Note:201601b

本日の気になった記事はこちらです。

SCTP ICMPv6 error message vulnerability

A lack of proper input checks in the ICMPv6 processing in the SCTP stack can lead to either a failed kernel assertion or to a NULL pointer dereference. In either case, a kernel panic will follow.
[The FreeBSD Project]

SCTP の ICMPv6 処理に脆弱性。

ntp panic threshold bypass vulnerability

The ntpd(8) daemon has a safety feature to prevent excessive stepping of the clock called the "panic threshold". If ever ntpd(8) determines the system clock is incorrect by more than this threshold, the daemon exits. There is an implementation error within the ntpd(8) implementation of this feature, which allows the system time be adjusted in certain circumstances.
[The FreeBSD Project]

ntpd(8) に panic threshold (NTP サーバから受け取った時刻が大きくずれている場合に ntpd が終了する)に起因する脆弱性。

Linux compatibility layer incorrect futex handling

A programming error in the handling of Linux futex robust lists may result in incorrect memory locations being accessed.
[The FreeBSD Project]

Linux バイナリ互換機能に脆弱性。

Linux compatibility layer setgroups(2) system call vulnerability

A programming error in the Linux compatibility layer setgroups(2) system call can lead to an unexpected results, such as overwriting random kernel memory contents.
[The FreeBSD Project]

Linux バイナリ互換機能の setgroups(2) に脆弱性。

TCP MD5 signature denial of service

A programming error in processing a TCP connection with both TCP_MD5SIG and TCP_NOOPT socket options may lead to kernel crash.
[The FreeBSD Project]

TCP の MD5 署名に DoS 攻撃を受ける脆弱性。

Insecure default snmpd.config permissions

The SNMP protocol supports an authentication model called USM, which relies on a shared secret. The default permission of the snmpd.configiguration file, /etc/snmpd.config, is weak and does not provide adequate protection against local unprivileged users.
[The FreeBSD Project]

bsnmpd の設定ファイル snmpd.config には USM の共有パスワードが記述される事があるが、 デフォルトのパーミッションが不適切。
手動で以下のように修正。
chown root:wheel /etc/snmpd.config
chmod 600 /etc/snmpd.config

OpenSSH client information leak

The OpenSSH client code contains experimental support for resuming SSH connections (roaming). The matching server code has never been shipped, but the client code was enabled by default and could be tricked by a malicious server into leaking client memory to the server, including private client user keys.
[The FreeBSD Project]

OpenSSH クライアントのローミング機能に情報漏洩の脆弱性。
文書化されていない実験的な機能ですが、 デフォルトで有効になっているそうです。
攻撃者のサーバに脆弱な SSH クライアントで接続してしまうと、 秘密鍵が盗まれることもあるそうです。
アップデートするか、 ~/.ssh/configUseRoaming no を設定しましょう。

auユーザーのメール不正転送(盗み見)事案についてまとめてみた

2016年1月14日、警視庁はKDDIの顧客情報管理システムを悪用してユーザーのメールを盗み見たとしてauショップの元従業員を逮捕しました。ここでは関連情報をまとめます。
[piyolog]

ショップ店員が盗み見と聞いて、 手続き中に端末見えちゃうのはどうしようもないのではと思ったのですががっつり転送設定ですか……。
不慣れな人向けにパスワードを聞いて代わりに設定するなんてのも良くあるそうですが……。

情報セキュリティインシデント(不正アクセスの疑い)について

昨年12月27日,大量のスパムメールが送信されたことにより,自動的にメールの送信を遮断したサーバがあることを,12月28日に確認しました。  その後,当該サーバが本学キャリアセンターのファイルサーバであることが判明し,ログ等の調査・確認を行い,1月4日に当該サーバが不特定多数の外部サーバと通信していることが判明したため,当該サーバをネットワークから切り離す措置を講じました。  当該サーバ内には,学生等の個人情報及び企業等の情報が所蔵されていました。所蔵数は,在学生が約1万8千人,卒業生が約9万5千人,企業等が約2千社で,計約11万件であります。現在,これらの情報について,データの流出の可能性があることから,流出の有無について調査を行うとともに,学内に設置している他のサーバについても,セキュリティの管理状況の調査に着手しました。
[北海道大学]

北海道大学で個人情報漏洩。

情報セキュリティ対策を支援する製品とソリューションを提案

平成 28 年1月4日(月)に、社外の iDC(インターネットデータセンター)に設置している弊社バ ックアップサーバへ不正アクセスし顧客企業リストの一部を窃取した旨、及び要求額の金銭を支 払わなければ当該情報を公開すると恐喝する旨の匿名の封書を受け取りました。
[株式会社アークン]

セキュリティのコンサルティング会社で情報漏洩。

ドスパラ、パーツ館を別館に移転! 1月23日からは別館が新生パーツ館、現パーツ館は閉鎖に

PCパーツショップ「ドスパラ パーツ館」が移転する。
移転先は、2015年11月20日に裏通りでオープンしたゲーミングデバイス専門店「ドスパラ 秋葉原別館」。現パーツ館3Fに入っているデジタル雑貨「上海問屋」を含めて移転統合し、1月23日からは別館を新たな「パーツ館」として営業する。中古販売は本店2F、中古買取は本店6Fにて。
[アキバ総研]

ドスパラパーツ館が移転。

ホビーショップ「リバティー 秋葉原7号店」が閉店

てんや隣、フィギュアや超合金などを扱うホビーショップ「リバティー 秋葉原7号店」が閉店。
取り扱い商品は、近隣の1号店と4号店へ移動させたようだ。
[アキバ総研]

リバティー 秋葉原7号店が閉店。
とはいえ好立地な中央通り沿いを含めあちこちにありますよね。

特急カシオペア:3月20日札幌発が最終…JR発表

JR北海道と東日本は、寝台特急カシオペア(札幌−上野)と夜行急行はまなす(札幌−青森)の最終運行日を発表した。カシオペアは3月20日の札幌発、はまなすは同21日の青森発が最終となり、いずれも翌日、それぞれ上野、札幌に到着する。
[毎日新聞]

ちゃくちゃくと北海道新幹線の準備が進められていますね。


ホビー・フィギュア通販