Trend Microのパスワード管理ソフトにリモートから任意コード実行可能な脆弱性 42
セキュリティソフトのセキュリティ問題が頻発 部門より
Trend Microのパスワード管理ソフト「Password Manager」でリモートから任意のコードが実行可能な脆弱性が発見され、発見者のGoogle Security ResearchのTavis Ormandy氏から報告を受けたTrend Microが緊急アップデートを配布したそうだ（Google Security Research — Issue 693、Trend Microのブログ、Softpedia、Ars Technica、Register）。
Password Managerは主にJavaScriptで書かれており、localhostでNode.jsを使ってHTTPサーバーを実行する。このコンポーネントは70近いAPIを公開しているが、最初に問題が見つかったのは「openUrlInDefaultBrowser」APIから「ShellExecute」が実行される点だ。そのため、Webサイト側がこのAPIを呼び出すことで、任意のコード実行が可能となる。さらに、localhost用の自己署名の証明書が信頼済みストアに追加されるため、セキュリティエラーなども発生しないという。
Trend Microは修正済みビルドを作成してOrmandy氏に送ったが、任意コード実行可能なAPIは他にも見つかり、Password Managerが暗号化して保存しているすべてのパスワードをWebサイトが取得し、復号できることも判明した。Webブラウザが保存しているパスワードのPassword Managerへのエクスポートはオプションだが、攻撃者は「exportBrowserPasswords」APIを使用することで、ユーザーが実際にPassword Managerを使用していなくてもパスワードを取得できる可能性がある。
指摘された問題は最終的にすべて修正され、緊急アップデートが自動更新で配布されているが、他にも問題が見つかる可能性もあるという。なお、Password Managerは単体で販売されているほか、米国では「Trend Micro Premium/Maximum Security 10」に同梱されているが、国内版の「ウイルスバスター クラウド 10」には同梱されておらず、別途提供のみとなっているようだ。
LIKE! (スコア:0)
いいね！
自力でやれんもんなん？ (スコア:0)
つーか、他人にパスワード管理させる人の気が知れんでおじゃる。
Re: (スコア:0)
紙にでもメモってるんですか?
Re:自力でやれんもんなん？ (スコア:1)
紙にメモして、その紙を厳重に管理する、という方法は有りですよ。
http://itpro.nikkeibp.co.jp/atcl/column/15/081900194/081900003/ [nikkeibp.co.jp]
http://www.motex.co.jp/nomore/column/1036/ [motex.co.jp]
Re: (スコア:0)
か、紙にメモしてても、そのメモを鍵付き容器(物理)に保存すれば大丈夫だよ!!
たぶん…。
Re: (スコア:0)
ネット越しに漏洩する可能性が極端に低いという意味では、パスワードマネージャより遥かに安全だよね。
一人暮らしの自室だったら部屋自体が鍵付き容器(物理)だし、PCのカメラにさえ注意すれば良い。
# 彼女を部屋に招く？ねぇよ、そんなの……。
Re: (スコア:0)
そこまでやらんでも、財布に保管しとけば現金やカード類と同レベルのセキュリティは確保できるぞ。
溜まってるレシートと一緒に捨ててしまわないように注意しろ。
Re: (スコア:0)
あちこちのパスワードがあるわけだから
財布（財布にかぎらず全部だが）なくしたら、どこリセットすればいいか思い出せない。
Re: (スコア:0)
いや、覚えてるが
Re: (スコア:0)
なるほど使いまわしですか
Re: (スコア:0)
そう言われれば、もう他人の電話番号なんて到底憶えきれなくなったなあ。
管理ツール使いだしたら同じ思いをするんだろうな。
Re: (スコア:0)
使い回しはやめよう！と思って、既存のサービスをランダムな文字列のパスワードにちまちま変えてって、googleドキュメントに全部メモるようにしてるんだけど
アイフォンはアプリを買う時とか頻繁にパスワードを聞いてくるから昔から使ってた使い回しパスワードにしちゃってるな
Re: (スコア:0)
200くらいあるパスワードとか10年前のパスワードとか覚えきれないだろ？
絶対に忘れてると思う。
Re:自力でやれんもんなん？ (スコア:1)
300個位あるし、個別にランダム生成してるし、サイトに合わせて文字種や長さも変えてる。
そうするとたとえ一つでも覚えられない。
エントリーを作成するたびにパスワード要件をメモ書きしてるけど、日本のサイト・サービスに多いのが英数字10-15文字までのように難易度が低いところ。
そういうところは自然に足が遠のきます
Re: (スコア:0)
紙にメモしている。いわゆるシーザー暗号化した文字列を。
復号規則だけ頭の中に。で、それらを四半期ごとに変更する。
もっとスマートな方法はないものかと思うが、皆さん実際どうしているの？
パスワード管理ソフトはいまひとつ肌に合わない。
Re: (スコア:0)
紙に書いてるけど？高々10個くらいだし
セキュリティ高い系企業 (スコア:0)
ちょっと言ってみたかっただけ。
また証明書絡みか (スコア:0)
FirefoxにSHA1後退を余儀なくさせたというセキュリティ企業、まさかTrendMicroじゃないでしょうね？気軽に証明書をいじりすぎじゃないですか？証明書ストアクリーナーとかロッカーとか、本当に必要になってきている気がする。
Re: (スコア:0)
証明書が絡まなくても、社内検証した結果、脆弱性が有るから配信サーバー等を新バージョンに更新するなよ？と回覧がしょっちゅう流れてくる会社の中にいると、ああ、またかぁレベルですな。
# しかも直るのが2回ぐらい修正パッチが出た後で結構遅い。
Windows DefenderとかMSEとかそういう点ではまだまだ狙われ足りないのか、機能が少ないからかコイツらに脆弱性がってケースが少ないし、トレンドマイクロもそのレベルを目指してほしい。
少なくともそこそこデカいけど非セキュリティ業界の企業の社員が見つかられる程度の脆弱性を作りこむのはマジ止めてほしい。
だせえ (スコア:0)
>最初に問題が見つかったのは「openUrlInDefaultBrowser」APIから「ShellExecute」が実行される点だ。
信頼できない文字列を指定してShellExecuteを呼んじゃいけないなんて、セキュリティの基本の基本じゃないですかやだー。
セキュリティ企業でやっちゃだめでしょ。
Re: (スコア:0)
きっと社内でコードレビューとかやってないんでしょうね。
またTrend Microか (スコア:0)
セキュリティの不祥事何度目だ？
node.jsを製品に同梱？(スコア:0, 知らないのお前だけ) (スコア:0)
まだまだ勉強中の俺からしてみれば、node.jsを製品に同梱するという発想が出てこない。
そのnode.jsはどうなってるんだろう？
環境変数とかいじらなくて大丈夫なんだろうか？
こいつをインストールすると、俺氏が開発で使ってるnode.jsの都合と色々バッティングしてしまい涙目、なんて事にはならないんだろうか？
任意のバージョンのnode.jsを気楽に切り替えて使える、という事は知ってたけど（これはnodistのおかげ？）
同一のマシン上で、複数のnode.jsを同時に動かせられるのｎ？
Re: (スコア:0)
node.jsの前に、OSとかシェルとかプロセスの勉強をしたほうが良いのでは？
Re: (スコア:0)
浅学の前置きしつつトンチンカンないちゃもん付けるのは
見てて痛々しいからやめろ
Re: (スコア:0)
どう見てもイチャモンには見えないんだよなあ・・
Re: (スコア:0)
Electronベース(Node.js内蔵)のエディタを起動した状態でもNode.jsアプリの開発はできるのでこれも同様でしょう。
Re: (スコア:0)
本社は日本でしょ？第一洋画でも国内版という。
Re: (スコア:0)
「国内版」表記を使うことはあるけど、紛らわしいから「日本語版」表記にして欲しい。
日本国内でしか使われないことが明らかな道具ならいいけどさ、
ソフトなんて海外で使われるのも珍しくないんだし。
＃というか、本当に「ある国の国内限定でしか使われないソフト」って一体？
＃「ある企業の○○工場内でしか使わない」くらいならまだしもさ。
＃「日本語ワープロ」「日本語IME」でさえも、外国人が使っちゃいかんというわけでもなかろう。
Re: (スコア:0)
個人的にはそれは反対。何故なら、「日本語版」という表現だと言語対応しただけのように見えるから。
実際にそれだけしかしてないのかもしれないけど、それこそ「ソフトなんて」ローカライズの際にその国の法や習俗に従って機能を削ったり調整したりするもんだし。
それに、国内版というのが国内限定でないとダメと言ったら、そもそも例外のない用語は使えないことになっちゃうし。あれは事実上国内向け版の意味でしょ。
強いて言えば、「国内」ではなくその国名を明記してほしいとは思う。
Re: (スコア:0)
1.Trend Microは日系企業。
2.日本国内でサポート以外は責任を負わない、と言うライセンスなので「国内版」で正しい
Re: (スコア:0)
>1.Trend Microは日系企業。
ダウト!!
沿革
1988年（昭和63年） - 台湾出身のスティーブ・チャン（張明正、現代表取締役会長）がその妻と妻の妹のエバ・チェン（現CEO）と共に米国ロサンゼルスにて創業。本社を台北に移す。
Re: (スコア:0)
日系企業とは [kotobank.jp]
Re: (スコア:0)
Wikpediaをコピペして「ダウト!!」
ｷｬｰｶｺｲｰ
Re: (スコア:0)
例えばね、在日外国人が創業し、現在も外国籍の人が代表を務めるお菓子メーカーのロッテは、日本企業です。
創業者が誰か、創業の地がどこかは直接関係ありません。
Re: (スコア:0)
おまそう
Re: (スコア:0)
ロッテはチョン企業ってことですか？
Re: (スコア:0)
＞スティーブ・チャン
は日本でしかビジネスをしたことないですよ。
Re: (スコア:0)
だから「ダウト」は間違いを指摘する言葉じゃ無いっての。
Re: (スコア:0)
「それひょっとしたら嘘なんじゃないの？ なんとなくそう思うんだよね」程度の意味よな。
Re: (スコア:0)
いや、嘘じゃ無かったときのリスクを背負った上での発言なんだから、もうちょっと強いだろ。
「それは嘘だろう。このカシオミニを賭けてもいい」ぐらいかな。