで・・・