CVE-2024-9164 (CVSS 9.6): GitLab Users Urged to Update Now
2024/10/09 SecurityOnline — 10月9日に GitLab がリリースした、 Community Edition(CE)／Enterprise Edition(EE) のバージョン 17.4.2／17.3.5／17.2.9 は、いくつかのセキュリティ・アップデートを取り込んだものである。これらのアップデートは、８件の脆弱性に対処するものだが、その中には、深刻度 Critical と評価される、脆弱性 CVE-2024-9164 も含まれている。この脆弱性の悪用に成功した攻撃者は、任意のブランチでパイプラインを実行する可能性を得るため、影響を受けるインスタンスに重大なセキュリティ・リスクが生じる。
Continue reading “GitLab CE/EE の脆弱性 CVE-2024-9164 などが FIX：直ちにアップデートを！”2024/10/09 SecurityOnline — Palo Alto Networks の GlobalProtect MSI インストーラーに存在する、深刻なローカル権限昇格の脆弱性 CVE-2024-9473 が、SEC Consult Vulnerability Lab の Michael Baer により発見された。この脆弱性の悪用に成功した低権限のローカル攻撃者は、影響を受けるマシン上でシステム・レベルのアクセス権を取得するため、重大なセキュリティ・リスクが生じることになる。
Continue reading “Palo Alto GlobalProtect の脆弱性 CVE-2024-9473 が FIX：システム権限への不正な昇格”CVE-2024-45720: Code Execution Flaw Discovered in Apache Subversion for Windows
2024/10/09 SecurityOnline — Apache Subversion (SVN) に存在する、深刻なセキュリティ脆弱性 CVE-2024-45720 (CVSS：8.2) が発見された。SVN は人気のバージョン・コントロール・システムであり、ソース・コード／Web ページ／ドキュメントの管理において、開発者に広く利用されている。この脆弱性が影響を及ぼすのは Windows プラットフォームであり、コマンド・ライン引数での悪意の挿入により、意図しないプログラムの実行につながる可能性があるという。
Continue reading “Apache Subversion の脆弱性 CVE-2024-45720 が FIX：Windows で問題が発生する理由とは？”Exploiting Livewire: CVE-2024-47823 Puts Laravel Apps at Risk
2024/10/09 SecurityOnline — Laravel のフルスタック・フレームワークである Livewire は、動的な UI コンポーネントを PHP を離れることなく構築することで人気を博しているが、新たに脆弱性 CVE-2024-47823 (CVSS：7.7) の存在が判明している。この脆弱性の悪用に成功した攻撃者は、ファイルのアップロードを介することで、影響を受けるシステム上でリモート・コード実行 (RCE) を達成できる。Laravel とシームレスに統合される Livewire は、動的なユーザー・インターフェイスの開発を簡素化するものだ。ただし、この利便性と引き換えに、Livewire のバージョイン v3.5.2 未満では、ファイルのアップロード処理に起因する問題により、深刻な懸念が引き起こされている。
Continue reading “Laravel アプリのリスク：Livewire の REC 脆弱性 CVE-2024-47823 と PoC”CISA Adds Three Actively Exploited Security Vulnerabilities to KEV Catalog, Urges Urgent Patching
2024/10/09 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、現実の悪用が報告されている３件の脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに登録した。これらの脆弱性を持つ製品を使用している組織には、緊急のパッチ適用によるシステム保護の必要があると示されている。CISA によると、影響を受けるプラットフォームには、エンタープライズ環境で広く使用されている Fortinet と Ivanti の製品が含まれるという。
Continue reading “CISA KEV 警告 24/10/09：Fortinet と Ivanti の脆弱性３件を登録”Palo Alto Networks warns of firewall hijack bugs with public exploit
2024/10/09 BleepingComputer — 10月9日に Palo Alto Networks は顧客に対して、PAN-OS ファイアウォールの乗っ取りの可能性がある脆弱性に対して、パッチを提供した (PoC もリリース)。この脆弱性は、Checkpoint／Cisco などのベンダーから、コンフィグレーションを移行する際に有益な、Palo Alto Networks の Expedition ソリューションで発見された。これらの脆弱性の悪用に成功した攻撃者は、ユーザー認証情報などの機密データへのアクセスを達成し、ファイアウォール管理者アカウントの乗っ取りへといたる可能性が生じる。
Continue reading “Palo Alto Networks の複数の脆弱性が FIX：組み合わせによる悪用を証明する PoC”Mozilla fixes Firefox zero-day actively exploited in attacks
2024/10/09 BleepingComputer — Mozilla が公表したのは、現時点で攻撃に悪用されている、Firefox の深刻な use-after-free の脆弱性に対処するための、緊急セキュリティ・アップデートのリリースである。この脆弱性 CVE-2024-9680 は、Animations タイムラインにおける use-after-free に起因するものであり、ESET の研究者 Damien Schaeffer により発見されている。このタイプの欠陥は、解放されたメモリがプログラムにより使用される前に発生し、メモリ領域への悪意のデータの注入とコード実行を、攻撃者に許すものである。
Continue reading “Mozilla Firefox ゼロデイ脆弱性 CVE-2024-9680 が FIX：積極的な悪用を観測”2024/10/09 SecurityOnline — 宇宙航空研究開発機構 (JAXA) が明らかにしたのは、巧妙なサイバー攻撃を受け、山川宏理事長や４人の理事を含む、上級役員のアカウントが乗っ取られたことだ。2023年6月以降に同機関は、４回に及ぶ広範なサイバー攻撃を受けているが、その一部として今回の侵害があると、朝日新聞の英字版は報じている。
Continue reading “JAXA のデータ侵害：宇宙および防衛に関する機密データが流出”U.S. CISA adds Windows and Qualcomm bugs to its Known Exploited Vulnerabilities catalog
2024/10/09 SecurityAffairs — 米国 CISA (Cybersecurity and Infrastructure Security Agency) は、以下の３件の脆弱性を KEV (Known Exploited Vulnerabilities) カタログに追加した：
IoT OT Security News 