November 21, 2024 – IoT OT Security News

Google は Chrome 事業を売却すべきだ：米司法省が唱える反トラスト訴訟とは？

DOJ Proposes Breaking Up Google: Calls for Sale of Chrome Browser

2024/11/21 HackRead — Google に対する反トラスト訴訟において DOJ は、Chromeブラウザの売却および、検索処理の制限、そして、独占を制限するための事業再編などの、厳しい提案を行っている。米国司法省 (DOJ) は、Google に対する反トラスト訴訟の一環として、同社の事業構造とインターネットにおける役割を完全に変えると思われる、きわめて大きな変革を提案している。

NVIDIA – Base Command Manager の脆弱性 CVE-2024-0138 (CVSS 9.8) が FIX：ただちにパッチを！

NVIDIA Base Command Manager Update Patches CVE-2024-0138 (CVSS 9.8)

2024/11/21 SecurityOnline — NVIDIA が公表したのは Base Command Manager ソフトウェアに対する、重要なセキュリティ・アップデートのリリースに関する情報である。その CMDaemon コンポーネントに存在する、脆弱性 CVE-2024-0138 (CVSS：9.8) の悪用に成功した攻撃者により、コード実行／権限昇格／データ改竄などが引き起こされる可能性がある。

M-Files の脆弱性 CVE-2024-10126／10127 が FIX：ただちにパッチ適用を！

CVE-2024-10126 & CVE-2024-10127: M-Files Addresses File Inclusion and Authentication Bypass Flaws

2024/11/21 SecurityOnline — M-Files に存在する、脆弱性 CVE-2024-10126／CVE-2024-10127 により、機密ファイルの読取および、特定の条件下での認証バイパスの可能性が生じている。この情報管理ソリューションの大手プロバイダーは、セキュリティ・アップデートをリリースし、この２つの脆弱性に対処している。

upKeeper IPA の脆弱性 CVE-2024-9478／9479 が FIX：CVSSv4 値は 10.0

CVE-2024-9478 & CVE-2024-9479: upKeeper IPA Flaws Rated CVSSv4 10 Now Resolved

2024/11/21 SecurityOnline — upKeeper の Instant Privilege Access (IPA) 製品に存在する、２つの重大な脆弱性 CVE-2024-9478／CVE-2024-9479 (CVSSv4：10) が修正された。この特権アクセス管理ソリューションの脆弱性による、システムへの潜在的な影響が示唆される。

Apache NiFi の脆弱性 CVE-2024-52067 が FIX：デバッグ・ログへの機密データ漏洩の恐れ

CVE-2024-52067: Sensitive Data Exposed in Apache NiFi Debug Logs

2024/11/21 SecurityOnline — Apache NiFi で発見された脆弱性 CVE-2024-52067 は、バージョン 1.16.0〜1.28.0／2.0.0-M1〜2.0.0-M4 に影響を与えるものだ。このデータフロー・システムの脆弱性が悪用されると、センシティブなパラメータ値がデバッグ・ログで公開されるという想定外の処理が起こり、機密情報の漏洩へといたる可能性が生じる。

AnyDesk の脆弱性 CVE-2024-52940：パッチ未適用の状態で PoC が公開

CVE-2024-52940: AnyDesk Vulnerability Exposes User IP Addresses, PoC Published

2024/11/21 SecurityOnline — AnyDesk で発見された脆弱性 CVE-2024-52940 は、Windows システム上の Allow Direct Connections 機能の欠陥に起因するものであり、攻撃者に対してユーザー IP アドレスの特定を許し、重大なプライバシー・リスクをもたらす可能性があるものだ。この人気のリモート・デスクトップ・ソフトウェアに存在する脆弱性は、セキュリティ研究者である Ebrahim Shafiei により発見された。

Palo Alto PAN-OS の脆弱性 CVE-2024-0012／9474：2,000 台以上のデバイスが危機に直面

Over 2,000 Palo Alto firewalls hacked using recently patched bugs

2024/11/21 BleepingComputer — Palo Alto Networks のファイアウォールに存在する、２つのゼロデイ脆弱性に対してパッチが適用されたが、すでに数千台のデバイスで侵害が生じていることが判明した。一連の攻撃で悪用されたのは、 PAN-OS の管理 Web インターフェイスに存在する認証バイパスの脆弱性 CVE-2024-0012 と、PAN-OS の特権昇格の脆弱性 CVE-2024-9474 である。この２つの脆弱性を悪用するリモートの攻撃者は、管理者権限の不正な取得と、その権限でのコマンド実行を可能にすることが明らかになっている。