今まさに攻撃を受けている4つのPCセキュリティエクスプロイトとその対策

ドイツのITセキュリティの現状に関するBSIレポートは、驚くべき数字を示しています。2023年、連邦情報セキュリティ局はソフトウェア製品に毎日平均68件の新しい脆弱性を登録し、結果として年間約25,000件の新しい脆弱性が発生しました。

業界向けの専門アプリケーションから企業向けのサーバーソフトウェア、スマートフォンアプリまで、あらゆる種類のプログラムでセキュリティ関連のエラーが確認されました。

これらの脆弱性の大半（約47%）は、不正なコマンドやプログラムコードの実行を可能にするものでした。これにより、攻撃者は例えば、コンピューターにランサムウェアをインストールしたり、セキュリティ対策を回避したり、自身のアクセス権を拡張したり、データを読み出して他のグループに売却したり、所有者を脅迫したりすることが可能になりました。

Winrarは埋め込まれたスクリプトを実行し、悪意のあるコードをロードします

IDG

2023年8月、人気の圧縮プログラムWinRARにセキュリティ上の脆弱性が発見されました。この脆弱性により、ハッカーがユーザーのコンピュータ上でスクリプトを実行できる可能性がありました。原因は、ツールのファイル名拡張子の処理におけるエラーでした。

これに基づいて、ファイルが開かれたときにスクリプトが自動的に開始され、たとえばインターネットから追加のファイルがダウンロードされるような RAR アーカイブを準備することが可能になりました。

Win.rar GmbHは8月に、このエラーを修正した改訂版6.23をリリースしました。現在はバージョン6.24が利用可能です。しかし、多くのユーザーが依然として、脆弱性のある以前のバージョンを使用している可能性があります。

もう一つの大きな問題は、多くのメーカーがWinRARの圧縮機構をライセンス供与され、自社製品に組み込んでいることです。例えば、Total Commanderファイルマネージャーがそうです。そのため、RARアーカイブの読み込みと作成機能を提供するプログラムがある場合は、必ず最新バージョンにアップデートしてください。

さらに読む: Windowsに最適なアンチウイルス

IDG

オープンソースソフトウェアであるVLCメディアプレーヤーは、セキュリティ上の脆弱性が繰り返し発見され、ここ数年メディアの注目を集めてきました。しかし、2019年のニュース記事のように、これらの中には誤報もありました。

このエラーは VLC プレーヤーの Linux バージョンにのみ影響し、VLC 開発者によれば、原因はソフトウェアではなく、一部の Linux ディストリビューションのプログラム ライブラリの欠陥にあるとのことです。

しかし、非公式サイトからダウンロードしたVLCの中には、ツール起動時に読み込まれる外部DLLファイルが含まれており、外部からのアクセスを許してしまうものもあることが確認されています。教訓：ソフトウェアは必ずメーカーのウェブサイトまたは信頼できるサイトからダウンロードするようにしましょう。

しかし、2022年には、VLCプレーヤーに重大なセキュリティ脆弱性が複数発見されました。これらの脆弱性により、攻撃者は例えば、用意したファイルを介してVLCプレーヤーをクラッシュさせ、外部ソースから悪意のあるコードを取得したり、サービス拒否攻撃を仕掛けてコンピューターを麻痺させたりすることが可能になりました。ユーザーは、ビデオファイルを再生したり、プレイリストを開いたりするだけで、こうした脆弱性を悪用することが可能でした。

製造元の Videolan はバージョン 3.0.18 で問題を修正しました。現在のバージョンは 3.0.20 です。

グラフィック形式のWebpの画像には悪意のあるコードが含まれている

IDG

昨年9月、GoogleはChromeブラウザに脆弱性を登録しました。この脆弱性により、攻撃者はバッファオーバーフローを引き起こし、悪意のあるコードを実行できる可能性があります。ファイルサイズが非常に小さいことが特徴で、広く使用されている画像形式であるWebPが影響を受けました。

ユーザーは、この形式で細工された画像を開くだけで、コンピューター上でコードが実行されました。Google Chromeでは、Webp画像のあるウェブサイトを開くだけで十分でした。

わずか数時間後、同社は訂正し、Chrome以外にも多くのアプリケーションが脆弱であると説明しました。実際には、バグはブラウザ自体ではなく、ブラウザがWebP画像を開く際にアクセスするオープンライブラリlibwebpに存在していました。このライブラリは、Chrome、Firefox、Edgeなどの多くのプログラムに加え、Gimp、Inkscape、Libreoffice、Signal、Thunderbird、1Passwordなどのアプリケーションでも使用されています。

ブラウザ向けのパッチは以前から提供されており、自動的にインストールされるものもありますが、ユーザーのPC上の多くのプログラムは、おそらくパッチが適用されていない古いバージョンで動作しているでしょう。そのため、Webpグラフィックを読み取ることができるソフトウェアはすべて、直ちに最新バージョンに更新する必要があります。

Foxit PDF Readerのメモリエラーにより悪意のあるコードが実行される

IDG

2023年11月、Foxit PDF ReaderおよびFoxit PDF Editorに複数の脆弱性が発見されました。これらの脆弱性により、操作された文書ファイルを開く際にメモリエラーが発生する可能性があります。これにより、攻撃者がコンピュータ上で任意の悪意のあるコードを実行することが可能になりました。

製造元は現在、これらの脆弱性を修正したバージョン 2023.3 をリリースしています。

さらに読む:最高のパスワードマネージャー

注意: 新しい Outlook バージョンはログインデータを渡します

IDG

Windowsのメールとカレンダープログラムの時代は終わりに近づいています。Microsoftは、標準化されたインターフェースと「Outlook」という名称を持つメールプログラムを、すべてのOSプラットフォームで利用できるようにしたいと考えています。そのモデルとなるのは、Web版Outlookです。

前述の2つのWindowsアプリもこれらの計画の対象となり、ユーザーは今後数か月以内にWindows 11の新しいOutlookへの移行を促されるでしょう。このOutlookは既に現在のWindows 11に含まれています。ただし、これはMicrosoft 365で計画されている新しいOutlookのバージョンではなく、後日導入される予定です。

切り替えるには、ユーザーは新しいOutlookでIMAPアカウントを設定し、ユーザー名とパスワードを入力する必要があります。現在明らかになっているように、このデータはローカルコンピューター上には保存されず、Microsoftクラウドに転送され、そこに保存されます。

Microsoftの理論は、これによりユーザーの既存のメールアカウントをすべて同期できるため、すべてのメールボックスを1つのメールプログラムで管理できるようになるというものです。しかし、Microsoftがアクセスデータを入手した場合、Outlook.comなどの自社サービス内のメッセージだけでなく、他社の受信トレイ内のメールも含め、ユーザーのすべてのメールを読むことができるようになります。

この記事はドイツ語から英語に翻訳され、元々はpcwelt.deに掲載されていました。