Aiototsec

CISA KEV 警告 24/10/17：Veeam の RCE 脆弱性 CVE-2024-40711 を追加

U.S. CISA adds Veeam Backup and Replication flaw to its Known Exploited Vulnerabilities catalog

2024/10/19 SecurityAffairs — Veeam Backup and Replication の脆弱性 CVE-2024-40711 (CVSS：9.8) が、米国の CISA の KEV (Known Exploited Vulnerabilities)カタログに追加された。10月11日の時点で Sophos の研究者たちが警告していたのは、Veeam Backup & Replication の脆弱性 CVE-2024-40711 を悪用する、ランサムウェアのオペレーターが不正なアカウントを作成し、マルウェアを展開していることだった。

Vulnhuntr で脆弱性を発見：LLM と静的コード解析による包括的な機能を提供

Vulnhuntr: A Tool for Finding Exploitable Vulnerabilities with LLMs and Static Code Analysis

2024/10/19 SecurityOnline — 今日のサイバーセキュリティの進化の状況において、ソフトウェアとインフラの安全性を維持するために、コードベースの脆弱性を特定することは不可欠である。GitHub で入手可能なオープンソース・ツールである Vulnhuntr は、LLM (Large Language Models) と静的コード解析を活用することで、Python ベースのプロジェクトにおける、リモートから悪用可能な脆弱性を特定する。

IntelBroker によるデータ窃取の主張：Cisco の DevHub ポータルがオフラインに

Cisco takes DevHub portal offline after hacker publishes stolen data

2024/10/18 BleepingComputer — Cisco の発表は、DevHub ポータルのオフラインに関するものであり、同社の “非公開” のデータを脅威アクターが流出させたという報告を受けてのものである。しかし Cisco は、自社のシステムが侵害された証拠はないと主張している。Cisco のインシデント・レポートには、「問題のデータは、パブリックな DevHub 環境に存在するものであると判明した。DevHub とは、Cisco のリソース・センターであり、必要に応じてソフトウェア・コードやスクリプトなどを利用できるようにし、コミュニティをサポートするものだ」と記されている。

Linux を動かす Intel／AMD の CPU に深刻なバグ：Spectre バイパスによる投機的攻撃の可能性

Intel, AMD CPUs on Linux impacted by newly disclosed Spectre bypass

2024/10/18 BleepingComputer — Linux を動かす Xeon などの Intel 最新世代プロセッサと、AMD の古いマイクロ・アーキテクチャは、Spectre に対する緩和策を提供しているが、それを回避する新たな投機的実行攻撃に対して脆弱である。この脆弱性が影響を及ぼすのは、コンシューマ向けの Intel 12th／13th／14th 世代チップと、サーバ向けの 5th／6th 世代 Xeon プロセッサ、そして、AMD の Zen 1／Zen 1+／Zen 2 プロセッサである。

EC プラットフォーム Vendure の脆弱性 CVE-2024-48914 が FIX：PoC も提供

CVE-2024-48914 (CVSS 9.1): Critical File Read Flaw Discovered in Vendure E-commerce Platform

2024/10/18 SecurityOnline — 人気の OSS ヘッドレスＥコマースのプラットフォーム Vendure に、深刻なセキュリティ脆弱性 CVE-2024-48914 (CVSS：9.1) が発見された。この脆弱性の悪用に成功した攻撃者は、サーバからの任意のファイル読み取りを達成し、コンフィグ・ファイルや環境変数などの機密情報を漏洩させる可能性を手にする。

Bitdefender Total Security の脆弱性 CVE-2023-6055／6056／6057 が FIX：MiTM 攻撃の可能性

Critical Vulnerabilities in Bitdefender Total Security Expose Users to Man-in-the-Middle Attacks

2024/10/18 SecurityOnline — Bitdefender が発表した緊急アドバイザリは、同社の Total Security 製品の HTTPS スキャン機能に発見された、３つの深刻な脆弱性に関するものだ。これらの脆弱性の悪用に成功した攻撃者は、ユーザーの通信に対する傍受／操作を達成し、機密データを危険にさらす可能性を手にする。

Grafana の RCE 脆弱性 CVE-2024-9264 (CVSS：9.9) が FIX：直ちにアップデートを！

Patch Now! Grafana Hit by 9.9 Severity RCE Vulnerability (CVE-2024-9264)

2024/10/18 SecurityOnline — 監視および可視化のための OSS プラットフォームである Grafana に、深刻なセキュリティ脆弱性 CVE-2024-9264 (CVSS：9.9) が発見された。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で任意のコードを実行し、システム全体を完全に侵害する可能性を得るという。

CISA／FBI／NSA の共同勧告：イランのハッカーが Microsoft 365 などに MFA 疲労攻撃を展開

Iranian Hackers Target Microsoft 365, Citrix Systems with MFA Push Bombing

2024/10/18 HackRead — イランのハッカーたちが、ブルートフォース攻撃の手法を用いて、重要なインフラ組織を標的にしている。この記事で掘り下げていくのは、MFA プッシュ攻撃や認証情報の窃取などの、彼らが用いるテクニックの詳細である。これらの高度な脅威から組織を保護し、効果的なセキュリティ対策を導入する方法について学んでいこう。

Microsoft のセキュリティ・ログが失われた：約１ヶ月分の紛失の原因とは？

Microsoft warns it lost some customer’s security logs for a month

2023/10/17 BleepingComputer — Microsoft がエンタープライズ・ユーザーに公表したのは、約１ヶ月間にわたり重要なログが部分的に失われ、それらのデータをベースに不正行為を検出している企業が、リスクにさらされているという警告である。2024年10月上旬の時点で、この問題を初めて報じた Business Insider によると、9月2日〜 9月19日に収集されなかったログデータがあることを、Microsoft は顧客に通知し始めたという。

SolarWinds WHD の RCE の脆弱性 CVE-2024-28988 が FIX：CVSS 値は 9.8

SolarWinds Web Help Desk Hit With Critical RCE Flaw (CVE-2024-28988, CVSS 9.8)

2024/10/17 SecurityOnline — IT 管理ソフトウェアを提供する SolarWinds が公表したのは、同社の Web Help Desk (WHD) プラットフォームに存在する、深刻な脆弱性 CVE-2024-28988 (CVSS：9.8) に関するセキュリティ・アドバイザリである。この脆弱性の悪用に成功したリモートの攻撃者は、ホスト・システム上で任意のコマンド実行を達成し、このプラットフォームに依存する政府機関／大企業／医療機関などにリスクをおよぼす可能性を手にする。

F5 BIG-IP の脆弱性 CVE-2024-45844 (CVSS：8.6) が FIX：PoC エクスプロイトも提供

F5 BIG-IP Vulnerability (CVE-2024-45844): Access Control Bypass Risk, PoC Available

2024/10/17 SecurityOnline — ネットワーク・トラフィック管理とセキュリティ・ソリューションを提供する F5 BIG-IP に、深刻な脆弱性の存在が確認された。この脆弱性 CVE-2024-45844 (CVSSv4：8.6) を悪用する認証済みの攻撃者は、アクセス制御制限を回避し、システムに脅威をもたらす可能性を得る。

Spring Framework の脆弱性 CVE-2024-38819 が FIX：CVSS 7.5 のパス・トラバーサル

Spring Framework Vulnerability CVE-2024-38819: Path Traversal Risk in Web Apps

2024/10/17 SecurityOnline — Spring Framework に、パス・トラバーサル脆弱性 CVE-2024-38819 (CVSS：7.5) が発見された。この脆弱性は、WebMvc.fn／WebFlux.fn の Web フレームワークを介して、静的リソースを提供するアプリケーションに対して、深刻なセキュリティ・リスクをもたらす。

macOS の脆弱性 HM Surf CVE-2024-44133 が FIX：PoC エクスプロイトも公開

HM Surf (CVE-2024-44133): macOS Flaw Exposing Cameras and Microphones to Hackers, PoC Published

2024/10/17 SecurityOnline — Apple の TCC (Transparency, Consent, and Control) テクノロジーをバイパスする、macOS の脆弱性 CVE-2024-44133 が、Microsoft Threat Intelligence の調査により発見された。Microsoft のチームにより HM Surf と命名された、この脆弱性の悪用に成功した攻撃者は、ユーザーの同意を必要とすることなく、カメラ／マイク／閲覧履歴／位置情報などの、機密性の高いユーザー・データに不正アクセスする可能性を手にする。

WordPress Ultimate Membership の脆弱性 CVE-2024-43240／43242 が FIX：サイト侵害の恐れ

CVE-2024-43240 & CVE-2024-43242 in Ultimate Membership Pro Plugin Put 40,000 Websites at Risk

2024/10/17 SecurityOnline — 会員制のサブスクリプション管理に広く利用されている、WordPress プラグイン Ultimate Membership Pro に２つの重大な脆弱性が存在することが、Patchstack のセキュリティ研究者の Rafie Muhammad (Patchstack) により発見された。このプラグインは、有料コンテンツを提供する Web サイトで広く利用され、これまでに約４万回も販売されている。

Google Meet アラートを偽装：ClickFix 攻撃によるマルウェア配信が蔓延

ClickFix Attack: Fake Google Meet Alerts Install Malware on Windows, macOS

2024/10/17 HackRead — 人気のビデオ会議プラットフォームである、Google Meet のユーザーを標的とするサイバー攻撃が増加していることを、Sekoia のサイバー・セキュリティ研究者たちが検出している。この攻撃では、”ClickFix” 呼ばれる戦術が使用されている。この戦術は 2024年5月に登場したものであり、Google Chrome／Google Meet／Facebook などの正当なサービスを装うことで、ユーザーを騙してマルウェアをダウンロードさせるものだ。

GhostStrike の解説：Sliver C2 の解析から Cobalt Strike などへと対象を拡大

GhostStrike: Open-source tool for ethical hacking

2024/10/17 HelpNetSecurity — GhostStrike は、倫理的ハッキングやレッドチームでの運用に特化された、高度なサイバー・セキュリティのための、オープンソース・ツールである。このツールは、Windows システム上での検知をステルス的に回避する hollowing プロセスなどの、最先端の技術を組み込んでおり、ペンテストやセキュリティ評価に役立つものとなっている。

VMware HCX の深刻な SQLi の脆弱性 CVE-2024-38814 が FIX：ただちにアップデートを！

VMware fixes high-severity SQL injection flaw CVE-2024-38814 in HCX

2024/10/17 SecurityAffairs — VMWare が公表したのは、HCX アプリケーション・モビリティ・プラットフォームに存在する、リモート・コード実行の脆弱性 CVE-2024-38814 (CVSS：8.8) に関する警告である。管理者権限を持たなくても、認証済みユーザーでありさえすれば、細工された SQL クエリを介して脆弱性 CVE-2024-38814 を悪用し、HCX マネージャーで許可されていないリモート・コード実行を達成する可能性を得る。

Apache Solr の認証バイパスの脆弱性 CVE-2024-45216 が FIX：ただちにをパッチを！

CVE-2024-45216: Critical Authentication Bypass Vulnerability Patched in Apache Solr

2024/10/16 SecurityOnline — 世界最大級のインターネット・サイトにおいて検索機能を支える、信頼性が高くスケーラブルな検索プラットフォームでApache Solr に存在する、２つのセキュリティ脆弱性 CVE-2024-45216／CVE-2024-45217 が発見された。これらの脆弱性により、Solr インスタンスを実行している組織に深刻なリスクが発生し、認証バイパスや不正なコード実行の危険へといたる可能性があるという。

Matrix の脆弱性 CVE-2024-47080／47824 が FIX：厳格なキー共有に対応

Matrix Discloses High-Severity Vulnerabilities in Encryption Key Sharing

2024/10/16 SecurityOnline — 先日に Matrix.org セキュリティ・チームが公表したのは、matrix-js-sdk／matrix-react-sdk に影響を及ぼす２つの深刻な脆弱性に関する情報である。これらの脆弱性は、MSC3061 (新規ユーザーとのルームキー共有仕様) に関連しており、暗号化されたメッセージ履歴への、不正アクセスを許す可能性があるとされる。

Apache CloudStack の脆弱性 CVE-2024-45219 などが FIX：直ちにアップデートを！

Apache CloudStack Patches Critical Security Flaws in Latest Release

2024/10/16 SecurityOnline — IaaS (Infrastructure-as-a-Service) クラウドの構築／管理に使用される、人気のオープンソース・プラットフォーム Apache CloudStack の、 LTS セキュリティ・リリース 4.18.2.4／4.19.1.2 が公表された。このリリースでは、４件のセキュリティ脆弱性が対処されているが、そのうちの２件の深刻度は Important と評価されている。

2023年に悪用された脆弱性の 70％はゼロデイ：Google Mandiant 調査

Google: 70% of exploited flaws disclosed in 2023 were zero-days

2024/10/16 BleepingComputer — Google Mandiant のセキュリティ・アナリストたちは、脅威アクターがソフトウェアのゼロデイ脆弱性を発見し、悪用する能力を向上させているという、懸念すべき新たな傾向について警告している。Mandiant によると、2023年に積極的な悪用が公表された 138件の脆弱性のうち、97件 (70.3%) がゼロデイとして悪用されたという。つまり、脆弱性の影響を受けるベンダーが、バグの存在を知る以前に、あるいは、パッチを適用する以前に、それらの欠陥を脅威アクターが攻撃で悪用したことを意味する。

CISA KEV 警告 24/10/15：SolarWinds WHD の脆弱性 CVE-2024-28987 などを追加

SolarWinds Web Help Desk flaw is now exploited in attacks

2024/10/16 BleepingComputer — 米国 CISA (Cybersecurity and Infrastructure Security Agency) は、SolarWinds Web Help Desk (WHD) に存在する、認証情報ハードコードの脆弱性 CVE-2024-28987 などの、３件の脆弱性を KEV (Known Exploited Vulnerabilities) カタログに追加した。IT ヘルプデスク・スイートである SolarWinds Web Help Desk は、政府機関／大企業／医療機関など、世界中でおよそ 30万の顧客を擁している。

Internet Explorer (IE) の脆弱性 CVE-2024-38178 を悪用：北朝鮮の TA-RedAnt とは？

North Korean Hackers Exploit Zero-Day Flaw (CVE-2024-38178) in “Operation Code on Toast”

2024/10/16 SecurityOnline — Microsoft Internet Explorer (IE) の脆弱性 CVE-2024-38178 が、北朝鮮のハッカーたちにより積極的に悪用されていることが、AhnLab Security Emergency response Center (ASEC) と National Cyber Security Center (NCSC) の共同レポートにより判明した。この攻撃は Operation Code on Toast と呼ばれ、時代遅れの Toast 広告プログラムのユーザーをターゲットにして、マルウェアを配信している。

Amazon Passkeys：導入から１年で利用者が 1億7500万人に到達

Amazon says 175 million customer now use passkeys to log in

2024/10/15 BleepingComputer — Amazon が発表したのは、2023年にPasskeys を導入して以来、その利用者が大幅に増加し、2024年10月には 1億7500万人以上に達したことである。同社は、「Amazon アカウントで Passkeys を有効化した顧客が 1億7500万人を超え、従来よりも６倍も素早くログインしている状況を、とても嬉しく思う。パスワードが不要なサインインの利便性を、実感するユーザーが増えるにつれ、その利用者は日々増加している」とコメントしている。

Secure-by-Design のトレーニングを実施するソフトウェア開発者は 4%未満 – Secure Code Warrior

Few software developers employ secure by design training, research finds

2024/10/15 NextGov — 10月15日 (月) に公開されたレポートによると、世界中のソフトウェア開発者のうち、製品の設計と開発に基本的なサイバー・セキュリティ基準を組み込むことに焦点を当てるトレーニングを実施しているのは、わずか 4％未満であるという。この数値の低さは、基本的なソフトウェアのバグが、依然としてハッカーたちに頻繁に悪用されている理由を裏付けるものかもしれない。このレポートは、産業界にセキュアなソフトウェア・ツール／サービスを提供する、オーストラリアの Secure Code Warrior によるものだ。

CISA KEV 警告 24/10/15：Windows／Firefox／SolarWinds の脆弱性を登録

CISA Warns Actively Exploited Vulnerabilities, Including Windows Kernel Flaw and Firefox Zero-Day

2024/10/15 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発したのは、Microsoft Windows／Mozilla Firefox／SolarWinds Web Help Desk などに影響を及ぼし、現在も悪用されている３件の脆弱性についての緊急警告である。これらの脆弱性について、CISA は Known Exploited Vulnerabilities (KEV) に登録したことで、直ちにパッチを適用することの重要性が強調されることになった。

EDRSilencer の武器化：脅威アクターが変容させたレッドチーム・ツールに要注意

EDRSilencer: The Red Team Tool Turned Cybercriminal Weapon

2024/10/15 SecurityOnline — EDR (Endpoint Detection and Response) ソリューションを妨害するように設計された、レッドチーム・ツール EDRSilencer に関連する問題が、Trend Micro の Threat Hunting Team により発見された。もともとは、EDR システムの脆弱性を特定／解決する、セキュリティ専門家たちを支援するために設計されたツールであるが、現在ではサイバー犯罪者が検出を回避するために、また、秘密裏に攻撃を実行するために再利用されている。

Kubernetes Image Builder の脆弱性 CVE-2024-9486／9594 が FIX：VM へのルート・アクセスの恐れ

CVE-2024-9486 (CVSS 9.8): Kubernetes Image Builder Flaw Exposes VMs to Root Access

2024/10/15 SecurityOnline — Kubernetes Security Response Committee が公表したのは、仮想マシン (VM) へのルート・アクセスを攻撃者に許す可能性のある、Kubernetes Image Builder の脆弱性 CVE-2024-9486／CVE-2024-9594 に関するアドバイザリである。この脆弱性は、イメージのビルドプロセス中に、デフォルトの認証情報が使用されることで生じるという。

WordPress GiveWP の RCE 脆弱性 CVE-2024-9634 が FIX：CVSS 値は 9.8

CVE-2024-9634 (CVSS 9.8): Critical GiveWP Flaw Exposes 100,000+ WordPress Sites to RCE

2024/10/15 SecurityOnline — 100,000 万以上のアクティブなインストールを誇る、WordPress 用ドネーション・プラグインで GiveWP に、深刻な脆弱性 CVE-2024-9634 が発見された。この、PHP オブジェクト・インジェクションの脆弱性 CVE-2024-9634 の悪用に成功した未認証の攻撃者は、標的 Web サイト上での任意のコード実行を達成し、寄付者の機密データを危険にさらし、サイトを完全に制御する可能性を手にする。この脆弱性は、セキュリティ研究者の lefab により発見された。

FIDO Alliance が提案する新仕様：Passkeys をプラットフォーム間で安全に移動可能に

New FIDO proposal lets you securely move passkeys across platforms

2024/10/15 BleepingComputer — Fast IDentity Online (FIDO) アライアンスは、異なるプロバイダー間で Passkeys を安全に転送することを目的とした、新しい仕様の作業草案を発表した。Passkeys とは、公開鍵暗号方式を活用することで、従来からのパスワードに依存しない認証方法のことである。それによりユーザーは、長い文字列を記憶したり管理したりする必要がなくなる。

Windows カーネルモード・ドライバの脆弱性 CVE-2024-35250 が FIX：PoC も公開

PoC Exploit Release for Windows Kernel-Mode Driver Elevation of Privilege Flaw (CVE-2024-35250)

2024/10/14 SecurityOnline — Windows の SYSTEM 特権の獲得を攻撃者に許すとされる、深刻な脆弱性 CVE-2024-35250が、 DEVCORE Research Team のセキュリティ研究者 Angelboy (@scwuaptx) の詳細な分析により明らかにされた。この脆弱性は、Pwn2Own Vancouver 2024 で実際に取り上げられ、その深刻度から広く注目を集めている。

Ubuntu Authd の脆弱性 CVE-2024-9312 が FIX：User ID なりすましが生じる

CVE-2024-9312: Ubuntu Authd Flaw Allows User ID Spoofing

2024/10/14 SecurityOnline — 先日に Canonical が発行したのは、世界中の Ubuntu マシンで ID/Access 管理に使用されている、認証デーモンである Authd の脆弱性 CVE-2024-9312 (CVSS：7.6) に対処するセキュリティ・アドバイザリである。Authd バージョン 0.3.6 未満に影響を及ぼす、この脆弱性の悪用に成功した攻撃者は、ユーザー ID を偽装し、ターゲット・アカウントへの不正アクセスの可能性を手にする。

Windows Kernel 脆弱性 CVE-2024-30088 を悪用：イラン由来の Earth Simnavaz という APT

Earth Simnavaz Exploits Windows Kernel Flaw CVE-2024-30088 in Attacks on Critical Infrastructure

2024/10/14 SecurityOnline — Trend Micro の研究者たちが公表したのは、脅威グループ Earth Simnavaz (別名 APT34／OilRig) が実施したとされる、一連の高度なサイバー攻撃に関する情報である。このイラン由来のサイバースパイ・グループは、アラブ首長国連邦 (UAE) などの湾岸地域の政府機関や重要なインフラを積極的に標的にしており、高度な技術を駆使して不正アクセスを行い、機密情報を盗み出している。

Splunk の複数の脆弱性が FIX：深刻な RCE CVE-2024-45731／45733 に要注意

Splunk Patches Critical Vulnerabilities, Including Remote Code Execution Flaws

2024/10/14 SecurityOnline — データ分析／セキュリティ監視のプラットフォーム Splunk がリリースしたのは、Splunk Enterprise／Splunk Cloud Platform の 12件の脆弱性を修正するための、セキュリティ・アップデートである。これらの脆弱性は深刻度には幅があり、リモート・コード実行を可能にするものや、低権限の攻撃者に機密情報へのアクセスを許すもの含まれる。

Moxa ネットワーク／セキュリティ製品の脆弱性 CVE-2024-9137／9139 が FIX：直ちにアップデートを！

CVE-2024-9137 (CVSS 9.4) in Moxa’s Cellular Routers and Security Appliances: Immediate Patching Required

2024/10/14 SecurityOnline —

Moxa が 10月14日に公開したセキュリティ勧告は、セルラー・ルーター／セキュア・ルーター／ネットワーク・セキュリティ・アプライアンスに影響を与える、２つの重大な脆弱性に関するものだ。これらの脆弱性 CVE-2024-9137／CVE-2024-9139 の悪用に成功した攻撃者は、標的システムへの不正アクセスを達成し、任意のコマンド実行の可能性を得る。

Cisco から窃取したデータ：IntelBroker がハッキング・フォーラムでの販売？

Cisco investigates breach after stolen data for sale on hacking forum

2024/10/14 BleepingComputer — Cisco が認めたのは、同社に侵入したハッカーが盗み出したとするデータが、ハッキング・フォーラムで販売され始めたという、インシデントの調査に着手したことだ。Cisco の広報担当者は「あるハッカーが、Cisco 関連の特定のファイルにアクセスしたと、主張していることを認識している。いま、この主張を評価するために調査を開始しており、調査は継続中である」と、BleepingComputer に語っている。

Fidelity Investments で今年二度目のデータ侵害：約８万人分の個人情報が流出

Fidelity Investments suffered a second data breach this year

2024/10/14 SecurityAffairs — 米国を拠点とする金融サービス企業の Fidelity Investments は、8月のサイバー攻撃により 77,099人分の個人情報が流出したことを、当局に対して報告している。同社のデータ流出は、2024年8月17日に発生し、その 2日後の8月19日に発見された。

Casio データ侵害が発生：Underground ランサムウェア・グループが犯行を主張

Casio Confirms Data Breach as Ransomware Group Leaks Files

2024/10/14 SecurityWeek — 日本の大手電機メーカー CASIO は、ランサムウェア・グループによるサイバー攻撃を受け、それによりデータ流出が発生したことを認めた。10月5日の時点で検知されたネットワークへの不正アクセスにより、システム障害が発生し、一部のサービスが中断したたことを、10月8日になって CASIO は発表している。その後の 10月11日に CASIO が公開した情報によると、このインシデントはランサムウェア攻撃によるものであり、同社に関連する個人情報や、関連会社の機密ファイルを窃取されたという。

WordPress の Jetpack に深刻な脆弱性：８年間にわたり発見されず悪用されず・・・

Jetpack fixes critical information disclosure flaw existing since 2016

2024/10/14 BleepingComputer — 今日になって、WordPress Jetpack がリリースしたのは、深刻な問題に対する重要なセキュリティ・アップデートである。このアップデートでは、サイトにログインしたユーザーが、ビジターにより送信されたフォームにアクセスできるという、脆弱性が修正されている。Jetpack は、Automattic が開発した人気の WordPress プラグインであり、Web サイトを強化する機能と、セキュリティやパフォーマンスを高めるツールを提供している。WordPress によると、この Jetpack プラグインは、2,700 万の Web サイトにインストールされているという。

Java セキュリティ・フレームワーク “pac4j” の脆弱性 CVE-2023-25581 が FIX：ただちにアップデートを！

2024/10/13 SecurityOnline — 広く利用されている Java セキュリティ・フレームワーク pac4j に存在する深刻な脆弱性が、GitHub Security Lab (GHSL) のセキュリティ研究者 Michael Stepankin (@artsploit) により発見された。この脆弱性 CVE-2023-25581 (CVSS：9.2) の悪用に成功した攻撃者は、影響を受けるシステム上での任意のコード実行の可能性を手にする。

Zendesk のメール・スプーフィングの脆弱性 CVE-2024-49193 が FIX：長々と放置された理由は？

$50,000 Bounty: Researcher Reveals Critical Zendesk Email Spoofing Flaw (CVE-2024-49193)

2024/10/13 SecurityOnline — Zendesk のメール管理システムに存在する、深刻な脆弱性 CVE-2024-49193 が、セキュリティ研究者の Daniel により発見され、詳細に分析されている。この脆弱性の悪用に成功した攻撃者は、スプーフィング攻撃により、機密情報であるサポート・チケット履歴への、不正アクセスの可能性を得るという。この Daniel の報告に対して、Zendesk は否定していたが、問題の深刻さが明らかになったことで、同社は早急な対策を講じることになった。

Bitcoin Core の脆弱性 CVE-2024-35202 が FIX：リモート・ノードがクラッシュする恐れ

Bitcoin Core Vulnerability (CVE-2024-35202) Enables Remote Node Crashes

2024/10/13 SecurityOnline — Bitcoin Core に、深刻度が高い脆弱性 CVE-2024-35202 (CVSS：7.5) が発見された。この脆弱性の悪用に成功したリモートの攻撃者は、バージョン v25.0 未満を実行している Bitcoin Core ノードを、クラッシュさせることが可能だとされる。この問題は、cmpctblock メッセージ経由で受信したブロックを、Bitcoin Core が再構築しようとする際に発生する。

GitHub Enterprise Server 脆弱性 CVE-2024-9487 (CVSS 9.5) などが FIX：直ちにパッチ適用を！

GitHub Enterprise Server Patches Critical Security Flaw – CVE-2024-9487 (CVSS 9.5)

2024/10/13 SecurityOnline — GitHub が公表したのは、GitHub Enterprise Server に存在する２件の脆弱性に対処するためのセキュリティ・アップデートのリリースである。そのうちの１つは、このプラットフォームの SAML SSO 認証メカニズムに存在する、認証バイパスの脆弱性 CVE-2024-9487 (CVSS：9.5) であり、攻撃者に不正アクセスを許す可能性が生じている。

Fortinet の RCE 脆弱性 CVE-2024-23113：日本におけるインターネット露出は 5,100台

Thousands of Fortinet Devices Remain Exposed to RCE CVE-2024-23113 Vulnerability

2024/10/13 SecurityOnline — 最近の Shadowserver Foundation レポートによると、数ヶ月前にパッチが提供された RCE の欠陥 CVE-2024-23113 に対して、Fortinet デバイスの多くが脆弱な状態にあり、現在も悪用されているという。

Apache Roller の CSRF 脆弱性 CVE-2024-46911 が FIX：直ちにアップデートを！

Apache Roller Patches CSRF Flaw CVE-2024-46911 in Latest Update

2024/10/13 SecurityOnline — 人気の Java ベースのブログ・プラットフォームである、Apache Roller に対するセキュリティ・アップデートがリリースされた。このアップデートで修正された、深刻な CSRF (Cross-site Request Forgery ) の脆弱性 CVE-2024-46911 により、攻撃者はマルチ・ユーザーの Roller サイト上で権限昇格の可能性を得る。

Plane プロジェクト管理ツールの脆弱性 CVE-2024-47830 が FIX：CVSS 値 9.3 の SSRF

Plane Project Management Tool Patches Critical SSRF Flaw – CVE-2024-47830 (CVSS 9.3)

2024/10/13 SecurityOnline — 人気のオープンソース・プロジェクト管理ツールである Plane に発見された、深刻なセキュリティ脆弱性 CVE-2024-47830 (CVSS：9.3) が修正された。この脆弱性の悪用に成功した攻撃者は、サーバサイドを悪用して意図されない場所にリクエストを送信することが可能となり、内部サービスへの不正アクセスや機密データの漏洩の可能性を得る。

HashiCorp Vault の脆弱性 CVE-2024-9180 が FIX：特権昇格の可能性

CVE-2024-9180: HashiCorp Vault Vulnerability Could Lead to Privilege Escalation

2024/10/12 SecurityOnline — HashiCorp が発表したのは、同社の機密管理プラットフォームである Vault に存在する、脆弱性 CVE-2024-9180 (CVSSv3：7.2) に関するセキュリティ情報である。この脆弱性の悪用に成功した攻撃者は、きわめて機密性の高いルート・ポリシーへと、自身の権限を昇格させる可能性を得る。

Windows Server の PPTP／L2TP VPN が廃止：新たな SSTP／IKEv2 への移行が推奨される

Microsoft deprecates PPTP and L2TP VPN protocols in Windows Server

2024/10/12 BleepingComputer — Microsoft の発表は、Windows Server の PPTP (Point-to-Point Tunneling Protocol)／L2TP (Layer 2 Tunneling Protocol) を、将来的に廃止するというものだ。同社が Windows 管理者に対して推奨するのは、セキュリティが強化された他のプロトコルへの移行である。20年以上にわたり Microsoft は、企業ネットワークおよび Windows サーバへのリモート・アクセスを、PPTP／L2TP VPN プロトコルを介して提供してきた。しかし、セキュリティにおけるリソースが高度化し、サイバー攻撃が強大化するにつれて、これらのプロトコルの安全性は低下しつつある。

Rufus 4.6 が可能にする Windows 11 24H2 へのインプレース・アップグレードとは？

Rufus 4.6 bypasses Windows 11 24H2 compatibility checks automatically

2024/10/11 ghacks — オープンソース・アプリ Rufus の最新ベータ版は、Windows 11 24H2 のインストール中の、コンパチビリティ・チェックをバイパスするための追加手段をサポートしている。いたちごっこは続いている。これまでの Microsoft は、互換性のないハードウェアへの Windows 11 OS のインストールを許可してきた。公式なサポートではないが、オペレーティング・システムにオプションを追加していた。