November 19, 2024 – IoT OT Security News

Atlassian Sourcetree の脆弱性 CVE-2024-21697 (CVSS：8.8) が FIX：RCE の可能性

CVE-2024-21697: High Severity Flaw in Sourcetree Enables Remote Code Execution

2024/11/19 SecurityOnline — Atlassian が発行したのは、Mac／ Windows 向けの Sourcetree に存在する、深刻なリモート・コード実行 (RCE) の脆弱性 CVE-2024-21697 (CVSS：8.8) に関するセキュリティ・アドバイザリである。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステムの制御を、完全に奪う可能性を手にする。世界中の何百万人もの開発者に利用される、無料の Git GUI クライアント Sourcetree は、ユーザー・フレンドリな GUI でバージョン管理を簡素化するものだ。

Google Chrome 131 の脆弱性 CVE-2024-11395 が FIX：ただちにアップデートを！

Google Chrome Patches High-Severity Flaw CVE-2024-11395 in Latest Stable Release

2024/11/19 SecurityOnline — Google がリリースした、デスクトップ向け Chrome ブラウザの最新 Stable バージョンは、３件のセキュリティ脆弱性に対処するものだ。そのうちの１件は、High の評価を受けている。今回のアップデートは、Windows／Mac 向けのバージョン 131.0.6778.85/.86 と、Linux 向けのバージョン 131.0.6778.85 であり、今後の数日から数週間かけてユーザーに公開されていく。

Palo Alto の脆弱性 CVE-2024-0012／9474：技術的な詳細と PoC エクスプロイトの提供

Analysis & PoC Exploits Released for Palo Alto Zero-Days – CVE-2024-0012 and CVE-2024-9474

2024/11/19 SecurityOnline — 最近の大きな話題である、Palo Alto Networks の Next-Generation Firewalls (NGFW) に影響を及ぼす、２件のゼロデイ脆弱性の技術的な詳細が、watchTowr のセキュリティ研究者である Sonny により明らかにされた。この CVE-2024-0012／CVE-2024-9474 については、米国の CISA などのサイバー・セキュリティ機関も注目している。CISA では、この２つの脆弱性を KEV カタログに追加し、連邦政府機関に対しては、12月9日までにパッチを適用するよう指示している。

Cobbler の脆弱性 CVE-2024-47533 が FIX：Linux の制御を奪う PoC も登場

CVE-2024-47533 (CVSS 9.8): Cobbler Vulnerability Exposes Linux Servers to Compromise

2024/11/19 SecurityOnline — ネットワーク・ベースの導入に多用される、Linux インストール・サーバ Cobbler に、深刻な脆弱性が発見された。この脆弱性 CVE-2024-47533 (CVSS：9.8) の悪用に成功した、権限を持たない攻撃者は、Cobbler サーバの制御を完全に奪う可能性を手にする。

Wget の脆弱性 CVE-2024-10524 が FIX：短縮 URL による SSRF 攻撃の可能性

Wget Vulnerability (CVE-2024-10524) Opens Door to SSRF Attacks

2024/11/19 SecurityOnline — Wget に存在する脆弱性 CVE-2024-10524 を悪用する攻撃者は、内部サーバまたは制限されたサーバへ向けて、想定外のリクエスト送信を可能にする。インターネットからファイルをダウンロードするために広く使用される、このコマンド・ライン・ツールの脆弱性は、JFrog のセキュリティ研究者 Goni Golan により報告されたものだ。

CISA KEV 警告 24/11/18：Progress Kemp LoadMaster の脆弱性を登録

CISA tags Progress Kemp LoadMaster flaw as exploited in attacks

2024/11/19 BleepingComputer — 米国の Cybersecurity & Infrastructure Security Agency (CISA) が、KEV カタログに３件の脆弱性を追加したが、その中には、Progress Kemp LoadMaster に影響を及ぼす深刻なな OS コマンド・インジェクションの脆弱性も含まれる。Rhino Security Labs により発見された、この脆弱性 CVE-2024-1212 は、2024年2月21日にリリースされたアップデートにより対処されれている。そして、今回の KEV 登録が、実際の悪用を示す、初めての報告となる。

Apache OFBiz の脆弱性 CVE-2024-47208／48962 が FIX：RCE などの恐れ

CVE-2024-47208 & CVE-2024-48962: Apache OFBiz Exposed to Remote Code Execution

2024/11/19 SecurityOnline — Apache Software Foundation が公表したのは、Apache OFBiz に存在する２つの深刻な脆弱性 CVE-2024-47208／ CVE-2024-48962 に対する、セキュリティ・アップデートをリリースである。この人気の OSS ビジネスアプリケーション・スイート Apache OFBiz の、脆弱性の悪用に成功した攻撃者は、任意のコード実行を達成し、機密データやビジネス・オペレーションを危険にさらす可能性を手にする。

Apple 製品群の脆弱性 CVE-2024-44308／44309 が FIX：悪用を観測

CVE-2024-44308 and CVE-2024-44309: Apple Addresses Zero-Day Vulnerabilities

2024/11/19 SecurityOnline — Apple が公表したのは、同社の製品に存在する、２件の深刻なゼロデイ脆弱性 CVE-2024-44308／CVE-2024-44309 に関する情報である。この脆弱性が悪用されると、何百万台もの iPhone／iPad／Mac に加えて、最先端の Vision Pro ヘッドセットが攻撃にさらされる可能性があるという。したがって、Apple ユーザーに対して強く推奨されるのは、各デバイスの速やかな更新となる。

Oracle Agile PLM の脆弱性 CVE-2024-21287 が FIX：悪用も確認されている

Oracle warns of Agile PLM file disclosure flaw exploited in attacks

2024/11/19 BleepingComputer — Oracle Agile Product Lifecycle Management (PLM) に存在する、認証を必要としないファイル開示の脆弱性 CVE-2024-21287 が修正された。このゼロデイ脆弱性は、ファイルを不正にダウンロードするために、積極的に悪用されていた。Oracle Agile PLM は、企業のグローバル・チーム間において、製品データ／プロセス／コラボレーションを管理するためのソフトウェア・プラットフォームである。

CISA 長官 Jen Easterly の退任：トランプ新政権による人事の刷新

CISA Director Jen Easterly to Step Down

2024/11/19 SecurityWeek — 11月19日 (火) に米国の CISA が発表したのは、2025年1月20日付けで Jen Easterly 長官と Nitin Natarajan 副長官が退任し、新政権によるリーダーシップ刷新への道を開くことである。CISA の広報担当者は、「トランプ新大統領が 1月20日正午に就任までに、バイデン・ハリス政権が任命した、すべての幹部は退任し、新たな体制への移行に、CISA は全力で取り組んでいく」と、SecurityWeek に対して、

D-Link VPN ルーターの深刻な脆弱性 CVE-N/A：EOL 製品へのサポートは行われない

D-Link urges users to retire VPN routers impacted by unfixed RCE flaw

2024/11/19 BleepingComputer — D-Link が公表したのは、認証を必要としない深刻なリモート・コード実行の脆弱性が発見されたという情報だ。その対象となるデバイスは、サポートが終了した VPN ルーター・モデルであるため、脆弱性が修正されることはない。したがって、顧客に対する警告は、デバイスの交換を促すものとなる。この欠陥は、セキュリティ研究者 delsploit により発見され、D-Link に報告されたが、大規模な悪用試行の誘発を抑制するために、技術的な詳細は公開されていない。

Helldown ランサムウェアの調査：Zyxel VPN の脆弱性 CVE-2024-42057 を悪用か？

Helldown ransomware exploits Zyxel VPN flaw to breach networks

2024/11/19 BleepingComputer — Helldown という新たなランサムウェア攻撃により、Zyxel ファイアウォールの脆弱性が狙われ、企業ネットワークへの侵入／データの窃取／デバイスの暗号化などが発生しているようだ。フランスのサイバー・セキュリティ企業 Sekoia は、最近の Helldown 攻撃の観察に基づき、中程度の確信を持って報告している。