September 2023 – IoT OT Security News

Cloudflare の DDoS プロテクション：Cloudflare の機能によりバイパスされてしまう

Cloudflare DDoS protections ironically bypassed using Cloudflare

2023/09/30 BleepingComputer — Cloudflare のファイアウォール／DDoS 防御だが、クロステナントのセキュリティ制御におけるロジックの欠陥を悪用する、特定の攻撃プロセスによりバイパスされる可能性があるという。このバイパスにより、Cloudflare の顧客は大きな負担を強いられることになり、同社の保護システムの価値が損なわれる可能性が生じている。さらに悪いことに、この攻撃における唯一の条件は、ハッカーが Cloudflare の無料アカウントを作成することである。そのアカウントが、攻撃の一部として使用される。ただし、これらの欠陥を悪用する攻撃者にとっては、標的となる Web サーバの IP アドレスを知っていることが前提となる。

Microsoft を侵害した中国の Storm-0558：国務省から 60,000 通の電子メールを盗み出す

Microsoft Breach Exposed 60,000 State Department Emails

2023/09/29 InfoSecurity — Microsoft Outlook のアカウントを標的とした、中国の狡猾なサイバースパイ・キャンペーンにより、北京政府は数万通の米国政府の個人メールにアクセスすることができたと、あるレポートが報じている。Storm-0558 グループは、国務省の 10件のアカウントから、60,000 通の電子メールを盗み出したという。そのうちの９件のアカウントは、東アジア／太平洋の外交に携わる個人が使用していたものだと、上院スタッフが Reuters に語った。

Exim メールサーバにゼロデイ CVE-2023-42115：パッチ適用までの緩和策は？

Millions of Exim mail servers exposed to zero-day RCE attacks

2023/09/29 BleepingComputer — Exim MTA (Mail Transfer Agent) の、すべてのバージョンに存在する深刻なゼロデイ脆弱性により、インターネットに公開されたサーバ上で、未認証の攻撃者によるリモートコードを実行 (RCE) が引き起こされる可能性が生じている。匿名のセキュリティ研究者により発見され、Trend Micro の Zero Day Initiative (ZDI) を介して公開された脆弱性 CVE-2023-42115 は、SMTP サービスに存在する Out-of-bounds Write に起因するものだ。

Apache NiFi の脆弱性 CVE-2023-34468：脅威アクターたちが悪用方法を議論し始めている

Hackers Set Sights on Apache NiFi Flaw That Exposes Many Organizations to Attacks

2023/09/29 SecurityWeek — Apache NiFi に存在する深刻なリモートコード実行 (RCE) の脆弱性と、すでに出回っているエクスプロイト・ツールにより、不正アクセスやデータ漏洩にいたる可能性があると、Cyfirma が警告している。データ統合／自動化のための OSS ツールである Apache NiFi は、データの処理と配布に使用されるものだ。この脆弱性 CVE-2023-34468 (CVSS : 8.8) は、2023年6月に対処された問題である。具体的に言うと、認証されたユーザーが悪用に成功すると、カスタム・コード実行を可能にする H2 ドライバーを用いて、データベース URL のコンフィグレーションが実行される可能性が生じるという。

CISA KEV 警告 23/09/28：JBoss Richfaces Framework の脆弱性 CVE-2018-14667 を追加

CISA Adds JBoss Richfaces Framework Flaw To Its Known Exploited Vulnerabilities Catalog

2023/09/29 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Red Hat JBoss RichFaces Framework に存在する深刻な脆弱性 CVE-2018-14667 (CVSS : 9.8) を、Known Exploited Vulnerabilities Catalog に追加した。

Bing Chat チャットに御用心：マルウェアのダウンロードを推奨されることもある

Bing Chat responses infiltrated by ads pushing malware

2023/09/28 BleepingComputer — OpenAI の GPT-4 エンジンを搭載した Bing Chat が、検索業界における Google の優位性に挑戦するために、2023年2月から Microsoft により展開されている。従来の検索クエリや検索結果の形式ではなく、インタラクティブなチャット・ベースのエクスペリエンスをユーザーに提供することで、オンライン検索をより直感的でユーザー・フレンドリーにすることを、Bing Chat は目指している。そして Microsoft は、この新しいプラットフォームから収入を得るために、2023年3月から Bing Chat に広告を挿入し始めた。

GitHub における偽装 Dependabot：悪意のコードをコミットさせる新たなキャンペーン

GitHub Repositories Hit by Password-Stealing Commits Disguised as Dependabot Contributions

2023/09/28 TheHackerNews — 開発者からパスワードを盗むことを目的として、GitHub アカウントをハイジャックし、Dependabot の投稿を装いながら悪意のコードをコミットするという、新たな悪意のキャンペーンが観察された。Checkmarx はテクニカル・レポートで、「この悪意のコードは、GitHub プロジェクトで定義されたシークレットを、悪意の C2 サーバへと流出させる。それに加えて、攻撃したプロジェクト内の既存の javascript ファイルを、Webフォーム・パスワード・ステーラー・マルウェア・コードを用いて変更する」と述べている。

Progress Software の WS_FTP サーバ：深刻な脆弱性 CVE-2023-40044 などを FIX

Progress Software Patches Critical Pre-Auth Flaws in WS_FTP Server Product

2023/09/28 SecurityWeek — 9月28日 (木) に、エンタープライズ・テクノロジー・ベンダーの Progress Software は、同社のファイル転送ソフトウェア WS_FTP の深刻な脆弱性にパッチを適用した。そして、この脆弱性を認証前の攻撃者が悪用することで、基盤となる OS に大混乱が生じる可能性があると警告した。Progress Software による緊急速報は、リモートから悪用される可能性のある、少なくとも８件のセキュリティ欠陥を文書化したものだ。また、ユーザー組織に推奨されるのは、WS_FTP Server 2020.0.4 (8.7.4)／WS_FTP Server 2022.0.2 (8.8.2) への早急なアップグレードとなる。

Catalyst SD-WAN Manager の脆弱性 CVE-2023-20252 などが FIX

Cisco Catalyst SD-WAN Manager flaw allows remote server access

2023/09/28 BleepingComputer — Cisco が警告しているのは、 Catalyst SD-WAN Manager 製品に存在する、新たな５件の脆弱性についてである。その中で、最も深刻なものは、サーバへの未認証のリモート・アクセスを許すものである。Cisco Catalyst SD-WAN Manager for WAN は、管理者に対して WAN 上のデバイスの可視化／展開／管理を提供する、ネットワーク管理ソフトウェアである。今回に公表された欠陥のうち、最も深刻な影響を及ぼすものは、脆弱性 CVE-2023-20252 (CVSS：9.8) であり、SAML (Security Assertion Markup Language) API の問題により、不正アクセスを許してしまうものだ。

SharePoint の脆弱性 CVE-2023-29357／CVE-2023-24955：PoC エクスプロイトが登場

Researchers Release Details of New RCE Exploit Chain for SharePoint

2023/09/28 DarkReading — Microsoft SharePoint Server に存在する、２つの深刻な脆弱性を発見した研究者たちが、それらを連鎖させることで、影響を受けるサーバ上でのリモート・コード実行を可能にする、エクスプロイトの詳細を公開した。それとは別に、今週には別のセキュリティ研究者が、SharePoint の脆弱性に関する PoC エクスプロイトコードを GitHub に投稿し、この欠陥を悪用して脆弱なシステムの管理者権限を取得する方法を示している。

Cisco IOS／IOS XE の脆弱性 CVE-2023-20109：RCE 悪用が観測されている

Cisco urges admins to fix IOS software zero-day exploited in attacks

2023/09/28 BleepingComputer — 9月27日 (水) に Cisco は、攻撃者に狙われている IOS／IOS XE ソフトウェアのゼロデイ脆弱性にパッチを当てるよう顧客に警告した。Cisco Advanced Security Initiatives Group (ASIG) の X. B. により発見された、この脆弱性 CVE-2023-20109 (深刻度 Medium) は、GET VPN 機能の Group Domain of Interpretation (GDOI) および G-IKEv2 プロトコル内における、不十分な属性検証に起因するものだ。

ロシアの Operation Zero：iPhone／Android ゼロデイに $20M を提示

Russian Zero-Day Broker Is Willing To Pay $20M For Zero-Day Exploits For Iphones And Android Devices

2023/09/27 SecurityAffairs — ロシアのゼロデイ・ブローカー Operation Zero が、トップクラスのモバイル・エクスプロイトに対する報酬を増額している。同社は、iPhone／Android デバイス向けのゼロデイ攻撃に対して、最高で $20 million を提示している。

Ransomed.vc ランサムウェア：NTT Docomo を次の標的としているらしい

Ransomed.vc Group Hits NTT Docomo After Sony Breach Claims

2023/09/27 InfoSecurity — 昨日に報道された、SONY におけるデータ流出に続く動きとして、ランサムウェア・シンジケート Ransomed.vc は、日本最大の通信会社である NTT docomo を標的としている。火曜日に Resecurity が発表したアドバイザリによると、Ransomed.vc は NTT docomo に対して$1m 以上の身代金を要求しているという。同様の身代金の要求を SONY が拒否し、データの流出につながったとされるが、それに続く動きである。

Google Chrome のゼロデイ CVE-2023-5217 が FIX：スパイウェアによる悪用を確認

Google fixes fifth actively exploited Chrome zero-day of 2023

2023/09/27 BleepingComputer — 9月27日にリリースされた緊急セキュリティ・アップデートで Google は、今年に入ってから攻撃に悪用された５番目の、Chrome のゼロデイ脆弱性にパッチを適用した。Google のアドバイザリには、「脆弱性 CVE-2023-5217 の悪用が、野放し状態で攻撃されていることを認識している」と記されている。このセキュリティの脆弱性は、Google Chrome 117.0.5938.132 で対処され、Windows／Mac／Linux ユーザー向けの Stable Desktop チャネルを介して、全世界に展開される。

日米の共同勧告：中国の APT BlackTech が Cisco ルーターをバックドアにしている

US and Japan warn of Chinese hackers backdooring Cisco routers

2023/09/27 BleepingComputer — 日本と米国の法執行機関およびサイバーセキュリティ機関が、中国の BlackTech というハッカーがネットワーク機器を侵害し、企業ネットワークにアクセスするためのカスタム・バックドアを設置していると警告している。この共同勧告は、FBI／NSA／CISA に加えて、日本の NISC と警察庁が発行したものであり、国家に支援されたハッカー集団が、事前に海外子会社のネットワーク機器を侵害し、本社のネットワークに軸足を移していると説明している。

libwebp の脆弱性 CVE-2023-5129 は危険：iMessage ゼロクリック攻撃の原因？

Critical libwebp Vulnerability Under Active Exploitation – Gets Maximum CVSS Score

2023/09/27 TheHackerNews — WebP フォーマットで画像をレンダリングするための、libwebp 画像ライブラリに存在する深刻な脆弱性について、Google が新たな CVE 識別子を割り当てた。この脆弱性 CVE-2023-5129 (CVSS : 10.0) は、ハフマン符号化アルゴリズムに根ざした問題と説明されている。

サイバー攻撃の半数が闇に葬られる：インシデントの報告を躊躇してはならない

Half of Cyber-Attacks Go Unreported

2023/09/26 InfoSecurity — Keeper Security が実施した最近のグローバル調査によると、サイバー攻撃や侵害を社内外に広く報告する際の問題点として、恐怖／無知／忘却が挙げられている。この調査レポート Cybersecurity Disasters Survey Incident Reporting & Disclosure は、2023年9月26日に発表されている。

ShadowSyndicate というハッカー集団：複数のランサムウェアと C2 サーバを巧みに運用

ShadowSyndicate hackers linked to multiple ransomware ops, 85 servers

2023/09/26 BleepingComputer — 現在、ShadowSyndicate として追跡されている脅威アクターのインフラを、セキュリティ研究者たちが特定した。これまでの１年間で ShadowSyndicate は、７種類のランサムウェア・ファミリーを展開していたようだ。Group-IB のアナリストは、2022年7月以降の侵害において ShadowSyndicate が Quantum／Nokoyawa／BlackCat/ALPHV／Clop／Royal／Cactus／Play などのランサムウェアを使用していたことを、さまざまな確度から断定している。

MITRE ATT&CK へのインタビュー：新たな悪用手法をカタログ化し続けていく

MITRE ATT&CK project leader on why the framework remains vital for cybersecurity pros

2023/09/26 HelpNetSecurity — この秋に 10 周年を迎える MITRE ATT&CK は、サイバーセキュリティの専門家が互いにコミュニケーションを図り、敵対者の行動をよりよく理解するための共通言語である。Help Net Security のインタビューでは、プロジェクト・リーダーの Adam Pennington がフレームワークについて、また、防御者によるフレームワークの活用方法について、さらに今後の展開について語っている。

Microsoft の Passkeys 展開：9月26日から Windows 11 で正式に始動

Microsoft is Rolling out Support for Passkeys in Windows 11

2023/09/26 TheHackerNews — 今日から Microsoft は、デスクトップ OS のメジャー・アップデートの一環として、Windows 11 で Passkeys のサポートを正式に展開する。この機能によりユーザーは、ID／PW を入力することなく、代わりにデバイスの暗証番号や生体情報を用いてステップを完了し、Web サイトやアプリケーションにログインできるようになる。FIDO 標準に基づく Passkeys は、2022年5月に初めてパスワードの代替になるものとして発表され、フィッシングに強いとされている。その後に Apple や Google に採用され、また、この数カ月の間に他のサービスでも採用されている。

ZeroFont フィッシング手法：偽のスキャン情報に騙される Outlook の欠陥とは？

New ZeroFont phishing tricks Outlook into showing fake AV-scans

2023/0926 BleepingComputer — Microsoft Outlook のセキュリティ・ツールでスキャンが完了したように見せかけ、さらに Zero-Point フォントを電子メールに埋め込むという新たな手口が、ハッカーたちに用いられている。過去においても、Zero-Point フォントを用いるフィッシング・テクニックが使われていたが、このような使われ方が判明したのは、今回が初めてのことである。ISC Sans のアナリストである Jan Kopriva の最新レポートが警告するのは、この手口により、フィッシングの効果に生じる大きな変化の可能性である。したがってユーザーは、その存在と野放し状態での攻撃に注意すべきとしている。

RansomedVC ランサムウェアの主張：Sony のシステムから盗んだデータを販売する

Sony Investigating After Hackers Offer to Sell Stolen Data

2023/09/26 SecurityWeek — あるサイバー犯罪グループが、Sony のシステムに侵入して盗んだデータを、販売すると主張しいていることを受け、同社による調査が開始されたという。SONY の担当者は、「現在状況を調査中であり、現時点では、これ以上のコメントはない」と、SecurityWeek に述べている。この調査が開始されたのは、RansomedVC という新たなランサムウェア・グループが、Tor ベースの自身の Web サイトに被害者として Sony を掲載し、その全システムを侵害したと主張した後のことである。

Openfire の脆弱性 CVE-2023-32315：野放し状態での悪用が観測されている

Hackers actively exploiting Openfire flaw to encrypt servers

2023/09/26 BleepingComputer — Openfireメッセージング・サーバの深刻な脆弱性を積極的に悪用するハッカーたちが、ランサムウェアによる暗号化と、クリプトマイナー侵害を展開している。Openfire は、Java ベースのオープンソース・チャット (XMPP) サーバであり、すでに 900 万回もダウンロードされ、安全なマルチプラットフォーム・チャット通信のために広く使用されているものだ。脆弱性 CVE-2023-32315 の悪用により、Openfire の管理コンソールで、認証バイパスが引き起こされる。その結果として、未認証の攻撃者による、脆弱なサーバー上での新たな管理者アカウント作成にいたる可能性が生じる。

JetBrains TeamCity CI/CD サーバに深刻な脆弱性 CVE-2023-42793：積極的な悪用が予測される

In-the-Wild Exploitation Expected for Critical TeamCity Flaw Allowing Server Takeover

2023/09/25 SecurityWeek — TeamCity CI/CD サーバに存在する致命的な脆弱性により、未認証でのリモートからの悪用／任意のコード実行／脆弱なサーバの不正制御などが発生する可能性があるという。JetBrains が開発した TeamCity は、ビルド管理および継続的インテグレーションのための汎用プラットフォームであり、オンプレミス／クラウドの双方で利用が可能である。先日に確認された深刻な認証バイパスの脆弱性 CVE-2023-42793 (CVSS：9.8) は、オンプレミス版の TeamCity に影響を及ぼすと説明されている。

米国の National Student Clearinghous で MOVEit ハッキング：900 の大学の情報が流出

900 US Schools Impacted by MOVEit Hack at National Student Clearinghouse

2023/09/25 securityweek — 北米の大学に対して、報告／検証／調査のサービスを提供する教育非営利団体 National Student Clearinghouse が明らかにしたのは、約 900もの大学が MOVEit ハッキングの影響を受けているという現状である。今年のはじめに、このランサムウェア・グループは、マネージド・ファイル転送ソフトウェア MOVEit のゼロデイ脆弱性を悪用し、数千の組織と数百万の個人の情報に不正アクセスした。MOVEit へのハッキングにより、直接的／間接的に影響を受けた組織を追跡している Emsisoft によると、被害者の総数は 9月22日時点で 2053件に達し、影響を受けた個人の人数は 5700万人を超えるという。

iOS／Android のゼロデイを悪用：エジプトの野党指導者を狙った MitM 攻撃が発覚

Predator Spyware Delivered to iOS, Android Devices via Zero-Days, MitM Attacks

2023/09/25 SecurityWeek — Google の Threat Analysis Group によると、iOS／Chrome のゼロデイ脆弱性の悪用と中間者攻撃 (MitM) により、Predator スパイウェアが iPhone／Android デバイスに配信されているという。先週に Apple が通知したのは、脆弱性 CVE-2023-41991 (署名検証バイパス)／CVE-2023-41992 (ローカル特権の昇格)／CVE-2023-41993 (悪意の Web ページを介した任意のコード実行) という３つのゼロデイにして、パッチが適用されたことである。Apple は、iOS／macOS などのソフトウェアの脆弱性を修正したが、その一方で、悪用を認識しているのは、iOS のバージョン 16.7 以前のデバイスのみだと指摘していた。

日本の Clarion がランサムウェアに遭遇：ALPHV が犯行を表明し恐喝している

ALPHV Group Claims The Hack Of Clarion, A Global Manufacturer Of Audio And Video Equipment For Cars

2023/09/24 SecurityAffairs — ALPHV ランサムウェア・グループの Tor 被害者リストに、車載用オーディオ・ビデオ機器の世界的メーカーである、日本の Clarion が追加された。Clarion Japan は、車載用音響／映像機器の世界的メーカーである、Clarion 株式会社の日本法人である。カーナビ／オーディオ／ビデオ・システムに加えて、バック・カメラなどの幅広い製品を開発／製造／販売している。また、Clarion Japan は、自動車のメンテナンス／修理等に関するソフトウェアのアップデートといった、様々なサービスも提供している。

Akira ランサムウェア：多様な戦術を用いて Linux システムを狙い始めている

Akira Ransomware Mutates to Target Linux Systems, Adds TTPs

2012/09/23 DarkReading — 2023年３月に登場した Akira ランサムウェアは、それ以降において進化を続けている。その、攻撃範囲は当初の Windows システムから Linux サーバへと拡大され、数々の TTP (Tactics／Techniques／Procedures) を採用するようになっている。LogPoint の Akira に関する詳細なレポートでは、被害者のファイルを暗号化し、シャドウコピーを削除し、データ復旧との引き換えに身代金の支払いを要求するという、高度に洗練されたランサムウェアだと解説されている。その感染チェーンは、多要素認証のない Cisco ASA VPN を積極的にターゲットとし、脆弱性 CVE-2023-20269 をエントリポイントとして悪用するものだ。

Gelsemium というステルス APT の柔軟性：悪意のツール群を防御策に応じて運用

Evasive Gelsemium hackers spotted in attack against Asian govt

2023/09/23 BleepingComputer — Gelsemium として追跡されているステルス性の APT が、2022年から2023年の半年間にわたって、東南アジアの政府を標的とした攻撃で観測された。Gelsemium は2014年から活動しているサイバースパイ集団であり、東アジアおよび中東の政府／教育機関／電子機器メーカーを標的としている。

CISA KEV の効果：連邦政府機関における脆弱性を 72％も減少させた

Faster Patching Pace Validates CISA’s KEV Catalog Initiative

2023/09/22 SecurityWeek — 米国のサイバーセキュリティ機関 CISA が管理する KEV (Known Exploited Vulnerabilities) カタログにより、連邦政府機関のパッチ適用作業が大幅に改善されたという。現在では、このリストに 1,000件以上の脆弱性が含まれている。2021年11月に開始された、この KEV カタログは、連邦政府機関へのサイバー攻撃で悪用されている判明した脆弱性を、CISA がリストアップしたものである。そして、法的拘束力のある Binding Operational Directive (BOD) 22-01 に従い、それぞれの連邦政府機関は、指定された期間内に対象となる脆弱性にパッチを当てるよう要求される。

BIND の脆弱性 CVE-2023-3341／CVE-2023-4236 が FIX：サービス停止の可能性

BIND Updates Patch Two High-Severity DoS Vulnerabilities

2023/09/22 SecurityWeek — DNS ソフトウェア BIND において、リモートから悪用可能な２件のサービス拒否 (DoS) 脆弱性に対処するセキュリティ・アップデートが、Internet Systems Consortium (ISC) からリリースされた。ISC によると、どちらのバグも named (権威ネームサーバ/／再帰的リゾルバとして動作する BIND デーモン) に存在し、予想外の終了にいたる可能性があるという。

IoT 攻撃とダークウェブの関係性：2023年には 700 件以上のマルウェア広告

Over 700 Dark Web Ads Offer DDoS Attacks Via IoT in 2023

2023/09/22 InfoSecurity — IoT (Internet of Things) デバイスを悪用した分散型サービス拒否 (DDoS) 攻撃に関して、2023年のダークウェブ広告が 700件以上に急増したことが、Kaspersky の最新レポートで示唆されている。これらのサービスは、標的における DDoS 防御などを検証した結果により価格帯が異なり、１日あたり $20 や月額 $10,000 などで販売されている。平均すると、１日あたり $63.5で、１カ月あたり $1350 となっている。

オンライン詐欺の動向：偽 Eショップ／性的脅迫／偽技術サポートが急増 – Norton 調査

Scams Now Make Up 75% of Cyber-Threats

2023/09/21 InfoSecurity — Norton の最新データによると、2023年上半期において、デスクトップを標的とする脅威の 75％を、人為的な操作を伴う詐欺が占めているという。コンシューマ向けのセキュリティ・ベンダーである Norton は、Consumer Cyber Safety Pulse レポートを作成するために、トラッキング／ブロックにおける独自のデータを分析した。その結果として、2023年上半期に 15億件以上の脅威をブロックしたが、そこに含まれるものとして、800万件のフィッシング試行および、350万件のデスクトップ脅威、約 33,000件のモバイル脅威があると主張している。

GitHub の Passkeys サポートが始動：Apple／Google／Microsoft と協調

GitHub passkeys generally available for passwordless sign-ins

2023/09/21 BleepingComputer −−− 9月21日に GitHub が公開した Passkeys により、すべてのユーザーのパスワードレス・ログインが、このプラットフォーム全体で利用可能となり、フィッシングからアカウントが保護されるようになる。Passkeys は、コンピューター／タブレット／スマートフォンなどのデバイスにリンクされ、フィッシング攻撃からの保護や、不正アクセスの阻止を提供することで、データ漏洩のリスクを低減するという重要な役割を担っている。また、Passkeys は、暗証番号や指紋／顔認証などの生体認証といった、個人識別方法を通じて、アプリやオンライン・サービスへのアクセスを容易にする。

ボット攻撃による利益損失は平均で $86m：2020年の $33.3m から急増

Bot Attack Costs Double to $86m Annually

2023/09/21 InfoSecurity — Netacea の最新レポートによると、悪質なボット攻撃が原因となり、一般的な米国／英国の企業は、毎年オンライン収益の 4％以上を失っているという。Netacea の Death by a Billion Bots レポートは、米国と英国におけるツアー／エンターテインメント／eコマース／金融サービス／電気通信の各分野において、440社を対象とした調査から作成された。なお、それらの企業におけるオンライン収益は、平均で $1.9bn にいたるという。

Apple が３件のゼロデイ脆弱性を FIX：攻撃での積極的な悪用を確認

Apple emergency updates fix 3 new zero-days exploited in attacks

2023/09/21 BleepingComputer — Apple は、iPhone／Mac ユーザーを狙った攻撃で悪用された、新たなゼロデイ脆弱性３件を修正する緊急セキュリティアップデートをリリースした。今年に入ってから修正されたゼロデイ脆弱性は、これで合計16件となった。２つのバグは、WebKit ブラウザエンジンに存在する CVE-2023-41993 と、Security フレームワークに存在する CVE-2023-41991 である。悪意のアプリを用いた署名検証の回避や、細工された Web ページを介した任意のコード実行にいたる恐れがあるという。

Atlassian の４件の脆弱性が FIX：Jira／Confluence／Bitbucket／Bamboo に影響

Atlassian Security Updates Patch High-Severity Vulnerabilities

2023/09/21 SecurityWeek — 今週に Atlassian が発表したのは、Jira／Confluence／Bitbucket／Bamboo に影響を及ぼす、４つの深刻な脆弱性に対するパッチである。これらの問題の中で最も深刻なものは、Bitbucket に存在するリモートコード実行 (RCE) の脆弱性 CVE-2023-22513 (CVSS:8.5) であり、機密性／完全性／可用性に影響を及ぼす可能性があるという。なお、認証されている攻撃者であれば、ユーザーとの対話を必要とせずに悪用できると、Atlassian は説明している。この問題は、Bitbucket バージョン 8.0.0 で発生したものであり、バージョン 8.14.0 までの大半のリリースに影響する。また、Bitbucket のバージョン 8.9.5／8.10.5／8.11.4／8.12.2／8.13.1.8.14.0 および、それ以降のバージョンでは、この脆弱性に対処している。

npm の悪意のパッケージの新たな動向：Kubernetes コンフィグと SSH キーを盗み出す

Fresh Wave of Malicious npm Packages Threaten Kubernetes Configs and SSH Keys

2023/09/20 TheHackerNews — 侵害済のマシンからリモート・サーバへ向けて、Kubernetes のコンフィグと SSH キーを流出させるようにデザインされた、悪意のパッケージを連携させる新たなバッチを、研究者たちが npm パッケージ・レジストリで発見した。Sonatype は、これまでに14種類の npm パッケージを発見したと発表した。具体的には、@am-fe/hooks、@am-fe/provider、@am-fe/request、@am-fe/utils、@am-fe/watermark、@am-fe/watermark-core、@dynamic-form-components/mui、@dynamic-form-components/shineout、@expue/app、@fixedwidthtable/fixedwidthtable、@soc-fe/use、@spgy/eslint-plugin-spgy-fe、@virtualsearchtable/virtualsearchtable、shineouts などである。

Culturestreak というクリプト・マイナー：GitLab Python に潜んでいる

‘Culturestreak’ Malware Lurks Inside GitLab Python Package

2023/09/20 DarkReading — 現在の脅威の状況において、あまりにも有りふれたことだが、新たな悪意のオープンソース・パッケージが、セキュリティ研究たちにより発見された。今回は、暗号通貨をマイニングするために、システム・リソースのハイジャックを試みる、GitLab 上のアクティブな Python ファイルである。この、Culturestreak と呼ばれる悪意のパッケージが、GitLab 開発者サイト上の Aldri Terakhir というユーザーのアクティブなリポジトリから発信されていることを、9月19日の Checkmarx ブログが明らかにした。

WinRAR 用の偽 PoC エクスプロイト：PowerShell を介して VenomRAT を展開

Fake WinRAR proof-of-concept exploit drops VenomRAT malware

2023/09/20 BleepingComputer −−− 最近に修正された WinRAR の脆弱性に対する偽 PoC エクスプロイトが、あるハッカーにより GitHub で広めており、VenomRAT マルウェアのダウンローダーに感染させようとしている。この偽 PoC エクスプロイトは、Palo Alto Networks の Unit 42 チームの研究者たちにより発見され、2023年8月21日の時点で攻撃者により、悪意のコードが GitHub にアップロードされたことが報告されている。この攻撃は、すでに阻止されているが、 GitHub から調達した PoC の、安全性を確認せずに実行することのリスクが、改めて浮き彫りにされている。

Nagios XI ネットワーク・モニターに４件の深刻な脆弱性：SQLi および RCE の可能性

Critical Security Flaws Exposed in Nagios XI Network Monitoring Software

2023/09/20 TheHackerNews — ネットワーク監視ソフトウェア Nagios XI で発見された複数の脆弱性により、特権の昇格や情報漏洩の可能性があることが明らかになった。それらの４つの脆弱性は、CVE-2023-40931 〜 CVE-2023-40934 であり、Nagios XI のバージョン 5.11.1 以下に影響を及ぼす。2023年8月4日に報告を受けた Nagios は、2023年9月11日にパッチ適用したバージョン 5.11.2 をリリースしている。

GitLab パイプラインの脆弱性 CVE-2023-5009：ハイリスク・シナリオの可能性

GitLab urges users to install security updates for critical pipeline flaw

2023/09/19 BleepingComputer — スケジュールされたセキュリティ・スキャン・ポリシーを悪用する攻撃者が、他のユーザーを装いながらパイプライン実行を可能にする、深刻な脆弱性に対処するセキュリティアップデートを、GitLab がリリースした。GitLab は、Web ベースの OSS プロジェクト管理および作業トラッキングのための、人気のプラットフォームであり、無料版と商用版を提供している。この脆弱性 CVE-2023-5009 (CVSS：9.6) は、GitLab Community Edition (CE)／Enterprise Edition (EE) の、バージョン 13.12〜16.2.7 と、バージョン 16.3〜16.3.4に影響を与える。

Earth Lusca の SprySOCKS という Linux バックドア：中国から各国の政府機関を狙っている

Earth Lusca’s New SprySOCKS Linux Backdoor Targets Government Entities

2023/09/19 TheHackerNews — Earth Lusca と呼ばれる中国由来の脅威アクターが、SprySOCKS という未知の Linux バックドアを用いて、各国の政府機関を標的としていることが確認された。Earth Lusca は、2022年1月に Trend Micro により初めて文書化され、アジア／オーストラリア／ヨーロッパ／北米の公共機関および民間企業に対する攻撃の詳細が報告された。この 2021年から活動しているグループは、スピアフィッシングや水飲み場攻撃を利用して、サイバー・スパイ活動を展開している。なお、その活動の一部は、RedHotel という名前で Recorded Future が追跡している、別の脅威クラスターと重複している。

Trend Micro のゼロデイ脆弱性 CVE-2023-41179：Apex One などで RCE の可能性

Trend Micro Patches Exploited Zero-Day Vulnerability in Endpoint Security Products

2023/09/19 SecurityWeek — 9月19日 (火) に Trend Micro は、Apex One などのエンドポイント・セキュリティ製品に影響を及ぼす、深刻な脆弱性が悪用されていると、アドバイザリで警告した。このゼロデイ CVE-2023-41179 は、Apex One／Apex One SaaS／Worry-Free Business Security 製品群に影響を及ぼすものだ。この脆弱性は、サードパーティのセキュリティ・ソフトウェアをアンインストールするための機能に起因しており、任意のコード実行に悪用される可能性があるという。

Bumblebee マルウェアが再登場：WebDAV サービスを悪用する新たなキャペーンを展開

Bumblebee malware returns in new attacks abusing WebDAV folders

2023/09/18 BleepingComputer — ２ヶ月ぶりに再登場した Bumblebee マルウェア・ローダーだが、4shared WebDAV サービスを悪用するという、新たな配布テクニックを用いている。WebDAV (Web Distributed Authoring and Versioning) とは、HTTP プロトコルの拡張機能であり、クライアントからリモート・オーサリング操作を実行し、Web サーバのコンテンツの作成／更新／削除などを可能にするものだ。Intel471 の研究者たちによると、2023年9月7日に開始された Bumblebee の最新キャンペーンは、4shared WebDAV サービスを悪用してローダーを配布し、攻撃チェーンを取り込むことで、いくつかの感染後アクションを実行していくという。

Juniper の脆弱性 CVE-2023-36845 に新たな PoC エクスプロイト：悪用が容易な RCE

Thousands of Juniper devices vulnerable to unauthenticated RCE flaw

2023/09/18 BleepingComputer — 推定で 12,000台とされる Juniper SRX Firewall／EX Switche には、認証を必要とせずに悪用が可能な、ファイルレス・リモート・コード実行の脆弱性が存在する。2023年8月に Juniper は、PHP 環境変数操作の脆弱性 CVE-2023-36844／CVE-2023-36845 および、重要な機能に対する認証欠落の脆弱性 CVE-2023-36846／CVE-2023-36847 を公表した。それらの脆弱性の危険度は低いが、連鎖すると CVSS 9.8 という深刻なリモート・コード実行にいたるものでもある。

Microsoft AI 研究部門の失敗：38TB のプライベート・データを誤って SAS 共有

Microsoft leaks 38TB of private data via unsecured Azure storage

2023/09/18 BleepingComputer — 2020年7月以降において Microsoft の AI 研究部門は、GitHub パブリック・リポジトリに、オープンソースの AI 学習モデルをコントリビュートする際に、誤って 38TB の機密データを流出させていた。それから約３年後に、クラウド・セキュリティ企業である Wiz が発見したのは、流出した情報を含む Azure Blob ストレージ・バケットの、ミスコンフィグレーションされた URL が、Microsoft の従業員により不用意に共有されていたことだった。

MFA に対する本質的な問題提起：Okta が護れなかった MGM Resorts インシデントとは？

Okta Agent Involved in MGM Resorts Breach, Attackers Claim

2023/09/16 DarkReading −−− 先週に発生した MGM Resorts と Caesars Entertainment へのサイバー攻撃だが、それを操る脅威アクターの主張は、組織の Active Directory に接続する軽量クライアントである Okta Agent をクラックし、何らかの方法で両社の Okta プラットフォームに侵入できたというものだ。Okta は、クラウド向けの IAM (Identity and Access Management) プロバイダーとして知られるサイバー・セキュリティ企業である。

BlackCat ランサムウェア：Sphynx 暗号化ツールで Azure Storage を攻撃

BlackCat ransomware hits Azure Storage with Sphynx encryptor

2023/09/16 BleepingComputer −−− BlackCat (ALPHV) ランサムウェア・グループが、窃取した Microsoft アカウントと、最近に発見された Sphynx 暗号化ツールを用いて、ターゲットの Azure クラウド・ストレージを暗号化しているようだ。最近に発生した情報漏えいを調査していた、Sophos X-Ops のインシデント・レスポンス担当者たちが、カスタム認証情報の利用がサポートされた、Sphynx の亜種の運用を発見した。この脅威アクターは、窃取したワンタイム・パスワード (OTP：One-Time Password) を用いて Sophos Central アカウントにアクセスした後に、改ざん防止機能を無効化し、セキュリティ・ポリシーを変更していた。これらの操作は、LastPass Chrome エクステンションを使用して、被害者の LastPass ヴォールトから OTP を盗んだ後に行われていたという。

Chromebook ユーザーに朗報：来年からセキュリティ・サポートが 10年に延長される

Google extends security update support for Chromebooks to 10 years

2023/09/15 BleepingComputer — Google の発表は、すべての Chromebook について、AUE (Auto Update Expiration) を５年から 10年に延長し、毎月のセキュリティ更新を 10年間にわたり保証するというものだ。Chromebook は ChromeOS を搭載した安価なノート PC であり、CPU は非力であり、RAM／ROM は小容量の傾向にある。つまり、ローカル。デバイス上で高負荷のプロセス実行するのではなく、クラウド・サービスに依存する学生やリモートワーカーを対象としている。