Active Directory Bugs Could Let hackers Take Over Windows Domain Controllers
2021/12/21 TheHackerNews — Microsoft は、11月に対処した Active Directory ドメイン・コントローラの２つのセキュリティ脆弱性に関して、12月12日に PoC ツールを公開し、パッチを適用するよう顧客に呼びかけている。この２つの脆弱性は、CVE-2021-42278 および CVE-2021-42287 として追跡されており、深刻度を示す CVSS 値は 7.5 であり、Active Directory Domain Services (AD DS) コンポーネントに影響を与える特権昇格の欠陥を示す。この２つのバグを発見／報告したのは、Catalyst IT の Andrew Bartlett である。
Continue reading “Active Directory の脆弱性：Windows ドメイン・コントローラ乗っ取りの PoC が公開”Russian hackers made millions by stealing SEC earning reports
2021/12/21 BleepingComputer — サイバー・セキュリティ企業に勤務していたロシア人が、証券取引委員会 (SEC) に対して四半期／年次の業績資料を提出する際に、複数の企業が利用していた米国のファイリング・エージェント２社の、コンピュータ・ネットワークをハッキングした容疑で米国に送還された。この人物は、他の共犯者とともに、２つのファイリング・エージェントから盗んだ重要な未公開情報 (MNPI : Material Non-Public Information) を利用して取引を行い、数百万米ドルを稼ぎ出していた。
Continue reading “証券取引委員会 (SEC) から機密情報を盗み出したロシアン・ハッカーが逮捕”Facebook Patches Vulnerability Exposing Page Admin Identity
2021/12/21 SecurityWeek — Facebook は、ページの管理者の身元を明らかにするために、悪用される可能性のある脆弱性について、ネパールの 10代の研究者に $4,750 のバグバウンティ報酬を支払った。このソーシャル・メディア上で、自社ブランドの認知度を高めようとする企業は、この Facebook ページを利用きまるが、ページの管理権限を持つ Facebook の個人アカウントは非公開となっている。
Continue reading “Facebook ページの管理者情報が漏れる脆弱性：ネパールの 19歳が発見して報奨金をゲット”New Log4j Attack Vector Discovered
2021/12/21 DarkReading — 12月9日に公開された Log4j のリモートコード実行 (RCE) の脆弱性だが、それを狙う攻撃への対応を進めている企業は、いくつかの新たな検討事項を念頭に置いている。Blumira のセキュリティ研究者たちは、内部およびローカルに公開された Log4j アプリケーションに対して、JavaScript による WebSocket 接続を介した、RCE の脆弱性がトリガーされる可能性があることを発見した。
Continue reading “Log4j の新たな攻撃ベクター WebSocket と３つの脆弱性に関する整理”Zero Trust Shouldn’t Mean Zero Trust in Employees
2021/12/21 DarkReading — この２年間におけるデータ漏洩インシデントを見ると、ゼロトラストの宣伝が熱を帯びている現状も不思議ではない。データ漏洩の主な原因は、依然としてヒューマン・エラーであり、Tessian の調査によると 12ヶ月間で200万通の悪意の電子メールが、安全を約束するはずの防御機能を回避している。
Continue reading “ゼロトラストを成功させる秘訣：従業員を信頼することから考えるべきだ”
IoT OT Security News 