【セキュリティ ニュース】5月のMS月例パッチが公開 - 複数のゼロデイ脆弱性を修正（1ページ目 / 全4ページ）：Security NEXT
マイクロソフトは現地時間5月14日、5月の月例セキュリティ更新プログラムを公開した。61件の脆弱性を修正しており、2件の脆弱性いついてはすでに悪用が確認されているという。 今回のアップデートでは、「Windows」や「Office」をはじめ、「Azure」「Power BI」「Microsoft Intune」「Microsoft Dynamics 365」「.NET Core」「Visual Studio」などに明らかとなった脆弱性に対処した。 CVEベースで61件の脆弱性を修正しており、最大重要度を見ると、4段階中もっとも高い「クリティカル（Critical）」とされる脆弱性は、「Microsoft SharePoint Server」に判明した「CVE-2024-30044」の1件。 サイト所有者の権限を持つ場合、「SharePoint Server」の権限で任意のコードを実行するこ
Microsoft、脆弱性の開示に向けて業界標準の体系を採用 大改革がもたらすメリット
Microsoftは、2024年4月8日（現地時間）のブログ投稿で（注1）、Common Weakness Enumeration（共通脆弱《ぜいじゃく》性列挙）という業界標準の体系を使用して、脆弱性の根本的な原因となるデータを公開すると発表した。 Microsoftが業界標準の脆弱性評価体系を使用すると発表 このメリットは何か？ 何十年もの間、Microsoftは独自の分類法によって脆弱性の原因を説明してきた。今回の変更は、製品とサービスをより安全なものとし、透明性を高めるための大きな取り組みの一環だ。 Microsoftのリサ・オルソン氏（セキュリティ領域のプログラムマネジャー）は、ブログの中で次のように述べた。 「標準体系の採用は、既存のソフトウェアやハードウェアの脆弱性を発見し、緩和するためのコミュニティー内での議論をより活発にし、将来のアップデートやリリースにおいても脆弱性を最小
New Microsoft Incident Response guide simplifies threat investigation | Microsoft Security Blog
There’s an increasing demand for skilled cybersecurity professionals. It’s being driven by a surge in cyberthreats and more sophisticated attackers. However, many employers are hesitant to fill open cybersecurity roles and are hiring conservatively in case of economic downturn—even though they understand the importance of having the right expertise to mitigate contemporary cyberrisks. Organization
Microsoft Edge (及び Chromium 系 Browser 全般) v124 から Office 系ファイルの DL に制限がかかる件について - Qiita
Microsoft Edge (及び Chromium 系 Browser 全般) v124 から Office 系ファイルの DL に制限がかかる件についてChromeEdgeChromium これは何？ Microsoft Edge v124 に更新後、下記画像のように "XXX を安全にダウンロードすることはできません" と表示され、 Office 系のファイル等にてダウンロードに失敗する事象の理由と解決策です。 なお、先立ちますがこの動作は Chromium の仕様変更による想定の挙動です。 理由 Chromiumの "HTTPS by default"イニシアチブの一環として v124 から "Insecure Download Warnings" 機能が有効になったことが起因です。 HTTP での一部ファイル ダウンロードにて制限が発生するというものです。 解決策 クライアント
一般提供！「Google Chat」Slack/Microsoft Teams他相互運用
この記事のポイント Google、チャットサービス統合ツール「Mio（m.io）」との提携による「Google Chat」と「Slack」「Microsoft Teams」「Webex」「Zoom Chat」との相互運用を一般提供開始 2023 年 8 月 29 日（火）にベータ版として提供されたサービス ただし「Mio（m.io）」ライセンス必須 Google は 2024 年 4 月 18 日（木）、2023 年 8 月下旬のチャットサービス統合ツール「Mio（m.io）」との提携によって実現したグループウェア「Google Workspace」チャットサービス「Google Chat」と、「Mio」提携既存チャットサービス「Slack」「Microsoft Teams」「Webex」「Zoom Chat」との相互運用を、ついに「Google Workspace」アカウント向けに一般提
PowerShellの今を見る 2つあるPowerShellはどっち使えばいい？ (1/2)
PowerShellに関しては、2021年に1回まとめたのだが、あれから3年も経過したので最新情報も含めて、簡単に解説したい。なお、それぞれのこれまでの経緯などは、過去記事に記載しているので参考にしてほしい。 ●あらためて「PowerShell」の現状と登場後の経緯を整理する https://ascii.jp/elem/000/004/052/4052789/ 結論から言えば、PowerShellには、Windowsに同梱されている「Windows PowerShell」と、ユーザーがインストールする必要がある「PowerShell」がある。コマンドラインを使う頻度が高いようならば、最新のPowerShellをインストール、そうでなければWindows PowerShellで十分である。 PowerShellのインストーラーなどに表示される奇妙な人物イラストを見たことがある人もいるだろう。
MSアカウント前提のWindows、ユーザーが拒否反応を示す3つの理由
Windows 11や10は、ウェブサービスのアカウントである「Microsoft（MS）アカウント」でサインインするのが原則だ。そのメリットは、複数のパソコンでデータや設定を同期できることにある。 ところが、このMSアカウントに対してユーザーの拒否反応が広がっている。主な理由は3つある（図1）。 図1 Windowsやマイクロソフト製アプリの多くは、Microsoft（MS）アカウントでサインインして利用する。サインインによってOSやアプリの利便性が向上するとされているが、上の3つのような問題が生じたことで、拒否反応を示すユーザーも少なくない。ここでは、MSアカウントの実態を見ていこう 1つは、MSアカウントとOneDrive（マイクロソフトのクラウドストレージサービス）がひも付けされていること。MSアカウントを登録すると、有無をいわさずOneDriveの勝手なデータ同期が始まる。 2つ
Microsoft、今年のホリデーシーズンに新たなXboxハードウェアを投入することを予告 ｰ ハンドベルド機も?? | 気になる、記になる…
ホームその他ニュースゲーム関連Microsoft、今年のホリデーシーズンに新たなXboxハードウェアを投入することを予告 ｰ ハンドベルド機も?? 本日未明、Microsoftが「Xbox」の今後の動向を伝える「Official Xbox Podcast」の特別版を配信しましたが、その中で、今年のホリデーシーズンに合わせて新しい「Xboxハードウェア」を発表することを明らかにしました。 この「Xboxハードウェア」について詳細は明らかにされていませんが、今年のホリデーシーズンにはエキサイティングなものが複数発表される予定。また、次世代Xboxについては、最大規模の技術的躍進を実現することに焦点を当てて開発されているようです。 Microsoftは「我々は様々なタイプのデバイスに多くの機会を見出しており、準備が整い次第、将来のハードウェア計画について具体的な情報を共有する予定」と述べています
Outlookの脆弱性など悪用してパスワードハッシュを盗む方法が発見
Varonisは1月29日(米国時間)、「Outlook Vulnerability Discovery and New Ways to Leak NTLM Hashes」において、Microsoftの認証プロトコル「NTLM v2」のハッシュ化されたパスワードにアクセスする3つの方法を発見したと伝えた。発見されたアクセス方法は、Outlookの新しい脆弱性、Windowsパフォーマンスアナライザー(WPA: Windows Performance Analyzer)、Windowsのファイルエクスプローラーを使用する3種類で、それぞれの窃取方法、攻撃シナリオを解説している。 Outlook Vulnerability Discovery and New Ways to Leak NTLM Hashes Outlookの新しい脆弱性 新しく発見されたOutlookの脆弱性は、「CVE-20
EdgeがChromeで開いたタブを盗み取る謎現象が発生しているとの報告
Microsoft Edgeを起動すると、データをインポートしたり同期したりしていないにもかかわらず、直前までGoogle Chromeで閲覧していたウェブサイトがEdgeで開かれるという挙動が報告されました。 Microsoft stole my Chrome tabs, and it wants yours, too - The Verge https://www.theverge.com/24054329/microsoft-edge-automatic-chrome-import-data-feature Microsoft Edge is apparently usurping Chrome on people’s PCs | Ars Technica https://arstechnica.com/gadgets/2024/01/microsoft-edge-is-appare
Microsoft Copilot Pro「全世界のWindowsユーザーが生成AIを意識せずに、当たり前のツールとして使いこなす未来」- Blog 2024/1/7｜CreativeEdge Vlog
Microsoft Copilot Pro「全世界のWindowsユーザーが生成AIを意識せずに、当たり前のツールとして使いこなす未来」- Blog 2024/1/7 Copilot Pro が個人でも利用可能になったので、大まかにCopilotの全体像を理解した上で、操作しながら試してみました。 私はMacユーザーですが、Copilotを検証するために先週からWindowsをメインにしています。WordやPowerPointはまだ慣れていないので、今日は記録のみ掲載。 Copilot ProCopilot Pro パフォーマンスを高速化し、創造性を高める機能を希望するユーザーには、Copilot エクスペリエンスを向上させる Copilot Pro がおすすめです。この月額サブスクリプション製品には、Copilot のすべての機能に加え、次を実現する機能が含まれています。 ・ピーク時でも
Windows 10で更新プログラム「KB5034441」に失敗する現象が発生中
Microsoftは1月9日(現地時間)に月例アップデートとして更新プログラム「KB5034441」をリリースしたが、11日時点で、複数のユーザーからこの更新プログラムのインストールがエラーにより失敗するという現象が報告されている。この問題が発生した場合、Windows Updateの画面にエラーコード「0x80070643」が表示され、アップデートを継続することができない。 更新プログラム「KB5034441」の概要 KB5034441は、WinRE（Windows 回復環境）を使用してBitLockerのセキュリティ機能をバイパスできる脆弱性「CVE-2024-20666」に対処するためのセキュリティ更新プログラム。2024年1月の月例アップデートに含まれているため、自動アップデートが有効な環境ではWindows Updateによって自動的にインストールされる。 Microsoftでは
社内をパスワードレスにするため頑張った話（前編） - Qiita
はじめに 本記事はMicrosoft Security Advent Calendar 2023、10日目の記事になります。 シリーズ3部作です。 きっかけ 所属企業にて、2022年7月頃、情報システム部門に異動。種々の課題感に対する解決策（ここも話すと長くなる）としてMicrosoft 365 E5を導入することに決定。2023年1月にテナントにライセンスが適用され、E5セキュリティの実装を始める。同時に、組織内でIdPが複数運用されていることに対しても課題感を持っていたため、IdPの整理・統合も始める。 さらに同時期に、セキュリティ侵害の多くの原因が、パスワード漏洩だということを知る。 フィッシングメールでパスワードが漏洩（個人1位）し、クレジットカードが不正利用（個人4位）されたり、インターネット上のサービスに不正ログイン（個人10位）されたり…。スマホ決済の不正利用（個人5位）もで
Microsoft Incident Response lessons on preventing cloud identity compromise | Microsoft Security Blog
Microsoft observed a surge in cyberattacks targeting identities in 2023, with attempted password-based attacks increasing by more than tenfold in the first quarter of 2023 compared to the same period in 2022. Threat actors leverage compromised identities to achieve a significant level of access to target networks. The compromise of an identity, under certain circumstances, could enable threat acto
脅威をHTMLに隠して「密輸」
セキュリティー対策が進化すると、攻撃者も新たな手口を模索する。事実、マルウエアに初期感染させる手口のバリエーションは、米Microsoft（マイクロソフト）が「Microsoft Office」のファイルでマクロをブロックする対策▼を講じてから拡大した印象がある。 その1つとして、ネットワークに設置したセキュリティー製品では検知しにくい「HTML（HyperText Markup Language）スマグリング（Smuggling、密輸）▼」を取り上げる。マルウエアを攻撃対象の足元まで隠し持って「密輸」する手口だ。2023年におけるマルウエアを配布する手口のトレンドの1つといえる。 実際の攻撃で確認された様々な事例をまとめながら、対策を含めて徹底的に解説する。あなたの端末で実際に検証できる無害なサンプルコードも紹介する。脅威の本質的な理解に役立ててほしい。 一見無害なHTMLを送付 まずは
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Windows 11の「フォト」にグラフィックスAI「Microsoft Designer」が統合へ／ただし、日本展開は未定
「Edge 124」でHTTPコンテンツがダウンロードできないトラブル ～Microsoftが変更を撤回／「Edge 127」で改めてセキュリティ強化を実施、事前の準備を【やじうまの杜】
コード署名に悩むアプリ開発者に福音 ～Microsoftが格安サービス、6月までなら無料／高くてサポートの悪い大手コード署名証明書プロバイダーとはおさらば【やじうまの杜】
Attackers exploiting new critical OpenMetadata vulnerabilities on Kubernetes clusters | Microsoft Security Blog
Windows 11 PCに「Copilotキー」を搭載 30年ぶり新キーはAI PC用
