TeamCity Flaw Leads to Surge in Ransomware, Cryptomining, and RAT Attacks 2024/03/20 TheHackerNews — 先日に公開された JetBrains TeamCity の脆弱性を悪用する複数の脅威アクターが、ランサムウェア／暗号通貨マイナー／Cobalt Strike ビーコンや、Spark RATと呼ばれる Golang ベースの RAT などを展開している。この攻撃は、脆弱性 CVE-2024-27198 (CVSS：9.8) を悪用するものであり、敵対者は認証手段を回避し、影響を受けたサーバの管理者権限を取得する可能性を持つ。
BianLian Threat Actors Exploiting JetBrains TeamCity Flaws in Ransomware Attacks 2024/03/11 TheHackerNews — BianLian ランサムウェアを操る脅威アクターが、JetBrains TeamCity セキュリティ欠陥を悪用して、恐喝のみを目的とした攻撃を行っていることが確認されている。最近の侵入インシデントを調査した GuidePoint Security のレポートによると、このインシデントは、TeamCity サーバーの悪用から始まり、最終的には BianLian の Go バックドアの PowerShell 実装が展開されという。
Critical TeamCity flaw now widely exploited to create admin accounts 2024/03/06 BleepingComputer — JetBrains が 3月4日のアップデートで対処した、TeamCity On-Premises の深刻な認証バイパス脆弱性 CVE-2024-27198 が、ハッカーたちに悪用され始めた。パッチの適用されていない TeamCity のインスタンスが、一般の Web 上に公開され、数百人の新規ユーザーが作成されるといった悪用が、大規模に展開されているという。
Exploit available for new critical TeamCity auth bypass bug, patch now 2024/03/04 BleepingComputer — JetBrains が提供する CI/CD ソリューション TeamCity On-Premises には、リモートの認証されていない攻撃者 に対して、管理者権限によるサーバの制御を許してしまう、致命的な脆弱性 CVE-2024-27198 が存在する。また、すでにエクスプロイトを作成するための、完全な技術的詳細も公開されている。したがって、管理者に強く推奨されるのは、同製品の最新バージョンへの更新または、ベンダーからのセキュリティ・パッチ・プラグインのインストールにより、この問題に優先的に対処することである。
Critical vulnerabilities in TeamCity JetBrains fixed, release of technical details imminent, patch quickly! (CVE-2024-27198, CVE-2024-27199) 2024/03/04 HelpNetSecurity — JetBrains が公表したのは、TeamCity On-Premises に存在する２つの深刻なセキュリティ脆弱性 CVE-2024-27198／CVE-2024-27199 の修正である。今日、JetBrains は、「この脆弱性を最初に特定した Rapid7 は、当社に報告してくれたが、独自の開示ポリシーを厳守することを選択した。つまり、同社のチームは、この通知から 24時間以内に、脆弱性の技術的な詳細とレプリケーション手順を公開する予定である」と述べている。
JetBrains warns of new TeamCity auth bypass vulnerability 2024/02/06 BleepingComputer — 2月6日に JetBrains が公表したアドバイザリは、TeamCity On-Premises サーバに存在する、深刻な認証バイパスの脆弱性に関するものである。管理者の権限を不正に取得した攻撃者により、脆弱なインスタンスが乗っ取られる可能性があるとして、同社はパッチを適用するようユーザーに促している。
Russian hackers target unpatched JetBrains TeamCity servers 2023/12/14 HelpNetSecurity — 米国／英国／ポーランドのサイバー・セキュリティ機関と法執行当局の警告によると、2023年9月以降においてロシア政府に支援されたハッカー集団が、JetBrains TeamCity の脆弱性 CVE-2023-42793 を悪用しているとのことだ。この攻撃では、インターネットに露出した、パッチ未適用の JetBrains Team Cityサーバが標的にされているという。ロシアの APT29 (別名 CozyBear／Midnight Blizzard) は、ロシア対外情報庁 (SVR) に関連していると考えられ、2013年から活動しているグループである。
North Korean hackers exploit critical TeamCity flaw to breach networks 2023/10/18 BleepingComputer — 北朝鮮のハッキンググループ Lazarus と Andariel が、TeamCity サーバの脆弱性 CVE-2023-42793 を悪用してバックドア型マルウェアを展開し、ソフトウェア・サプライチェーン攻撃を行っているようだと、Microsoft が述べている。TeamCity は、組織がソフトウェア開発インフラの一部として使用する CI/CD (continuous integration and continuous deployment) サーバである。2023年9月に TeamCity は、脆弱性 CVE-2023-42793 (CVSS：9.8/10) を修正し、未認証の攻撃者によるリモートコード実行に対処した。こうして、TeamCity による修正は完了したが、その一方では、ランサムウェア集団などの脅威アクターが、企業ネットワークに侵入するために、この欠陥を悪用し始めている。
CISA Adds JetBrains TeamCity And Windows Flaws To Its Known Exploited Vulnerabilities Catalog 2023/10/05 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、JetBrains TeamCity に存在する脆弱性 CVE-2023-42793 (CVSS : 9.8) と、Windows の脆弱性 CVE-2023-28229 (CVSS : 7.0) を、KEV (Known Exploited Vulnerabilities Catalog) に追加した。
Ransomware gangs now exploiting critical TeamCity RCE flaw 2023/10/02 BleepingComputer — JetBrains の TeamCity の CI/CD (continuous integration and continuous deployment) サーバに存在する深刻な脆弱性を、ランサムウェア・ギャングたちが標的にしはじめた。この脆弱性 CVE-2023-42793 (CVSS : 9.8) は、ユーザーとの対話を必要としない複雑度の低い攻撃を可能にする。したがって、認証バイパスに成功した未認証の攻撃者により、リモートからのコードを実行 (RCE) が引き起こされる。この脆弱性を発見／報告したのは、スイスのセキュリティ企業 Sonar である。そして、9月21日に JetBrains が、TeamCity 2023.05.4 をリリースし、この深刻な脆弱性に対処した１週間後に、Sonar による技術的な詳細が発表された。
In-the-Wild Exploitation Expected for Critical TeamCity Flaw Allowing Server Takeover 2023/09/25 SecurityWeek — TeamCity CI/CD サーバに存在する致命的な脆弱性により、未認証でのリモートからの悪用／任意のコード実行／脆弱なサーバの不正制御などが発生する可能性があるという。JetBrains が開発した TeamCity は、ビルド管理および継続的インテグレーションのための汎用プラットフォームであり、オンプレミス／クラウドの双方で利用が可能である。先日に確認された深刻な認証バイパスの脆弱性 CVE-2023-42793 (CVSS：9.8) は、オンプレミス版の TeamCity に影響を及ぼすと説明されている。
GitHub Developers Hit in Complex Supply Chain Cyberattack 2024/03/25 DarkReading — 正体不明の脅威グループが、Top.gg の GitHub のメンバーや開発者たちに対して高度なサプライチェーン攻撃を展開し、このコード・エコシステムに悪意のコードを注入していることが明らかになった。攻撃者は、信頼されているソフトウェア開発要素に侵入することで、開発者たちを侵害していく。彼らは、盗んだクッキーで GitHub アカウントを乗っ取り、検証済みのコミットを通じて悪意のコードを投稿し、偽の Python ミラーを確立し、PyPI レジストリに汚染されたパッケージを公開する。
CVE-2024-29190: SSRF Vulnerability Found in Popular Mobile App Testing Tool, MobSF 2024/03/24 SecurityOnline — Mobile Security Framework (MobSF) に存在する深刻な脆弱性が、. セキュリティ研究者たちにより発見された。この MobSF は、Android／iOS／Windows Mobile アプリケのセキュリティを、分析／テストするためのオープンソースツールであり、広く利用されている。
JFrog Artifactory Vulnerabilities: Patch Now to Protect Your Software Supply Chain 2023/03/07 SecurityOnline — 数多くの開発チームが重要とするツール JFrog Artifactory に、いくつかのセキュリティ脆弱性が存在することが、最近になって判明した。これらの欠陥の深刻度は様々であり、それぞれのソフトウェア開発パイプラインを危険にさらす可能性がある。このリスクを理解し、システムを保護するためには、迅速な行動が重要となる。
2024-06 2024-06-26：CVE-2024-28999：SolarWinds Platform 2024.1 SR1 – Race Condition 2024-06-14：N/A：Zyxel IKE Packet Decoder – Unauthenticated Remote Code Execution (Metasploit) 2024-06-14：N/A：PHP < 8.3.8 – Remote Code Execution (Unauthenticated) (Windows) 2024-06-01：CVE-2023-26602：ASUS ASMB8 iKVM 1.14.51 – Remote Code Execution (RCE) & SSH Access 2024-06-01：N/A：FreePBX 16 – Remote Code Execution (RCE) (Authenticated) 2024-06-01：N/A：Akaunting 3.1.8 – Server-Side Template Injection (SSTI) 2024-05 … Continue reading “Exploit-DB”
Microsoft February 2024 Patch Tuesday fixes 2 zero-days, 73 flaws 20234/02/13 BleepingComputer — 今日は Microsoft の February 2023 Patch Tuesday であり、合計で 73件の脆弱性と、2件のゼロデイ対するセキュリティ更新プログラムが提供されている。今月は、サービス拒否／リモート・コード実行／情報漏えい／権限昇格の脆弱性を含む、５つの深刻な脆弱性が修正されている。
2024/06 2024/06/19：Exp：SolarWinds Serv-U の脆弱性 CVE-2024-28995 が FIX： GreyNoise が積極的な悪用を観測 2024/06/19：Exp：Fortinet／VMware の脆弱性を悪用：中国由来の UNC3886 が実現している永続性とは？ 2024/06/18：Exp：中国のサイバー Offense／Defense パワー：世界の脆弱性情報エコシステムとの関係を考察する 2024/06/18：Exp：攻撃者にとって最高に魅力的なターゲットは？ エッジサービスの脆弱性に注目！ 2024/06/14：PoC：Windows の特権昇格の脆弱性 CVE-2024-26229：PoC エクスプロイトが公開 2024/06/14：PoC：Windows Recall は一時停止：内部告発ダメージを回避する Microsoft の選択とは？ 2024/06/14：Exp：CISA KEV 警告 24/06/13：Android Pixel／Windows／Progress Telerik の脆弱性を追加 2024/06/14：PoC：Ivanti Endpoint Manager の深刻な脆弱性 CVE-2024-29824 が FIX：PoC も提供 2024/06/13：Exp：MS Office の古い脆弱性 CVE-2017-11882 を悪用：北朝鮮の Kimsuky がキーロガーを配信 2024/06/12：PoC：JetBrains のトークン漏えいの脆弱性 CVE-2024-37051：PoC が公開された 2024/06/12：Exp：Windows Error Reporting Service の脆弱性 CVE-2024-26169：Black Basta が悪用？ 2024/06/11：PoC：Apple … Continue reading “PoC Exp”
Microsoft reveals how hackers breached its Exchange Online accounts 2024/01/26 BleepingComputer — 2023年11月に Microsoft 幹部の電子メール・アカウントに侵入した、ロシア政府 Foreign Intelligence Service (SVR) のハッキング・グループが、悪意のキャンペーンの一環として他の組織にも侵入したことが確認された。Midnight Blizzard (別名 Nobelium／APT29) は、ロシアの SVR 傘下のサイバー・スパイ集団と考えられており、主に米国／欧州の政府組織／NGO／ソフトウェア開発者／IT サービス・プロバイダーを標的としている。
N. Korean Lazarus Group Targets Software Vendor Using Known Flaws 2023/10/27 TheHackerNews — 北朝鮮と連携している Lazarus Group が、知名度の高いソフトウェアに存在する既知の脆弱性を悪用し、無名のソフトウェア・ベンダーを侵害するという、新たなキャンペーンを操っているようだ。Kaspersky が指摘するのは、一連の攻撃により SIGNBT／LPEClient などのマルウェア・ファミリーが展開され、被害者のプロファイリングやペイロードの配信に使用される、ハッキング・ツールとして機能している点だ。
2021年11月に Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用される脆弱性のリスクを軽減することを目的とした、義務的運用指令 (Binding Operations Directive 22-01) を発表しました。この指令には、CISA が管理する、すでに悪用されている KEV (Known Exploited Vulnerability Catalog) が添付されており、連邦政府機関に対する、強制的な是正期限が記載されています。 この KEV に記載される脆弱性は、現実のサイバー攻撃で使われたものであり、かつ、CVE が割り振られているものとなります。そして、以下のチャートにある Vuldb のデータを見ると、毎年のように相当数の CVE が発行されている状況が分かります。つまり、パッチを当てるべき脆弱性の優先順位が問題となりますが、CISA KEV を参考にすると、効率よく判断できるようになるわけです。もちろん、それぞれのユーザー組織ごとに、使用しているシステムやアプリが異なるため、それを反映したソフトウェア資産リスト必要になりますが、CISA KEV との組み合わせは妥当なものと言えるはずです。 以下は、このブログで取り上げた、CISA KEV に関連するトピックの一覧です。この説明文を書いている 2023年1月の時点で、KEV に掲載される脆弱性は 800件強という状況です。今後も、記事が見つかれば、ここに追加していく予定です。また、行頭に [●] が付いているものは、KEV 以外の活動を紹介するものとなります。 なお、KEV に掲載されている個々の脆弱性を探す際には、CISA サイトで [ベンダー名] や [日付 yyyy-mm-dd] で検索してください。また、[日付] で検索する際には、[Date Added] と [Due Date] がヒットするので、ご注意ください。 … Continue reading “CISA KEV”
IoT OT Security News 