◆━ 目次 ━━━━━━━━━━━━━━━━━━━━━━━━━━━
○　PICKUP
「APEX 2024年度11月入社 新入社員自己紹介」
○　ITトレンド情報
・年末年始のDDoS攻撃、家庭でのウイルス蔓延で影響拡大
初期設定のパスワード変更重要
など
○　技術情報
1. Microsoft 月例更新セキュリティ情報(2024年10月～12月分)
2. APEXセキュリティ情報
○　お知らせ
お問い合わせ窓口に関するご案内
DM配信スケジュール
ご質問受付について
次号配信予定
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━◆

━━★PICKUP 「APEX 2024年度11月入社 新入社員自己紹介」　★━━

昨年11月、エンジニアとして新たに1名の社員が入社いたしました。
分野にとらわれない知識収集欲やスピード感あふれる姿勢に、
こちらも日々刺激を受けております。

至らない点もあるかと存じますが、社員で一丸となり
より良いサービスのご提供に尽力いただきますので、
今後ともよろしくお願いいたします。

————-

初めまして。
2024年11月よりソリューション推進部所属となりました、
K.Y.と申します。
この場をお借りして自己紹介をさせていただきます。

【趣味】
第一に読書です。
趣味というよりはもはや習慣で、
文学、哲学、歴史学、政治学、民俗学や宗教学等、小説や人文系の本を読み漁ってきました。
最近は弊社に入社したことから、情報理論や数学の本を読むようになり、
人文知と理系の知の歴史的な結びつきを感じています。
21世紀において、情報社会と人文知の乖離を、
どのようにしたら解消することができるのか？
工学的な想像力が社会を支配し、私的領域と公的領域が融解した21世紀以降において、
公共性をどう基礎づければいいのか、
あらゆるジャンルの物語はどうあるべきなのか、
つまり人文知と工学的知がうまく結びつくためには、
どのような思想が必要になってくるのか？
などということを最近は考えています。

第二に、映画を観ること。
特に好きな監督は、ジョン・フォードとフェデリコ・フェリーニです。
父の影響でシネフィルになり、それなりにたくさん観てきました。

第三に音楽ですが、ここ数年は南米音楽ばかり聴くようになりました。
ロック、ジャズ、クラシックも軒並み好きなのですが、南米音楽はオルタナティブなんです。
特にショーロというジャンルが好きで、ピシンギーニャは泣けます。

ほかに落語や少女漫画も好きで、我ながら生粋の文系タイプだと自負しています。

【性格】
はしゃぐのが好きです。
真面目なほうだと自覚しておりますが、不真面目な部分も真面目です。
「考えること」は楽しくて、娯楽だと思っています。だから難しい本が好きなのです。
たぶん食欲と同じぐらい、好奇心や知的欲求が強いです。

【IT企業に入社した理由】
以上から察せられたかと思いますが、私は文学部出身です。
なぜこんな私が？と疑問を持たれる方が多いと思われますので、
簡単に理由を説明いたします。
私は高校にあがるとごりごりの文系になっていきましたが、SF小説も大好きで、
中学生のころはロボコン部に入っており、もともと工学に関心がありました。
大学生になると、関連する分野では情報社会論の本を読んだり、
チューリングにも影響関係のある分析哲学（フレーゲやラッセル）に触れたりしていました。
（↑の分析哲学とチューリングやゲーデルとの関係は最近知りました）
そのうち、テクノロジーと人間との関係をあまり考えようとしない、
現代の閉鎖的な人文知や人文アカデミズムに限界を感じるようになりました。
（もちろん、上記はあくまで一個人の意見です）
論理的な思考が好きなこと、エンジニアリングに元々興味があったこと、
また個人的に社会思想的な観点で関心があったことから、
IT企業に入社しようと考えました。

【どのような社会人になりたいか】
誰からも信頼される存在になりたいと思います。
どんな問題に対しても柔軟に対応でき、
「この人なら大丈夫だろう」と安心していただけるような存在になりたいと思います。

趣味の記述が多くなってしまいましたが、
以上で自己紹介を終わります。
今後ともよろしくお願いいたします。

━━★IT トレンド情報★━

1． 年末年始のDDoS攻撃、家庭でのウイルス蔓延で影響拡大
初期設定のパスワード変更重要

昨年末から年明けにかけ、航空や通信、金融機関などが
インターネットサーバーに大量のデータを送りつけられる
「DDoS（ディードス）攻撃」によるシステム障害が相次いだ。
ただ、攻撃の件数自体は年末年始期間に顕著な増加はみられず、
専門家は「犯人側の目的が不明確だ」と首をかしげる。
家庭にある電子機器でもコンピューターウイルスが蔓延し、
企業活動が少ない大型連休でも効果的に攻撃できるようになった裏返しとみられる。
各企業の自衛策だけでは対応できないほど事態は深刻化している。
https://www.sankei.com/article/20250109-PA67L6LYXJE7POOGL4S4ZU6FVQ/

2． もう怖くないグローバル会議　NECがウェブ会議に「DeepL Voice」世界初導入

独DeepLは、2025年1月7日、NECがDeepLのビジネス向けの
リアルタイム音声翻訳ソリューション「DeepL Voice」を
世界で初めて導入したことを発表した。
https://ascii.jp/elem/000/004/244/4244397/

3． 大阪メトロ梅田駅でNTTの生成AI「tsuzumi」と案内ロボット「ugo」で
多言語対応の社会実験　大阪･関西万博に向けて

大阪市高速電気軌道（Osaka Metro）、NTT西日本グループ、
NTTコミュニケーションズ、ｕｇｏは、2025年1月15日(水)から、
Osaka Metro御堂筋線「梅田駅」構内のポップアップ型販売店舗「Metro Opus梅田店」で、
案内ロボットとして「ugo」(ユーゴー)を配置、NTT西日本グループと
NTT Comが連携して提供する大規模言語モデル「tsuzumi」(つづみ)をはじめとした
複数の生成AIを活用した社会実験を行うことを発表した。
期間は2025年1月15日(水)から2025年3月15日(土)までの2ヶ月間。
https://news.livedoor.com/article/detail/27910691/

4．KDDI・ソフトバンク・楽天モバイル、
総務省にNTT法関連の意見書–適切な見直しと強化要望、183者連名

KDDI、ソフトバンク、楽天モバイルの携帯キャリア3社は1月7日、
NTT法の見直しに関する183者の連名意見書を総務省に提出したと発表した。
意見書は、総務省 情報通信審議会 電気通信事業政策部会が
3つのワーキンググループ（公正競争、ユニバーサルサービス、経済安全保障）の
報告書を踏まえて取りまとめた
「市場環境の変化に対応した通信政策の在り方 最終答申（案）」に対するもの。
同省は2024年12月4日、2025年1月8日まで意見を募集することを発表していた。
https://japan.cnet.com/article/35228001/

━━★マイクロソフト　セキュリティ情報★━━
～Microsoft 月例更新セキュリティ情報～(2024年10月分)
深刻度：緊急「6件」重要「4件」
詳細情報：https://msrc.microsoft.com/blog/2024/10/202410-security-update/

～Microsoft 月例更新セキュリティ情報～(2024年11月分)
深刻度：緊急「7件」重要「5件」
詳細情報：https://msrc.microsoft.com/blog/2024/11/202411-security-update/

～Microsoft 月例更新セキュリティ情報～(2024年12月分)
深刻度：緊急「6件」重要「3件」
詳細情報：https://msrc.microsoft.com/blog/2024/12/202412-security-update/

━━★APEX　セキュリティ情報★━━
■はじめに　APEXセキュリティ情報とは
APEXセキュリティ情報は、各セキュリティ情報や製品情報を
弊社が特選し掲載をするものです。
Microsoft社に限らず、重要だと判断した情報は展開しておりますので
ご活用頂ければ幸いでございます。

情報源は、JPCERT/CCを主としております。
JPCERT/CC ： https://www.jpcert.or.jp/

【1】Ivanti Connect Secureなどにおける脆弱性（CVE-2025-0282）に関する注意喚起
●概要
2025年1月8日（現地時間）、Ivantiは
Ivanti Connect Secure（旧: Pulse Connect Secure）などにおける
脆弱性に関するアドバイザリを公開しました。
スタックベースのバッファオーバーフローの脆弱性で、
遠隔の攻撃者が認証不要で
任意のコードを実行する可能性がある脆弱性（CVE-2025-0282）と、
認証された攻撃者が権限を昇格できる脆弱性（CVE-2025-0283）が公表されています。

Ivantiは一部の顧客のIvanti Connect Secureで、
脆弱性（CVE-2025-0282）を悪用する攻撃を確認しているとのことです。
また、Mandiant社が悪用事案に関するレポートを公表しています。

本脆弱性の影響を受ける製品を利用している場合、
後述「III. 対策」以降に記載の情報およびIvantiが提供する最新の情報を確認の上、
対策の実施および侵害有無を確認する調査などを推奨します。
また、今後も情報が更新される可能性があるため、
Ivantiなどが公開する情報を注視いただくことを推奨します。

Ivanti
Security Advisory Ivanti Connect Secure, Policy Secure & ZTA Gateways (CVE-2025-0282, CVE-2025-0283)
https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-0282-CVE-2025-0283

●対象
本脆弱性の対象となる製品およびバージョンは次のとおりです。
詳細は、Ivantiが提供する最新の情報をご確認ください。

（CVE-2025-0282の脆弱性）
– Ivanti Connect Secure 22.7R2から22.7R2.4まで
– Ivanti Policy Secure 22.7R1から22.7R1.2まで
– Ivanti Neurons for ZTA gateways 22.7R2から22.7R2.3まで

（CVE-2025-0283の脆弱性）
– Ivanti Connect Secure 22.7R2.4およびそれ以前
– Ivanti Connect Secure 9.1R18.9およびそれ以前
– Ivanti Policy Secure 22.7R1.2およびそれ以前
– Ivanti Neurons for ZTA gateways 22.7R2.3およびそれ以前

なお、CVE-2025-0283（権限昇格の脆弱性）の影響を受ける
Ivanti Connect Secureの9系のバージョンは、
2024年12月末までにサポートが終了しています。
サポート対象バージョンの最新の状況はIvantiの次の情報をご確認ください。

Ivanti
Granular Software Release EOL Timelines and Support Matrix
https://forums.ivanti.com/s/article/Granular-Software-Release-EOL-Timelines-and-Support-Matrix

●対策
Ivantiが提供する最新の情報を確認の上、
脆弱性を修正するパッチの適用を検討してください。

本情報の発行時点では、Ivanti Connect Secure向けのパッチは公開されていますが、
Ivanti Policy SecureおよびIvanti Neurons for ZTA gateways向けのパッチは
後日公開される予定とのことです。

●侵害検出方法
Ivanti Connect Secureで本脆弱性を悪用する攻撃を検出する方法として、
Ivantiが提供する整合性チェックツール
（Integrity Checker Tool: ICT）の実行が推奨されています。
Ivantiが提供するツールをダウンロードし実行する外部チェック（external ICT）と、
機器に搭載される内部チェック（internal ICT）の内容や、
他のセキュリティ監視ツールの内容を確認し、異常が検出された場合、
追加の調査や対処を実施することが推奨されています。
詳細や最新の情報はIvantiが提供する情報をご確認ください。

また、同脆弱性を悪用する攻撃に関する情報が他組織からも公表されていますので、
攻撃の被害を受けた可能性を調べる上では、
後述する「V. 攻撃事例」なども参考にしてください。

●攻撃事例
同脆弱性を悪用する攻撃について解説するMandiant社の情報によると、
攻撃者が整合性チェックツール（ICT）による検出の回避を試み、
ICTツールの実行が途中で終了する事例を確認しているとのことです。
その他にも、侵害後にはユーザーによるアップグレードを妨害しつつ、
偽のアップグレードの進捗が表示される機能が埋め込まれるとしています。

また、脆弱性を悪用する前の偵察行動として、攻撃者が次のURLへアクセスし、
製品のバージョン推定を試みる活動を確認していると指摘しています。

– /dana-cached/hc/hc_launcher.22.7.2.2615.jar
– /dana-cached/hc/hc_launcher.22.7.2.3191.jar
– /dana-cached/hc/hc_launcher.22.7.2.3221.jar
– /dana-cached/hc/hc_launcher.22.7.2.3431.jar

Mandiant
Ivanti Connect Secure VPN Targeted in New Zero-Day Exploitation
https://cloud.google.com/blog/topics/threat-intelligence/ivanti-connect-secure-vpn-zero-day/

●参考情報
Ivanti
Security Update: Ivanti Connect Secure, Policy Secure and Neurons for ZTA Gateways
https://www.ivanti.com/blog/security-update-ivanti-connect-secure-policy-secure-and-neurons-for-zta-gateways

【2】2024年12月マイクロソフトセキュリティ更新プログラムに関する注意喚起
●概要
マイクロソフトから同社製品の脆弱性を修正する
2024年12月のセキュリティ更新プログラムが公開されました。
これらの脆弱性を悪用された場合、
リモートからの攻撃によって任意のコードが実行されるなどの可能性があります。

マイクロソフト株式会社
2024年12月のセキュリティ更新プログラム (月例)
https://msrc.microsoft.com/blog/2024/12/202412-security-update/

マイクロソフトは、これらの脆弱性のうち、
次の脆弱性が悪用されていることを公表しています。
マイクロソフトが提供する最新の情報をご確認の上、「II. 対策」を実施してください。

CVE-2024-49138
Windows 共通ログ ファイル システム ドライバーの特権の昇格の脆弱性
https://msrc.microsoft.com/update-guide/ja-jp/vulnerability/CVE-2024-49138

●対策
Microsoft Update、もしくはWindows Updateなどを用いて、
セキュリティ更新プログラムを適用してください。

Microsoft Update カタログ
https://www.catalog.update.microsoft.com/

Windows Update:よくあるご質問
https://support.microsoft.com/ja-JP/help/12373/windows-update-faq

●参考情報
マイクロソフト株式会社
2024 年 12 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/releaseNote/2024-dec

【3】Adobe AcrobatおよびReaderの脆弱性（APSB24-92）に関する注意喚起
●概要
アドビからPDFファイル作成・変換ソフトウェアAdobe Acrobatおよび
PDFファイル閲覧ソフトウェアAdobe Acrobat Readerにおける
脆弱性に関する情報（APSB24-92）が公開されました。
脆弱性を悪用したコンテンツをユーザーが開いた場合、
任意のコードが実行されるなどの可能性があります。
詳細については、アドビの情報を確認してください。

アドビ
Security update available for Adobe Acrobat and Reader | APSB24-92
https://helpx.adobe.com/security/products/acrobat/apsb24-92.html

●対象
対象となる製品とバージョンは次のとおりです。

– Adobe Acrobat DC Continuous（24.005.20307）およびそれ以前（Windows、macOS）
– Adobe Acrobat Reader DC Continuous（24.005.20307）およびそれ以前（Windows、macOS）
– Adobe Acrobat 2024 Classic 2024（24.001.30213）およびそれ以前（Windows）
– Adobe Acrobat 2024 Classic 2024（24.001.30193）およびそれ以前（macOS）
– Adobe Acrobat 2020 Classic 2020（20.005.30730）およびそれ以前（Windows）
– Adobe Acrobat 2020 Classic 2020（20.005.30710）およびそれ以前（macOS）
– Adobe Acrobat Reader 2020 Classic 2020（20.005.30730）およびそれ以前（Windows）
– Adobe Acrobat Reader 2020 Classic 2020（20.005.30710）およびそれ以前（macOS）

●対策
Adobe AcrobatおよびReaderを次の最新のバージョンに更新してください。

– Adobe Acrobat DC Continuous（24.005.20320）（Windows、macOS）
– Adobe Acrobat Reader DC Continuous（24.005.20320）（Windows、macOS）
– Adobe Acrobat 2024 Classic 2024（24.001.30225）（Windows、macOS）
– Adobe Acrobat 2020 Classic 2020（20.005.30748）（Windows、macOS）
– Adobe Acrobat Reader 2020 Classic 2020（20.005.30748）（Windows、macOS）

更新は、Adobe AcrobatおよびReaderの起動後、
メニューより “ヘルプ” の次に “アップデートの有無をチェック” を
クリックすることで実施できます。
メニューからの更新が不可能な場合は、
以下のURLから最新のAdobe AcrobatおよびReaderをダウンロードしてください。
詳細は、アドビの情報をご確認ください。

アドビ
Adobe Acrobat Reader DC のダウンロード
https://get.adobe.com/jp/reader/

アドビ
Acrobat 2020 のダウンロード
https://helpx.adobe.com/jp/download-install/kb/acrobat-2020-downloads.html

●参考情報
アドビ
Latest Product Security Updates
https://helpx.adobe.com/security.html

アドビ
Acrobat および Reader のアップデートをインストールする
https://helpx.adobe.com/jp/acrobat/kb/install-updates-reader-acrobat.html

今回の件につきまして提供いただける情報がございましたら、
JPCERT/CCまでご連絡ください。

━━★お知らせ★━━

～DM配信スケジュール～
3か月に1度(春号：4月 夏号：7月 秋号：10月 冬号：1月)配信予定

～次号配信予定～
2025年4月16日(水)

【編集後記】
明けましておめでとうございます。
本年もよろしくお願いいたします。

教育チームの一員として奮闘する日々の中で、
新入社員の方々が
研修の概要や感想をまとめた記事を作成してくれました。

新入社員研修体験記~2024年新卒入社~
https://note.com/apex_journal/n/n80ef4ac42533

中途入社者が新入社員研修で得たもの
https://note.com/apex_journal/n/n45e4f50edade

本人が当時何を感じていたのかに触れられるとともに、
入社当時の自分が思い返されるような感情になりました。

初心を忘れることなく、一歩ずつ邁進したい、と
改めて身が引き締まる思いです。

寒さに加え、様々なウイルスへの対策が求められるご時世ですが、
お体に気を付けて、お過ごしくださいませ。

◆◇————————————-
【文責】　APEX ソリューション推進部
APEX NEWS 編集者 平井
—————————————◇◆

編集責任者： 平井　健斗
発行責任者： 堀　智紀