Zoho ManageEngine ADAudit Plus のバグ:Active Directory アカウント侵害にいたる

Zoho ManageEngine ADAudit Plus bug gets public RCE exploit

2022/07/01 BleepingComputer — セキュリティ研究者たちは、Active Directory のアクティビティを監視するツール Zoho ManageEngine ADAudit Plus に存在する、深刻な脆弱性 CVE-2022-28219 (CVSS:9.8)の技術詳細と概念実証のためのエクスプロイト・コードを公開した。この脆弱性により、未認証の攻撃者がリモートでコードを実行し、Active Directory のアカウントを侵害することが可能になる。Horizon3.ai のセキュリティ研究者 Naveen Sunkavally から報告を受けた Zoho は、3月末に ADAudit Plus build 7060 で、この問題に対処している。

Continue reading “Zoho ManageEngine ADAudit Plus のバグ:Active Directory アカウント侵害にいたる”

Microsoft Azure AD 認証がアップデート:期限付きパスコードの提供で高まる柔軟性

Microsoft updates Azure AD with support for temporary passcodes

2022/07/01 BleepingComputer — Azure Active Directory (Azure AD) の管理者による、期限付きのパスコードの発行が可能になった。このパスコードは、パスワードレス認証での新規登録や、Windows オンボーディング時において、また、認証情報や FIDO2 キー紛失などのアカウント復旧においても利用できる。 Microsoft は TAP (Temporary Access Pass) と表現しているが、Azure ポータルからAzure AD の認証方式ポリシーで TAP を有効にすると、(初回サインアップ時やデバイスのセットアップ時に) 認証情報を登録するために利用できるようになる。

Continue reading “Microsoft Azure AD 認証がアップデート:期限付きパスコードの提供で高まる柔軟性”

Jenkins Plugin 29種類にゼロデイ脆弱性:パッチの適用/未適用の確認が重要

Jenkins discloses dozens of zero-day bugs in multiple plugins

2022/07/01 BleepingComputer — 木曜日に Jenkins セキュリティ・チームは、オープンソースの自動化サーバ Jenkins における 29種類のプラグインに影響を与える、34件のセキュリティ脆弱性を発表し、そのうち 29件のバグは、パッチ未適用のゼロデイであることを明らかにした。Jenkins は、ソフトウェアのビルド/テスト/デプロイのために、世界中の企業で使用されている極めて人気のあるプラットフォームだ (1,700以上のプラグインに対応)。Jenkins の統計によると、影響を受けたプラグインは、合計で 22,000 以上もインストールされているようだ。

Continue reading “Jenkins Plugin 29種類にゼロデイ脆弱性:パッチの適用/未適用の確認が重要”

SessionManager バックドアの発見:Microsoft IIS サーバへの攻撃で採用

SessionManager Backdoor employed in attacks on Microsoft IIS servers worldwide

2022/07/01 SecurityAffairs — Kaspersky Lab の研究者たちは、2021年3月以降に発生した Microsoft IIS Servers 標的の攻撃で採用された、新しい SessionManager バックドアを発見した。Kaspersky が公開した分析結果は、「2022年初頭に、私達は IIS バックドアの1つである SessionManager を調査した。そして、2022年4月下旬の時点で、私たちが特定したサンプルの大半に対して、一般的なオンライン・ファイルスキャン・サービスは悪意のフラグを立てていない状況だった。また、SessionManager は、依然として 20以上の組織に展開されていた。IIS モジュールをバックドアとして導入する脅威アクターは、標的組織の IT インフラへの永続的かつ耐更新性のある、スティルス性のあるアクセスを維持できる」と述べている。

Continue reading “SessionManager バックドアの発見:Microsoft IIS サーバへの攻撃で採用”

Google の 2022年ゼロデイ分析:古い脆弱性の派生系が 50% を占める

Google: Half of 2022’s Zero-Days Are Variants of Previous Vulnerabilities

2022/07/01 SecurityWeek — Google Project Zeroは、2022年前半に悪用された、合計 18件のゼロデイ脆弱性を観測しており、そのうちの少なくとも半分は、以前のバグが適切に対処されていなかったことに起因していると述べている。Google Project Zero の研究者である Maddie Stone によると、今年に入ってから確認された、野放し状態だったゼロデイ脆弱性のうち9件は、組織がより包括的なパッチを適用していれば防ぐことができた可能性があるという。

Continue reading “Google の 2022年ゼロデイ分析:古い脆弱性の派生系が 50% を占める”