Aiototsec

Pwn2Own で発見されたゼロデイ脆弱性７件：なぜ Microsoft は放置する？

Microsoft Has Yet to Patch 7 Pwn2Own Zero-Days

2024/05/17 DarkReading — Pwn2Own 2024 Vancouver で明らかにされた、７種類の特権昇格の Windows 脆弱性だが、２ヶ月が経過した現在も、Microsoft による対処が行われていない。５月の Patch Tuesday では、活発に悪用されている CVE-2024-30051／CVE-2024-30040 などを含む、全体で 60件ほどの脆弱性が修正されている。しかし、Apple や Google などとは異なり、この３月にホワイト・ハッカーたちが証明した多数のバグに、依然として Microsoft はパッチを適用していない。

Siemens Fire Protection システムに深刻な脆弱性群：ただちにアップデートを！

Urgent Security Alert for Siemens Fire Protection Systems: Critical Vulnerabilities Discovered

2024/05/16 SecurityOnline — Siemens が発表したのは、同社の火災安全ソリューション・プロバイダー Cerberus PRO UL／Desigo Fire Safety UL システムに存在する、深刻な脆弱性を警告するセキュリティ勧告である。これらの脆弱性の悪用に成功した攻撃者は、防火ネットワークへの不正アクセスを可能にし、人命や財産を危険にさらす可能性を手にする。

Outlook とメール暗号化の問題：2月28日リリースのバージョンだと返信できない？

Microsoft shares temp fix for Outlook encrypted email reply issues

2024/05/16 BleepingComputer — Microsoft が共有したのは、Outlook デスクトップ・クライアントで暗号化された電子メールに対して返信できないという、Microsoft 365 顧客にとっての既知の問題に関する一時的な修正である。それにより確認されたのは、この数カ月の間に Microsoft コミュニティの Web サイトで共有された、クラシック Outlook クライアントを使用した場合の問題である。ネット上の報告によると、Outlook を再インストールしても、あるいは、影響を受けたメール・アカウントのプロファイルを作り直しても、この問題は解決されないという。

Yoast SEO の深刻な XSS 脆弱性 CVE-2024-4984 が FIX：500万以上のサイトが危険な状態？

CVE-2024-4984: Yoast SEO Flaw Exposes Millions of WordPress Sites to Attack

2024/05/16 SecurityOnline — WordPress プラグイン Yoast SEO は、500万以上のアクティブなインストールを持ち、広く使用されている製品である。そのYoast SEO に、Stored Cross-Site Scripting (XSS) の脆弱性 CVE-2024-4984 が発見された。この脆弱性を悪用する行為者は、有害なスクリプトを Web サイトに注入することを可能にし、訪問者のデータを危険にさらし、トラフィックをリダイレクトするだけではなく、影響を受けるサイトのコントロールを奪うこともあり得るという。

Intel の深刻な脆弱性 CVE-2024-22476 (CVSS 10) などが FIX：全体で 90件を超える欠陥に対応

CVE-2024-22476 (CVSS 10): Intel’s Critical AI Flaw Leaves Systems Open to Attack

2024/05/16 SecurityOnline — Intel は、5月14日に 41件のセキュリティ情報を発表し、同社の製品ライン全体で 90を超える脆弱性に対処した。これらのセキュリティ欠陥の主なポイントはソフトウェアの領域にあり、その中には重要な AI ツールの脆弱性も含まれている。

Amazon Redshift JDBC Driver の SQLi 脆弱性 CVE-2024-32888 (CVSS 10) が FIX：ただちにパッチを！

CVE-2024-32888 (CVSS 10): SQLi Vulnerability Discovered in Amazon Redshift JDBC Driver

2024/05/16 SecurityOnline — Redshift 用の Amazon JDBC Driver は、Java アプリケーションを Amazon Redshift データウェアハウス・サービスに接続するためのツールとして、広く使用されているものだ。その Redshift JDBC Driver に、深刻な SQL インジェクションの脆弱性 CVE-2024-32888 が発見された。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で不正なコマンドを実行し、データ漏洩／不正アクセスなどを引き起こし、さらには、システムの完全な乗っ取りを達成する可能性を得る。

PrestaShop の脆弱性 CVE-2024-34716／34717 が FIX：ただちにパッチを！

CVE-2024-34716: Critical Security Vulnerability Uncovered in PrestaShop

2024/05/16 SecurityOnline — 2007 年以降において、PrestaShop プロジェクトは、全世界で 30 万以上の Web ストアをサポートしている、オープンソースの主要な E コマース・プラットフォームである。PrestaShop は、カスタマイズ性／主要決済サービスのサポート／多言語およびローカライズされたオプション／完全なレスポンシブ・デザインで有名である。その PrestaShop が、先日に発表したのは、２つの深刻な脆弱性に対するセキュリティ・アドバイザリである。

Git の深刻な脆弱性 CVE-2024-32002 などが FIX：ただちにパッチを！

Git Patches Critical RCE Vulnerabilities – CVE-2024-32002 & CVE-2024-32004

2024/05/15 SecurityOnline — ソフトウェア開発の要である “Git” Project に発生した、リモート・コード実行の脆弱性 CVE-2024-32002／CVE-2024-32004 により、不正なデータ操作にさらされる可能性が生じている。すでに、アップデート版が提供されているため、可能な限り早急に対処してほしい。

Froxlor Web Hosting Control Panel の脆弱性 CVE-2024-34070 が FIX：直ちにアップデートを！

Froxlor Web Hosting Control Panel Vulnerable to Remote Compromise (CVE-2024-34070)

2024/05/15 SecurityOnline — 人気の OSS Web ホスティング・コントロール・パネルである、Froxlor に深刻な重脆弱性 CVE-2024-34070 が発見された。この脆弱性の深刻度は CVSS 値 9.7 と評価されており、未認証の攻撃者による Froxlorインスタンスの完全な乗っ取りが可能になるという。その結果として、データの盗難や、サービスの中断だけではなく、ホストされている Web サイトへの、さらなる攻撃につながる可能性も生じる。

Google Chrome の深刻な脆弱性 CVE-2024-4947 が FIX：悪用を確認

Google fixes third actively exploited Chrome zero-day in a week

2024/05/15 BleepingComputer — Google Chrome のセキュリティ・アップデートが緊急リリースされ、この１週間で攻撃で悪用された３つ目のゼロデイ脆弱性への対処が完了した。5月15日 (水) 公開されたセキュリティ・アドバイザリで Google は、「脆弱性 CVE-2024-4947 が悪用されていることを認識している」と述べている。同社は、Mac／Windows 用の 125.0.6422.60／.61 と、Linux 用の 125.0.6422.60のリリースにより、このゼロデイ欠陥を修正した。新バージョンは、今後の数週間をかけて、Stable Desktop チャンネルに登録されている全ユーザーに配布される。

Siemens SIMATIC CN 4100 の深刻な脆弱性 CVE-2024-32741 (CVSS 10) などがFIX

CVE-2024-32741 (CVSS 10): Siemens SIMATIC CN 4100 Critical Vulnerability Exposed

2024/05/15 SecurityOnline — 産業オートメーションの世界的リーダーである Siemens は、SIMATIC CN 4100 通信ノードに関するセキュリティ・アドバイザリを発行し、産業用制御システムを悪意の攻撃にさらす可能性のある深刻な脆弱性について警告した。

GitHub とマルウェア群：共通のインフラから AMOS／Vidar／Lumma／Octo などで侵害

Threat Actors Abuse GitHub to Distribute Multiple Information Stealers

2024/05/15 SecurityWeek — 5月13日 (火) に脅威インテリジェンス企業 Recorded Future は、正規の GitHub プロフィールを悪用して情報窃取マルウェアを配布する、悪質なキャンペーンに対して警鐘を鳴らした。このキャンペーンの一環として、Commonwealth of Independent States (CIS) で活動するロシア語圏の脅威アクターたちが、1Password／Bartender 5／Pixelmator Proなどの正規アプリケーションを装いながら、Atomic macOS Stealer (AMOS)／Vidar／Lumma／Octo などのマルウェアを配布している。

Black Basta の戦術：ソーシャル・エンジニアリングで Windows Quick Assist を侵害

Windows Quick Assist abused in Black Basta ransomware attacks

2024/05/15 BleepingComputer — 金銭的な動機に基づくサイバー犯罪者たちが、ソーシャル・エンジニアリング攻撃で Windows Quick Assist 機能を悪用し、被害者のネットワーク上に Black Basta ランサムウェアのペイロードを展開している。Microsoft は、遅くとも 2024年4月中旬から、このキャンペーンを調査している。同社の観察によると、脅威グループ (Storm-1811) は、さまざまな電子メール配信サービスにアドレスを登録した後に、標的に対する大量の電子メール配信を行うことで攻撃を開始する。

Ebury ボットネットの脅威：14年をかけて 40万台の Linux サーバを侵害

Ebury Botnet Malware Compromises 400,000 Linux Servers Over Past 14 Years

2024/05/15 TheHackerNews — Eburyと呼ばれるボットネット・マルウェアは、2009年以降において 40万台の Linux サーバを危険にさらしており、そのうち10万台以上が、2023年の時点でも危険な状況にあると推定されている。この調査結果は、スロバキアのサイバーセキュリティ企業 ESET によるものである。同社は、このマルウェアについて、金銭的な利益を目的とした最も高度なサーバ・サイド・マルウェア・キャンペーンの１つだとしている。

D-Link EXO AX4800 の RCE 脆弱性：ゼロデイで PoC が登場

PoC exploit released for RCE zero-day in D-Link EXO AX4800 routers

2024/05/14 BleepingComputer — D-Link EXO AX4800 (DIR-X4860) ルーターに存在する脆弱性により、リモートからの認証されていないコマンドが実行され、HNAP ポートにアクセス可能な攻撃者に、デバイスを完全に乗っ取られる可能性が生じている。D-Link DIR-X4860 ルーターは、最大で 4800 Mbps の速度に対応する高性能 Wi-Fi 6 ルーターであり、OFDMA／MU-MIMO／BSS Coloring などの高度な機能により、効率を高めて干渉を低減するという製品である。とりわけカナダでは、このデバイスは人気を誇っている。D-Link の Web サイトによると、この製品は世界市場で販売されており、同社も積極的にサポートしている。

Aruba Access Points の複数の脆弱性が FIX：デバイスの乗っ取りにいたる可能性

HPE Aruba Networking Patches Critical Vulnerabilities in Access Points

2024/05/14 SecurityOnline — HPE Aruba Networking が顧客に対して警告しているのは、InstantOS／ArubaOS 10 を実行している Aruba Access Point に存在する、複数の深刻な脆弱性への早急なパッチ適用の必要性である。これらの脆弱性を悪用する、認証されていないリモートの攻撃者が悪意のコードを実行し、標的とするデバイスを完全に乗っ取る可能性が生じている。

IEEE 802.11 の脆弱性 CVE-2023-52424：SSID Confusion Attack が成立する？

CVE-2023-52424: New WiFi Flaw Leaves All Devices Vulnerable to ‘SSID Confusion’ Attacks

2024/05/14 SecurityOnline — 先日に発見された WiFi スタンダードにおける脆弱性により、攻撃者がユーザーを欺き、安全ではないネットワークに接続させるという、深刻なセキュリティ・リスクが明らかになった。脆弱性 CVE-2023-52424 を悪用する、SSID Confusion Attack と名付けられた攻撃手法は、セキュリティ研究者である Mathy Vanhoef と Top10VPN が共同で発見したものだ。この発見は、ソウルで開催される WiSec ’24 カンファレンスで発表される予定である。

NIST NVD の混乱が止まらない：新規の CVE 追加が一時的に停止していた

NIST Confusion Continues as Cyber Pros Complain CVE Uploads Stalled

2024/05/14 InfoSecurity — 脆弱性データベースとして、世界で最も信頼されている米国の NVD (National Vulnerability Database) だが、この数ヶ月において最大の危機を迎えており、それに比例してソフトウェア脆弱性の悪用が増加している。2024年2月中旬から、米国の NIST (National Institute of Standards and Technology) が運営する NVD は、脆弱性情報の更新を遅延させてきた。そして 5月9日以降においては、新しい脆弱性の表示を停止していると、ソフトウェア・セキュリティの専門家たちが Infosecurity に語っている。

SAP の深刻な脆弱性 CVE-2024-33006 などが FIX：2024年5月の Patch Day

CVE-2024-33006: Critical SAP Vulnerability Exposes Systems to Complete Takeover

2024/05/14 SecurityOnline — ドイツの大手企業ソフトウェア SAP は、2024年5月の SAP Patch Day の一環として、14件の新たなセキュリティ・ノートと、すでにリリースされている３件のノートに対して、アップデートをリリースすることを発表した。最も重要なセキュリティ・ノートは、SAP NetWeaver Application Server ABAP および ABAP Platform に存在する、深刻な脆弱性 CVE-2024-33006 (CVSS：9.6) に対処するものだ。この脆弱性の悪用に成功した未認証の攻撃者は、悪意のファイルをサーバにアップロードすることが可能となり、それに被害者がアクセスする際に、システムを危険にさらす可能性が生じる。

Adobe Acrobat／Reader の深刻な脆弱性が FIX：５月の Patch Tuesday

Adobe Patches Critical Flaws in Reader, Acrobat

2024/05/14 SecurityWeek — 5月13日 (火) に Adobe は、広範な製品に存在する 35件のセキュリティ脆弱性の存在を明らかにし、また、Adobe Acrobat／Reader の深刻なバグに直ちに対応するよう、ユーザーに注意を促している。今月の Patch Tuesday の一環として、Adobe Acrobat／Reader に存在する 12件の脆弱性にパッチが適用され、コード実行の攻撃にいたる可能性にある問題に、Critical ラベルが貼られた。

Microsoft が FIX した脆弱性 CVE-2024-30051：QakBot のマルウェア配信で悪用

Microsoft fixes Windows zero-day exploited in QakBot malware attacks

2024/05/14 BleepingComputer — Microsoft が修正したゼロデイ脆弱性は、影響を受ける Windows システム上で、 QakBot などのマルウェア・ペイロードを配信する攻撃で、悪用される可能性のあるものだ。この特権昇格の脆弱性 CVE-2024-30051 は、DWM (Desktop Window Manager) コア・ライブラリのヒープバッファ・オーバーフローが起因するものであり、悪用に成功した攻撃者に、SYSTEM 権限の取得を許すものである。

VMware Workstation／Fusion の複数の脆弱性が FIX：Pwn2Own ゼロデイに対応

VMware Fixed Zero-Day Flaws Demonstrated At Pwn2Own Vancouver 2024

2024/05/14 SecurityAffairs — VMware は、Workstation／Fusion デスクトップ・ハイパーバイザーに存在する４件の脆弱性に対処したが、そのうちの３件は、Pwn2Own Vancouver 2024 で実証された３件のゼロデイ脆弱性となる。VMware の Workstation／Fusion 製品においては、複数のセキュリティ上の欠陥が公表されているが、それらが特定の状況下で脅威アクターに悪用されると、機密情報へのアクセス／サービス拒否 (DoS) 状態／コード実行などにいたる可能性がある。

Microsoft 2024-05 月例アップデート：３件のゼロデイと 61件の脆弱性に対応

Microsoft May 2024 Patch Tuesday fixes 3 zero-days, 61 flaws

2024/05/14 BleepingComputer — 今日は、Microsoft の May 2024 Patch Tuesday の日だ。全体で 61件の脆弱性が修正されたが、そのうちの３件は、活発な悪用または、すでに公開済みの、ゼロデイ脆弱性に対するセキュリティ更新となっている。今月の Patch Tuesday における Critical な脆弱性は、Microsoft SharePoint Server のリモート・コード実行のみとなっている。

Linksys EA7500 ルーターの RCE 脆弱性 CVE-2023-46012：パッチ未適用で PoC が公開

CVE-2023-46012 in Linksys EA7500 Routers Allows Remote Takeover, No Patch, Poc Released

2024/05/13 SecurityOnline — Linksys EA7500 ルーターに存在する深刻な脆弱性により、攻撃者に root 権限でリモート・コード実行を許す可能性が生じることが、サイバーセキュリティ研究者たちにり明らかにされた。この脆弱性 CVE-2023-46012 (CVSS：9.8) は深刻度が高く、影響を受けるルーターのユーザーに対して、重大なリスクをもたらす可能性がある。

Cacti の深刻な脆弱性 CVE-2024-29895／CVE-2024-30268 が FIX：直ちにアップデートを！

Critical Security Flaws in Cacti: Command Injection (CVE-2024-29895, CVSS 10) and XSS Vulnerabilities

2024/05/13 SecurityOnline — ネットワーク監視／グラフ作成のための OSS ツールとして人気の Cacti は、セキュリティ・アップデートをリリースし、２つの重大な脆弱性に対処した。システムをサイバー攻撃にさらす可能性のある、これらの脆弱性の影響を受けるのは、Cacti の 1.3.x DEV 以下のバージョンである。

Google Chrome の脆弱性 CVE-2024-4761 が FIX：野放し状態での悪用を確認

CVE-2024-4761: Zero-Day Vulnerability Patched in Google Chrome

2024/05/13 SecurityOnline —Google Chrome に存在する、深刻度の高いゼロデイ脆弱性が対処された。脆弱性 CVE-2024-4761 は、Chrome の JavaScript エンジン V8 で発見された、Out of Bounds Write の欠陥に起因するものだ。この重大なセキュリティ問題は、匿名の研究者により発見／報告され、最新のブラウザが直面する継続的な脅威が浮き彫りにされた。

LockBit Black の大規模キャンペーン：Phorpiex ボットネットから大量のフィッシング・メール

Botnet sent millions of emails in LockBit Black ransomware campaign

2024/05/13 BleepingComputer — 2024年4月以降において、大規模な LockBit Black ランサムウェア・キャンペーンを実施するために、Phorpiex ボットネットを介して数百万通のフィッシング・メールが送信されているという。5月10日 (金) に、ニュージャージー州の Cybersecurity and Communications Integration Cell (NJCCIC) が警告したように、この攻撃者が使用しているのは、起動すると受信者のシステムを暗号化する LockBit Black ペイロードを展開するための、実行ファイルを取り込んだ ZIP 添付ファイルである。

CISA／FBI／HHS／MS-ISAC の共同警告：Black Basta が 500以上の組織を攻撃している

Black Basta Ransomware Hit Over 500 Organizations

2924/05/13 SecurityWeek — Black Basta ランサムウェア・グループが、世界 500以上の組織を攻撃して、その中には北米／欧州／豪州などの重要なインフラ事業体が含まれると、米国政府が警告している。2022年4月に初めて確認された Black Basta は、RaaS (ransomware-as-a-service) を用いて活動している。彼らのビジネス・モデルは、自身のアフィリエイトたちに対して、標的へのサイバー攻撃とマルウェア展開を実行させ、支払われた身代金の一部を得るという仕組みである。

PowerDNS の DoS 脆弱性 CVE-2024-25581 が FIX：直ちにアップデートを！

Update Released for PowerDNS to Thwart Denial of Service Attack (CVE-2024-25581)

2024/05/13 SecurityOnline — オープンソース DNS ソフトウェア・プロバイダーとして人気の PowerDNS は、DNSdist 1.9.0〜1.9.3 に存在する脆弱性 CVE-2024-25581 に対して、セキュリティ・アドバイザリをリリースした。この脆弱性の悪用に成功した攻撃者は、サービス拒否 (DoS) 状態を引き起こすことが可能になり、インターネット・サービス・プロバイダー (ISP)／ホスティング・プロバイダーなどの、大規模サービス・プロバイダーの DNS 解決を中断させる可能性を持つ。

Cacti の脆弱性 CVE-2024-25641 などが FIX：PoC もリリース！

Cacti Network Monitoring Software Patched for Critical Security Flaws (CVE-2024-25641)

2024/05/13 SecurityOnline — ネットワーク監視ツールとして広く利用されている Cacti がリリースしたのは、深刻なリモート・コード実行 (RCE：Remote Code Execution) などの脆弱性に対処する、クリティカルなセキュリティ・アップデートである。修正された脆弱性のうち、最も深刻度が高い CVE-2024-25641 (CVSS：9.1) は、テンプレートのインポート権限を持つ認証済みの攻撃者に対して、影響を受ける Web サーバ上での任意の PHP コード実行を許す可能性のあるものだ。

Microsoft Edge のゼロデイ CVE-2024-4671 などが FIX：野放し状態での悪用を観測

Microsoft Edge Zero-Day Vulnerability Patched: Urgent Update Needed

2024/05/13 SecurityOnline — すべての Microsoft Edge ユーザーに対して、サイバー・セキュリティ専門家たちが呼びかけているのは、5月10日にリリースされた最新のセキュリティ更新プログラムを、直ちにインストールすることだ。この重要な更新プログラムが対処しているのは、野放し状態で悪用されている、ゼロデイ欠陥 CVE-2024-4671 などの、複数の脆弱性である。

MITRE が公表する EMB3D：組み込み系デバイスのための脅威モデリング・フレームワーク

MITRE Unveils EMB3D: A Threat-Modeling Framework for Embedded Devices

2024/05/13 TheHackerNews — MITRE Corporation が正式に公開したのは、重要インフラ環境で使用される組込み機器メーカー向けの、EMB3D と呼ばれる新たな脅威モデリング・フレームワークである。この非営利の組織は、「今回のモデルは、組込み機器に対するサイバー脅威について、これまでに培われた知識ベースを提供し、この脅威を軽減するために必要なセキュリティ・メカニズムの共通の理解を提供する」と述べている。

FIDO2 が及ばない領域：MiTM 攻撃による認証セッション窃取は防げない

Security Vulnerability: Researcher Finds FIDO2 Open to Session Hijacking

2024/05/12 SecurityOnline — パスワードレスのスタンダードとも言える FIDO2 は、フィッシングや中間者 (MiTM) 攻撃からの保護のために設計された認証規格であるが、Silverfort のセキュリティ研究者である Dor Segal の新たな研究により、深刻な脆弱性が存在することが明らかになった。FIDO2 のセキュリティ機能は強力だが、認証セッションは依然として、MiTM 攻撃により乗っ取られる可能性があり、機密性の高いユーザー・データを暴露し、アカウントを危険にさらす、可能性が潜むことが示唆される。

Apache OFBiz の脆弱性 CVE-2024-32113：パス・トラバーサルに起因する RCE

CVE-2024-32113 – RCE Vulnerability in Apache OFBiz: Immediate Action Required

2024/05/12 SecurityOnline — 一般的な企業向けソフトウェア・ツール群である Apache OFBiz に、深刻なパス・トラバーサルの脆弱性 CVE-2024-32113 が発見された。この脆弱性の悪用に成功したリモートの攻撃者は、脆弱なバージョンを実行しているシステム上で、悪意のコードを実行する可能性を手にする。Apache OFBiz は、アプリケーション構築のためのフレームワークであり、ERP (enterprise resource planning)／CRM (customer relationship management) ／電子商取引などで使用される。その業界を横断的する視点と柔軟性により、企業にとって人気の選択肢となっている。

WordPress LearnPress LMS Plugin の脆弱性 CVE-2024-4397／4434 が FIX：直ちにアップデートを！

Critical Flaws Found in Popular LearnPress LMS Plugin for WordPress

2024/06/12 SecurityOnline — 世界中で 90,000以上のアクティブなインストールを誇る、WordPress LMS プラグインは、オンライン・コースを作成／管理するためのツールである。この WordPress LMS で発生した、深刻な脆弱性 CVE-2024-4397／CVE-2024-4434 の悪用に成功した攻撃者は、任意のファイル・アップロードや不正なデータベース・アクセスを実行する可能性を持つ。

攻撃対象の拡大／ID ベースの攻撃／AI の新たな利用がテーマ – RSA Con 2024

RSAC: Experts Highlight Novel Cyber Threats and Tactics

2024/05/10 InfoSecurity — サイバー犯罪者や脅威アクターたちが、ツールの性能を向上させるにつれて、洗練された新たな攻撃手法が出現している。防御者たちにとっては、この進化を常に把握することが不可欠となる。Proofpoint の Senior Manager of Threat Research である Daniel Blackford は、「攻撃者たちは大きな成功を収め、多くの資金を手にし、活動範囲を拡大している」と説明している。

SolarWinds ARM の脆弱性 CVE-2024-23473／CVE-2024-28075 が FIX：直ちにアップデートを！

Hard-Coded Credentials (CVE-2024-23473), RCE (CVE-2024-28075) Flaws Patched in SolarWinds ARM

2024/05/10 SecurityOnline — IT 管理ソフトウェアのリーディング・プロバイダである SolarWinds は、5月9日にリリース・ノートを公開し、同社の Access Rights Manager (ARM) ソリューションに存在する、深刻な脆弱性 CVE-2024-28075／CVE-2024-23473 にパッチを適用したことを明らかにした。これらの脆弱性が攻撃者に悪用されると、機密データの漏えい／不正アクセスなどが生じる可能性がある。

PostgreSQL ドライバ Npgsql の脆弱性 CVE-2024-32655 が FIX：SQLi が生じる恐れ

CVE-2024-32655: SQL Injection Flaw Discovered in Popular PostgreSQL Driver, Npgsql

2024/05/10 SecurityOnline — PostgreSQL データベースに .NET アプリケーションを接続する際に広く利用される、OSS データ・プロバイダーである Npgsql に、深刻な脆弱性 CVE-2024-32655 (CVSS：8.1) が発見された。この脆弱性の悪用に成功した攻撃者は、影響を受けるアプリケーションに対すしての SQL コマンド・インジェクションが可能となり、データ漏えいや不正アクセスなどの悪意のアクションが実行される可能性が生じる。

Oracle VM VirtualBox の脆弱性 CVE-2024-21115：記述詳細が公表 – Pwn2Own

Technical Details Released for CVE-2024-21115 Vulnerability Reported in VM VirtualBox

2024/05/10 SecurityOnline — Oracle における仮想化で、広く使われている Oracle VM VirtualBox で発見された、深刻なセキュリティ脆弱性 CVE-2024-21115 について、技術的な詳細が明らかになった。この脆弱性が悪用されると、VirtualBox 環境の完全な乗っ取りにつながる可能性が生じる。

Dell API への侵害：4900万人分の顧客情報が容易に流出してしまった

Dell API abused to steal 49 million customer records in data breach

2024/05/10 BleepingComputer — 先日に発生した Dell におけるデータ流出の背後にいる脅威アクターは、自身で作った偽の会社からアクセスした Partner Portal API を介して、4900万人分の顧客情報をスクレイピングしたことを明らかにした。昨日に BleepingComputer が報じたのは、データ侵害により個人データが盗まれたことを警告する通知を、Dell が顧客に送り始めたことだ。このインシデントで流出したデータには、保証情報／サービスタグ／顧客名／設置場所／顧客番号／注文番号などが含まれていたという。

Next.js Framework の脆弱性 CVE-2024-34350／34351 が FIX：ただちにパッチを！

CVE-2024-34350 & CVE-2024-34351: Two Vulnerabilities Patched in Popular Next.js Framework

2024/05/09 SecurityOnline — フルスタック Web アプリケーションの構築で用いられる、主要フレームワークである Next.js は、最新の React 機能と Rust ベースの JavaScript ツールの統合により、世界的な大企業に広く採用されている。しかし、先日の発見により、ユーザーデータやサーバの運用を危険にさらす可能性のある、深刻なセキュリティ脆弱性が露呈している。

Netflix Genie の脆弱性 CVE-2024-4701 (CVSS 9.9) が FIX：BigData 処理でパス・トラバーサル

CVE-2024-4701 (CVSS 9.9): Major RCE Risk in Netflix’s Genie Platform

2024/05/09 SecurityOnline — Netflix の BigData 処理用 OSS ジョブ・オーケストレーション・エンジン Genie に、深刻なリモートコード実行 (RCE) の脆弱性が発見された。この脆弱性は CVE-2024-4701 として追跡され、その CVSS スコアは 9.9 である。

中小企業がサーバー脅威に直面する理由：いくつかのギャップが確認された – LastPass

Why SMBs are facing significant security, business risks

2024/05/09 HelpNetSecurity — LastPass が提起している問題は、サイバー・セキュリティに対して中小企業のリーダーたちが、より多くの時間／注意／予算を費やしていると報告する一方で、人的な要因により阻害が生じる現状についてのものである。LastPassによると、それらの要因／ポリシー／テクノロジーのギャップが、中小企業に対して悪影響を及ぼす結果として、財務的な損失につながる可能性があるという。

Spin Framework の脆弱性 CVE-2024-32980 が FIX：サンドボックス・エスケープの恐れ

Critical Spin Framework Flaw: Sandbox Escape Vulnerability Exposed (CVE-2024-32980)

2024/05/09 SecurityOnline — 先日に Spin Project が発表したのは、WebAssembly を使用して安全で高速なクラウド・マイクロサービスを構築／実行するために設計された、オープンソースの Spin Framework におけるキュリティ勧告である。それは、深刻な脆弱性 CVE-2024-32980 (CVSS：9.1) であり、きわめて高いリスクが懸念されるものだ。この脆弱性は、特別にコンフィグレーションされた Spin アプリケーションにおいて、ネットワーク・サンドボックス・エスケープの可能性を生じるものだ。

Mobile Banking マルウェアが 32% の急増：サイバー犯罪者にとって金銭は魅力的 – Kaspersky

Mobile Banking Malware Surges 32%

2023/05/09 InfoSecurity — Kaspersky 最新年次レポート “Financial Threats Report for 2023” のデータによると、世界のモバイル・バンキング向けマルウェアは、2022年と比べて 32% も増加している。この、5月6日に発表されたレポートが指摘するのは、Android ユーザーを狙う攻撃が急増し、アフガニスタン／トルクメニスタン／タジキスタンでは、バンキング型トロイの木馬に遭遇する割合が最も高くなっている点だ。特筆すべきは、モバイル・バンキングを狙うマルウェア攻撃ではトルコがトップであり、約３％のユーザーが感染しているという。

Qt Framework の脆弱性 CVE-2024-33861 が FIX：影響は限定的だが油断は禁物

CVE-2024-33861: Patch Released for Qt Vulnerability Affecting Applications

2024/05/09 SecurityOnline — Qt Group がリリースしたのは、QStringConverter コンポーネントで発見された脆弱性 CVE-2024-33861 に対応する、セキュリティ勧告とパッチである。Qt Framework 自体には、リモート攻撃に対する直接の脆弱性は存在しないが、この脆弱性が、QStringDecoder を用いるアプリケーションで悪用される可能性が生じる。

Citrix XenCenter に PuTTY の脆弱性 CVE-2024-31497 が影響：手動での緩和策とは？

Citrix warns admins to manually mitigate PuTTY SSH client bug

2024/05/09 BleepingComputer — 今週に Citrix が顧客に通知したのは、XenCenter 管理者のプライベート SSH キーを、攻撃者が盗み出す可能性がある、PuTTY SSH クライアントの脆弱性を、手動で緩和するためのガイダンスである。XenCenter は、Citrix Hypervisor における仮想マシンのデプロイや監視などを、Windows デスクトップから管理するための環境である。

Zscaler をハッキングしたと主張する IntelBroker：$20,000 相当の暗号通貨でデータを販売

Zscaler Investigates Hacking Claims After Data Offered for Sale

2024/05/09 SecurityWeek — 5月8日 (水) にサイバー・セキュリティ大手 Zscaler は、同社のシステムへのアクセス権を、悪名高いハッカーが販売すると言い出したことを受けて調査を開始した。そのハッカーである IntelBroker は、人気のサイバー犯罪フォーラムで、「最大手のサイバー・セキュリティ企業へのアクセスを販売する」と発表している。この投稿には、標的である企業の名前は記されていないが、フォーラムのシャウト・ボックスで Zscaler であることが確認されている。

Google Chrome ゼロデイ脆弱性 CVE-2024-4671 が FIX：悪用が確認されている

Google Rushes to Patch Chrome Zero-Day Exploit: CVE-2024-4671

2024/05/09 SecurityOnline — Google が発表したのは、すでに Chrome で悪用が確認されている、深刻な脆弱性に対処する緊急のセキュリティ・アップデートである。その脆弱性 CVE-2024-4671 、Chrome ブラウザの Visuals コンポーネント内に存在する、use after free のバグに起因する。

Go 環境の脆弱性 CVE-2024-24787／24788 が FIX：任意のコード実行にいたる可能性

CVE-2024-24787 (CVSS 9.8): Go Vulnerability Could Lead to Code Execution

2024/05/08 SecurityOnline — シンプルで効率的なソフトウェア開発を実現する Go プログラミング言語で、最近になって発見された２つの深刻な脆弱性に対処する、セキュリティ・アドバイザリが発表された。Go 環境で確認されたのは、DNS 操作における任意のコード実行 CVE-2024-24787 と、無限ループ CVE-2024-24788 の脆弱性である。