Abnormal Securityは1月23日(米国時間)、「How GhostGPT Empowers Cybercriminals with Uncensored AI｜Abnormal」において、安全対策の施されてないチャットボット「GhostGPT」が販売されていると報じた。 一般的にChatGPTなどに代表される生成AIのチャットボットには、社会通念上問題のある質問への回答や、悪用可能な情報の提供を回避する安全対策が施されている。しかしながら、今回販売が確認されたGhostGPTにはこれら対策がなく、サイバー犯罪者による悪用が可能とされる。 How GhostGPT Empowers Cybercriminals with Uncensored AI｜Abnormal
システム監視ソフトウェア「Zabbix」において権限の昇格が可能となる脆弱性が明らかとなった。重要度が「クリティカル」とレーティングされており、アップデートが呼びかけられている。 一部関数にSQLインジェクションの脆弱性「CVE-2024-42327」が明らかとなったもの。バグ報奨金プログラムを通じて報告を受けた。「同7.0.0」「同6.4.16」「同6.0.31」および以前のバージョンに影響がある。 フロントエンドにおけるデフォルトのユーザーロールを持つか、APIに対するアクセスが可能であるロールを持つ場合に、ネットワーク経由で権限の昇格が可能になるという。 Zabbixは、同脆弱性について共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.9」と評価。重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。 同社は「同7.0.1rc1」「同6
国土交通省は11月19日、日本発の安全技術「ペダル踏み間違い時加速抑制装置」が国連基準化され、今後の世界スタンダードとして認められたと発表した。 これは、スイス・ジュネーブで開催された国連の自動車基準調和世界フォーラム（WP.29）の第194回本会議での決定だ。この会議で、日本発の安全技術である「ペダル踏み間違い時加速抑制装置」が国連基準化され、今後の世界スタンダードとして認められた。 この装置は、高齢ドライバーなどによる事故の削減を目指し、アクセルとブレーキの踏み間違いや前方の障害物を検知して衝突を防止する性能要件を規定したものだ。日本からの提案をベースに議論が進められ、今回のWP.29で合意に至った。 ペダル踏み間違い時加速抑制装置の国連基準化は、日本の交通事故防止技術が世界に認められた証といえる。特に高齢ドライバーによる事故が社会問題化する中、この技術の普及は世界的な交通安全向上に大
読売新聞は、「サポートを装った怪しい警告にご注意を」との記事を7月19日に掲載しました。 これは読売新聞オンラインによく表示されるとSNSで話題となっている「サポート詐欺」と呼ばれる類型の詐欺をめぐる対応。 （速報）読売新聞のサイトを見ていたらこれが出た。サイトを見ていただけでボタン等は押していません。これが出た当初はフルスクリーンでないですが、サイト内をクリック等すると、フルスクリーンになります。 pic.twitter.com/7yL8puRFcN — 徳丸 浩 (@ockeghem) July 18, 2024 具体的には、ファイアウォール更新・スパイウェア感染などの虚偽の警告が表示され、サポートセンターを装った詐欺の窓口に誘導されるという悪質な手口です。クリックを伴わずとも突然、このような警告画面が表示されるそうです。おそらく広告のJavaScriptを悪用して詐欺を行っている業者
2024年7月1日、OpenSSHの開発チームは深刻な脆弱性 CVE-2024-6387 が確認されたとしてセキュリティ情報を発出し、脆弱性を修正したバージョンを公開しました。この脆弱性を発見したQualysによれば、既定設定で構成されたsshdが影響を受けるとされ、影響を受けるとみられるインターネット接続可能なホストが多数稼動している状況にあると報告しています。ここでは関連する情報をまとめます。 概要 深刻な脆弱性が確認されたのはOpenSSHサーバー（sshd）コンポーネント。脆弱性を悪用された場合、特権でリモートから認証なしの任意コード実行をされる恐れがある。 悪用にかかる報告などは公表時点でされていないが、glibcベースのLinuxにおいて攻撃が成功することが既に実証がされている。発見者のQualysはこの脆弱性の実証コードを公開しない方針としているが、インターネット上ではPoC
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 川村インターナショナル 2024-05-01 07:30 「Linux」カーネル開発の動向を知りたければ、「Linux Kernel Mailing List」を購読するといい。Linuxカーネルの実状を深いレベルで知りたいが、細かな部分まですべて追跡したくはないという場合は、「Linux Weekly News」（LWN）を購読しよう。 だが、Linuxカーネルの現状に関する幅広い概要を手早く知りたいなら、筆者と同じことをするのがいいだろう。それは、Linuxカーネルの開発者でLWNの編集長であるJonathan Corbet氏が、Linuxの大規模カンファレンスで実施したLinuxカーネルの現状に関するプレゼンテーションを見ることだ。 シアトルで開催の「Open Source
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 川村インターナショナル 2024-04-12 07:30 すべての始まりは、Microsoftの主任ソフトウェアエンジニアであるAndres Freund氏が、「Debian Linux」ベータ版のSSHリモートセキュリティコードの実行速度が遅い理由に関心を持ったことだった。Freund氏が詳しく調べたところ、問題が明らかになり、xzデータ圧縮ライブラリーのチーフプログラマー兼メンテナーだったJia Tanと名乗る人物がコードにバックドアを仕掛けていたことが分かった。その目的は、攻撃者が「Linux」システムを乗っ取れるようにすることだ。 近年は、悪意あるハッカーがソフトウェアに不正なコードを挿入する事例が非常に多くみられる。一部のオープンソースコードリポジトリー、たとえば人気の「
2024年3月29日に、圧縮ツールの「XZ Utils」に、悪意のあるバックドアが仕込まれていたことが明らかになりました。どのようにバックドアが仕掛けられたのかについて、Googleのエンジニアであるラス・コックスさんが時系列順にまとめました。 research!rsc: Timeline of the xz open source attack https://research.swtch.com/xz-timeline XZ Utilsおよび設置されていたバックドアについては下記の記事で解説しています。 Red HatやDebianなどLinuxディストリビューションの組込み圧縮ツール「XZ Utils」に悪意のあるバックドアが仕掛けられていたことが発覚 - GIGAZINE XZ Utilsへの攻撃を行った「Jia Tan」という名前の攻撃者は2021年後半ごろから数年に渡ってXZ
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 本記事は4月10日9:00（JST)時点で判明している事実をまとめたものです。誤りがあればコメントでお知らせください。 本記事には誤りが含まれている可能性があります。 新しい情報があれば随時更新します。 4/10 9:15 キルスイッチの動作について追記しました。 4/2 18:30 Q&Aを追加しました。 4/2 11:30 実際にバックドアが存在する環境を作成し、攻撃可能なこと、出力されるログ等について追記しました。また、攻撃可能な人物は秘密鍵を持っている必要があることを追記しました。 ところどころに考察を記載しています。 事実は～
理論上、解読が不可能とされる「量子暗号通信」の開発が世界的に加速しています。金融や医療など秘匿性が高い情報通信での活用が期待され、国内の企業も実用化を急いでいます。 インターネットなどで使われる今の暗号は、高い計算能力を持った量子コンピューターの登場で解読されるリスクが指摘されています。 量子暗号通信は、暗号鍵の情報を光の粒子＝光子に載せて伝送し、相手と共有します。 観察すると状態が変化するという量子力学の特性を生かして盗聴を検知でき、理論上、解読が不可能とされています。 実用化に向けて日本の企業も開発に力を入れ、東芝は、去年7月からイギリスの金融機関などとともにロンドンで実証実験を行っています。 すでにアメリカやシンガポールなどでも実証実験を行っていて、事業の海外展開を目指しています。 東芝の情報通信プラットフォーム研究所の斉藤健所長は「これからますます発展するインターネット社会で安全に
現在、Windowsに提供されるほとんどの更新プログラムは、インストールした後に再起動が必要となる。特に、重要なシステム機能のアップデートでは強制的に再起動が行われるため、これを煩わしく感じるユーザーも多いだろう。Windows Centralが「Microsoft wants to update your Windows 11 PC without forcing you to reboot」で伝えたところによると、Microsoftはこの問題の抜本的な改善に取り組んでおり、再起動せずに更新プログラムをインストールできる仕組みを開発中だという。 メモリーに直接パッチを適用する「ホットパッチ」 再起動せずに更新プログラムをインストールする仕組みは「ホットパッチ（Hot Patching）」と呼ばれている。MicrosoftはすでにAzureプラットフォーム向けの一部のWindows Ser
ガジェット全般、サイエンス、宇宙、音楽、モータースポーツetc... 電気・ネットワーク技術者。実績媒体Engadget日本版, Autoblog日本版, Forbes JAPAN他 ビジネス向けIT技術情報サイトIT Brewのシニアレポーター、トム・マッケイ氏は、所属していた米Gizmodoを2022年に退職した際、Slackアカウントの名前を「Slackbot」に書き換え、その後数か月間、偽SlackbotとしてこっそりアクセスしていたことをX（Twitter）で明かしました。 マッケイ氏は、このことについてGizmodoの親会社であるG/O Mediaが「何か月も発見も削除もできなかった」と述べています。 Slackbotとは、Slackユーザーの特定の投稿に対して自動的にレスポンスを返したり、リマインダーを知らせたりする機能を持つBotのこと。 条件や応答内容を設定してカスタマイ
企業向けのセキュリティソリューション事業を手がけるラック（東京都千代田区）は2月21日、情報セキュリティ講座「ラックセキュリティアカデミー」のオンライン受講システムで個人情報の漏えいがあったと発表した。 コースを申し込んだ1人の情報閲覧の権限設定に作業ミスがあった。このため、1月10日から15日までの間、該当するユーザーは過去に他のコースを受講した19人の名前やメールアドレス、受講履歴などの個人情報を閲覧できる状態になっていた。 通報を受けてラックは設定を修正。20人のユーザーに連絡して謝罪した上、システム上の全ての登録データを調査し、関係機関へ報告したという。 ラックは関係者に改めて謝罪すると共に、「今後このような事故が再び発生しないよう、業務運用手順と管理体制の継続的な改善に取り組んでまいります」としている。 関連記事 トヨタの社用車クラウドで情報漏えい 過去プロダクトのAWSアクセス
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 中国の華中科技大学などに所属する研究者らが発表した論文「PrintListener: Uncovering the Vulnerability of Fingerprint Authentication via the Finger Friction Sound」は、スマートフォンによる指紋認証時の摩擦音を録音し解析することで、その指紋を復元する自動指紋識別システム（AFIS）へのサイドチャネル攻撃を提案した研究報告である。 この攻撃手法は、ユーザーの画面上でのスワイプ動作を利用して指紋の特徴を抽出し、これらの特徴に基づいて、ユーザーの指紋
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
