Chrome 106 Update Patches Several High-Severity Vulnerabilities
2022/10/12 SecurityWeek — 火曜日に Google は、Chrome の最新アップデートを提供し、４つの use-after-free のバグを含む、６つの深刻度の高い脆弱性にパッチを適用したと発表した。新たに解決された脆弱性は、すべて外部の研究者により発見されたものであり、Google は報告者たちに $38,000 のバグバウンティ報奨金を手渡した。
Continue reading “Chrome 106 の深刻な脆弱性６件が FIX：なかなか止まらない use-after-free 欠陥”Researchers Uncover Custom Backdoors and Spying Tools Used by Polonium Hackers
2022/10/12 TheHackerNews — Poloniumとして追跡されている脅威アクターが、2021年9月以降に７種類のカスタム・バックドアを用いてイスラエルの団体を狙うという、十数件の高度な標的型攻撃に関連していることが判明した。サイバー・セキュリティ企業の ESET は、エンジニアリング／IT／法律／通信／メディア／保険／ソーシャルサービスなどの、さまざまな垂直方向の組織への侵入があったと述べている。
Continue reading “Polonium カスタム・バックドア：OneDrive 上の C2 Server を Microsoft が検出”Microsoft adds new RSS feed for security update notifications
2022/10/12 BleepingComputer — Microsoft は、Security Update Guide の RSS フィードを通じて、新しいセキュリティ更新プログラムに関する通知を可能にした。したがって、Microsoft が自社製品のセキュリティ脆弱性を修正した場合には、その詳細が Security Update Guide (SUG) で公開されることになる。現状において、Microsoft は月に２回、新しい脆弱性を開示しているが、その大部分は毎月の Patch Tuesday と Microsoft Edge の脆弱性を修正するときだ。
Continue reading “Microsoft が Security Update Guide を RSS フィードで提供：最新のセキュリティ・リスクを共有”Google Rolling Out Passkey Passwordless Login Support to Android and Chrome
2022/10/12 TheHackerNews — 水曜日に Google は、次世代認証規格である Passkeys のサポートを、Android と Chrome に対して正式に展開した。Google は、「Passkeys は、フィッシングに狙われやすいパスワードなどの認証要素に代わる、より安全性の高い認証手段である。再利用できず、サーバーの侵入で漏れることもなく、フィッシング攻撃からユーザーを保護する」と述べている。この機能は、共通のパスワードレス・サインイン規格をサポートするための、広範なプッシュ規格の一部として、2022年5月に発表されたものだ。
Continue reading “Google が展開する Passkey：Android／Chrome でパスワードレス認証をサポート”QBot Malware Infects Over 800 Corporate Users in New, Ongoing Campaign
2022/10/12 SecurityWeek — 9月28日以降に発生した、マルウェア QBot の最新キャンペーンにより、800以上の企業ユーザーが感染したと Kaspersky が警告している。Qakbot／Pinkslipbot とも呼ばれる QBot は、2009年から存在するバックドア／自己拡散機能を持つ情報窃取ツールであり、悪意の攻撃のイニシャル感染ベクターとして広く使用されてきた。2022年初めには、Microsoft Support Diagnostic Tool (MSDT) のリモート・コード実行の脆弱性 Follina (CVE-2022-30190) を悪用した攻撃で、QBot が配布されていた。
Continue reading “QBot マルウェアの最新キャンペーン：企業ユーザー 800人以上の感染を Kaspersky が警告”SAP Patches Critical Vulnerabilities in Commerce, Manufacturing Execution Products
2022/10/12 SecurityWeek — ドイツのエンタープライズ・ソフトウェアメーカーである SAP は、October 2022 Security Patch Day を公開し、深刻な２つの脆弱性 Hot News を含む、新規 15件／更新 2件の脆弱性に対応した。このうち最も深刻なものは CVE-2022-39802 (CVSS：9.9) で、Manufacturing Execution におけるファイル・パスのトラバーサルとされている。この脆弱性は、作業指示書やモデルを表示するためのプラグインである、Work Instruction Viewer／Visual Test and Repair に影響する。
Continue reading “SAP の 10月定例セキュリティ・パッチ：Manufacturing Execution の深刻な脆弱性などに対応”
IoT OT Security News 