GuideにMicrosoftからこの11月に,今後新たな脆弱性情報の仕組みを提供する旨公表されました。Guide(日本語では「セキュリティ更新プログラムガイド」と呼称)は,Microsoft製品の脆弱性情報を提供する新たな仕組みです。セキュリティ更新プログラムガイドhttps://portal.msrc.microsoft.com/ja-jp/security-guidance2016年11月の段階でPreviewが公開されています。Guideプレビュー画面これまでセキュリティ情報に掲載されていた脆弱性情報は,MSxx-xxxという形で管理番号が付与されていました。Microsoftのセキュリティ情報は,人間が読むのはやりやすいものの,セキュリティ情報の取得や分類などの処理を,自動化するためのAPIなどは提供されていませんでした。Guideを経由した情報提供が開始されることで,以下のものが提供されるようになります。Guide一本にMicrosoft製品の脆弱性というと,MS16-xxxみたいな感じで示すことができるのですが(下図),それも2017年1月までになりそうです。Guideのみになります。Guideの使い方に慣れておくのがよいでしょう。Projectから公開されました。複数の脆弱性に対するアップデート今回の脆弱性で見るべきところ今回の脆弱性はそれぞれ「リモートコード実行」「情報漏えい」「サービス妨害」なので,これだけ見たら「修正しなきゃ」でおわるのですが,私が見たところ,1件の脆弱性修正の内容に少し見るべき点がありました。それは,CVE-2016-8735の修正に関する以下の説明によります。これは,「CVE-2016-3427で修正された内容を考慮してなかったために発生した脆弱性」ということを意味します。他のソフトウェアで発見された脆弱性が,直接的に他のソフトウェアにも影響する実例とも言えます。CVE-2016-3427の概要は,以下のページの中から確認できます。最近のソフトウェアは,多くの情報がインターネット上から入手可能ですし,最悪それらの情報をつなぎ合わせて(コピペで)なんとか動くコードを作れる,という時代です。何をどこから持ってきて,自分が作ったコードに何をさせようとしているかがわからないと,コピー元のコードに脆弱性があってもそれを気づくことができません。コードの引用/複製等を意図せずやった場合には,よく言われるライセンス問題以外にも,今回のように「引用元/関連するソフトウェアに残存している脆弱性が,自分の書いたソフトウェアにも埋め込まれる」という危険性があります。Tomcatで見つかったのと同じような、他のソフトウェアに起因する脆弱性に気付けない危険性もあります。結論:何気なくコピペして使っているコードや自システムの構成には気をつけよう何かのコードを書いていて,何も気にせずコピペしていると,たまたまどこかから持ってきた/参考にしたコードが脆弱だった場合に,そのコードの脆弱性が「自分が作ったものにどう影響しているのか」すらも調査できなくなることがありえます。日常的にソフトウェアを書いている人にとっては,あたりまえとも言えることなのですが,自分は何をさせるためにコードを書いているのか?は,最低限把握しておき,そのために必要な引用を行ったり,参考にしたコードがある場合には,何をどこから持ってきたのか/何を参考にしたのかくらいは管理しておくようにしましょう。複数のソフトウェアを協調動作させているシステム等でも,何を使っているかの把握を行う等はやっておきましょう。脆弱なソフトウェアを使っているとわかったら,入れ替えを行うための影響調査を行える準備をするのが吉と言えます。Tomcat著者プロフィール宮本久仁男(みやもとくにお)某SIerに勤務する,どこにでもいる技術者。OSやネットワーク技術に興味を持ち,その延長でセキュリティ技術にも興味を持って,いろんな調査や研究を手がけてます。自分で思考を巡らしたり検証したり,というのももちろん好きで,あれこれやってます。他の人に迷惑はかけない範囲で......ですが。博士(情報学),技術士(情報工学)。1位は,Webデザインの新しいプロセスについて,気になるネタは,Dropboxが物理セキュリティキーに対応。そこにはヒットメーカーの極意があった噂の超高速分析データベースを試してみよう~ログ解析,機械学習なんでもござれ~ワールドワイドで3,500社以上が活用しているビッグデータ高速分析用のデータベース「Vertica」。クエリ性能を簡単に数百倍にする術をご紹介します。「JIRA」をはじめとするアトラシアンのツール群。多くのオープンソースソフトウェアを継続して提供する支えとなっている使い易さを探ってみます。Cloud」が,いよいよ日本でのサービスを本格的に開始します。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。