Researchers Claim High-Risk Vulnerabilities Found in 87% of All Container Images
2023/02/01 InfoSecurity — コンテナ・イメージの圧倒的多数である 87％ において、深刻な脆弱性が存在していること、また、90% において、コンテナに関連するパーミッションが使用されていないことが判明した。この指摘は、クラウド／コンテナ統合セキュリティ企業である Sysdig の最新レポートによるものであり、InfoSecurity と共有されたものだ。また、この新しいデータによると、修正プログラムが提供されている深刻な脆弱性のうち、ランタイムにロードされるパッケージに含まれるものは、わずか 15% に過ぎないことが示されている。したがって、使用時に脆弱なパッケージをフィルタリングすることで、本質的なリスクを示す脆弱性が、より少ないものに対して集中していける。
Continue reading “コンテナ・イメージのセキュリティ調査：全体の 87% に深刻な脆弱性が存在する”Malicious NPM, PyPI Packages Stealing User Information
2023/02/01 SecurityWeek — NPM／PyPI に存在するパッケージの中に、ユーザー情報の窃取と追加のペイロードをダウンロードの行うものあると、先日に Check Point と Phylum が警告を発した。アプリケーション開発において広く利用されているオープンソース・コードを悪用する脅威アクターたちは、開発者とユーザーをマルウェアに感染させるために、ソフトウェア・サプライチェーン攻撃を多用している。2022年10月の Sonatype のレポートによると、2022年に観測されたソフトウェア・サプライチェーン攻撃の数は、前年比 633% 増となっている。
Continue reading “NPM／PyPI に悪意のパッケージ：Python-drgn と bloxflip に要注意”Researchers Uncover New Bugs in Popular ImageMagick Image Processing Utility
2023/02/01 TheHackerNews — オープンソース・ソフトウェア ImageMagick に存在し、サービス妨害 (DoS)／情報漏えいにつながる可能性のある、２つのセキュリティ欠陥の詳細を、研究者たちが公開した。この２つの問題は、ラテン・アメリカのサイバー・セキュリティ企業である Metabase Q が、ImageMagick バージョン 7.1.0-49 で確認したものであり、2022年11月にリリースされた バージョン7.1.0-52 で対処されている。
Continue reading “ImageMagick の２つの脆弱性が FIX：サービス妨害や情報漏えいにつながる可能性”Vulnerability in Cisco industrial appliances is a potential nightmare (CVE-2023-20076)
2023/02/01 HelpNetSecurity — Cisco が公開したパッチは、一部の産業用ルーター／ゲートウェイ／企業向け無線アクセスポイントに存在する、深刻度の高い脆弱性 CVE-2023-20076 に対するものである。この脆弱性の悪用に成功した攻撃者が、デバイスの再起動やファームウェアの更新では削除できない、悪質なコードを挿入する可能性がある。
Continue reading “Cisco Industrial アプライアンスの脆弱性 CVE-2023-20076：パッチは提供されたが・・・”Almost all Organizations are Working with Recently Breached Vendors
2023/02/01 InfoSecurity — サプライチェーン攻撃の増加に伴い、サプライヤー／ビジネスパートナー／顧客のセキュリティが、より厳しく監視されるようになっている。2023年2月1日に、セキュリティ評価プロバイダー SecurityScorecard と Cyentia Institute 発表した Close Encounters of the Third (and Fourth) Party Kind という新しいレポートは、組織の依存関係におけるリスク調査に基づくものである。
Continue reading “サプライチェーン調査：3rd パーティーから 4th パーティーへの可視化の拡大が不可欠”BEC Group Uses Open Source Tactics in Hundreds of Attacks
2023/02/01 InfoSecurity — これまでの２年間において、かなり素朴な手法で数百人の被害者をターゲットにし、大きな成功を収めた BEC グループについて、セキュリティ研究者たちが警告している。Abnormal Security が Firebrick Ostrich と名付けられたグループは、2021年4月以降において、少なくとも 347件のキャンペーンを展開してきた。正確な成功の確率は不明だが、そのヒット率に関しては、大規模という言葉で表現されている。Firebrick Ostrich は、政府の Web サイトを詳細まで調べ、既存の契約／ベンダー情報／ベンダー総数を確認するなど、オープンな情報源を調査してきた。
Continue reading “Firebrick Ostrich という BEC グループ：オープンな情報を悪用して大成功”Mix of legacy OT and connected technologies creates security gaps
2023/02/01 HelpNetSecurity — ISG の調査レポートによると、自動車などの各種産業における Operational Technology (OT) への脅威が高まり、資産の安全性を向上させるためのテクノロジーやサービスに投資する企業が増加しているとのことだ。このレポートでは、製造施設やコネクテッド・ビークルに対する最近のサイバー攻撃を受け、製造業／自動車／ライフサイエンスなどの企業にとって、サイバー・セキュリティの優先度が高まっている状況が示されている。レガシー・システムに対する近代化や置き換えが急務であることに加え、熟練したサイバー・セキュリティ・エンジニアの不足が、ソリューション／アウトソーシング・プロバイダーの成長に拍車をかけている。
Continue reading “コネクテッドカーとレガシー OT の接点：セキュリティを提供する新たな動きとは？”Nearly 30,000 QNAP Devices Exposed Via New Bug
2023/02/01 InfoSecurity — 今週に NAS (Network-Attached Storage) ベンダーの QNAP が公表した新しい脆弱性は、全世界で約 30,000 台のデバイスで悪用される可能性があると、Censys は述べている。Censys がインターネットをスキャンしたところ、QNAP ベースのシステムを実行している 67,415 台のホストが世界中で見つかった。そのうちで、バージョンを確認できたものは僅か 30,250 台であり、また、新しい脆弱性を悪用する攻撃に対して、98％ が脆弱だろうという状況が判明した。
Continue reading “QNAP に SQLi の脆弱性 CVE-2022-27596：約３万台のデバイスが危険な状況”
IoT OT Security News 