リモートからファクトリーリセット攻撃にあった Western Digital の古い NAS、新しい脆弱性が見つかる

2021年7月2日 18:03

headless 曰く、

未修正の脆弱性を突かれてリモートからファクトリーリセットが実行された Western Digital の WD My Book Live/Live Duo で、新たな脆弱性が見つかったそうだ(Western Digital のアドバイザリー、 Ars Technica の記事)。

この脆弱性(CVE-2021-35941)は認証なしにファクトリーリセットが可能になるというもので、2011年4月に認証ロジックのリファクタリングを行った際に導入されたという。リファクタリングの目的としては、複数ファイルで個別に実装されていた認証ロジックを単一のファイルにまとめるというものだ。しかし、ファクトリーリセットに関する system_factory_restore.php では認証ロジックを削除した一方で、このファイルの適切な認証タイプが component_config.php に追加されていなかったという。

当初、リモートからのファクトリーリセット攻撃には CVE-2018-18472 の脆弱性が使われたと考えられていたが、CVE-2021-35941 も使われていたようだ。被害にあったユーザーのログをWestern Digital が確認したところ、複数の国のさまざまな IP アドレスから攻撃が行われていたという。中には同じ攻撃者が CVE-2018-18472 で悪意あるバイナリーをインストールし、後に CVE-2021-35941 でデバイスをリセットしていたケースもあるとのこと。ボットネット運用者がライバルのボットネットを妨害するために実行したという説も出ている。

この問題を受けて Western Digital では影響を受けるデバイスをインターネットから切り離すことを推奨していたが、7月にはデータ復旧サービスとサポートされる My Cloud デバイスへのトレードインプログラムを開始するとのことだ。

スラド
三菱電機、鉄道向け設備で1980年代から不正検査。数値を偽装する専用プログラム用意 2021年7月2日 17:10

三菱電機、鉄道向け設備で1980年代から不正検査。数値を偽装する専用プログラム用意

スラド

著者: nagazou

2021年7月2日 17:10

三菱電機は鉄道向けの設備を製造する長崎製作所で29日、不正検査があったと発表した。不正検査は1980年代から30年以上にわたって行われた可能性が高いという。同工場では空調設備を担当していた。さらに翌30日には鉄道のブレーキなどに使う空気圧縮機でも不正検査があったことが判明している（NHK、読売新聞、朝日新聞、共同通信、FNNプライムオンライン、日経新聞）。

こうした不正検査には顧客などに提出する検査表に、過去のデータを元に自動的に数値を生成・偽装するプログラムが使用されていたという。日経新聞によると、このプログラムの使用には事前に事業所内で定められた手順を取る必要があったそうだ。このため組織的な関与であることは明らかであると指摘している。

スラド
銚子電鉄、株主総会で廃線を求められる。ぬれ煎餅販売を本業にと 2021年7月2日 14:00

銚子電鉄、株主総会で廃線を求められる。ぬれ煎餅販売を本業にと

スラド

著者: nagazou

2021年7月2日 14:00

千葉県銚子市の銚子電鉄で6月30日に総会が開かれた。朝日新聞の記事によれば、筆頭株主の地元男性から鉄道事業を見直した方がいいのではないかとする指摘があったそうだ。銚子電鉄側は、鉄道をやめて副業だけを残す案は「副業の売上高も激減する」と否定したという（朝日新聞）。

この日発表された2020年度決算によると、同社鉄道部門の輸送人員はコロナ禍の影響もあって前年度比22.8％減となる27万2114人、売上高も同じく22.1％減となる7856万円だった。一方で副業のぬれ煎餅などの物販部門では3億9783万円と横ばいで駅売りは低下したものの、オンラインショップの売上高が10倍とこれをフォローすることに成功した。

なお雇用調整助成金や持続化給付金もあったため、当期損失は前年度の1947万よりも少ない709万円にとどまったとしている。

すべて読む | ビジネス |

スラド
沖縄でゴキブリやムカデを捕獲すると5年以下の懲役または500万円の罰金になる可能性 2021年7月1日 16:09

沖縄でゴキブリやムカデを捕獲すると5年以下の懲役または500万円の罰金になる可能性

スラド

著者: nagazou

2021年7月1日 16:09

環境省は29日、沖縄県の南西諸島に生息する節足動物3種、リュウジンオオムカデ、ウスオビルリゴキブリ、ベニエリルリゴキブリを種の保存法における緊急指定種に指定すると発表した（環境省、朝日新聞）。

今年の7月1日から2024年6月30日までの3年間が指定期間とされ、その間の捕獲・殺傷、譲渡が規制される。違反した場合、5年以下の懲役または500万円以下の罰金などが科せられるとしている。これら節足動物3種は最近の研究で新種とされ、ネットオークションなどで取引され、絶滅が心配されていたとしている。朝日新聞の記事によれば、こうした不快害虫といわれるムカデやゴキブリが、緊急指定種に指定されるのはこれが初めてだそうだ。

すべて読む | ITセクション | 地球 | バイオテック | バグ | サイエンス | IT |

スラド
Firefox、外部プログラムで開いたリンク先ファイルを使用後に破棄せず保存する計画 2021年7月1日 15:03

Firefox、外部プログラムで開いたリンク先ファイルを使用後に破棄せず保存する計画

スラド

著者: nagazou

2021年7月1日 15:03

headless 曰く、

Firefox でリンク先のファイルを「プログラムで開く」場合に、ファイルが保存されるようにする計画が進められているようだ(Bug 1710933、 Ghacks の記事)。

現行の Firefox で「プログラムで開く」を選択した場合、ファイルは一時フォルダーに格納され、セッション終了時に削除される。計画としては、ダウンロード先として指定されたフォルダーにファイルを保存し、自動では削除されないようにするというものだ。

Google Chrome ではブラウザーで直接表示できないファイルを保存せずに外部プログラムで表示するオプションがなく、ファイルは常に保存される。一方、Microsoft Edge では「ダウンロード時の動作を毎回確認する」オプションを有効にすることで、ファイルを保存せずに開くことが可能となる。

Mozilla では Firefox 91 で動作を変更すべく作業を進めているようだが、ファイルを保存したければ「ファイルを保存する」を選べば済む話で、変更が必要な理由は明確でない。ただ閲覧したいだけの場合にもファイルが保存されてしまうため、逆に手間が増えることもある。そのため、オプションで選択できるようにしてほしいとの要望も出ている。スラドの皆さんはどう思われるだろうか。

スラド
日本のサイバー能力、主要国で最下位グループ 2021年6月30日 17:01

日本のサイバー能力、主要国で最下位グループ

スラド

著者: nagazou

2021年6月30日 17:01

あるAnonymous Coward 曰く、

英シンクタンクの国際戦略研究所 (IISS) が28日に発表した、15カ国を対象にしたサイバー、デジタル分野の総合力に関する評価で、3段階評価の中で日本が最下位グループに属することが明らかになった（共同通信）。

この評価は、日米欧の主要国に加え中国や東南アジアなどの計15カ国のデジタル経済や安全保障の能力を分析したもの。米国がトップの評価を受けており、次いで2番手グループに中国、ロシア、イスラエル、英国、フランスなどが続く。そして最下位の3番手グループとして、日本はイランやインド、インドネシア、北朝鮮などが並んだ。日本は特にサイバー防衛の分野で遅れているためと説明されている。

主要国で最下位というのは納得してしまうが、その辺の国々と同列というのはちょっと悲しいものを感じなくもない。日本がこの先生きのこる道はあるのだろうか？

情報元へのリンク

すべて読む | セキュリティセクション | 日本 | セキュリティ |

スラド
「ムー」、Twitterなりすましアカウントの被害に遭う 2021年6月29日 18:01

「ムー」、Twitterなりすましアカウントの被害に遭う

スラド

著者: nagazou

2021年6月29日 18:01

「ムー」が2021年7月号に掲載された「漫画家『たつき諒』が富士山噴火を警告!!」についてのお詫び記事を発表した。この記事はたつき諒氏原作の漫画「私が見た未来」に関して、作者と称した人物から得たコメントで構成したものだった。しかし、この作者としていた人物はたつき諒本人ではないことが判明したとのこと（ムー2021年7月号記事「漫画家『たつき諒』が富士山噴火を警告!!」について、ゲームのクリア報告書）。

このため、記事中のコメントは本人のものではなかったとして訂正された。記事中の図版収録に関しても、たつき諒を詐称した人物から許諾を得ていたものと思われ、結果として作品の図版を無断使用した形になったようだ。

今回の訂正の原因と思われることに関して、ゲームのクリア報告書に経緯が書かれている。それによると、「ムー」がやりとりをしていたのは、たつき諒氏のなりすましTwitterアカウントであったようだ。出版社の飛鳥新社も25日、「たつき諒」を名乗るTwitterの偽アカウントの存在が確認されたとするリリースを出した。この関係かは不明であるが、7月17日に発売予定となっていた「私が見た未来」の復刻版販売が10月に変更されている模様。同様にこの人物が「たつき諒」本人と誤認したまま情報発信していた不思議探偵社も訂正記事を出している（飛鳥新社、不思議探偵社）。

スラド
米国で「鳥は本物ではない」とする活動を行う団体が登場 2021年6月29日 16:06

米国で「鳥は本物ではない」とする活動を行う団体が登場

スラド

著者: nagazou

2021年6月29日 16:06

現在、アメリカの空を飛んでいる鳥たちは本物の鳥ではないと訴える「Birds Aren’t Real」という活動を行う団体がいるそうだ。この活動家集団は23日、ミズーリ州スプリングフィールドで集会を開いたそうだ（WGN9、8News、ユルクヤル）。

彼らの主張によると、米国内ではすべての鳥はすでに殺害されており、現在空を飛行している鳥たちは、政府が製造したロボットであるという。このロボットたちは電線に止まっているときは充電を行っており、彼らが車にまき散らすフンは液体の追跡装置であるとしている。

「Birds Aren’t Real」は現在アメリカツアーを実施中とのこと。なお、本気でやっているのではなく現時点ではネタとして人気となっているようだ。reddit上では36万人を超える登録者を獲得しているとのこと。ただまとめ記事のコメントなどでは、こうして最初は面白半分で始めるが、それを信じる人間がいることで引き返せないことになる場合もあるとの指摘も出ている。

すべて読む | 変なモノ | アメリカ合衆国 |

スラド
auのSIMロック解除ページ、検索回避タグを設定も設定ミスだったと説明 2021年6月29日 13:03

auのSIMロック解除ページ、検索回避タグを設定も設定ミスだったと説明

スラド

著者: nagazou

2021年6月29日 13:03

昨年12月に解約ページを検索避けしていたことで、総務省などから指導を受けていたこともあるauだが、新たに「SIMロック解除の手続き」の案内ページでも検索避けを指定する「noindex「や「nofollw」が設定されていたことがネットなどで指摘された。こうした指摘を受けて、28日、KDDIはメディア向けに説明を行ったようだ（ケータイ Watch、ITmedia）。

その説明によれば、今回の件は意図的なものではないという。povoなどの登場に合わせて同じ内容の暫定ページが存在しており、本来案内したいページに誘導する目的から、6月9日付けで暫定ページには「noindex」を設定したという。また本来誘導したいページには「canonical」を設定していたとしている。しかし、6月25日段階では両ページとも検索結果に反映されていなかったため対策を進めるという。なお暫定ページのnoindexタグは28日に削除された模様。

スラド
塩野義製薬のワクチン、早期承認を得られれば年内にも提供可能に 2021年6月29日 12:00

塩野義製薬のワクチン、早期承認を得られれば年内にも提供可能に

スラド

著者: nagazou

2021年6月29日 12:00

塩野義製薬は開発中のCOVID-19ワクチンに関して、最大6000万人分の生産体制が整うとの見通しを示した。同社のワクチンはCOVID-19遺伝子の一部をベースに、昆虫細胞でタンパク質を培養して作る「遺伝子組み換えタンパクワクチン」。インフルエンザワクチンなどで使われている技術であるという。現在、第1、2段階の臨床試験を行っている状況にある。新たに1000例規模の追加試験を実施する方針であるという。有効性や安全性などを確立した上で、国から早期承認を得られれば年内にも提供可能になるとしている（時事ドットコム、SankeiBiz）。

すべて読む | 医療 |

スラド
ワクチン予約サイトは「.com」でなく「go.jp」や「lg.jp」で提供されるべき 2021年6月28日 17:04

ワクチン予約サイトは「.com」でなく「go.jp」や「lg.jp」で提供されるべき

スラド

著者: nagazou

2021年6月28日 17:04

BLOGOSに掲載されている赤木智弘氏の「ワクチン予約サイトの「.com」運用に疑問行政はドメイン名で信頼性を担保して」という記事が興味深いものとなっている。COVID-19ワクチン接種では、自治体ごとにさまざまな予約サイトが登場しているが、すでに接種予約の偽サイト存在なども出てきていると報じられている。

正規サイトのURLは「shizuokacity-cv.com」であるのに対し、偽サイトは「sizuokacity-cv.com」であるという。静岡の「shi」が「si」との違いしかなく、偽サイトに誘導しやすいURLとなっている。この記事では、報道では静岡市が一方的な被害側の用に報じられているが、正直自治体である静岡市が「.com」ドメインを使用して接種予約サイトを開設したことにも問題がある。この記事では個人では取得できない「go.jp」や「lg.jp」などを使用するべきだったと主張している。

スラド
AMラジオ局が消える前に。カッターの刃と鉛筆で『塹壕ラジオ』を作るという記事 2021年6月26日 08:05

AMラジオ局が消える前に。カッターの刃と鉛筆で『塹壕ラジオ』を作るという記事

スラド

著者: nagazou

2021年6月26日 08:05

先日、民放AMラジオ局がFM局に転換する方針が発表された。発表通りFM局への転換が行われると、学校の科学実験などで使われきた鉱石ラジオも聞けなくなる。そこでデイリーポータルZの記事では、鉱石ラジオの一種として第二次世界大戦中に兵士に愛用された「塹壕ラジオ」を今のうちに作っておこうという流れになったようだ（デイリーポータルZ、受信時の様子[動画]）。

記事では100円ショップで購入したカッターの刃と鉛筆に加えて、秋葉原でその辺では入手しにくい100m以上の銅線（1500円）とセラミックイヤホン（クリスタルイヤホン）を購入、塹壕ラジオを作ってみたそうだ。しかし、ビル内ではうまく聞こえなかったことから専門家の意見を聞き、電波塔に近い場所まで行って挑戦したところ受信に成功したとのこと。

すべて読む | ハードウェアセクション | ハードウェア |

スラド
オープンソース・ソフトウェアの紹介サイト、MOONGIFTが7月で更新停止 2021年6月26日 06:03

オープンソース・ソフトウェアの紹介サイト、MOONGIFTが7月で更新停止

スラド

著者: nagazou

2021年6月26日 06:03

オープンソース・ソフトウェアをほぼ毎日紹介してきた「MOONGIFT」は24日に、7月16日でサイトの更新を停止する方針を発表した。発表記事によるとMOONGIFTは2001年1月29日から運営を開始、現在までの20年間に1万6000本以上のソフトウェアを紹介してきたという。しかし2015年に、執筆者がDevRelをサポートするビジネスを開始したことが転機になったようだ。MOONGIFTとDevRelをの両輪で活動を続けるのではなく、企業ならびに事業経営者としてDevRelに注力するべきだと判断したことから更新停止を決めたとしている。これまでの記事に関しては将来的に静的コンテンツ化する予定だとしている（MOONGIFT更新停止のご連絡）。

すべて読む | オープンソースセクション | オープンソース | アナウンス |

スラド
YouTube、2017年1月以前にアップされた限定公開動画を非公開化する措置。7月23日から実施 2021年6月25日 15:05

YouTube、2017年1月以前にアップされた限定公開動画を非公開化する措置。7月23日から実施

スラド

著者: nagazou

2021年6月25日 15:05

YouTubeは24日、2017年1月1日以前にアップロードされている限定公開の動画を「非公開」に変更する処置を行うと発表した。該当する動画は7月23日以降に非公開に設定されるとのこと（YouTube 古い限定公開コンテンツに対する措置の変更、ITmedia、Impress Watch）。

こうした措置を行う理由としてセキュリティ上の都合を上げている。17年以降の限定公開動画ではセキュリティ対策が施されているが、16年以前の限定動画はリンクの共有を受けていない人でも発見されてしてしまう可能性があるための措置だという。非公開に変更された場合、限定公開動画として埋め込みや共有に使用していたリンクが使用できなくなるとしている。非公開にしたくない場合は、専用フォームで申請手続きを行う、全ユーザーに公開する設定に変更、アップロードし直すといった対応が必要だとしている。

スラド
イランの国営メディア「Press TV」、米国政府によりドメインを没収される 2021年6月24日 16:03

イランの国営メディア「Press TV」、米国政府によりドメインを没収される

スラド

著者: nagazou

2021年6月24日 16:03

イラン国営メディアであるPress TVをはじめとする36のウェブサイトが米国政府により遮断されたそうだ。アラブニュースによると、遮断されたのはPress TVのほか、Al-Alam TV、イエメンのフーシ派のAl-Masirahなどだと報じられている（米司法省リリース、アラブニュース、ブルームバーグ、FNNプライムオンライン）。

米司法省は22日、この件に関するリリースを発表した。この発表によるとイラン・イスラム・ラジオ・テレビ放送局連盟（IRTVU）が使用している33のWebサイトとカターイブ・ヒズボラの運用する3つのWebサイトが遮断されたという。昨年10月にIRTVUは米外国資産管理局（OFAC）により、イスラム革命防衛隊によって運用されているとして国家の安全保障を脅かす存在を指定するSDNリスト入りしていた。IRTVUはOFACから許諾を得ないままドメイン名を利用していたとして差し押さえされた模様。カターイブ・ヒズボラの運営サイトに関しても同様の理由で遮断されたようだ。

スラド
静岡県の川勝知事、JR東海にリニア中央新幹線ルート変更を要請へ 2021年6月24日 15:03

静岡県の川勝知事、JR東海にリニア中央新幹線ルート変更を要請へ

スラド

著者: nagazou

2021年6月24日 15:03

20日投票が行われた静岡県知事選挙で、現職の川勝平太氏が当選した。知事は22日に行われた記者会見で、以前から懸案となっていたトンネル工事の際に予想される湧き水の処理問題から、JR東海にリニア中央新幹線ルート変更を正式に要請する方針を示した。要請の時期は国の有識者会議などの議論などを見て判断するとして明言しなかったという（日経新聞）。

こうした報道に対しJR東海の宇野護副社長は23日、ルート変更はありえないとする発言をした模様。既に土地などの買収も進んでいることから、ルート変更を行えば全てが振り出しに戻ることになるとしている（読売新聞）。

すべて読む | 交通 |

スラド
映画の内容をまとめたファスト映画、YouTube投稿で初の逮捕者 2021年6月24日 13:02

映画の内容をまとめたファスト映画、YouTube投稿で初の逮捕者

スラド

著者: nagazou

2021年6月24日 13:02

一作分の映画を10程度にまとめた「ファスト映画」と呼ばれる動画をYouTubeに公開したとして3名が逮捕されたと報じられている。宮城県警察本部と塩釜警察署が23日に発表した。ファスト映画関連で逮捕されるのは今回が初めてだという（NHK、ナタリー）。

ファスト映画は映画本編の映像やキャプチャ画面を使用、字幕やナレーションを付けて作品内容を紹介するまとめ系動画となっている。短時間で内容を理解できることからファスト映画と呼ばれるようになったそうだ。NHKの記事によれば、この1年で2100本余りのファスト映画に相当する動画が投稿されたとしている。

すべて読む | YROセクション | 映画 | 犯罪 | YRO | 海賊行為 | 著作権 |

スラド
秋田県のスタートアップ企業、シイタケ菌床を活用してヘラクレスオオカブトなどを飼育へ 2021年6月24日 06:05

秋田県のスタートアップ企業、シイタケ菌床を活用してヘラクレスオオカブトなどを飼育へ

スラド

著者: nagazou

2021年6月24日 06:05

日経新聞の記事によると、秋田県横手市にあるスタートアップ企業「Pilz」は、シイタケ栽培に利用され収穫後には廃棄する「廃菌床」を活用して、高値が付きやすい外国産昆虫の飼育を行う事業を開始したという。菌床は収穫後は処分されるが、1円前後の費用を支払って農家などに引き取ってもらっていたそうだ。Pilzは廃菌床を加工した餌を使用して、オークションで300万円の値がついたこともあるヘラクレスオオカブトなどの育成を行うとのこと。育成した昆虫はこの秋にも販売を開始する予定だとしている（日経新聞）。

スラド
ウーバーイーツ日本法人を書類送検へ。ベトナム人を不法就労助長の疑い 2021年6月23日 12:00

ウーバーイーツ日本法人を書類送検へ。ベトナム人を不法就労助長の疑い

スラド

著者: LARTH (posted by nagazou)

2021年6月23日 12:00

警視庁は22日、不法残留のベトナム人を働かせたとして宅配業「ウーバーイーツジャパン」の元代表ら2人と法人格である同社を入管難民法違反（不法就労助長）の疑いで書類送検したそうだ。読売新聞によると不法残留などをしていたウーバー配達員184人が判明していたとされる。書類送検されたのは当時代表だった女性とコンプライアンス部門統括だった女性の二人（日経新聞、読売新聞、NHK）。

日本での在留期間が過ぎたベトナム国籍の二人に対して、在留資格などの確認をせずに配達業務に従事させており、これが不法就労を助長したと指摘されている。同社は配達員の登録時に身分証や写真の送信などを求めていたが、先の二人は対しては他人名義の身分証や他人の写真を使ってアカウントを作成、ウーバーイーツ側も身分証の確認や本人との照合をしていなかったとしている。

LARTH 曰く、

当時代表だった女性は知らなかったと言うけど…

実数は都内だけで１８４件だそうな。
非対面で他人のカードでオンライン登録できるザル認証でオーバーステイに優しいシステムだそうな。

すべて読む | ビジネス | 犯罪 | 日記 |

スラド
iPhoneで接続するとWi-Fi機能が無効になってしまうSSID名のバグ 2021年6月23日 08:04

iPhoneで接続するとWi-Fi機能が無効になってしまうSSID名のバグ

スラド

著者: nagazou

2021年6月23日 08:04

minet 曰く、

iPhoneで特定文字列のSSIDのWifiアクセスポイントに接続すると、Wifi機能が無効になってしまう不具合が発見された。（CNET Japan、BleepingComputer、発見者によるツイート）

報告によると、iPhoneで「%p%s%s%s%s%n」というSSIDのアクセスポイントに接続したところ、Wifi機能が無効になり、さらにWifi機能を有効化できなくなってしまったそうだ。
この状態になってしまった場合、修正するにはネットワーク設定をリセットする必要がある。端末再起動では改善しない。
複数のiOSバージョン・端末で再現する模様。

過去の関連記事
auのW42CAとW42Hが%nと%Sの文字列で強制再起動
（他にも類似事例はありそうだがタレコミ人はこれをまず思い出した）

情報元へのリンク

iPhoneから「％p％s％s％s％s％n」という特定名称のSSIDを使用しているWi-Fiに接続した場合、iPhoneのWiFi機能が完全に無効化され、WiFi接続を確立できなくなることが判明した。セキュリティ研究者のCarl Schou氏が発見したもので、この問題が発生するとiPhoneを再起動してもSSIDを変更しても回復しないという。同氏のツイートでは再現時の状況が動画で公開されている。同氏のテスト環境ではiOS 14.4.2やiOS 14.6でも同様の症状が再現された模様。人気WiFiホットスポットの近くで先のSSID名を用いた不正なWiFiホットスポットを設置されるといったリスクが指摘されている（Carl Schou氏Twitter、BleepingComputer、AppleInsider、Engadget）。

すべて読む | アップルセクション | 通信 | バグ | アップル | iOS | iPhone |

ノーマルビュー