April 2024 – Page 3 – IoT OT Security News

GitHub リポジトリ検索の悪用：マルウェア拡散の温床になっている

Threat Actors Game GitHub Search to Spread Malware

2024/04/11 InfoSecurity — 脅威アクターたちは、悪意のコードが隠された GitHub リポジトリを、多大な労力を費やして拡散していると、Checkmarx が警告している。最近に発見されたキャンペーンでは、これらのリポジトリが GitHub の検索結果の上位に表示されるよう設計された、テクニックが展開されていたという。

XZ Utils バックドア騒動：ソフトウェア・セキュリティの問題点が浮き彫りに

XZ Utils Scare Exposes Hard Truths About Software Security

2024/04/11 DarkReading ‐‐‐ ほぼ全ての主要 Linux ディストリビューションに搭載されている、データ圧縮ユーティリティである XZ Utils に、バックドアが注入されていたことが、最近になって判明した。このインシデントから痛感させられるのは、OSS コンポーネントを利用する組織は、ソフトウェアの安全性を確保する責任を、最終的に負う必要があるということだ。

Palo Alto PAN-OS の脆弱性 CVE-2024-3385 などが FIX：DoS などが生じる恐れ

Palo Alto Networks Patches Vulnerabilities Allowing Firewall Disruption

2024/04/11 SecurityWeek — 4月11日に発表された、Palo Alto Networks の PAN-OS のアップデートは、ファイアウォール機能を妨害するために悪用される、複数の脆弱性に対処したものであり、その中には深刻度の高い欠陥も含まれる。修正された脆弱性のうち、３つの脆弱性 (重要度：High) は、サービス拒否 (DoS：Denial-of-Service) 攻撃に悪用される可能性がある。

Intel CPU のメモリ・リーク：Spectre v2 という攻撃手法を研究者たちが公表

Researchers Resurrect Spectre v2 Attack Against Intel CPUs

2024/04/10 SecurityWeek — Intel プロセッサーを標的とする Spectre v2 攻撃の新たなバリエーションについて、オランダの VU アムステルダム大学の VUSec Cybersecurity Group が発表した。2018年に Spectre と Meltdown による CPU 攻撃が公表された際、最も危険と名指しされた亜種は、Spectre v2 または Spectre BTI (Branch Target Injection) だった。複数の CPU メーカーが、ハードウェア／ソフトウェアによる緩和策を開発してきたが、それらの攻撃を行う新たな方法を、研究者たちは発見し続けている。

Apache Zeppelin の脆弱性 CVE-2024-31861：コード・インジェクション攻撃が生じる恐れ

CVE-2024-31861: Apache Zeppelin Vulnerability Opens Door to Code Injection Attacks

2024/04/10 SecurityOnline — 人気のデータ分析ノートブック・ツールである Apache Zeppelin に、新たなセキュリティ脆弱性 CVE-2024-31861 (重要度：Important) が発見された。この脆弱性の悪用に成功した攻撃者は、Zeppelin のシェル・インタプリタを通じて悪意のコードを注入し、機密システムの完全性とセキュリティに影響を与える可能性がある。

Node.js の脆弱性 CVE-2024-27980 が FIX：ただちにアップデートを！

CVE-2024-27980: Critical Node.js Update Patches Windows Command Injection Flaw

2024/04/10 SecurityOnline — Node.js プロジェクトがリリースしたのは、Windows システムにおける深刻なコマンド・インジェクションの脆弱性 CVE-2024-27980 に対処する、緊急のセキュリティ・アップデートである。この脆弱性の悪用に成功した攻撃者は、シェル・オプションが無効化されている場合においても、影響を受けるマシン上での悪意のコード実行が可能になる。

Fortinet の脆弱性 CVE-2023-45590 などが FIX：ただちにパッチを！

Fortinet Fixed A Critical Remote Code Execution Bug In Forticlientlinux

2024/04/10 SecurityAffairs — Fortinet FortiClient Linux に存在する、12件の脆弱性が修正された。その中には、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2023-45590 (CVSS：9.4) も含まれる。この脆弱性は、FortiClientLinux の不適切なコード生成の制御に起因する、コードインジェクションの問題を生み出す。認証されていない攻撃者が FortiClient Linux ユーザーを騙して、特別に細工された Web サイトにアクセスさせることで、この欠陥がトリガーされ、任意のコード実行へとつながっていく。

GitLab の４件の脆弱性が FIX：XSS および Dos が発生する可能性

GitLab Races to Fix Critical XSS Flaws – Don’t Delay Your Upgrade

2024/04/10 SecurityOnline — コードコラボレーションとプロジェクト管理のための DevOps プラットフォームとして広く利用されている GitLab が、重要なセキュリティ・アップデートとして 16.10.2／16.9.4／16.8.6 をリリースした。このリリースで対処された複数の欠陥のうち、最も深刻なものは、蓄積型クロスサイトスクリプティング (XSS) の脆弱性である。これらの脆弱性の悪用に成功した攻撃者は、ユーザー・セッションの乗っ取りや、機密データの窃取を可能にし、さらには、標的システム内での攻撃のための足場を構築する可能性もあるという。

WordPress Core に脆弱性：バージョン 6.5.2 への移行を急いでほしい

WordPress Releases Urgent Security Patch – Update Immediately!

2024/04/10 SecurityOnline — 人気の CMS (Content Management System) である WordPress がリリースしたのは、クロス・サイト・スクリプティング (XSS) などの脆弱性に対処する、重要なセキュリティ・アップデートである。あらたにリリースされた WordPress 6.5.2 は、このソフトウェアを利用している、すべてのウェブサイト所有者にとって不可欠なものだ。

Microsoft Windows における２件のゼロデイ：Sophos と ZDI と Google が発見

Microsoft fixes two Windows zero-days exploited in malware attacks

2024/04/09 BleepingComputer — Microsoft は April 2024 Patch Tuesday において、積極的に悪用されるゼロデイ脆弱性２件を修正した。１つ目の脆弱性 CVE-2024-26234 は、プロキシ・ドライバのなりすましを許す欠陥だと説明されている。2023年12月に Sophos X-Ops により発見され、有効な Microsoft Hardware Publisher 証明書を使用して署名された悪意のドライバを追跡するために、同社の Team Lead である Christopher Budd により報告されたものだ。

LG Smart TV に４つの脆弱性：90,000台以上の TV が危険に晒されている

Over 90,000 LG Smart TVs may be exposed to remote attacks

2024/04/09 BleepingComputer — LG Smart TV で使用されている、WebOS の複数のバージョンに影響を及ぼす４つの脆弱性を、Bitdefender のセキュリティ研究者たちが発見した。これらの脆弱性の悪用に成功した攻撃者は、影響を受けるデバイス上で、さまざまなレベルでの不正アクセスやの制御を行い、認証バイパス／権限昇格／コマンド・インジェクションなどを可能にするとされる。

Fortra Robot Schedule Enterprise Agent の脆弱性 CVE-2024-0259 が FIX：ただちにパッチを！

CVE-2024-0259: Fortra Robot Schedule Enterprise Agent Flaw Demands Urgent Action

2024/04/09 SecurityOnline — Fortra の Robot Schedule Enterprise Agent for Windows に、深刻な脆弱性が存在することが判明した。この脆弱性 CVE-2024-0259 の悪用に成功した低特権ユーザーが特権昇格し、対象となるシステムの完全な制御を得る可能性が生じる。

Microsoft の脆弱性 CVE-2024-29988：積極的な悪用を ZDI が観測

CVE-2024-29988: ‘In-the-Wild’ Flaw Among Microsoft’s April 2024 Patch Tuesday

2024/04/09 SecurityOnline — Microsoft の April 2024 Patch Tuesday でリリースされたのは、同社のソフトウェア・エコシステム全体にまたがる、脆弱性 147件に対する大量の修正である。この膨大なアップデートと、すでにゼロデイ脆弱性が活発に悪用されているという報告が示すのは、サイバー・セキュリティにおける絶え間のない戦いである。今月のアップデートでは、Windows／Office／Azure／.NET Framework／SQL Server などにおける深刻な弱点が対象とされている。

Google Workspace の新機能：マルチ・パーティによる承認でセキュリティ設定保護を強化

New Google Workspace feature prevents sensitive security changes if two admins don’t approve them

2024/04/09 HelpNetSecurity — Google が 4月9日に発表したのは、複数の特権管理者アカウントを持つ Google Workspace ユーザー向けに、マルチ・パーティによる承認を導入するというものだ。Google Workspace (旧 G Suite) は、企業向けにデザインされたクラウドベースの生産性とコラボレーションのためのツール／サービスである。この、オプションとして提供されるマルチ・パーティ承認機能は、2023年8月に Google Workspace チームが発表した、新たなセキュリティ機能のうちの一つである。

Rust の脆弱性 CVE-2024-24576 (CVSS 10) に注意：Windows 限定のコマンド・インジェクション

CVE-2024-24576 (CVSS 10): Rust Flaw Exposes Windows Systems to Command Injection Attacks

2024/04/09 SecurityOnline — Rust Standard Library で発見された致命的な脆弱性により、Windows ベースのシステムにおいて、任意のコード実行の可能性が生じている。この脆弱性 CVE-2024-24576 が攻撃者に悪用されると、システムを不正に制御される可能性があるという。

Microsoft 2024-04 月例アップデート：67件の RCE バグと 150件の脆弱性に対応

Microsoft April 2024 Patch Tuesday fixes 150 security flaws, 67 RCEs

2024/04/09 BleepingComputer — 今日は、Microsoft の April 2024 Patch Tuesday であり、150件の脆弱性に対するセキュリティ更新プログラムが提供されるが、そのうちの 67件がリモート・コード実行のバグとなっている。また、今日の Patch Tuesday で修正された、Critical な脆弱性は３件のみである。また、67件のリモート・コード実行バグの半数以上は、Microsoft SQLドライバ内で発見されており、共通の欠陥が重複している可能性が高い。なお、26件の Secure Boot バイパスに対する修正がリリースされたが、その中には、Lenovo に関連する２件の脆弱性も含まれる。

Fortinet の FortiClient EMS の脆弱性 CVE-2023-48788：悪用キャンペーンが検出された

Critical Fortinet Vulnerability Exploited: Hackers Deploy Remote Control Tools and Backdoors

2024/04/08 SecurityOnline — Fortinet の FortiClient Enterprise Management System (EMS) において、先日にパッチが適用された脆弱性 CVE-2023-48788 を狙う憂慮すべきキャンペーンを、Red Canary のセキュリティ研究者たちが発見した。この脆弱性に対してパッチが適用されていない場合には、完全な管理者権限を取得する攻撃者により、脆弱なシステム上でのリモートコード実行の可能性が生じる。

Notepad++ からの SOS：模倣サイトをシャットダウンしてほしい！

Notepad++ wants your help in “parasite website” shutdown

2024/04/08 BleepingComputer — Notepad++ の開発者が、一般に対して求めている協力とは、Notepad++ に酷似しているが、プロジェクトとは無関係である、模倣 Web サイトの閉鎖に関するものだ。現時点では、この模倣サイトは、訪問者を Notepad++ の公式ダウンロード・ページに誘導している。しかし、今後において懸念されるのは、悪意のリリースやスパムの意図的なプッシュといった、セキュリティ上の脅威となる可能性である。

Cisco IOS の脆弱性 CVE-2024-20276 が FIX：DOS 攻撃が生じる恐れ

Cisco IOS Vulnerability Allows DOS Attacks Via Malicious Traffic

2024/04/08 GBHackers — Cisco が公表したのは、Catalyst 6000 Series Switch 用の Cisco IOS ソフトウェアにおける、サービス拒否 (DoS：Denial-of-Service) の脆弱性 CVE-2024-20276 (CVSS：7.4) に対する修正である。

XZ Utils の脆弱性 CVE-2024-3094 とバックドア：検出のためのツール／スクリプト／ルールが公開

XZ Utils backdoor: Detection tools, scripts, rules

2024/04/08 HelpNetSecurity — XZ Utils のバックドアに関する分析が続く中で、Linux システム上のバックドアの存在を検出するためのツールやアドバイスが、複数のセキュリティ企業から提供され始めた。先日に判明したのは、オープンソースの XZ Utils 圧縮ユーティリティに対して、バックドア CVE-2024-3094 が、熟練した脅威アクターにより注入されていたことである。脅威アクターたちの狙いは、主要 Linux ディストリビューションに悪意のパッケージを埋め込むことで、世界中の Linux システムに対する SSH ステルス・アクセスを、無制限に獲得することにある。

Google が Chrome に搭載する V8 Sandbox：Web ブラウザのメモリ破損に対する最適解とは？

Google Chrome Adds V8 Sandbox – A New Defense Against Browser Attacks

2024/04/08 TheHackerNews — Google が発表したのは、Chrome におけるメモリ破壊問題に対処するために、この Web ブラウザで V8 Sandbox という名の機能をサポートすることだ。V8 Security Technical Lead である Samuel GroB によると、このサンドボックスにより、V8 におけるメモリ破損のホスト・プロセス内での拡大が防止されるとのことだ。Google は V8 Sandbox について、JavaScript と WebAssembly エンジンのための、軽量化されたプロセス内サンドボックスだと説明しており、一般的な V8 の脆弱性を軽減するように設計したと言っている。

D-Link NAS の脆弱性 CVE-2024-3273：92,000 台のデバイスがインターネットに露出

Over 92,000 Internet-Facing D-Link NAS Devices Can Be Easily Hacked

2024/04/07 SecurityAffairs — D-Link NAS の、複数の製造終了デバイス・モデルに影響を与える新たな脆弱性 CVE-2024-3273 を、Netsecfish というニックネームで呼ばれている研究者が公表した。この脆弱性が悪用されると、任意のコマンドのインジェクションや、ハードコードされたバックドアにいたるとされる。この脆弱性は、D-Link NAS デバイスに影響を及ぼすが、その中にはモデル DNS-340L／DNS-320L／DNS-327L／DNS-325 などが含まれる。

CData の深刻な脆弱性 CVE-2024-31848／31849 などが FIX：PoC も提供されている

CData Products Targeted: Path Traversal Vulnerability Opens Door to Sensitive Data

2024/04/07 SecurityOnline — CData における複数のビジネス統合製品の Java ベースのデプロイメントにおいて、新たに発見されたパストラバーサル脆弱性が、ユーザー組織に重大な脅威をもたらすと、Tenable のセキュリティ研究者たちが警告している。この脆弱性に対して、パッチを適用せずに放置すると、未認証の攻撃者による機密データの窃取や、アプリケーションの完全な制御が奪われる可能性が生じる。

Brocade Fabric OS の深刻な脆弱性 CVE-2023-3454 が FIX：直ちにアップデートを！

CVE-2023-3454: Critical Vulnerability in Brocade Fabric OS Exposes Networks to Remote Attacks

2024/04/06 SecurityOnline — 数多くのエンタープライズ・データセンターで使用されている、一般的なファイバー・チャネル・スイッチのファームウェアである Brocade Fabric OS に、深刻な脆弱性が発見された。この脆弱性 CVE-2023-3454 (CVSS：8.6) の悪用に成功した攻撃者は、影響を受けるスイッチ上でリモートからのコード実行が可能となる。したがって、それらの重要なネットワーク・デバイスを、完全に制御できる可能性を持つことになる。

Magento の脆弱性 CVE-2024-20720：Magecart 攻撃が観測されている

Magecart Attackers Pioneer Persistent E-Commerce Backdoor

2024/04/06 DarkReading — Magecart 攻撃者たちが、新しい手口を確立しようとしている。それは、自動的にマルウェアをプッシュできる永続的なバックドアを、電子商取引 Web サイト内に隠し持つ戦術である。Sansec の研究者たちによると、その脅威アクターが悪用するのは、Adobe Magento eコマース・プラットフォームに存在する、深刻なコマンド・インジェクションの脆弱性 CVE-2024-20720 (CVSS：9.1) であるという。

QlikView の権限昇格の脆弱性 CVE-2024-29863 が FIX：直ちにアップデートを！

QlikView Patches High Severity Privilege Escalation Vulnerability (CVE-2024-29863)

2024/04/05 SecurityOnline — 人気のビジネス・インテリジェンス・ソフトウェア・ベンダである、Qlik が緊急リリースしたセキュリティ・パッチは、同社の QlikView プラットフォームに存在する深刻な脆弱性 CVE-2024-29863 (CVSS：7.8) に対処するものである。この脆弱性の悪用に成功した攻撃者には、QlikView が稼働している Windows システムの既存のアクセス権限を、管理者レベルまで昇格させる可能性がある。

偽の Adobe Acrobat Reader に注意：PDF から Byakugan マルウェアにつなげる攻撃とは？

From PDFs to Payload: Bogus Adobe Acrobat Reader Installers Distribute Byakugan Malware

2024/04/05 TheHackerNews —Adobe Acrobat Reader 用を装う偽インストーラーが、Byakuganという新たな多機能マルウェアの配布に使用されている。この攻撃の起点となるのは、ポルトガル語で書かれた PDF ファイルであり、それを開くと不鮮明な画像が表示され、コンテンツを閲覧するためには必要だと欺き、Reader アプリケーションをダウンロードするためのリンクを、クリックするよう被害者に要求するという。

Ivanti 製品の脆弱性：中国系のハッカーが新たな TTP を開発している

Chinese Threat Actors Deploy New TTPs to Exploit Ivanti Vulnerabilities

2024/04/05 InfoSecurity — Ivanti の脆弱性を悪用した後に、横方向へと移動する新しいテクニックを、中国の脅威アクターたちが開発していることが、Mandiant の新しい調査により明らかになった。4月4日付けのブログ記事で Mandiant は、中国と関連があると疑われる５つのスパイ・グループの活動について詳述している。Ivanti の Connect Secure／Policy Secure ゲートウェイでは、脆弱性 CVE-2023-46805／CVE-2024-21887／CVE-2024-21893 の悪用が既に発見／報告されているが、この活度は、その後に続くものである。

PostgreSQL pgAdmin の脆弱性 CVE-2024-3116 が FIX：RCE 攻撃の恐れ

CVE-2024-3116: Critical pgAdmin Vulnerability Exposes Databases to Remote Attacks

2024/04/05 SecurityOnline — PostgreSQL データベースの管理のために、世界中で使用されているオープンソース・ツールの pgAdmin に、深刻な脆弱性 CVE-2024-3116 が発見された。この脆弱性の悪用に成功した攻撃者は、pgAdmin を実行しているサーバー上で悪意のコードを実行し、データベース・システム全体を危険にさらす可能性がある。

Ivanti の新たな脆弱性 CVE-2024-21894：日本の存在する危険なインスタンスは 2,000 ？

New Ivanti RCE flaw may impact 16,000 exposed VPN gateways

2024/04/05 BleepingComputer — インターネット上に公開されている Ivanti の Connect Secure／Poly Secure ゲートウェイ約 16,500 台に、リモートコード実行 (RCE) の脆弱性が存在する可能性がある。今週初めにベンダーが対処した、この脆弱性 CVE-2024-21894 は、Ivanti Connect Secure 9.x／22.x の IPSec コンポーネントに存在する、深刻度の高いヒープオーバーフローに起因するものだ。認証されていないユーザーが、特別に細工したリクエストを送信することにより、サービス拒否 (DoS) やリモートコード実行にいたる可能性がある。

YubiKey Manager の脆弱性 CVE-2024-31498 が FIX：管理者権限がブラウザに継承される危険性

YubiKey Manager Flaw (CVE-2024-31498): Patch Now To Prevent Admin Privilege Escalation on Windows

2024/04/04 SecurityOnline — Yubico が公開したのは、GUI ソフトウェア YubiKey Manager に存在する脆弱性に対する、セキュリティ・アドバイザリおよびパッチ (バージョン 1.2.6) である。この脆弱性 CVE-2024-31498 (CVSS：7.7) を、特定の条件下で悪用する攻撃者は、Windowsシステム上で昇格した特権を悪用する可能性を持つ。

Apache CloudStack の脆弱性 CVE-2024-29008 などが FIX：ただちにパッチを！

Apache CloudStack Releases Critical Security Patches – Update Immediately

2024/04/04 SecurityOnline — Apache Software Foundation が発表したのは、人気のクラウド管理プラットフォーム CloudStack 4.18.1.1／4.19.0.1 によりセキュリティ・リリースである。これらのリリースで対処される、３件の脆弱性を悪用する攻撃者は認証を回避し、トラフィックをリダイレクトし、基盤となるインフラの制御を奪う可能性があるという。

サイバー侵害と一般消費者：自分は安全だと信じる 76% の回答者 – Bitdefender 調査

76% of consumers don’t see themselves as cybercrime targets

2024/04/04 HelpNetSecurity — Bitdefender の調査によると、世界中の消費者の 67％が、AI に起因するセキュリティとプライバシーの問題に懸念を抱いている。AI の機械学習アルゴリズムにおいて個人データが使用され、その量が増加しているため、データの保存／使用／アクセスに関する深刻な懸念が提起されている。最も懸念を抱いているのは、スペインの回答者の 80％であり、イタリアが 49％に留まったのとは対照的である。

HTTP/2 で発見された新たな脆弱性：CONTINUATION Flood の仕組みについて解説する

New HTTP/2 Vulnerability Exposes Web Servers to DoS Attacks

2024/04/04 TheHackerNews — HTTP/2 プロトコルの CONTINUATION フレームを悪用することで、サービス拒否 (DoS) 攻撃が可能なことが、新たな研究で判明した。セキュリティ研究者の Bartek Nowotarski により、このテクニックは “HTTP/2 CONTINUATION Flood” というコードネームで呼ばれている。2024年1月25日に彼は、この問題を CERT Coordination Center (CERT/CC) に報告している。

HOYA で発生したサイバー侵害：一部の生産工場と事業部門のサーバがオフラインに

Hoya’s optics production and orders disrupted by cyberattack

2024/04/04 BleepingComputer — 世界最大級の光学製品メーカーである HOYA が発表したのは、3月29日 (土) に発生したシステム障害により、一部の生産工場と事業部門のサーバがオフラインになったことである。同社は、30カ国以上に展開される 160ヶ所の事業所と子会社で 37,000人以上の従業員を擁し、また、世界中に偏在する 43ヶ所の研究所ネットワークを運営している。

Microsoft Outlook のバグが FIX：2023年12月の Patch Tuesday で取り込まれた問題とは？

Microsoft fixes Outlook security alerts bug caused by December updates

2024/04/04 BleepingComputer — Microsoft が修正した問題は、2023年12月の Outlook Desktop のセキュリティ更新プログラムをインストールした後に、.ICS (Internet Calendaring and Scheduling) カレンダー・ファイルを開くと、Outlook のセキュリティ警告が誤って表示されるというものである。これらの誤った警告の背後にあるのは、2023年12月の Patch Tuesday のセキュリティ更新プログラムである。そのときに修正された、Microsoft Outlook の情報漏洩の脆弱性 CVE-2023-35636 は、悪意を持って細工されたファイルを介して、NTLM ハッシュの窃取に悪用されるというものだ。

Apache HTTP サーバの３つの脆弱性が FIX：ただちにパッチを！

Apache HTTP Server Hit by Triple Vulnerabilities – Users Urged to Update

2024/04/04 SecurityOnline — 広く使用されている Apache HTTP Server に、３つの脆弱性が存在することを、セキュリティ研究者たちが発見した。それらの脆弱性 CVE-2023-38709／CVE-2024-27316／CVE-2024-24795 が開く攻撃のドアから、脅威アクターたちが入り込み、Web サイトのコンテンツ改ざんから、サービス拒否 (DoS) シナリオにいたるまでの、攻撃が仕掛けられる恐れがある。

CVE と NVD：脆弱性の正規の情報源は分断されている？

CVE and NVD – A Weak and Fractured Source of Vulnerability Truth

2024/04/03 SecurityWeek — 共通脆弱性識別子 CVE (Common Vulnerabilities and Exposures) のリストと、それに関連する NVD (National Vulnerability Database) だが、脆弱性において一番に信頼すべき情報源とは、もはや考えられなくなっている。現在の CVE システムには改善の余地があり、また、改善すべきものであることを疑う者はいない。米国の DHS (Department of Homeland Security) に支援される、MITRE が管理する CVE リストを、NIST が NVD に統合し、その詳細データを充実させてきた。MITRE が CVE ID の採番や管理を行う一方で、サイバー防衛者たちが脆弱性を評価する上で、拠り所としてきたのが NVD である。

Node.js の脆弱性 CVE-2024-27983／27982 が FIX：クラッシュと HTTP スマグリングの可能性

Node.js Security Update Addresses Server Crash, Request Smuggling Vulnerabilities

2024/04/03 SecurityOnline — Node.js プロジェクトがリリースしたのは、人気の JavaScript 実行環境における、アクティブなリリースライン v18.x／v20.x／v21.x に存在する、２つの脆弱性に対処するための重要なセキュリティ更新プログラムである。１つ目の脆弱性には、Node.js HTTP/2 サーバのクラッシュにいたる可能性があり、２つ目の脆弱性には、HTTPリクエスト・スマグリング攻撃を容易にする可能性がある。

Ivanti に新たな脆弱性 CVE-2024-21894 などが発生：RCE／DoS 攻撃の恐れ

Ivanti fixes VPN gateway vulnerability allowing RCE, DoS attacks

2024/04/03 BleepingComputer — IT セキュリティ・ソフトウェア企業 Ivanti がリリースしたのは、同社の Connect Secure／Policy Secure ゲートウェイに影響を及ぼす、複数のセキュリティ脆弱性を修正するためのパッチである。脆弱性 CVE-2024-21894 の悪用に成功した未認証の脅威アクターは、ユーザーによる操作を必要としない複雑度の低い攻撃で、リモート・コードの実行やサービス拒否状態を、パッチを適用していないアプライアンス上で引き起こす可能性を得る。

Chrome と Pwn2Own：３つ目の深刻な脆弱性 CVE-2024-3159 が FIX：報奨金は $42,500

Google Patches Chrome Flaw That Earned Hackers $42,500 at Pwn2Own

2024/04/03 SecurityWeek — 4月2日 (火) に Google は、2024年3月に開催された Pwn2Own ハッキング・コンテストで証明された、新たなゼロデイ脆弱性を解決する Chrome アップデートを発表した。この、深刻度の高い脆弱性 CVE-2024-3159 は、V8 JavaScript および WebAssembly エンジンに存在する、境界外メモリ・アクセスの問題に起因すると説明されている。

VeridiumID 認証プラットフォームの深刻な脆弱性が FIX：ただちにアップデートを！

Multi Vulnerabilities Discovered in VeridiumID Authentication Platform – Patch Now

2024/04/03 SecurityOnline — 先日の Veridium のセキュリティ・アドバイザリにより明らかになったのは、同社の人気の VeridiumID 認証プラットフォームにおける。一連の深刻な脆弱性の存在である。これらの脆弱性に対してパッチが適用されず、そのまま放置されると、攻撃者による機密ユーザーデータの窃取／ユーザーアカウントの乗っ取り／組織のネットワーク内での悪意のコードの実行などにいたる恐れが生じる。

WordPress LayerSlider Plugin の脆弱性 CVE-2024-2879 が FIX：CVSS 値は 9.8

Critical Security Flaw Found in Popular LayerSlider WordPress Plugin

2024/04/03 TheHackerNews — WordPress の LayerSlider plugin に、致命的なセキュリティ脆弱性 CVE-2024-2879 (CVSS：9.8) が発見された。この脆弱性は SQL インジェクションと分類されており、7.9.11〜7.10.0 までのバージョンに影響を与える。この脆弱性の悪用に成功した攻撃者は、データベースからパスワード・ハッシュなどの機密情報を抜き取る可能性がある。

XZ Utils の脆弱性 CVE-2024-3094：バックドア検出の無料スキャナーを Binarly が開発／提供

Binarly Released The Free Online Scanner To Detect The Cve-2024-3094 Backdoor

2024/04/02 SecurityAffairs — 3月29日に Microsoft のエンジニアである Andres Freund が明らかにしたのは、xz ツールとライブラリの最新バージョンにバックドアが存在するという現実である。この脆弱性は、CVE-2024-3094 (CVSS：10.0) として追跡されている。Red Hat は、Fedora の開発版／実験版が稼働しているシステムを直ちに使用中止するよう、ユーザーに呼びかけている。XZ は、一般的なデータ圧縮フォーマットであり、Linux ディストリビューションにおける、コミュニティ主導型と商用型の大半に実装されている。

VMware SD-WAN の脆弱性 CVE-2024-22246 などが FIX：ただちにアップデートを！

VMware SD-WAN Vulnerabilities Pose Risk to Network Security, Patches Released

2024/04/02 SecurityOnline — VMware がリリースしたのは、SD-WAN (Software-Defined Wide Area Network) ソリューションに存在する、複数の深刻な脆弱性に対処するセキュリティ・パッチである。これらの脆弱性に対するパッチが適用されずに、そのまま放置されると、ネットワーク接続の管理に VMware SD-WAN を利用している組織において、深刻なリスクが生じる恐れがある。

Progress Flowmon の脆弱性 CVE-2024-2389 が FIX：CVSS 値は 10.0

CVE-2024-2389 (CVSS 10): Critical Security Flaw Discovered in Progress Flowmon Network Monitoring Tool

2024/04/02 SecurityOnline — Progress Flowmon に存在する、深刻な脆弱性 CVE-2024-2389 (CVSS：10.0) に対するセキュリティ・パッチがリリースされた。この、広範に利用されている、ネットワーク Monitoring／Security ソリューションの脆弱性が攻撃者に悪用されると、機密性の高いネットワーク・インフラへの不正アクセスが生じる可能性がある。

Apache Pulsar の脆弱性 CVE-2024-29834 が FIX：直ちにアップデートを！

Apache Pulsar Patches Authorization Flaw (CVE-2024-29834) – Update Now to Protect Sensitive Data

2024/04/02 SecurityOnline — OSS メッセージング／ストリーミング・プラットフォームとして人気の Apache Pulsar に存在する、深刻なセキュリティ脆弱性 CVE-2024-29834 にパッチが適用された。この脆弱性の悪用に成功した、権限のない攻撃者は、機密データ・ストリームやシステム・アクセス・ルールなどの変更が可能になるため、組織のデータが危険にさらされる可能性が生じる。

Google が数十億件のデータ破棄に合意：Chrome を介した不誠実な情報収集が結審

Google Agreed To Erase Billions Of Browser Records To Settle A Class Action Lawsuit

2024/04/02 SecurityAffairs — Google は、利用者からの集団訴訟に対して、”Incognito Mode” で収集された数十億件のユーザー閲覧行動などの、データを削除することに合意した。この、法律事務所 Boies Schiller Flexner が 2020年に起こした集団訴訟は、Google が Chrome ユーザーに Incognito Mode ではオンライン活動が追跡されないと欺き、同社がユーザーの知らないうちに、あるいは明示的な同意なしに、ユーザーの閲覧データを収集していたとしている。

XZ Utils for Linux に仕込まれた悪意のコード：RCE を引き起こすという調査結果

Malicious Code in XZ Utils for Linux Systems Enables Remote Code Execution

2024/04/02 TheHackerNews — 主要 Linux ディストリビューションで広範に使用されている、OSS ライブラリ XZ Utils に挿入された悪意のコードは、リモートからのコード実行も可能であることが、新たな分析により明らかになった。脆弱性 CVE-2024-3094 (CVSS：10.0) を悪用する大胆なサプライチェーン侵害は、Microsoft のエンジニアであり、PostgreSQL の開発者でもある Andres Freund が、先週に警告したものである。このデータ圧縮ユーティリティにバックドアが存在するため、リモートの攻撃者がセキュア・シェル認証を回避し、影響を受けたシステムへの完全なアクセスを提供することが明らかになっている。

Octopus Deploy の脆弱性 CVE-2024-2975 が FIX：権限昇格が生じる恐れ

CVE-2024-2975: Octopus Deploy Patches Critical Privilege Escalation Vulnerability

2024/04/01 SecurityOnline — Octopus Deploy がリリースしたのは、深刻な脆弱性 CVE-2024-2975 に対処するための、セキュリティ・アドバイザリとパッチである。この人気のデプロイメント自動化プラットフォームの欠陥により、攻撃者は特定の設定下で権限の昇格が可能となり、影響を受けるシステムを不正に制御される恐れが生じる。