2014-11-27 セキュリティニュース

このドキュメントの内容は、以下の通りです。

• 「Docker 1.3.2」リリース--緊急レベルの脆弱性2件を修正
• Twitterがモバイル端末にインストールされたアプリの一覧を収集へ
• ソニー・ピクチャーズにハッカー攻撃
• AVTOKYO2014リポート： 知ってましたか？ セキュリティ業界が歴史に学べること
• “未熟なDNS”をDDoSで拷問、「DNS水責め攻撃」が原因らしき実害が日本でも
• 組織外部向け窓口部門の方へ：「やり取り型」攻撃に対する注意喚起 ～ 国内5組織で再び攻撃を確認 ～

「Docker 1.3.2」リリース--緊急レベルの脆弱性2件を修正

• http://japan.zdnet.com/article/35057105/
• CVE-2014-6407
• アーカイブ抽出時にホストの権限昇格が可能になる脆弱性
• Docker 1.3.1以前のバージョンが影響を受ける
• CVE-2014-6408
• イメージに適用されたセキュリティオプションを通じてコンテナの権限昇格が可能になる脆弱性
• Docker 1.3.0から1.3.1までのバージョンが影響

Twitterがモバイル端末にインストールされたアプリの一覧を収集へ

• http://japan.cnet.com/news/service/35057098/
• Twitterは、ユーザーがどのアプリをダウンロードしているのかについてデータの収集を開始する予定で、「よりパーソナルな」体験を構築することが目的だという。

ソニー・ピクチャーズにハッカー攻撃

• http://jp.reuters.com/article/companyNews/idJPKCN0J92FS20141125
• ソニー・ピクチャーズのシステムが２４日ダウンする直前、同社のコンピュータ画面に赤い骸骨の画像と「Hacked By #GOP（ＧＯＰによるハッカー攻撃）」というメッセージが表示された。
• ソニー・ピクチャーズに対し、入手した「秘密」をウェブサイト上で漏えいするとも警告。

AVTOKYO2014リポート： 知ってましたか？ セキュリティ業界が歴史に学べること

• 「No drink, No Hack!」を合言葉にしたセキュリティイベント「AVTOKYO2014」
• http://www.atmarkit.co.jp/ait/articles/1411/26/news057.html
• VAWTRAKは、いわゆるMan in the Browserの手法を使って不正送金を行うマルウェア

“未熟なDNS”をDDoSで拷問、「DNS水責め攻撃」が原因らしき実害が日本でも

• http://internet.watch.impress.co.jp/docs/event/20141125_677364.html
• 「未熟なDNSと今後どう付き合うべきか　委任／移転通知インジェクション攻撃とDNS Water Torture（Slow Drip）攻撃について考える」である。
• 「DNS水責め攻撃」と呼ばれる「DNS Water Torture（Slow Drip）攻撃」

組織外部向け窓口部門の方へ：「やり取り型」攻撃に対する注意喚起 ～ 国内5組織で再び攻撃を確認 ～

• http://www.ipa.go.jp/security/topics/alert20141121.html
• 「やり取り型」攻撃とは、一般の問い合わせ等を装った無害な「偵察」メールの後、ウイルス付きのメールが送られてくるという、標的型サイバー攻撃の手口の一つです。