November 25, 2024 – IoT OT Security News

QNAP Notes Station 3 の脆弱性 CVE-2024-38643 などが FIX：直ちにアップデートを！

Critical Vulnerabilities in QNAP Notes Station 3: Update Now to Protect Your Data

2024/11/25 SecurityOnline — QNAP が発表したセキュリティ勧告は、QNAP デバイス上のメモ管理／共有アプリケーションである、Notes Station 3 に存在する複数の脆弱性に関するものだ。修正プログラムの適用を怠った場合には、これらの脆弱性が悪用され、不正アクセス／データ盗難／リモート・コマンド実行などの危険に、システムがさらされる可能性が長じる。

Keycloak のセキュリティ・アップデート：DDoS 脆弱性 CVE-2024-10270 などに対処

Keycloak Patches Multiple Vulnerabilities in Latest Update

2024/11/25 SecurityOnline — Keycloak がリリースしたのは、複数の脆弱性に対処するためのセキュリティ・アップデートである。それらが放置されると、このオープンソースの ID／アクセス管理プラットフォームにおいて、サービス拒否攻撃／情報漏えい／認証バイパスなどが生じる可能性がある。

Palo Alto GlobalProtect App の脆弱性 CVE-2024-5921 が FIX：PoC も公開

Palo Alto Networks Warns of GlobalProtect App Flaw with Public Exploit Code (CVE-2024-5921)

2024/11/25 SecurityOnline — Palo Alto Networks が公開したのは、GlobalProtect App の脆弱性 CVE-2024-5921 に関するセキュリティ勧告である。この脆弱性の悪用に成功した攻撃者は、エンドポイントに悪意のソフトウェアをインストールする可能性を得る。この脆弱性 CVE-2024-5921 は、不十分な証明書の検証に起因するものであり、任意のサーバへの GlobalProtect App の接続を、攻撃者に許す可能性も生じるという。それにより攻撃者は、エンドポイントに悪意のルート証明書をインストールし、その証明書で署名された悪意のソフトウェアのインストールを可能にする。

PHP の脆弱性 CVE-2024-8929 などが FIX：PoC も提供されている

PHP Patches Multi Flaws, Including CVE-2024-8932 (CVSS 9.8), Urges Immediate Update

2024/11/25 SecurityOnline — PHP 開発チームがリリースしたのは、バージョン 8.1.31／8.2.26／8.3.14 未満に影響を及ぼす、複数の脆弱性に対処するための緊急セキュリティ・アップデートである。これらの脆弱性の深刻度は多様であり、また、機密情報の漏洩／任意のコード実行／サービス拒否攻撃などを、攻撃者に許すという可能性が生じる。

QNAP QuRouter の脆弱性 CVE-2024-48860 (CVSS：9.5) が FIX：直ちにアップデートを！

CVE-2024-48860 (CVSS 9.5): Critical Flaw in QNAP QuRouter, Immediate Update Recommended

2024/11/25 SecurityOnline — QNAP の発表したセキュリティ勧告は、QuRouter ネットワーク・アプライアンスを使用しているユーザーに対して、速やかなデバイスの更新を強く推奨するものである。この勧告で報告された脆弱性は、CVE-2024-48860 (CVSS：9.5) ／CVE-2024-48861 (CVSS：7.3) であり、その悪用に成功したリモート攻撃者に対して、デバイス上での任意のコマンド実行を許すという。QNAP が警告するのは、このコマンド・インジェクションの脆弱性を悪用するリモート攻撃者が、任意のコマンド実行を達成することへの懸念である。

PyPI の “aiocpa” は悪意のライブラリ：Telegram Bot で Crypto Keys を盗み出す手口とは？

PyPI Python Library “aiocpa” Found Exfiltrating Crypto Keys via Telegram Bot

2024/11/25 TheHackerNews — Python Package Index (PyPI) リポジトリの管理者が隔離したのは、Telegram 経由で秘密鍵を盗み出すための悪意のコードを埋め込んだ、“aiocpa” パッケージのアップデート版である。この問題のパッケージは、Crypto Pay API の同期／非同期クライアントとして説明されている。2024年9月にリリースされた “aiocpa” パッケージは、現在までに 12,100 回もダウンロードされている。今回の Python ライブラリの隔離により、クライアントにおけるインストールが防止され、メンテナーによる変更もできなくなった。