ホンダ・シビックのキーレスシステムを乗っ取り可能な脆弱性

2022年3月28日 18:03

headless 曰く、

ホンダ・シビックのキーレスシステムを乗っ取り可能な脆弱性が発見された (CVE-2022-27254、 The Register の記事、 BleepingComputer の記事、発見者の GitHub リポジトリ)。

この脆弱性はドアの開閉時に送信される無線信号が暗号化されていないため、車の近くにいる攻撃者が信号を記録して後で再生するリプレイ攻撃が可能というものだ。影響を受けるのは 2016 年～ 2020 年のシビック LX / EX / EX-L / Touring / Si / Type Rとされるが、ホンダ車では同様の脆弱性が過去にも見つかっており (CVE-2019-20626)、さらに多くの車種が影響を受ける可能性もある。

ホンダは BleepingComputer に旧モデルの修正予定はないと述べており、近くにいる攻撃者はハイテクな方法を使わなくても車にアクセス可能だとも述べているという。発見者は緩和策として、ファラデーポーチにキーフォブを入れる、RKE (remote keyless entry) の代わりに PKE (passive keyless entry) を使うなどの方法を紹介している。なお、既に攻撃者が信号を読み取って車へのアクセスが可能になっている場合、ディーラーに持ち込んでキーフォブをリセットしてもらうしかないとのことだ。

すべて読む | セキュリティセクション | セキュリティ | 通信 | バグ | IT | 交通 |

揚陸艦入港を報道で自慢したロシア軍。ウクライナに揚陸艦を撃沈される

スラド

著者: nagazou

2022年3月28日 17:03

ウクライナ海軍が24日、南部ベルジャンスク港で、停泊中だったロシア軍の大型揚陸艦を破壊したと発表した。同港には複数隻の揚陸艦がいたが、破壊した艦船は「サラトフ」だったとしている。なお同じく揚陸艦の「ツェーザリ・クニコフ」と「ノボチェルカスク」にも損傷を与えたとしている（CNN、ニューズウィーク日本版、AFPBB News、news.com.au[動画]、Radio Free Europe/Radio Liberty[動画]）。

同港での車両陸揚げの様子は、ロシア国営メディアの「ロシア・トゥデー（RT）」で報道されていた。この報道の様子からウクライナ軍によってターゲットとなり、攻撃されたものとみられている。ウクライナ側は攻撃方法を発表していないが、弾道ミサイルを使用したとも言われている。ベルジャンスク港はロシア軍に占領された施設で、港のインフラを無傷のまま入手していたことから、ロシア軍の南部側の物資輸送の拠点の一つであるとして宣伝していた模様。

インドでは電動三輪車（Eリキシャ）が普及しつつある

スラド

著者: nagazou

2022年3月28日 16:08

あるAnonymous Coward 曰く、

インドでは電動三輪車（Eリキシャ、タイのトゥクトゥク／タクタク相当）が普及しつつあるそうで、現在注目を集めているのは充電の待ち時間を節約できるバッテリー交換式だとか

日本ではあまり見ない3輪自動車だが、インドやパキスタン、タイなどではトゥクトゥク（TukTuk）という名称で市民の足として使い続けられているそうだ。日本語の人力車を語源とするこれらのオートリキシャも最近では電動化が進んでいるという。電動タイプの車両は「Eリキシャ」などと呼ばれているようだ。しはいえインドでは車両自体の電動化が進んでも、充電ステーションの普及が進んでいないとのこと。このためバッテリー交換可能な電動3輪自動車が登場し始めているという（Bloomberg、GIGAZINE）。

交換式バッテリーの充電ステーションから充電済みのバッテリーを取り出し、ステーション側に空になったバッテリーを入れるという仕組みらしい。利用料はわずか50ルピー（約80円）とガソリン1リットルの値段の半分であるという。バッテリーは重量13kgもあり、1回の交換で走行可能な時間は3時間程度であるようだ。

すべて読む | ハードウェアセクション | 電力 | 交通 |

電球型蛍光灯は25年末に禁止へ　「水銀に関する水俣条約」締結国会議で決定

スラド

著者: nagazou

2022年3月28日 15:12

インドネシア・バリ島で開催された「水銀に関する水俣条約」第4回締約国会議が26日に閉幕した。この会議では小型の電球形蛍光灯について2025年末までの禁止が決められたという。17年に発効した同条約の付属書では、水銀含有量が少ない一部の蛍光灯等に除外規定があったが、LED照明の普及が進んだことから、アフリカやEUからこうした除外規定をなくす提案が出ていた。除外規定に該当していた直管蛍光灯は参加者間で意見が割れたことから結論は次回に持ち越されたとのこと。次回会議は23年10月30日~11月3日にスイス・ジュネーブで開催されるとしている（日刊スポーツ）。

小笠原諸島北硫黄島付近で海底噴火の可能性。気象庁

スラド

著者: nagazou

2022年3月28日 14:31

気象庁は27日の18時ごろ小笠原諸島の北硫黄島近くの海底火山「噴火浅根」で噴火が発生したと見られるとする発表を行った。気象衛星ひまわりの観測結果によると、噴煙は海面上7000mの高さにのぼっている可能性もある模様。噴石などの発生する可能性があることから、同庁では同海域を航行する船舶に警戒を呼び掛けている（気象庁、ウェザーニュース）。

FCC、カスペルスキーを国家安全保障に対する脅威と認定へ

スラド

著者: nagazou

2022年3月28日 14:04

米連邦通信委員会（FCC）は25日、国家安全保障に脅威を与える通信機器とサービスのリストを拡大、その中にロシア系セキュリティ企業のカスペルスキーおよび中国通信大手の中国電信（チャイナ・テレコム）と中国移動（チャイナ・モバイル）を加えた。ロシア企業でリスト入りするのはカスペルスキーが初めてだという。国家安全保障上の脅威に指定された企業と取引を行うと、FCCの政府補助金を使用不能になる。またすでに補助金を利用している企業はこれらの企業との取引は出来なくなるなど、米国でのビジネスに強い影響が出る（FCCリリース、朝日新聞、時事ドットコム、ロイター、読売新聞）。

カスペルスキーはロシアとウクライナ間の戦闘が始まって以降、ドイツ連邦情報セキュリティ局(BSI)から製品利用に対する警告を受けたり、サッカードイツチームからのスポンサー契約が解消されてしまうなどの状況にあった。日本国内でもロシア本社の住所が消すなどしていた。

あるAnonymous Coward 曰く、

米当局では2017年にカスペルスキーの主力製品を連邦機関のネットワークから排除している。

iPhoneやApple Watchが運転免許証や州身分証明書になるサービス。米アリゾナ

スラド

著者: nagazou

2022年3月28日 13:31

米アリゾナ州でiPhoneやApple Watchが運転免許証や州の身分証明書になる「IDs in Wallet」サービスの提供が開始されたという。アリゾナ州でのサービスが初で、同社によると23日から利用可能になったとしている。この機能は「iOS 15」に組み込まれており、物理的なIDカードと同じように機能する。フェニックス・スカイハーバー国際空港の運輸保安局（TSA）セキュリティチェックポイントなどで使用できるとのこと。このサービスはコロラド州、ハワイ州、ミシシッピ州、オハイオ州、プエルトリコでもまもなく提供予定であるとしている（Appleリリース、CNET、ITmedia）。

ウクライナにあるレトロコンピュータ博物館、ロシア軍の爆撃で破壊される

スラド

著者: nagazou

2022年3月28日 13:09

ウクライナのマリウポリにあったレトロコンピューティング博物館「Club 8-Bit」がロシアの爆撃により破壊されてしまったそうだ。マリウポリはクリミア半島とドンバス地方を結ぶポイントにあることから、ロシア軍によって集中的な攻撃を受けており、建物の8割に損集があったとの報道もある。被害に関しては同博物館の運営者であったDmitry Cherepanov氏が公式ブログ上で発表を行った（Club 8-Bit公式ブログ、PC Gamer、ねとらぼ、産経新聞、NHK）。

Club 8-Bitは同氏が個人で運営していたもので、50年にわたって収集していた120台のレトロコンピュータとゲーム機、合計500以上の技術展示品などが置かれていた。Dmitry Cherepanov氏本人は無事だった。同氏はネット上に博物館の展示品に関する資料を残していたことから今後はこの資産を生かして仮想世界で新たな博物館を構築していくつもりだと話している。

すべて読む | ハードウェアセクション | ハードウェア |

地銀8行とローソン銀行でATMやネットバンキング停止、IBMの地銀向けシステムで電源障害

スラド

著者: nagazou

2022年3月28日 12:00

26日午前11時頃、一部の地方銀行やローソン銀行などでATMやインターネットバンキングが利用できなくなるシステム障害が発生した。障害が確認された地銀は、常陽銀行（茨城）、足利銀行（栃木）、百十四銀行（香川）、十六銀行（岐阜）、南都銀行（奈良）、山口銀行（山口）、もみじ銀行（広島）、北九州銀行（福岡）の8行とローソン銀行の一部のサービス（常陽銀行リリース[PDF]、十六銀行リリース[PDF]、NHK、読売新聞、朝日新聞、産経新聞、日経新聞）。

日経クロステックの記事によれば、これらの銀行は地方銀行の共同化システムである「Chance地銀共同化システム」を使用していたという。このシステムは日本IBMが開発し、2021年9月に日本IBMから分社化したキンドリルジャパンが運用を行っていた。同社系IT会社のデータセンターの電源関連の障害が発生、システムの再起動に時間がかかり、影響が長期化したという。障害は27日朝に復旧したとしている（NHK、日経クロステック）。

すべて読む | ハードウェアセクション | ビジネス | 電力 | IBM | お金 |

SARS-CoV-2 オミクロン株、感染しても他の変異株に対する免疫はほとんど獲得できないという研究成果

スラド

著者: headless

2022年3月27日 19:43

サンプル数は 59 人と少ないが、新型コロナウイルス (SARS-CoV-2) オミクロン株 (BA.1)感染では他の変異株に対する免疫がほとんど獲得できず、ワクチン接種が必要になるというオーストリアの研究グループの研究成果が発表された (The New England Journal of Medicineの記事、 Ars Technica の記事)。

研究ではオミクロン株感染前の免疫状態により、SARS-CoV-2 に感染したことがなくワクチン接種済み (15 人)・未接種 (18 人) と D614G 変異株・アルファ株・デルタ株のいずれかに感染したことがあるワクチン接種済み (11 人)・未接種 (15 人) の 4 グループに分け、最初に PCR 検査でオミクロン株陽性となってから 5 日～ 42 日後の血清サンプルを調査している。

その結果、ワクチン接種済みの人は過去の感染の有無にかかわらず、D614G・アルファ株・ベータ株・ガンマ株・デルタ株に対する抗体価がオミクロン株に対する抗体価よりも高く、すべての変異株に対する免疫が認められたのに対し、未接種・未感染の人はオミクロン株以外の変異株に対する抗体価が低く、一部の人で一部の変異株に対する免疫が認められるのみだったという。過去に感染したことがある人の傾向はワクチン接種済みと似ているが、うち 3 人はオミクロン株以外に対する免疫が認められず、PCR 検査が誤検知だった可能性もある。

今回の研究はサンプル数の少なさなどもあり限定的な調査にとどまるが、オミクロン株がこれまでの変異株との交差反応性の低い免疫回避変異株であるという仮説を支持する結果であるとのことだ。

Chromium 系ブラウザー、相次いで緊急アップデート

スラド

著者: headless

2022年3月27日 18:12

Google は 25 日、安定版チャネルの Chrome をバージョン 99.0.4844.84 に更新した (Chrome Releases の記事、 Neowin の記事、 Ghacks の記事)。

本バージョンでは実際に攻撃が確認されているというゼロデイ脆弱性 CVE-2022-1096 が修正されている。この脆弱性は V8 エンジンに存在する型の取り違えの脆弱性だという。Android版のChromeもバージョン 99.0.4844.84 に更新された。

これを受けて Chromium 系ブラウザーのデスクトップ版が相次いで更新された。26 日には Microsoft が Microsoft Edge 99.0.1150.55 (Chromium 99.0.4844.84 ベース) を、Vivaldi Technologies が Vivaldi 5.1.2567.73 (Chromium 98.0.4758.141ベース) をリリースし、27 日には Brave Software が Brave 1.36.122 (Chromium 99.0.4844.88 ベース) をリリースしている。

Vivaldi は Chromium 98 ベースだが、CVE-2022-1096はバージョン 5.1.2567.73 の Chromium 98.0.4758.141 で修正されているとのこと。Android 版 Vivaldi もバージョン 5.1.2567.72 で Chromium 98.0.4758.141 ベースとなっている。Opera は現在のところ Chromium 99.0.4844.51 ベースの 85.0.4341.18 から更新されていない。

JR東日本水戸支社、車内からの撮影を禁ずる

スラド

著者: headless

2022年3月27日 16:43

あるAnonymous Coward 曰く、

暇坊主チャンネルの【危機的状況】乗り鉄系ユーチューバーの今後が非常にマズい件によると、JR 東日本水戸支社が管内で運行する車内からの撮影を遂に禁止したそうだ。

撮り鉄系 YouTuber の増加や過熱によるトラブルが背景にあり、今後の状況によっては、ホームや敷地内全てに拡大することも検討しているという。JR 東海 315 系が新車への入れ換えの際に客室と乗務員室の間に機械などを配置して直接見えないようにするなど、他社でも同様の対応が増えるとみられている。

投稿者の鐵坊主氏は在住するカナダでフェリー乗船中、他の人が写り込まないように配慮しつつ撮影していたが、様々な事情の方が乗船しているという理由で撮影を止めるようクルーに注意を受けたという。さらに YouTuber であると答えると、撮影するなら運航会社の広報を通すように求められたとのこと。

すべて読む | ITセクション | YouTube | IT |

GoogleとSpotify、ユーザーがアプリ内課金システムを選択可能なパイロットプログラムを発表

スラド

著者: headless

2022年3月27日 15:13

Google と Spotify は 23 日、Google Play で公開するアプリでアプリ内課金の決済システムをユーザーが選択できるようにするパイロットプログラムの実施を発表した (Android Developers Blog の記事、 For the Record の記事、 The Verge の記事、 9to5Google の記事)。

Google は韓国でアプリストアによるアプリ内課金の独占を禁ずる法案が可決したことを受け、アプリ内課金でサードパーティの決済システムを選択可能にする画面のモックアップを公開している。パイロットプログラムでは Google Play ストアからダウンロードした Spotify アプリで Google Play の課金システムと Spotify 独自の課金システムが並べて表示され、ユーザーが選択できるようになる。

Google は Spotify 以外の開発者もパイロットプログラムに参加できるようにする計画だ。Spotify は世界最大のサブスクリプション開発者の一つであり、幅広い地域・デバイスでサービスを提供していることから最初のパートナーとして当然の選択だったという。

パイロットプログラムでの手数料率等については未定とのことだが、Google はサードパーティ決済システムを使用する場合に Google Play の課金システムを使用するよりも 4 % ポイント低い手数料を課す計画を示していた。Spotify アプリでのパイロットプログラムは遅くとも年内には提供を開始し、数年にわたって行われるとのことだ。

「バックアップと復元 (Windows 7)」で作成した修復ディスクで PCを起動できない問題

スラド

著者: headless

2022年3月27日 11:56

Microsoft のサポートドキュメントによると、Windows 10 / 11 の「バックアップと復元 (Windows 7)」コントロールパネルで作成した修復ディスクによる PC 起動ができない可能性があるそうだ (KB5013438、 Windows Central の記事、 BleepingComputer の記事)。

起動できない可能性があるのは、2022 年 1 月 11 日以降にリリースされた Windows の更新プログラムを適用した環境で作成した修復ディスクのみ。それ以前のバージョンは影響を受けないという。Microsoft ではこの問題の解決に取り組んでおり、今後の更新プログラムで修正する計画とのことだ。

関連ストーリー：
スラドに聞け：おすすめのOSバックアップソフトは？ 2018年07月31日

米連邦地裁、ZTE の米経済制裁違反に対する執行猶予を取り消しても意味がないと判断

スラド

著者: headless

2022年3月27日 10:03

米テキサス北部地区連邦地裁の Ed Kinkeade 判事は 22 日、ZTE による米入国ビザの詐欺共謀罪を事実と認めたうえで、経済制裁違反に対する執行猶予を取り消す必要はないとの判断を示した (裁判所文書: PDF、 The Register の記事、 The Verge の記事、 WSJ の記事)。

ZTE は 2017 年、米国の経済制裁対象となっているイランに米国製の対象製品を輸出したとして 5 年間の執行猶予判決を受けた。ビザ詐欺の共謀罪は執行猶予取り消しの要件を満たす。しかし、ZTE のコンプライアンス改善は十分でないものの、裁判所が指名した監視チームの働きにより 2018 年の輸出特権停止措置につながる問題が見つかるなどの改善が見られるという。また、ZTE は既に最大限の制裁金を支払っており、それ以上罰することができないため、執行猶予を取り消さないとの判断に至ったとのこと。経済制裁違反による執行猶予期間は 3 月 22 日で終了した。

ネスレ曰く、Anonymous がリークだと主張する 10 GB のデータはダミーデータ

スラド

著者: headless

2022年3月26日 19:21

Anonymous がネスレのビジネスに関連するデータ 10 GB をリークしたと主張しているが、ネスレ側はダミーデータだと反論しているそうだ (The Register の記事、 @LatestAnonPress のツイート、 @YourAnonTV のツイート)。

Anonymous がサンプルとして公開しているデータは展開後のサイズが 50 MB 強のもので、example.com ドメインの電子メールアドレスなど明らかなダミーデータが目立つ。ネスレが The Register に語ったところによれば、データは本物でも機密情報でもなく、誤って同社の Web サイトで公開してしまったものだという。

同社のビジネステスト用 Web サイトで短時間の誤公開事故が発生したのは 2 月。大半は一般に入手可能なランダム化された B2B 用テストデータであり、事故後の調査では特に追加の対応は必要ないと判断しているとのこと。そのため、ネスレがサイバー攻撃を受けて情報を流出させたという主張は根拠のないものとのことだ。

ネスレはロシアに対する国際的な制裁措置に従うこと、ロシアでの宣伝活動や投資、輸出入を停止することなどを発表する一方、人道的に必要な食糧供給を継続すると述べたため、Anonymous のターゲットになったようだ。

同社はその後、ロシアで近い将来の間に利益を上げるつもりはなく、利益は人道支援組織にすべて寄付すると述べているが、ロシアでの人道的に必要な食料供給は同社の価値観に合うものだとして、継続する意思を示している。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

Studio Display 専用電源コード取り外し器具の 3D プリント用データ

スラド

著者: headless

2022年3月26日 17:28

Apple の Studio Display 専用電源コード取り外し器具の 3D プリント用データを 9to5Mac が公開している (9to5Mac の記事、ダウンロードページ)。

Apple は Studio Display の電源ケーブルが取り外し不可能だと説明しているが、Studio Display 本体と電源ケーブルはコネクターにより接続されている。ただし、簡単に外れるようにはなっておらず、力ずくで引き抜けば損傷する可能性が高い。そのため、Appleは内部で使用するため専用の電源コード取り外し器具を用意しているという。この器具はリールとレバーを組み合わせたモグラたたきのハンマーのような形状で、リールにケーブルを巻き付けてからレバーで回転させれば簡単に外れるようだ。

しかし、この器具を Apple が一般に提供する可能性は低いため、9to5Mac では同等の器具を 3D プリンターで出力できるようデータを無償で公開したそうだ。一方、Apple はユーザーが電源ケーブルを着脱することを想定しておらず、交換用のケーブルを一般提供する可能性も低いため、取り外す意味はあまりない。9to5Mac では必要がなければ取り外さないよう推奨している。

スズキ、SkyDriveと連携して「空飛ぶクルマ」事業に参入

スラド

著者: headless

2022年3月26日 15:35

SkyDrive とスズキは 22 日、「空飛ぶクルマ」の事業化を目指す連携協定の締結を発表した (プレスリリース [1]、 [2]、 SlashGear の記事)。

空飛ぶクルマは明確に定義されたものではないが、「電動」「自動(操縦)」「垂直離着陸」が統合された新しい空のモビリティをイメージしたものだという。現在、SkyDrive は機体メーカーとして、2025 年の大阪ベイエリアでのエアタクシーサービス実現などに向けた 2 人乗りの機体を開発している。

今回の連携協定では両社が事業・技術を連携して機体開発および要素技術の研究開発や製造・量産体制の検討を開始するほか、スズキの四輪・二輪・マリンに空飛ぶクルマを加えた新しいモビリティの具体化や、インドを中心とした海外市場開拓の検討も開始するとのことだ。

Microsoft PowerToys、Outlook の PDF プレビューエラーの原因となる

スラド

著者: headless

2022年3月26日 13:42

Outlook で PDF 添付ファイルのプレビューエラーが発生する主な原因と対処法について、Microsoft が解説している (サポート記事、 Windows Central の記事、 Bleeping Computer の記事)。

発生するエラーはプレビューアーがインストールされていないためプレビューが表示できないというものだ。原因の一つとして考えられるのは、Outlook と異なるビット版 (32 ビット版・64 ビット版) の Adobe Acrobat Reader がインストールされていることだ。これが原因になっているかどうかは、それぞれのアプリケーションのバージョン情報で確認できる。ビット版が異なっている場合は Acrobat Reader をいったんアンインストールし、Outlook と同じビット版をダウンロードしてインストールすればいい。

もう一つの原因として考えられるのは、Microsoft PowerToys のインストールで PDF プレビューの設定が上書きされていることだ。この場合は PowerToys を開いて「File Explorer add-ons」で「PDF (.pdf) プレビューを有効化する」をオフにすればいい。

日本の医療Q&Aサイト、公開状態のAmazon S3バケットからおよそ30GBの顧客データが流出

スラド

著者: headless

2022年3月26日 11:39

日本の医療 Q&A サイト Doctors Me がおよそ 30 GB の顧客データを格納した Amazon S3 バケットを誤設定で公開状態にしていたと、発見したセキュリティ情報サイトの SafetyDetectives が報告している (SafetyDetectives のニュース記事、 HackRead の記事)。

Doctors Me は匿名でヘルスケアの専門家に直接相談できる Q&A サイトで、症状の写真をアップロードすることも可能だ。公開状態になっていたバケットは発見時にも更新が続けられており、ファイル 30 万点以上、患者の写真およそ 12,000 点が含まれていたという。写真は相談者が本人や家族の症状を撮影したもので、顔面を撮影したものは子供の写真が中心とのこと。少数ではあるが、動物の写真も含まれていたそうだ。SafetyDetectives ではこのトラブルで患者のプライバシーが侵害されただけでなく、脅迫の材料となる可能性や、未成年者のプライベートな写真が捕食者間で流通する可能性を指摘している。

SafetyDetectives は昨年 11 月 11 日に問題を発見し、同日 Doctors Me に通知している。反応がなかったのか、11 月 21 日には Doctors Me に加えて JPCERT/CC にも連絡。以降は JPCERT/CC を通じたやり取りになり、今年 1 月 11 日になって AWS に連絡したと通知を受けたとのことだ。

リーディングビュー