Microsoft Admits Security Failings Allowed China to Access US Government Emails
2024/06/14 InfoSecurity — 2023年の夏に中国に支援されるハッカーが、米国政府高官の電子メールにアクセスしたインシデントについて、Microsoft の Brad Smith 社長はセキュリティ上の失策を認めた。2024年6月13日に開催された、米下院の国土安全保障委員会のメンバーへの証言で、Cyber Safety Review Board (CSRB) の報告書に記載された全ての問題に対して、Microsoft は “躊躇することなく” 責任を負うと、Smith 社長は述べている。
Continue reading “Microsoft が認めたセキュリティ施策の失敗：米政府委員会での Brad Smith 証言”CVE-2024-3105 (CVSS 9.9) in Woody Code Snippets Plugin Threatens 70,000+ WordPress Sites
2024/06/14 SecurityOnline — WordPress のプラグイン Woody Code Snippets に、深刻な脆弱性 CVE-2024-3105 (CVSS：9.9) が発見された。 この脆弱性の悪用に成功した、コントリビューター (寄稿者) 以上のアクセス権を持つ認証されたユーザーは、対象となるサーバ上で任意のコード実行を可能にし、このプラグインを使用している Web サイトに深刻なリスクをもたらす。
Continue reading “WordPress Woody Code の脆弱性 CVE-2024-3105 が FIX：７万以上の Webサイトに影響？”Google’s Privacy Sandbox Accused of User Tracking by Austrian Non-Profit
2024/06/14 TheHackerNews — Google Chrome の Privacy Sandbox において、サードパーティのトラッキング・クッキーを非推奨にする計画だが、新たな問題にぶつかっている。この機能は、依然としてユーザー追跡のために使用できると、オーストリアのプライバシー非営利団体 noyb (none of your business) が指摘しているのだ。
Continue reading “Google の Privacy Sandbox：欧州の非営利団体 noyb から痛烈に批判される”CVE-2024-26229: Windows Elevation of Privilege Flaw Weaponized, PoC Exploit on GitHub
2024/06/14 SecurityOnline — Microsoft Windows において、先日にパッチ適用された深刻度の高い脆弱性 CVE-2024-26229 を狙う PoC エクスプロイト・コードが GitHub で公開され、セキュリティ研究者たち警鐘を鳴らしている。この脆弱性の悪用に成功した攻撃者は、Windows 上で最高レベルのアクセス権である SYSTEM 権限を得ることが可能となる。この脆弱性はヒープバッファ・オーバーフロー (CWE-122) に分類され、深刻なセキュリティ侵害につながる可能性があるものだ。
Continue reading “Windows の特権昇格の脆弱性 CVE-2024-26229：PoC エクスプロイトが公開”YetiHunter: Open-source threat hunting tool for Snowflake environments
2024/06/14 HelpNetSecurity — Snowflake 環境における侵害の証拠を照会するために、ユーザー企業が利用できる脅威検出／ハンティング・ツール YetiHunter を、クラウド ID 保護企業の Permiso が作成した。クラウド・ベースのデータ・ストレージと分析の企業である Snowflake が、先日に発表したのは、攻撃者に侵害された認証情報が悪用され、同社の一部顧客のアカウントへの不正アクセスが発生していることだ。
Continue reading “Snowflake 侵害をトリアージ：YetiHunter という OSS ハンティング・ツールが登場”Microsoft delays Windows Recall rollout, more security testing needed
2024/06/14 HelpNetSecurity — Windows 11 の機能として物議を醸している Recall のリリースを、Microsoft は延期している。Microsoft の Copilot+ PC がリリースされる予定の 6月18日から、Recall のプレビューは広く利用できるはずだった。しかし、現時点においては、Windows Insider Program (WIP) の参加者のみによる利用が、今後の数週間のうちに開始される計画に変更されている。
Continue reading “Windows Recall は一時停止：内部告発ダメージを回避する Microsoft の選択とは？”CISA Adds Android Pixel, Microsoft Windows, Progress Telerik Report Server Bugs To KEV Catalog
2024/06/14 SecurityAffairs — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、その KEV (Known Exploited Vulnerabilities) カタログに、以下の脆弱性を追加した：
PoC Exploit Emerges for Critical RCE Bug in Ivanti Endpoint Manager
2024/06/14 DarkReading — 先日に公開された、Ivanti Endpoint Manager の深刻な脆弱性に対して、研究者たちが PoC エクスプロイトを提供している。独立系の研究者により発見された、SQL インジェクションの脆弱性 CVE-2024-29824 は、Trend Micro – Zero Dayた Initiative (ZDI) 手渡され、その後の 4月3日の時点で、ZDI から Ivanti に通知が行われ。
Continue reading “Ivanti Endpoint Manager の深刻な脆弱性 CVE-2024-29824 が FIX：PoC も提供”
IoT OT Security News 