March 29, 2022 – IoT OT Security News

サブドメインの乗っ取りが増加：クラウド台頭によりエスカレートしている

Subdomain takeover attacks on the rise and harder to monitor

2022/03/29 HelpNetSecurity — Detectify の調査によると、サブドメインの乗っ取りが増加傾向にあるが、現時点において、それらのドメインには多くの脆弱性があり、また、監視が難しくなっていることが判明した。Detectify は、2021年と 2020年の比較において、顧客の Web 資産の脆弱性が 25% 増となり、ドメインあたりの脆弱性数の中央値は２倍になったとしている。そして、組織のサイバー・セキュリティ・プログラムに対して、EASM (External Attack Surface Monitoring) ツールが提供する有用性が実証されたと述べている。

ゼロデイという状況に陥ったとき：準備がなければ何もできない？

What Does it Mean to Be Zero-Day?

2022/03/29 SecurityBoulevard — ゼロデイ脆弱性とは、コンピュータ・ソフトウェアの未知の脆弱性のことであり、その存在にセキュリティ・チームが気付く前に、ステルス・モードでの攻撃を可能にするものである。ゼロデイとは、ソフトウェアの欠陥が発生してから、修正プログラムが提供されるまでの期間を指す、不定形な概念である。それにより、リスクに満ちたユニークなセキュリティ態勢の状況が生み出される。

VMware vCenter Server 脆弱性 CVE-2022-22948 が FIX：多様な組織に影響を及ぼす

VMware vCenter Server Vulnerability Can Facilitate Attacks on Many Organizations

2022/03/29 SecurityWeek — 火曜日に VMware は、数多くの組織へ向けた攻撃で容易に悪用される、vCenter Server に存在する脆弱性に対処するパッチ提供を開始した。この脆弱性 CVE-2022-22948 は、不適切なファイル・パーミッションに起因する情報漏洩の問題と説明されている。この欠陥は、組織のサイバー・リスクの削減を支援する Pentera により、VMware に対して報告された。

Microsoft Defender for IoT の深刻な脆弱性：PoC エクスプロイトが公開

Critical Vulnerabilities Found in Microsoft Defender for IoT

2022/03/29 SecurityWeek — 継続的な NDR (Network Detection and Respons) 機能を備えた Defender for IoT は、さまざまな IoT／OT／ICS デバイスをサポートし、オンプレミスとクラウドの双方へのデプロイメントが可能である。その Defender for IoT における、２つの深刻な脆弱性 CVE-2021-42311／CVE-2021-42313 は CVSS 値が 10 であり、2021年12月の Microsoft Patch Tuesday で対処されている。どちらも SQL インジェクションの脆弱性であり、リモートの攻撃者による認証なしの悪用が可能となり、任意のコード実行を許すことになる。トークン検証プロセスに存在する CVE-2021-42313 は、UUID パラメータのサニタイズの欠如に起因すると SentinelLabs は説明している。

悪意の NPM パッケージを量産：サプライチェーン攻撃のための驚異のシステム

A Large-Scale Supply Chain Attack Distributed Over 800 Malicious NPM Packages

2022/03/29 TheHackerNews — RED-LILI と呼ばれる脅威アクターが、約800の悪質なモジュールを公開したが、NPM (Node Package Manager) パッケージ・リポジトリを標的として進行中の、大規模なサプライチェーン攻撃キャンペーンに関与していることが明らかになった。イスラエルのセキュリティ企業である Checkmarx は、「一般的に、攻撃者は匿名の使い捨ての NPM アカウントを使用し、そこから攻撃を開始する。今回の攻撃者は、NPM アカウントの作成プロセスを完全に自動化し、パッケージごとに１つの専用アカウントを開設していたようであり、新しい悪意のパッケージを一括して発見することを難しくしていた」と述べている。