2023/05/09 SecurityWeek — リスク管理や脆弱性の影響を判断する際に SBOM は有用であるが、複数のプラットフォームでデータが標準化されていないと、全体的なリスク・モデルを構築することは極めて困難になる。2021年5月に発せられたバイデン大統領の大統領令 14028号には、「ソフトウェアのサプライチェーンを理解し、SBOM を取得し、それを使って既知の脆弱性を分析することが、リスク管理において重要である」と記されており、ソフトウェアを政府調達する際の SBOM の必要性を訴えるものだった。 そのことが、セキュリティ分野における大きな契機となり、米政府の機関と請負業者の双方において、広く使われているソフトウェアの内部構造に関して、さまざまな疑問が生じることになった。
Continue reading “SBOM について考える：複数のプラットフォーム間でのデータの標準化は？”Day: May 9, 2023
Microsoft Secure Boot のゼロデイ CVE-2023-24932：アップデートしてもデフォルトでは無効？
Microsoft issues optional fix for Secure Boot zero-day used by malware
2023/05/09 BleepingComputer — Microsoft がリリースしたセキュリティ・アップデートは、Secure Boot のゼロデイ脆弱性に対応するものであり、パッチを適用した Windows システムであっても、BlackLotus UEFI Bootkit による感染を許すものだった。Secure Boot とは、セキュリティ機能のひとつである。Unified Extensible Firmware Interface (UEFI) ファームウェアと Trusted Platform Module (TPM) チップを搭載したコンピュータにおいて、OEM に信頼されていないブートローダーがブロックされ、起動プロセス中にルートキットがロードされないようにするものだ。
Continue reading “Microsoft Secure Boot のゼロデイ CVE-2023-24932：アップデートしてもデフォルトでは無効？”Linux カーネルの NetFilter に新たな脆弱性 CVE-2023-32233：root レベルへの権限昇格が可能
New Linux kernel NetFilter flaw gives attackers root privileges
2023/05/09 BleepingComputer — Linux カーネルの NetFilter コンポーネントで、新たな脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、権限のないローカル・ユーザーから root レベルまで権限を昇格させ、システムを完全にコントロールできるようになるという。この脆弱性 CVE-2023-32233 だが、現時点では深刻度レベルが決定されていない (訳者注記：NVD では CVSS 値 7.5) 。この脆弱性は、Netfilter nf_tables が設定に対する、無効な更新を受け入れることに起因しており、無効なバッチ要求がサブシステムの内部状態の破壊につながるという、特定のシナリオが可能になるという。
Continue reading “Linux カーネルの NetFilter に新たな脆弱性 CVE-2023-32233：root レベルへの権限昇格が可能”API の氾濫という深刻な問題：過去のインシデントを学習して将来を見据える
Unattended API challenge: How we’re losing track and can we get full visibility
2023/05/09 HelpNetSecurity — かつてないスピードで、API が開発／導入される現代の企業において、API スプロール (氾濫) の問題が広まり始めている。Postman の 2022 State of the API Report では、「回答者の 89％が、組織の API への時間とリソースの投資は、今後 12ヶ月間で増加するか、変わらないだろうと答えている」と指摘されている。つまり、API の開発／展開が進むだろうと、それぞれの組織は自信を持っているのだ。
Continue reading “API の氾濫という深刻な問題：過去のインシデントを学習して将来を見据える”AndoryuBot という新たなボットネット：Ruckus Wireless の脆弱性を突いて増殖している
New Botnet Campaign Exploits Ruckus Wireless Flaw
2023/05/09 InfoSecurity — Linux ベースの Ruckus AP (access point) に存在する深刻な脆弱性が、リモート攻撃を仕掛ける脅威アクターにより制御を奪われる可能性があることが判明した。Fortinet の最新アドバイザリによると、2023年2月に発見された脆弱性 CVE-2023-25717 が、AndoryuBot という新たなボットネットに悪用されているという。
Continue reading “AndoryuBot という新たなボットネット：Ruckus Wireless の脆弱性を突いて増殖している”IT Security 意思決定者たちの困惑：分かっていない取締役が多すぎる – Delinea 調査
Only 39% of IT Security Decision-Makers See it As Business Enabler
2023/05/09 InfoSecurity — ITセ キュリティの意思決定者 2000人以上を対象とした最近の調査で、ビジネスの成功におけるサイバー・セキュリティの役割を、自社のリーダーが的確に把握していると考えている人が、39％ に過ぎないことが判明した。PAM (Privileged Access Management) ソリューション・プロバイダーの Delinea が発表したレポートでは、コンプライアンスや規制上の要求の観点からのみ、サイバー・セキュリティが重視されていると、回答者の 36% が捉えていることも示唆されている。
Continue reading “IT Security 意思決定者たちの困惑：分かっていない取締役が多すぎる – Delinea 調査”Microsoft 2023-5 月例アップデートは３件のゼロデイと 38件の脆弱性に対応
Microsoft May 2023 Patch Tuesday fixes 3 zero-days, 38 flaws
2023/05/09 BleepingComputer — 今日は Microsoft の May 2023 Patch Tuesday の日だ。このセキュリティ更新プログラムにより、活発に悪用されるゼロデイ脆弱性３件と、合計で 38件の不具合が修正された。このうち、Critical と評価された６つの脆弱性は、リモート・コード実行にいたる恐れのあるものだ。
Continue reading “Microsoft 2023-5 月例アップデートは３件のゼロデイと 38件の脆弱性に対応”
IoT OT Security News 