スラド
HP / Samsung / Xerox のプリンタードライバーに 16 年前から存在した脆弱性 2021年7月25日 17:46

Xerox のプリンタードライバーに 16 年前から存在した脆弱性

2021年7月25日 17:46

HP / Samsung / Xerox のプリンタードライバーに 2005 年から存在していた特権昇格の脆弱性 (CVE-2021-3438) について、発見した SentinelLabs が解説している(Sentinel Labs のブログ記事、 BetaNews の記事)。

この脆弱性は IOCTL を通じてユーザーモードから送信されたデータのサイズをカーネルドライバーが検証しないために発生する。攻撃者は実際の入力サイズよりも大きなサイズをパラメーターに指定することでバッファーオーバーランを引き起こし、SYSTEM の権限でコードを実行できる。ただし、単独で攻撃に使用する手法は見つかっておらず、実際の攻撃で使用するには他のバグと組み合わせる必要があるとのこと。

脆弱性の影響を受ける約 400 機種はすべて HP 製で、5 月 19 日に修正版ドライバーがリリースされた。HP / Samsung のプリンターに関しては、対象機種がその後追加されている(HP / Samsung のアドバイザリー、Xerox のアドバイザリー: PDF)。

スラド
Windows の Print Spooler で見つかった脆弱性、研究者の勘違いでゼロデイに 2021年7月4日 11:44

Windows の Print Spooler で見つかった脆弱性、研究者の勘違いでゼロデイに

スラド

著者: headless

2021年7月4日 11:44

Windows の Print Spooler サービスで最近見つかったゼロデイ脆弱性「PrintNightmare」について、Microsoftがセキュリティアドバイザリーを公開している(CVE-2021-34527、 The Verge の記事、 BleepingComputer の記事、 BetaNews の記事)。

PrintNightmare は Print Spooler サービスが特権のあるファイル操作を適切に処理しないことが原因で、リモートから SYSTEM の権限で任意コード実行が可能になるというもの。発見した中国・Sangfor Technologies のセキュリティ研究者は 8 月の Black Hat 2021 USA での発表を予定している。しかし、6月の月例更新で修正された Print Spooler サービスのリモートコード実行脆弱性 (CVE-2021-1675) をこの脆弱性と取り違え、修正済みだと思ってPoCを公開してしまったのだという。研究者は間違いに気付いて PoC を削除したものの、既にアクティブな攻撃が行われているようだ。

影響を受けるのは現在サポートされるすべての Windows バージョンで、Windows 7 SP1 / Server 2008 / 2008 R2 も含まれる。現時点で更新プログラムの提供時期は示されておらず、回避策として Print Spooler サービスの停止および無効化(対策1)と、グループポリシー(コンピューターの構成 → 管理用テンプレート → プリンター)の「印刷スプーラーにクライアント接続の受け入れを許可する」を無効に設定(対策2)の2つの方法が示されている。なお、対策1を適用するとローカル・リモートともに印刷ができなくなる。一方、対策2を適用したシステムはプリントサーバーとしては動作しなくなるが、ローカルでの印刷は可能だ。

サードパーティパッチを提供する 0patch は特に影響が大きい Windows Server 2008 R2 / 2012 / 2016 / 2019 向けマイクロパッチの提供を開始している。0patch によれば Windows 10 への攻撃はドメイン環境で成功せず、非ドメイン環境ではローカルユーザーの認証情報が必要だったという。Windows 7 には影響しないように見えるが、さらなるテストが必要とのこと。2020 年 1 月の更新を適用した Windows Server 2008 R2 も影響を受けるとのことで、脆弱性は少なくとも 1 年半以上前から存在したようだ(0patch Blog の記事)。

スラド
USBが生まれたのはIntelの中の人が「奥さんのプリンターをつなげる手間にキレた」ため 2021年6月29日 07:02

USBが生まれたのはIntelの中の人が「奥さんのプリンターをつなげる手間にキレた」ため

スラド

著者: nagazou

2021年6月29日 07:02

ITmediaで行われている大原雄介氏のPCの歴史をたどる記事において、USB誕生のきっかけとなった逸話が掲載されていた。この記事によると、USBが生まれるきっかけは、Intelのアジャイ・バット氏が、奥さんのPCにプリンタをつなぐ作業があまりに手間だったことから、キレたことがきっかけだったという。同氏はUSBに先行して開発が進んでいたPCIの経験をフィードバックしたとしている（ITmedia）。

すべて読む | ハードウェアセクション | ハードウェア | プリンター |

スラド
裁判でコピー代高額化から証拠のデジタル開示を求めるも拒否。スキャナーの使用も不可 2021年1月21日 13:03

裁判でコピー代高額化から証拠のデジタル開示を求めるも拒否。スキャナーの使用も不可

スラド

著者: nagazou

2021年1月21日 13:03

毎日新聞によれば、ある事件の裁判で弁護側が検察側の証拠の開示方法についての変更を求めているそうだ（毎日新聞）。

弁護側の求めている資料の量が膨大であること、業者を通じてコピーするためモノクロで1枚30～40円ほど掛かるという。このため資料のコピー代だけでも数百万円に上る可能性があることから、PDFなど電子データでの開示などを求めたが検察側から拒否されたそう。

弁護側はスキャナーを地検に持ち込み、スキャンさせてほしいと要求したが、検察側からの回答はホチキスを外さなければならず、紛失のおそれがあるため理由から拒否。ホチキスを外さずに使えるスキャナーの使用も提案したところ、電気代が計算できないとして否定されたそうだ。

逮捕状など請求など刑事手続のオンライン化は議論されているものの、証拠の開示方法のデジタル化までは議論されているかは不明。

すべて読む | ハードウェアセクション | ハードウェア | プリンター |

スラド
リサイクルインク業者がメーカーを提訴へ。ICチップ仕様変更は独占禁止法違反 2020年10月26日 13:02

リサイクルインク業者がメーカーを提訴へ。ICチップ仕様変更は独占禁止法違反

スラド

著者: nagazou

2020年10月26日 13:02

朝日新聞によると、リサイクル・インクカートリッジを販売している企業が、インクカートリッジの仕様を変更したのは独占禁止法に違反するとして訴訟を起こすそうだ。リサイクル業者がメーカーを訴えるという変わった訴訟になっている（朝日新聞）。

訴訟を起こしたのは、大阪市の「エコリカ」。その相手となるのはキヤノンだ。原告側によれば、キヤノンは2017年9月からインクカートリッジのインク残量関係のICを変更、外部からインクを再注入すると、残量表示が変わらずインク無しのままになるとしている。この影響でキヤノン用純正品インクのシェアは、2017年の12月は84％だったのに対し、2020年9月には95％に増加したとしている。

このためエコリカ側は、この仕様変更は独占禁止法が禁じる「競争者に対する取引妨害」にあたると主張しているとのこと。

ノーマルビュー