March 19, 2024 – IoT OT Security News

Kemp LoadMaster の脆弱性 CVE-2024-1212 が FIX：CVSS 10.0 で PoC も公開

PoC Exploit Available for CVE-2024-1212 (CVSS 10): Patch Kemp LoadMaster Now

2024/03/19 SecurityOnline — Progress Kemp LoadMaster ロードバランサーに存在する、深刻な脆弱性 CVE-2024-1212 (CVSS：10.0) の技術的詳細と PoC エクスプロイト・コードが、Rhino Security Labs から公開された。この脆弱性の悪用に成功した攻撃者は、管理者 Web インターフェイスにアクセスし、影響を受けるデバイス上で、認証を必要とすることなく、任意のコマンド実行が可能になる。

Firefox／Thunderbird の６件の脆弱性が FIX：今すぐアップデートを！

CVE-2024-2615: Update Firefox Now! Zero-Click Attacks Possible

2024/03/19 SecurityOnline ‐‐‐ Mozilla は、Firefox (Firefox 124／Firefox ESR 115.9) と Thunderbird (115.9) の、緊急セキュリティ・アップデートをリリースした。今回のアップデートで修正されたのは、深刻なリモート・コード実行の脆弱性のほか、システムのサンドボックス・エスケープ／システムのクラッシュ／データの窃取／設定の操作などを、攻撃者にゆるす可能性がある、危険性の高い複数の脆弱性だ。

Firebase インスタンスのミスコンフィグ：平文パスワード 1900 万件が流出

Misconfigured Firebase instances leaked 19 million plaintext passwords

2024/03/19 BleepingComputer — データベース／クラウド／アプリ開発などをホスティングする、Google のプラットフォーム Firebase のミスコンフィグにより、1,900 万件あまりの平文のパスワードがインターネット上に流出していたことが、３人のサイバー・セキュリティ研究者たちの調査により明らかになった。研究者たちが 500 万件以上のドメインをスキャンしたところ、セキュリティ・ルールが有効化されていない組織の、あるいは、間違って設定されている組織の Web サイトが、916 件も発見されたとのことだ。さらに、電子メール／名前／パスワード／電話番号／銀行明細を含む請求情報などの個人情報が、1億2500万件以上も公開されていることも判明した。

Fortinet FortiGate のゼロデイ脆弱性 CVE-2024-21762：PoC が公開された

PoC Releases for 0-day CVE-2024-21762 FortiGate SSLVPN Flaw, Over 133K Remain Vulnerable

2024/03/19 SecurityOnline — FortiOS SSL VPN の重大な脆弱性 CVE-2024-21762 (CVSS：9.6) に対する、PoC (Proof-of-concept) エクスプロイト・コードが公開された。この脆弱性は、リモート・コード実行 (RCE：Remote Code Execution) につながる可能性を持ち、また、悪用を示唆する強力な証拠も発見されている。

WordPress Automatic plugin の２つの脆弱性が FIX：40,000 以上のサイトが危険に晒されている

40,000+ Sites Exposed: WordPress Plugin Update Critical – CVE-2024-27956 & CVE-2024-27954

2024/03/19 SecurityOnline — 3月19日に Patchstack が公開したセキュリティ・アドバイザリによると、WordPress の Automatic プラグイン (プレミアム版) に、２つの危険な脆弱性 CVE-2024-27956／CVE-2024-27954 が発見されたとのことだ。WordPress サイトでのコンテンツ・インポートの自動化に用いられる同プラグインは、40,000 以上のアクティブなインストールがあるため、リスクは広範かつ差し迫ったものである。

Earth Krahang は中国由来の APT：ありきたりの OSS ツールで 48の政府機関を侵害

Chinese APT ‘Earth Krahang’ Compromises 48 Gov’t Orgs on 5 Continents

2024/03/19 DarkReading — これまで正体不明だった、中国のスパイ・グループが特定された。このフループは、標準的な TTP (Tactics／Techniques／Procedures) を用いながらも、23カ国の少なくとも 70組織への侵入に成功したが、そこには政府機関の 48組織も含まれていたという。Earth Krahang は、高レベルの軍事 APT ではないようだ。Trend Micro の研究者たちは新たなレポートの中で、中国共産党 (CCP) が契約した、民間のハッカー雇用オペレーションである、iSoon の一部である可能性を示唆している。