Googleに障害が発生。復旧進む

2020年12月14日 21:39

あるAnonymous Coward 曰く、

2020-12-14T21:00:00+09:00時点で、Google Playにアクセスできない障害が発生している。
Google Workspace ステータスダッシュボードを見る限り、その他の障害は確認できていない。

情報元へのリンク

21時21分段階ではYouTubeなどにもアクスできなくなっているようだ。ケータイ Watchによれば、

編集部で確認したところ、Gmail、YouTube、Googleドライブが利用できず、Google検索は使いづらい状況だ。ただし、シークレットモードではパソコンおよびスマートフォンからYouTubeが利用できることを確認した。またGoogleアカウントでログインするゲーム（Pokemon GO、Ingress）も利用できない。一方、翻訳は利用できた。

とのこと。

追記：21時32分更新　ダッシュボードで障害状況が案内された。障害が起きたのは20時55分ごろとのこと。

追記：21時36分更新　復旧し始めた模様

スラド
EIZO、Apple M1チップ搭載Macで互換性問題があると発表。他社製品でも起こりうるとも 2020年12月14日 18:03

EIZO、Apple M1チップ搭載Macで互換性問題があると発表。他社製品でも起こりうるとも

スラド

著者: nagazou

2020年12月14日 18:03

ディスプレイメーカーのEIZOによると、同社が自社製品とApple M1チップを搭載したMac製品との互換性を検証したところ、大きく分けて4項目ほど制限があることを発見したという。一つ目は「Thunderbolt 3端子」には1台のモニターしか接続できないという点。2台目を接続しても片方のモニターは表示されないという（EIZO、PC Watch）。

二つ目はカラーフォーマットで、Macから出力される映像信号のカラーフォーマットがYUVリミテッドレンジになってしまうことで、グラデーションの階調が飛んでしまうことがあるという。この問題はこれまでIntel MacではHDMI接続でのみ発生する問題だったが、M1チップMacではUSB Type-C接続やDisplayPort変換接続でも同じ症状が発生するとしている。EIZOの一部製品ではYUVフォーマットを非対応する設定にすることで回避できるとしている。

三つ目はカラープロファイルで、macOSが自動生成するカラープロファイルが、モニターの色域やガンマ値と一致しないことがあるという。これも機種によっては設定で回避できることがあるとしている。四つ目としてモニターの向きを90度や270度に設定すると、解像度が下がる現象が発生するという。「Option」キーを押しながら「変更」をクリックすることで解像度の選択肢が増え、推奨解像度を選べるようになるとしている。またColorNavigatorなどのソフトウェアについても現在ではまだ未対応だとしている。

なお、こうした問題はEIZO製以外のディスプレイでも生じる可能性があるようだ。

すべて読む | ハードウェアセクション | ハードウェア | モニター |

スラド
ソフトバンク、Boston Dynamicsをヒュンダイに売却へ 2020年12月14日 17:06

ソフトバンク、Boston Dynamicsをヒュンダイに売却へ

スラド

著者: nagazou

2020年12月14日 17:06

ソフトバンクグループは11日、ロボットメーカー米Boston Dynamicsを韓国のヒュンダイ自動車に売却したと発表した。ヒュンダイはBoston Dynamicsの株式80％を取得し、ソフトバンクは子会社を通じて株式の20％を継続して保持する。株式の売却額は約8億8000万ドル（約915億円）。売却手続きは2021年6月までに完了する予定（ソフトバンク[PDF]、ヒュンダイ[PDF]、Engadget）。

すべて読む | テクノロジー | ビジネス | ロボット |

スラド
Gmailで添付されたMicrosoft Officeドキュメントを直接編集・返信可能に 2020年12月14日 16:05

Gmailで添付されたMicrosoft Officeドキュメントを直接編集・返信可能に

スラド

著者: nagazou

2020年12月14日 16:05

headless 曰く、

Googleは11日、Google Workplace(旧G Suite)の新機能に関する発表の中で、Gmailで添付されたMicrosoft Officeドキュメントを直接開いて編集し、編集結果をそのまま添付して返信することが可能になったことを発表した(Google Cloud Blogの記事、 The Vergeの記事、 Neowinの記事、 Softpediaの記事)。

発表はGoogle Workplace向けのものだが、個人ユーザーでも利用できるようだ。まず、GmailでOfficeドキュメントが添付されたメッセージを開き、添付ファイルをポイントすると表示される編集ボタン(鉛筆のアイコン)をクリックすればGoogle Docsでドキュメントを開いて編集できる。あとはGoogle Docsの「ファイル」メニューで「メール→Reply with this file」を選べば、編集後のファイルが添付された状態でGmailの返信作成画面が開く。

2つのアカウントで試してみたところ、GmailのOfficeドキュメント編集ボタンは両方で表示されたが、Google Docsの新しいメニュー項目が表示されるのは1アカウントのみだった。なお、添付ファイルは開くたびにGoogle Driveへ新規保存される。また、ファイル名が日本語の場合は添付後に文字化けした。Google Driveに保存されたファイルのファイル名は文字化けしておらず、Gmail側でGoogle Driveからファイルを挿入する場合は文字化けしなかった。

スラド
APT29と見られる組織が米財務省などのメールを傍受。アップデートを改ざんして侵入か 2020年12月14日 15:04

APT29と見られる組織が米財務省などのメールを傍受。アップデートを改ざんして侵入か

スラド

著者: nagazou

2020年12月14日 15:04

Reutersによると、財務省と商務省のの国家通信情報管理局（NTIA）といった米国政府機関が、ロシア支援のハッキング集団により監視されていた可能性があるという。犯行グループはAPT29またはCozy Bearなどと呼ばれるグループとされる（Reuters、ITmedia）。

Reutersによれば、攻撃者は行政機関向けのネットワーク・マネージメントを行っていたIT企業SolarWindsがリリースした監視ソフトウェアのアップデートを改ざん、これにより政府機関のネットワークに侵入したとしている。この結果、NTIAの事務に使用されていたOffice 365がハッキングされ、電子メールを数カ月にわたって監視していたとしている。

SolarWindsは今年3月から6月の間にリリースされた監視ソフトウェアのアップデートは、国家による洗練されたサプライチェーン攻撃によって破壊された可能性があるとしている。SolarWindsは、米国のFortune 500企業の大半と米国の通信プロバイダーのトップ10、米軍の5つの支部すべて、国務省、国家安全保障局、および米国大統領府を顧客に持っているとのこと。

スラド
米ハンバーガー店でオンラインオーダーしたらバンズとパテと玉ねぎ2本だけ届く 2020年12月14日 14:31

米ハンバーガー店でオンラインオーダーしたらバンズとパテと玉ねぎ2本だけ届く

スラド

著者: nagazou

2020年12月14日 14:31

カリフォルニア州に住んでいるてぃむたむさんは、米国のハンバーガー屋「Shake Shack」でハンバーグをオンライン発注したそうだ。その結果、届いたものはバンズの間にパテと玉ねぎ2本だけが入った寂しいハンバーガーだったという（てぃむたむさんツイート、Togetter）。

本人はせっかく注文するのだからと、ハンバーガーのチーズ・レタス・トマト、ソースとオプションプランをすべて選択したつもりだったのだが、レシートを確認したところNo cheese, no lettuce, no tomato, no sauce……となっており、チェックを入れると除外するタイプのユーザーインタフェースだったことが購入後に判明したそう。ちなみに届いたバーガーのお値段は6ドルだったとのこと。

Togetterにまとめられた内容によれば、同様の経験をした人は他にもいたようで、デフォルトでオン、タップでオフというUIはわかりにくすぎではという意見が多かったようだ。アメリカだとこういうのが一般的なんだろうか。

スラド
中国の半導体大手企業「紫光集団」、債務不履行が相次ぐ 2020年12月14日 14:05

中国の半導体大手企業「紫光集団」、債務不履行が相次ぐ

スラド

著者: nagazou

2020年12月14日 14:05

あるAnonymous Coward 曰く、

Bloombergによると、中国の半導体大手紫光集団のデフォルトが相次いでいる。紫光集団は11月にも人民元建て債13億元がデフォルトとなったが今回10日満期のドル建て債4億5000万ドルがデフォルトになった。ドル建て債のデフォルトは初めて。これに伴い20億ドル相当のドル建て債もクロスデフォルト（デフォルトが発生した場合、返済期日になっていない他の債務についてもデフォルトと見なして、債権者が債務返済を要求できる条項）となる。

日経新聞によると、中国の場合は債務不履行に陥った場合でも銀行が当座の運転資金を供給する場合があるので、直ちに経営が行き詰まるとは限らないという。

紫光集団は清華大学が経営する半導体関連企業の持株会社でQimondaが2009年に経営破綻した際に西安の開発拠点を再生した西安紫光国芯半導体、最近の米中の摩擦を受け半導体の国内自給化を目指してNAND型フラッシュメモリやDRAMの生産を目指している長江存儲科技を傘下に持っている。ちなみに半導体と関係ないが、日本でIR汚職事件を起こした中国企業の500ドットコムの筆頭株主でもある（ITmedia）。

スラド
B-43熱核爆弾の純正ノーズコーン、ebayに出品される 2020年12月14日 13:30

B-43熱核爆弾の純正ノーズコーン、ebayに出品される

スラド

著者: nagazou

2020年12月14日 13:30

ebay上で米軍が過去に運用していた核爆弾「B-43」の弾頭先端部のカバーが出品されているそうだ。出品時の価格は300.00ドルとなっている（ebay、dirGさんのツイート）。

出品者の説明によれば、冷戦終了時に解体されたものの一つで、再利用されずに民間コレクター向けに販売されたものだという。プレート部分に「003 of 33」という個体ナンバーが記載されている。本体サイズは高さ26.5インチ、基部直径は約14インチ、重さは約14ポンドだそうだ。米国内にのみ配送可能とのこと。

すべて読む | 軍事 | 原子力 | アメリカ合衆国 |

スラド
福島県沖の浮上式洋上風力発電施設、採算が見込めず全て撤去へ 2020年12月14日 13:03

福島県沖の浮上式洋上風力発電施設、採算が見込めず全て撤去へ

スラド

著者: nagazou

2020年12月14日 13:03

あるAnonymous Coward 曰く、

2年前、福島県沖にある洋上風力発電施設の一部が採算が見込めないとして撤去されていたが（前回記事）、残りの発電施設についても採算が見込めないと判断され撤去されることになった。

ただ、着床したタイプの洋上風力発電所の計画は予定されているようなのでこれで洋上風力が完全に潰えるというわけではなさそう。

情報元へのリンク

すべて読む | ハードウェアセクション | ハードウェア | 電力 |

スラド
ゾディアックキラーの暗号 Z340 が解読される 2020年12月14日 12:00

ゾディアックキラーの暗号 Z340 が解読される

スラド

著者: nagazou

2020年12月14日 12:00

headless 曰く、

ゾディアックキラーの暗号 Z340 が米国・オーストラリア・ベルギーのプログラマー3人により、51年の時を経て解読された(ZodiacKillerCiphers.comの記事、 ZodiacKillerFacts.comの記事、 Motherboardの記事、 The Registerの記事、 FBI SanFranciscoのツイート、動画)。

ゾディアックキラーは米国・カリフォルニアで1960年代末に発生した未解決連続殺人事件の犯人で、1969年と1970年に合計4件の暗号を新聞社などに送っている。1969年8月に届いた408文字・記号の Z408 は1週間ほどで解読されているが、1969年11月に届いた340文字・記号の Z340 は長年にわたって解読が試みられたものの決定的な解読結果は出ていなかった。なお、1970年に届いた Z13 と Z32 は短すぎるため、他に情報がなければ解読はできないと考えられている。

Z340 の解読は、ゾディアックキラーの暗号に関するWebサイトZodiacKillerCiphers.comを運営する米国のDavid Oranchak氏がオーストラリアのSam Blake氏とベルギーのJarl Van Eycke氏の協力を得たことで実現した。Blake氏が65万種以上の並べ替えパターンを列挙し、Van Eycke氏による暗号解読ソフトウェアAZdecryptで処理していくうち、ゾディアックキラーが原文を3分割してから並べ替えていたことが判明したという。

暗号の主な内容としては、テレビ番組に電話出演したゾディアックキラーを名乗る人物は自分ではないこと、その人物がガス室を恐れていると述べたことに対し、死ねば楽園に行けるので自分はガス室を恐れていないことなど。この解読結果は米連邦捜査局(FBI)にも送られ、FBIがZ340初の有効な解読結果だと認めている。

スラド
ネパールと中国が共同発表、エベレストの新しい高さは8848.86m 2020年12月12日 08:05

ネパールと中国が共同発表、エベレストの新しい高さは8848.86m

スラド

著者: nagazou

2020年12月12日 08:05

headless 曰く、

ネパールと中国は8日、エベレストの新しい高さが8848.86mになったと共同で発表した(ネパール外務省のプレスリリース、ネパール測量局によるエベレストの高さ測定プロジェクトページ、 SlashGearの記事、共同発表動画)。

これまで広く認知されていたエベレストの高さ8848mはインド測量局が1950年代に測定したもので、近年は従来の測量法に加え、新しい技術も用いた測定の試みが各国によって行われている(PDF)。2005年には中国国家測量地理情報局(SBSM)が氷雪を含めない山頂の岩石の高さが8,844.43mだと発表しており、氷雪の厚みをエベレストの高さに含めるかどうかが検討課題の一つとなっていた。ネパールは2019年にGNSSや三角測量などを用いた再測定を行い、中国も2020年5月に調査隊を送って再測定を行った結果、新しい高さ8,848.86mで合意に至ったとのことだ。

すべて読む | サイエンスセクション | 地球 | 政治 | サイエンス | 中国 |

スラド
トヨタMIRAI2代目にフルモデルチェンジ、テスラ車並に巨大化した水素FCEVセダンに市場はあるか？ 2020年12月12日 07:05

トヨタMIRAI2代目にフルモデルチェンジ、テスラ車並に巨大化した水素FCEVセダンに市場はあるか？

スラド

著者: nagazou

2020年12月12日 07:05

あるAnonymous Coward 曰く、

海外では水素ステーションが限られるFCEVを、日本では市場が限られる巨大セダン（事実上アメリカ専用）として上市した、トヨタの勝算は何処にあるのだろうか？

情報元へのリンク

12月9日、トヨタ自動車は燃料電池車（FCV）の「MIRAI（ミライ）」を初代から6年ぶりにフルモデルチェンジした。航続距離は初代の650キロから約30％増となる約850キロに、水素搭載量も約20％増加させ5.6キロにした。駆動方式もFFからFRへ変更されるなどデザインも含めてスポーティなイメージとなっている（ベストカー、読売新聞、ITmedia）。

また環境性能などの改善も行われているのが特徴で、吸入した空気をきれいにして排出する空気清浄機能も持っている。搭乗員数も初代の4人から5人乗りに変更されているほか、ボディサイズは初代ミライよりも長と全幅は大きく、全高は低くなっている。1グレード設定だった初代と異なり、グレード数も2グレード5タイプに増加した。それでも価格についてはほぼ据え置きとなっており、710万～805万円に設定されている。

なお北米トヨタが10日、MIRAIのFCVシステムを応用した大型商用トラックの新型プロトタイプを公開した。量産化前提の設計となっており、荷重量は8万ポンド（約36トン）、航続距離は300マイル（約480km）以上だとしている（レスポンス）。また12月7日には水素分野におけるサプライチェーンの形成を推進する新団体「水素バリューチェーン推進協議会（JH2A）」も設立した。トヨタのほか岩谷産業、ENEOS、川崎重工業、関西電力など88社が参加するという（トヨタ、レスポンスその2）。

すべて読む | ハードウェアセクション | 地球 | ハードウェア | 電力 | 交通 |

スラド
福岡市内販売の春菊で基準値168倍の農薬が検出。21gで健康被害が出る量 2020年12月12日 06:05

福岡市内販売の春菊で基準値168倍の農薬が検出。21gで健康被害が出る量

スラド

著者: nagazou

2020年12月12日 06:05

福岡市は8日、福岡市青果市場で春菊の残留農薬検査を実施したところ、基準値の168倍となる8.4ppmの農薬が検出されたという（福岡市、福岡市保健福祉局生活衛生部[PDF]、毎日新聞）。

検出されたのは有機リン系殺虫剤のイソキサチオンで、体重60キロの人が21グラムを超えて食べた場合、よだれや涙、失禁、場合によってはけいれんなどの健康に影響を及ぼすおそれがあるとしている。該当するのは12月7・8日にJAくるめが出荷したもの。販売店や販売数量に関しても把握済み。すべて福岡市内での流通だと見られている。

西日本新聞によれば、一軒の組合員農家が、タマネギ栽培で使用していた害虫駆除用の農薬を、春菊に使用したことが原因だとしている（西日本新聞）。

スラド
中国進出した企業に義務化されている税務ソフトにスパイウェア。ドイツとの関係も悪化 2020年12月11日 18:38

中国進出した企業に義務化されている税務ソフトにスパイウェア。ドイツとの関係も悪化

スラド

著者: nagazou

2020年12月11日 18:38

中国に進出した企業が導入を義務づけられている税務ソフトに、GoldenSpyと呼ばれるスパイウェアを自動インストールする機能が備わっているという。日経新聞によれば、こうした行為から、これまで中国との関係の良かったドイツでも中国への不信感が広がっているという（日経新聞）。

このスパイウェアは6月にサイバーセキュリティ企業Trustwaveによって発見されたもので、発見時のレポートによれば、中国のドメインにシステム情報を送信する機能を持っているとされる。システムに隠しバックドアがインストールされ、攻撃者がWindowsコマンドを実行したり、任意のバイナリをアップロードするなどの行為が可能になる。

中国公認の税務ソフトには、航天信息と百望雲という2社の企業のものが提供されているが、いずれもGoldenSpyをインストールする機能が備わっているという。スパイウェアは税務ソフトをインストールしてから2時間後に自動インストールされ、検知しにくくしているらしい。またスパイウエアは2つのプログラムに分かれていて、どちらかを消しても自動的に復活してしまうとされる。また税務ソフト本体を削除した場合でも、スパイウエアだけは残るとしている。

こうした背景から8日、ドイツ政府は中国国有企業の中国航天科工集団（CASIC）の子会社による人工衛星やレーダー関連技術企業IMSTの買収を阻止していたことが判明した。日経新聞の記事によれば、CASICは先の税務ソフトメーカーの一つである航天信息の親会社だとしている（ロイター）。

スラド
米国で新型コロナによる1日の死者数が3000人超え。クリスマスパーティー中止すべきとも 2020年12月11日 18:04

米国で新型コロナによる1日の死者数が3000人超え。クリスマスパーティー中止すべきとも

スラド

著者: nagazou

2020年12月11日 18:04

あるAnonymous Coward 曰く、

米国でCOVID-19による1日の死者が初めて3000人を超えたそうだ。ロイターによれば、9日段階で1日の死者数は3253人に達しており、累計では28万9740人にも及んでいるという。9日段階の入院者数は10万6219人だとしている。この数字は2001年9月11日に発生した米同時多発テロの犠牲者数2977人を1日で上回るペース。バイデン時期大統領のCOVID-19対策チームの一員で、疫学者のマイケル・オスターホルム氏は、クリスマスパーティーは中止すべきだと主張している（ロイター）。

米国では米食品医薬品局（FDA）が10日、ファイザー製コロナワクチンの緊急使用許可について協議を行った。FDA諮問委員会による採決結果は賛成17、反対4、棄権1。恩恵がリスクを上回ると判断されたという。この結果から11日にも緊急使用許可が認められる可能性があるとしている（Bloomberg）。

すべて読む | クリスマス | 医療 |

スラド
Google、Chrome拡張機能プラットフォームのManifest V3ロールアウト計画を公式に発表 2020年12月11日 17:10

Google、Chrome拡張機能プラットフォームのManifest V3ロールアウト計画を公式に発表

スラド

著者: nagazou

2020年12月11日 17:10

headless 曰く、

Googleは9日、Chrome拡張機能プラットフォームのManifest V3をChrome 88でロールアウトする計画を公式に発表した(Chromium Blogの記事、 Android Policeの記事、 The Registerの記事)。

Manifest V3ではリモートでホストされたコードの使用が禁止されてセキュリティが向上し、バックグラウンドページの置き換えとなるサービスワーカーの導入や、拡張機能API全般で宣言型モデルへの移行を進めることでパフォーマンスが向上する。また、拡張機能APIを宣言型モデルに移行することで、プライバシーも向上する。たとえば、新しいdeclarativeNetRequest APIを使用すると、拡張機能がユーザーのデータにアクセスすることなく、ネットワークリクエストのブロックが可能になる。

declarativeNetRequest APIに関しては、広告ブロック拡張機能の動作が制限されるとしてManifest V3のドラフト公開時に批判されたが、当初最大3万件となっていたブロッキングルールは最大15万件に拡大されるなど改善されている。安定版リリース後もフィードバックに応じて改善を進めていくとのこと。

Manifest V3は現在、Chrome 88 Betaで利用可能になっており、Chrome 88が安定版となる1月中旬にはChromeウェブストアでManifest V3拡張機能の登録が可能になる。現時点ではManifest V2拡張機能のサポートを削除する時期は決まっていないが、Manifest V3が安定版Chromeで利用可能になってから少なくとも1年間は移行期間が設けられるとのことだ。

スラド
JR東日本、12月22日以降にモバイルSuicaが使えなくなる端末を念押し告知 2020年12月11日 16:05

JR東日本、12月22日以降にモバイルSuicaが使えなくなる端末を念押し告知

スラド

著者: nagazou

2020年12月11日 16:05

JR東日本はモバイルSuicaのサイト上で、12月22日以降にモバイルSuicaのサービス利用ができなくなる端末等について改めて警告を行った。この告知自体は2019年12月に発表されていたものだが、サービス終了機種一覧[PDF]によると、12月22日から2021年の2月にかけてサービスが使用不能となる端末が多数ある。フィーチャーフォンおよびAndroid OS 6.0未満の機種が中心となっている（Androidスマートフォンの一部機種でのモバイルSuicaサービス終了について）。

該当する端末を所有しており、今後もモバイルSuicaの使用を継続する場合は、サービス終了前にモバイルSuicaアプリケーションから「携帯情報端末の機種変更手続き」を行い、モバイルSuica対応機種に移行しておく必要がある。またサービス終了後はモバイルSuicaの機種変更手続きは行えなくなるとしている。

手続きが間に合わなかった場合は、新たなモバイルSuica応端末をあらかじめ用意した上で、再発行手続きを行う必要があるという。ただし、再発行の手続きは、クレジットカード登録をされているユーザーに限るとしている。

スラド
カメラと写真映像展示会「CP+2021」はオンライン開催に変更へ 2020年12月11日 15:31

カメラと写真映像展示会「CP+2021」はオンライン開催に変更へ

スラド

著者: tori_sanpo (posted by nagazou)

2020年12月11日 15:31

tori_sanpo 曰く、

実会場での開催は無理だろうなって思っていたら正式に発表されました
しかたないですね
https://www.cpplus.jp/

カメラ映像機器工業会（CIPA）は、カメラと写真映像展示会「CP+(シーピープラス) 2021」について、新型コロナウイルスの再度の感染拡大の状況などから、当初予定していたパシフィコ横浜での開催を中止し、オンライン開催となる「CP＋2021 ONLINE」として開催する形に変更したと発表した。オンラインでの開催日程は2021年2月25日から2月28日となる。アーカイブ公開は3月31日まで行われる予定（CP+公式、カメラ映像機器工業会）。

すべて読む | テクノロジー | 日記 | 医療 |

スラド
インターポールが新型コロナウイルスワクチンがらみの犯罪増加に警告。偽ワクチン等にも注意 2020年12月11日 15:02

インターポールが新型コロナウイルスワクチンがらみの犯罪増加に警告。偽ワクチン等にも注意

スラド

著者: nagazou

2020年12月11日 15:02

ICPO（国際刑事警察機構）は2日、ICPO加盟各国の法執行機関に対し、新型コロナウイルスワクチンの略奪を物理・オンラインの両方で試みる組織犯罪に備えるよう警告するグローバルアラートを発行した。警戒レベルはオレンジであるという。オレンジの警戒レベルは公共の安全に対し、深刻かつ切迫した脅威を示すものとされる（ICPO、Business Insider Japan、Sputnik）。

ICPOは各国政府がワクチン接種を展開する段階が近づいていることから、犯罪組織はサプライチェーンに侵入して混乱させることを計画しているとしている。また偽のWebサイトや偽の治療法を介して、一般の人々を標的にする可能性もある。COVID-19関連の詐欺が増加する傾向にあり、偽造医薬品などが出回ることについても注意を払う必要があると警告している。

スラド
GE HealthcareのX線イメージングデバイスなど100機種以上、リモートからの攻撃が可能になる脆弱性 2020年12月11日 14:31

GE HealthcareのX線イメージングデバイスなど100機種以上、リモートからの攻撃が可能になる脆弱性

スラド

著者: nagazou

2020年12月11日 14:31

headless 曰く、

GE HealthcareのX線イメージングデバイスなど100機種以上に影響する脆弱性が2件公表された(CyberMDXのニュースリリース、 CISAのアドバイザリー、 Ars Technicaの記事、 GE Healthcareのセキュリティポータル)。

影響を受けるのはMRI装置やCT装置、PET/CT装置、マンモグラフィー装置、汎用X線装置、汎用超音波診断装置など。影響を受ける装置にはPCが組み込まれており、UnixベースのOS上で管理用ソフトウェアが実行される。管理用ソフトウェアはGEのサーバーに接続してソフトウェア更新などを実行するが、認証時の通信が保護されていないため、ネットワーク経路上で認証情報が読み取られる可能性がある(CVE-2020-25175)。

また、認証情報はデフォルト値が公開されており、変更はGEのサポートチームのみが可能だという。そのため、顧客からの依頼によって認証情報を変更していなければ、デフォルトのままとなる。これにより、攻撃者は読み取った認証情報やデフォルトの認証情報を利用して患者の状態などに関するデータへのアクセス・変更が可能となる(CVE-2020-25179)。

GEによれば、パスワードをデフォルトから変更しておらず、かつローカルネットワークが信頼できない場合のCVSS 3.1スコアは9.8だが、GEが推奨する緩和策をとれば7.5まで低下するという。GEではローカルネットワークのセグメンテーションや明示的なポートアクセスルールの作成、IPSec VPNの使用などを推奨しており、デフォルトパスワードの変更やネットワーク構成に関する情報、機種別の情報などを得るためGEの担当者へ連絡するよう求めている。なお、現時点でこれらの脆弱性を狙った攻撃は報告されていないとのことだ。

ノーマルビュー