社内向けセキュリティ関連情報共有メモ

2020/09/30に社内掲示した内容のメモです。

更新:Microsoft製品の脆弱性対策について（9/28更新）

IPAから、CVE-2020-1472という、シグマ社内LANでも使っているActiveDirectoryのサーバーに接続する際に動く処理を悪用すると、管理者アカウントとしてサーバーを乗っ取れるという問題。これの悪用方法が公開されて、既に攻撃事例が出ているそうです。
https://www.ipa.go.jp/about/press/20200918.html
https://www.jpcert.or.jp/newsflash/2020091601.html

ゲーム「原神」アンチチートプログラムのスパイウェア疑惑（9/28）

オンラインゲームでのチート（インチキ、不正）を防止するAnti-Cheatプログラムが、逆にPC内部の情報を外に漏らしているのではないか？という疑惑が話題になり、製造元が釈明しています。
https://genshin.mihoyo.com/ja/news/detail/5815

原神-風と異邦人 (Original Game Soundtrack)

これですが、興味深いのはゲームの利用規約。

genshin.mihoyo.com

第5条 個人情報およびその取り扱い、から抜粋しますね。

しかしながら、当社は提供された個人情報の完全なる保護を約束することはできませんので、ユーザーが提供する個人情報は、ユーザー自身のリスクにおいて提供されるものとします。当社は、ユーザーの個人情報が、管理上、技術的および物理的な問題・侵害行為によって、アクセス、公開、改変や破壊されないということを保証できません。

中国系、またはサーバーが中国にある（全て出なくても一部でも）企業の利用規約は大抵こうなっているようです。結局、政府による検閲や介入があった場合に一企業がそれを防ぐ術はないということなのでしょう。

参考までに、他のゲーム「アズールレーン」の規約を見てみましょう。

www.azurlane.jp

なお、アカウントとパスワードは漏えい、滅失のないよう厳重に管理します。しかしながら、当社は提供された個人報の完全なる保護を約束することはできませんので、ユーザーが提供する個人情報は、ユーザー自身のリスクにおいて提供されるものとします。当社は、ユーザーの個人情報が、管理上、技術的および物理的な問題・侵害行為によって、アクセス、公開、改変や破壊されないということを保証できません。

もう、ほぼ定形文になっているんですね。まぁゲーム程度で漏れる情報は知れていますが、ID、パスワードの組み合わせを各所で転用している場合、1つが漏れると他も全部筒抜けということもありえます。ご注意を。

Apple製品のアップデート情報が公開されています（9/29）

Apple社製品にセキュリティ強化を含めたパッチが出ています。Mac、iPad、iPhoneご利用の方は確認を。
https://jvn.jp/vu/JVNVU92546061/index.html

コンテンツマネジメントシステム CMONOS.JPに格納型XSS脆弱性（9/25）

掲示版等のメッセージにプログラムを書き込むことで、掲示された文章に交じったプログラムが発動するという脆弱性を使う「XSS（クロスサイトスクリプティング）」が、上記CMSにあったようで。パッチが出ています。XSS発動の仕組みとまずは手作業での回避方法を考えてみるというのはWebアプリ開発者が一度はやっておくと参考になる勉強だとおもいます。参考にしてください。
https://cmonos.jp/download/history.html
https://jvn.jp/vu/JVNVU93741515/index.html

Web Designing 2020年4月号［雑誌］