Security Flaws in Popular ML Toolkits Enable Server Hijacks, Privilege Escalation
20224/11/11 TheHackerNews — 機械学習 (ML) に関連する、15種類のオープンソース・プロジェクトにまたがる、およそ 20件のセキュリティ脆弱性が発見された。ソフトウェア・サプライチェーン・セキュリティ企業の JFrog は、先週に発表した分析の結果において、サーバ側／クライアント側で新たな脆弱性が発見されたと述べている。
Continue reading “ML Toolkit 群で発見された複数の脆弱性：サーバ乗っ取りや特権昇格にいたる恐れ”Dell Enterprise SONIC OS Patches Critical Security Vulnerabilities
2024/11/11 SecurityOnline — Dell Enterprise SONIC OS における３件の脆弱性に対処するための、セキュリティ・アップデートがリリースされた。これらの脆弱性が悪用されると、影響を受けるシステムが侵害される可能性がある。Dell Enterprise SONIC OS バージョン 4.1.x／4.2.x に影響を与える、３件の脆弱性 CVE-2024-45763／CVE-2024-45764／CVE-2024-45765 は、QI-ANXIN Group の Legendsec TIANGONG チームにより発見されたものだ。
Continue reading “Dell Enterprise SONIC OS の脆弱性 CVE-2024-45763／45764／45765 が FIX：CVSS 値は 9.1”JavaScript Drive-By Attacks: New Exploits without 0-Day in Google Chrome
2024/11/11 SecurityOnline — Chrome のゼロデイ脆弱性を悪用を必要とせずに、ユーザーを攻撃する新たな手法が、Imperva Threat Research のセキュリティ研究者である Ron Masas により発見された。この手法は、ユーザーが許可した場合に、Web サイトがローカル・ファイルの読み書きを可能にする、File System Access API を悪用するものだ。この API は Windows／macOS のセキュリティ機構をバイパスするため、不正なコード実行の防止において OS の Gatekeeper 機能を用いる macOS ユーザーにとって、深刻な懸念事項となると Ron Masas は指摘している。
Continue reading “JavaScript Drive-By Attacks：Chrome の脆弱性に依存しない新種の PoC エクスプロイト”2024/11/11 SecurityOnline — 広範に利用される PostScript／PDF ファイルのインタープリター Ghostscript に存在する、６件の脆弱性に対応する重大なセキュリティ・アップデートがリリースされたが、その中には、リモート・コード実行の可能性に至るものも含まれるという。それらの、一連のセキュリティ脆弱性は、Ghostscript の最新リリースであるバージョン 10.04.0 で修正されている。
Continue reading “Ghostscript の６件の脆弱性が FIX：直ちにアップデートを！”Unpatched Epson Devices at Risk: CVE-2024-47295 Allows Easy Hijacking
2024/11/11 SecurityOnline — EPSON 製品群に影響を及ぼす、新たな脆弱性 CVE-2024-47295 (CVSS：8.1) を悪用する攻撃者により、管理特権を持つデバイスが制御される可能性が生じている。この問題は、ネットワーク接続されたプリンターやスキャナーなどのデバイスの、コンフィグレーションを管理する Web Config ソフトウェアの、安全が確保されないイニシャル・パスワード設定に起因している。
Continue reading “EPSON 製デバイスの脆弱性 CVE-2024-47295 (CVSS：8.1) が FIX：乗っ取りの恐れ”Microsoft Visio Files Used in Sophisticated Phishing Attacks
2024/11/11 InfoSecurity — Microsoft Visio ファイルを悪用する、二段階のフィッシング攻撃の急増を、セキュリティ研究者たちが確認した。この攻撃が示すのは、フィッシング戦術の高度な進化である。Perception Point により発見された、この新しい攻撃では、ビジネス・ダイアグラムで多用されるファイル・タイプである、Visio の “.vsdx” 形式を介して 悪意の URL を偽装し、従来のセキュリティ・スキャンを回避するものだ。
Continue reading “Microsoft Visio でフィッシング攻撃：巧妙な手口でセキュリティ対策を回避していく”Tor Network Thwarts IP Spoofing Attack
2024/11/11 SecurityOnline — Tor ネットワークを標的とする協調攻撃が、Tor コミュニティとセキュリティ研究者たちの迅速な対応により無力化された。2024年10月下旬に Tor プロジェクトは、ディレクトリ管理者とリレー・オペレーターに向けられた、不正使用の苦情の波に直面していた。これらの苦情は、Tor リレーの IP アドレスを偽装する攻撃者が、ポート・スキャンの発信元であるかのように装うという、高度な IP スプーフィング攻撃に起因していた。
Continue reading “Tor Network への IP Spoofing：コミュニティの協力により攻撃元をシャットダウン”
IoT OT Security News 