August 13, 2024 – IoT OT Security News

Windows の脆弱性 CVE-2024-38063 (CVSS 9.8) が FIX：IPv6 に影響を及ぼすゼロクリックの RCE

CVE-2024-38063 (CVSS 9.8): 0-Click RCE Affects All Windows Systems

2024/08/13 SecurityOnline — 最新の Patch Tuesday において Microsoft が明らかにしたのは、Windows TCP/IPスタックに深刻な脆弱性が存在するため、緊急の対応が必要であることだ。2024年8月に対処された 88件の脆弱性の中で、CVE-2024-38063 の深刻さは群を抜き、世界中のネットワークに対する潜在的な影響力を示している。

SolarWinds の脆弱性 CVE-2024-28986 (CVSS 9.8) が FIX：CISA KEV 登録

CVE-2024-28986 (CVSS 9.8): SolarWinds Web Help Desk Users Must Patch Now!

2024/08/13 SecurityOnline — SolarWinds が発表したのは、同社の Web Help Desk ソフトウェアに存在する、深刻な脆弱性に関する緊急のセキュリティ・アドバイザリである。この脆弱性 CVE-2024-28986 には Java Deserialization Remote Code Execution の可能性があり、影響を受けるシステム上で権限のないユーザーに対して、任意のコマンド実行を許すことにもなり得る。この脆弱性の CVSS スコアは 9.8 であり、その深刻さから、緊急の改善が必要とされる。

Linux Kernel の脆弱性 CVE-2023-4206／4207／4208：PoC エクスプロイトがリリースされる

Linux Kernel Vulnerabilities Expose Systems to Privilege Escalation: Flaws Detailed and Exploit Code Released

2024/08/13 SecurityOnline — Linux Kernel における３件の脆弱性 CVE-2023-4206／CVE-2023-4207／CVE-2023-4208 に対する、技術的詳細と PoC エクスプロイト・コードが、セキュリティ研究者たちにより公開された。”net/sched” コンポーネント内に存在する、これらの “use-after-free” 脆弱性の悪用に成功した攻撃者は、ローカル権限の昇格を取得する可能性を持ち、影響を受けるシステムの不正な制御にいたる恐れが生じる。これらの脆弱性 CVSS スコアは 7.8 と評価されている。

Windows SmartScreen バイパスの脆弱性 CVE-2024-38213：３月の攻撃でゼロデイとして悪用

New Windows SmartScreen bypass exploited as zero-day since March

2024/08/13 BleepingComputer — 今日になって Microsoft が明らかにしたのは、SmartScreen 保護をバイパスするゼロデイとして攻撃者に悪用された、Mark of the Web セキュリティ・バイパスの脆弱性が、2024日6月の Patch Tuesday で修正されたことだ。Windows 8で導入されたセキュリティ機能 SmartScreen は、Mark of the Web (MotW) ラベルの付いたダウンロード・ファイルを開く際に、悪意の可能性のあるソフトウェアからユーザーを保護するものだ。

Ivanti Nurons for ITSM の脆弱性CVE-2024-7569／CVE-2024-7570 が FIX：ただちにパッチを！

Ivanti Issues Critical Fixes for ITSM Vulnerabilities (CVE-2024-7569 and CVE-2024-7570)

2024/08/13 SecurityOnline — Ivanti の Neurons for IT Service Management (ITSM) プラットフォームに存在する、２件の深刻な脆弱性に対するセキュリティ勧告を発表され、オンプレミス・ユーザーへの早急な対応が促されている。脆弱性 CVE-2024-7569／CVE-2024-7570 は、Ivanti Neurons for ITSM バージョン 2023.4 以下に影響を及ぼすものであり、不正な情報開示から完全なシステム侵害にいたる、潜在的なリスクをもたらす。

ZOOM の脆弱性 CVE-2024-39825／CVE-2024-39818 が FIX：ただちにパッチを！

CVE-2024-39825 and CVE-2024-39818: High-Risk Zoom Flaws Require Urgent Updates

2024/08/13 SecurityOnline — Zoom の Workplace Apps／Rooms Client に存在する、複数の脆弱性に対するセキュリティ情報が公開された。その中で最も深刻なのは、脆弱性 CVE-2024-39825／CVE-2024-39818 であり、いずれの CVSSスコアも 8.5 と評価されている。これらの脆弱性に対してパッチを適用せずに放置した場合には、特権の昇格や情報漏洩につながる恐れが生じる。

Zabbix の RCE 脆弱性 CVE-2024-36461 (CVSS 9.1) などが FIX：ただちにアップデートを！

Zabbix Addresses Multi Vulnerabilities, Including RCE CVE-2024-36461 (CVSS 9.1) Flaw

2024/08/13 SecurityOnline — OSS の監視ソリューションとして広く利用されている Zabbix が、重要な脆弱性に対処した一連のセキュリティ・アップデートをリリースしたが、その中には、CVE-2024-36461 (CVSS：9.1) も含まれる。この脆弱性により、Zabbix 内の単一項目のコンフィグレーション限定的にアクセスできるユーザーであっても、リモート・コード実行を介して監視インフラ全体の制御にいたる可能性が生じる。

暴露された API キーの問題：35％が有効な状態を保持していた – Nightfall 調査

35% of exposed API keys still active, posing major security risks

2024/08/13 HelpNetSecurity — パスワードや API キーなどの機密情報の流出先だが、最も多かったサイトは GitHub のようだ。また、そのペースとしては、従業員 100人あたり毎年 350件近くの暴露にいたっているという。このような実態が、Nightfall AI の調査結果である 2024 State of Secrets Report により明らかにされた。

Ivanti vTM の脆弱性 CVE-2024-7593：PoC エクスプロイトが登場

A PoC exploit code is available for critical Ivanti vTM bug

2024/08/13 SecurityAffairs — Ivanti vTM (Virtual Traffic Manager) アプライアンスに影響を及ぼす、脆弱性 CVE-2024-7593 (CVSS：9.8) が修正された。この脆弱性の悪用に成功した攻撃者は認証バイパスを達成し、不正な管理者アカウントを作成する可能性を手にする。Ivanti vTM は、アプリケーション配信を最適化し、その際の安全性を高めるために設計された、ソフトウェア・ベースのトラフィック管理ソリューションである。

Zabbix の脆弱性 CVE-2024-22116 (CVSS 9.9) が FIX：システムの乗っ取りにいたる恐れ

CVE-2024-22116 (CVSS 9.9): Critical RCE Vulnerability Found in Zabbix Monitoring Solution

2024/08/13 SecurityOnline — エンタープライズ・レベルの IT インフラ監視ソリューションとして広く採用されている、オープンソースの Zabbix が公表したのは、システムの完全な侵害につながる可能性を持つ、深刻なセキュリティ脆弱性に関する情報である。この脆弱性 CVE-2024-22116 (CVSS：9.9) を放置すると、深刻な結果を招く可能性があることを、Zabbix は強調している。

Adobe の 2024年8月アップデート：Acrobat／Illustrator／Photoshop などの脆弱性を修正

Adobe Calls Attention to Massive Batch of Code Execution Flaws

2024/08/13 SecurityWeek — 8月12日に Adobe は、複数の製品に存在する 72件のセキュリティ脆弱性に対する修正プログラムを公開し、コード実行／メモリ・リーク／サービス拒否攻撃の危険に、Windows／macOS ユーザーが直面していると警告した。今月の Adobe Patch Tuesday は、Acrobat／Acrobat Reader／Illustrator／Photoshop／InDesign／Commerce／Dimension などに存在する、深刻なセキュリティ欠陥に対処するものである。それらの脆弱性のうち、最も深刻なものが攻撃者に悪用されると、標的マシンの完全な制御が奪われる可能性があると、Adobe は警告している。

Microsoft 2024-08 月例アップデート：６件のエクスプロイトを含む９件のゼロデイ脆弱性に対応

Microsoft August 2024 Patch Tuesday fixes 9 zero-days, 6 exploited

2024/08/13 BleepingComputer — 今日は Microsoft の August 2024 Patch Tuesday であり、89件の欠脆弱性に対するセキュリティ・アップデートが提供されたが、その中には積極的に悪用されている６件の欠陥と、３件のゼロデイが含まれている。また、Microsoft は、もう１件のゼロデイに対する更新プログラムを作成中だという。今月の Patch Tuesday では、特権の昇格／リモート・コード実行などの、８件の Critical な脆弱性が修正された。