CentOS Web Panel の深刻な脆弱性 CVE-2021-45467 がFIX:RCE の可能性

Critical Bugs in Control Web Panel Expose Linux Servers to RCE Attacks

2022/01/21 TheHackerNews — Control Web Panel に存在する、2つの深刻なセキュリティ上の脆弱性が公開された。これらの脆弱性は、侵害の連鎖の一部として悪用され、影響が生じたサーバー上で認証前のリモートコード実行を許す可能性がある。この問題は、CVE-2021-45467 として追跡されており、Web アプリケーションが Web サーバー上の任意のファイルを、公開または実行するように仕向けられることで発生する、ファイル・インクルージョンの脆弱性に関するものだ。

Continue reading “CentOS Web Panel の深刻な脆弱性 CVE-2021-45467 がFIX:RCE の可能性”

2021年はサプライチェーン攻撃の年:3倍増の件数と3つの大きな課題

Software Supply Chain Attacks Tripled in 2021: Study

2022/01/20 SecurityWeek — 2021年は、ソフトウェア・サプライチェーン攻撃の年だったと言えるだろう。SolarWinds が世界の目を見開かせ、脅威の大きさを明らかにした年だ。それ以外にも、Kaseya/Codecov/ua-parser-js/Log4j などの大規模な攻撃があった。いずれの場合も、攻撃者にとって魅力的なのは、分散したコードにおける1つの違反/危殆化/脆弱性が、数千人にもいたる犠牲者を出す可能性があることだ。

Continue reading “2021年はサプライチェーン攻撃の年:3倍増の件数と3つの大きな課題”

WordPress プラグインの深刻な脆弱性 CVE-2022-0215:Web サイト 84,000 件に影響

High-Severity Vulnerability in 3 WordPress Plugins Affected 84,000 Websites

2022/01/16 TheHackerNews — 研究者たちが、84,000以上の Web サイトに影響を与える、3種類の WordPress プラグインのセキュリティ欠陥を公開した。これらの欠陥を悪用する脅威アクターにより、脆弱な WordPress サイトが乗っ取られる可能性もある。WordPress 傘下のセキュリティ企業である Wordfence は、先週に発表したレポートの中で、「この欠陥により、サイトの管理者が騙され、リンクをクリックするなどのアクションが実行されると、攻撃者は脆弱なサイトで任意のサイト・オプションを更新できる」と述べている。

Continue reading “WordPress プラグインの深刻な脆弱性 CVE-2022-0215:Web サイト 84,000 件に影響”

Linux と IoT とマルウェア:2021年の調査結果は前年比で 35% 増

Linux malware sees 35% growth during 2021

2022/01/15 BleepingComputer — Linux デバイスを標的としたマルウェアの感染件数は、2021年に 35%増加しており、その多くは DDoS 攻撃のための IoT デバイスの取り込みが目標となっている。IoT デバイスは多様な Linux ディストリビューションを実行するが、一般的にパワー不足のスマート・デバイスであり、その機能も特定の範囲に制限されている。しかし、それらのリソースが、大規模なグループにまとめられると、十分に保護されたインフラに対して大規模な DDoS 攻撃を仕掛ける能力を持つことになる。

Continue reading “Linux と IoT とマルウェア:2021年の調査結果は前年比で 35% 増”

ホワイトハウス OSS セキュリティ・サミット:各ベンダーの声明を集めてみた

U.S. Government, Tech Giants Discuss Open Source Software Security

2022/01/14 SecurityWeek — 2020年1月13日にホワイトハウス・サミットが開催され、米国の政府と大手ハイテク企業の代表者がオープンソース・ソフトウェアのセキュリティについて話し合った。広く利用されている Log4j ロギング・ユーティリティーに影響を与える脆弱性が、公開/悪用されたことで、オープンソースとソフトウェア・サプライチェーンのセキュリティの重要性が、あらためて浮き彫りになっている。ホワイトハウス・サミットの目的は、オープンソース・ソフトウェアのセキュリティを向上させ、オープンソース・コミュニティを効果的にサポートする方法を特定することだった。

Continue reading “ホワイトハウス OSS セキュリティ・サミット:各ベンダーの声明を集めてみた”

ホワイトハウスの念押し:ハイテク大手のオープンソースが国家安全保障の問題

White House reminds tech giants open source is a national security issue

2022/01/14 BleepingComputer — Log4J の脆弱性による重要インフラへの脅威を受けて、ホワイトハウスは政府機関や民間企業に対して、オープンソース・ソフトウェアとサプライチェーンの安全確保に向けて、リソースを結集し努力するよう養成した。そのためのサミットが開催され、「オープンソース・ソフトウェアのセキュリティ上の欠陥や脆弱性の防止」「セキュリティ上の欠陥の発見と修正のプロセスの改善」「修正プログラムの提供と展開に要する時間の短縮」という、3つのテーマが取り上げられた。

Continue reading “ホワイトハウスの念押し:ハイテク大手のオープンソースが国家安全保障の問題”

TellYouThePass ランサムウェアが復活:Golang によるクロス・プラットフォームと Log4Shell

TellYouThePass ransomware returns as a cross-platform Golang threat

2022/01/12 BleepingComputer — TellYouThePass ランサムウェアは、Golang でコンパイルされたマルウェアとして再登場し、多様なオペレーティング・システムにおいて、特に macOS と Linux を標的にすることが容易になった。このマルウェアは、先月に Log4Shell エクスプロイトと組み合わせることで、脆弱なマシンを狙うために使用されたことで注目されている。今回、Crowdstrike が発表したレポートは、Windows 以外のプラットフォーム向けのコンパイルを容易にする、コードレベルの変更による復活に注目している。

Continue reading “TellYouThePass ランサムウェアが復活:Golang によるクロス・プラットフォームと Log4Shell”

Night Sky ランサムウェアによる Log4j バグの悪用:VMware Horizon のハッキングが開始された

Night Sky ransomware uses Log4j bug to hack VMware Horizon servers

2022/01/11 BleepingComputer — ランサムウェア Night Sky が、Log4j ロギング・ライブラリに存在する深刻な脆弱性 CVE-2021-44228 (Log4Shell) を悪用し、VMware Horizon システムへのアクセスを開始した。このランサムウェアは、正規の企業を装ったドメインから、Web 上に公開されている脆弱なマシンを標的としており、その中にはテクノロジーやサイバー・セキュリティ分野の企業も含まれている。

Continue reading “Night Sky ランサムウェアによる Log4j バグの悪用:VMware Horizon のハッキングが開始された”

KCodes NetUSB に RCE 脆弱性:Netgear/TP-Link/Tenda などのルーターに影響

New KCodes NetUSB Bug Affect Millions of Routers from Different Vendors

2022/01/11 TheHackerNews — この、問題となるコンポーネントは、Netgear/TP-Link/Tenda/EDiMAX/D-Link/Western Digital などの、数百万台のエンドユーザー向けルーターに組み込まれている。KCodes NetUSB は、ローカル・ネットワーク上のデバイスが、USB ベースのサービスを IP 経由で提供できるようにするための Linux カーネル・モジュールである。

Continue reading “KCodes NetUSB に RCE 脆弱性:Netgear/TP-Link/Tenda などのルーターに影響”

WordPress 5.8.3 がリリース:SQL injection/XSS などの脆弱性に対応

WordPress 5.8.3 security update fixes SQL injection, XSS flaws

2022/01/10 BleepingComputer — WordPress の開発チームは、4つの脆弱性 (そのうちの3つは深刻度 High) に対応した、短期サイクルのセキュリティ・リリースである Ver 5.8.3 をリリースした。このセットには、WP_Query での SQL インジェクション/WP_Meta_Query を介したブラインド SQL インジェクション/post slugs を介した XSS 攻撃/admin object インジェクションが含まれる。

Continue reading “WordPress 5.8.3 がリリース:SQL injection/XSS などの脆弱性に対応”

H2 Database Console に Log4Shell と同じ構造の脆弱性:約 6,800 件のアーティファクトに影響

Log4Shell-like Critical RCE Flaw Discovered in H2 Database Console

2022/01/07 TheHackerNews — H2 データベース・コンソールで発見されたリモートコード実行の脆弱性だが、先月に明らかになった Log4Shell と同じ構造を持つ欠陥であることが、研究者たちにより公表された。JFrog の研究者である Andrey Polkovenko と Shachar Menashe は、「Log4j 以外のコンポーネントで発表された、Log4Shell に似た初めての深刻な問題であり、Log4Shell と同じ根本的な原因であう、JNDI リモートクラス・ローディングを悪用するものだ」と述べている。

Continue reading “H2 Database Console に Log4Shell と同じ構造の脆弱性:約 6,800 件のアーティファクトに影響”

HackerOne のバグバウンティ・プログラム:そこから見えてくる5つの論点

5 Things New with Bug Bounty Programs

2022/01/07 SecurityIntelligence — 2021年9月29日に HackerOne は、Internet Bug Bounty (IBB) プログラムの最新版を発表した。この取り組みにより、2013年から2021年の間に生じている、オープンソース・ソフトウェアに存在する、1,000件以上の脆弱性を発見するよう調整がなされた。HackerOne の最新バージョンは、既存のバグバウンティから得られる防御力を蓄積し、脆弱性管理ライフサイクルに貢献する利害関係者を表彰する方法で報奨金を分割していく。さらに、脆弱性提出フローの統合により、参加する研究者のエクスペリエンスを向上させ、プログラムの範囲をさらに拡大することを目的としている。

Continue reading “HackerOne のバグバウンティ・プログラム:そこから見えてくる5つの論点”

Netgear Nighthawk R6700v3 ルーターに複数の脆弱性:現時点ではパッチは未適用?

Multiple flaws in Netgear Nighthawk R6700v3 router are still unpatched

2021/12/31 SecurityAffairs — Tenable の研究者たちが、人気の Netgear Nighthawk R6700v3 WiFi ルーターの、最新のファームウェアのバージョン 1.0.4.120 に存在する複数の脆弱性を発見した。攻撃者たちは、この脆弱性をトリガーとして、危殆化したデバイスを完全に制御できる。

Continue reading “Netgear Nighthawk R6700v3 ルーターに複数の脆弱性:現時点ではパッチは未適用?”

Log4j 問題の 5W1H:現状の正確な認識と将来へ向けたステップ

AppSec and Software Community Respond to Log4j

2021/12/30 SecurityBoulevard — アプリケーション・セキュリティとオープンソース・ソフトウェアのコミュニティは、Java Log4j の脆弱性の問題に立ち向かい、ソフトウェアへのパッチ適用/情報の共有/緩和策やツールの提供などを行っている。まだ危機を脱したわけではないが、彼らのこれまでの行動には感銘を受けた。

Continue reading “Log4j 問題の 5W1H:現状の正確な認識と将来へ向けたステップ”

Apache から Log4j 2.17.1 がリリース:新たなリモートコード実行 CVE-2021-44832 に対応

Log4j 2.17.1 out now, fixes new remote code execution bug

2021/12/28 BleepingComputer — Apache は、Log4j 2.17.0 における、新たなリモートコード実行 (RCE) 脆弱性 CVE-2021-44832 をに対して、新バージョン 2.17.1 をリリースし、この問題を修正した。今日までは、2.17.0 が Log4j の最新バージョンであり、アップグレードする対象として、最も安全であると考えられていたが、アドバイザリは進化している。

Continue reading “Apache から Log4j 2.17.1 がリリース:新たなリモートコード実行 CVE-2021-44832 に対応”

Apache HTTP Server の脆弱性 CVE-2021-44790/CVE-2021-44224 が FIX

Apache addressed a couple of severe vulnerabilities in Apache HTTP Server

2021/12/27 SecurityAffairs — Apache Software Foundation (ASF) は、Apache HTTP Server 2.4.52 をリリースし、リモートコード実行攻撃につながる脆弱性 CVE-2021-44790/CVE-2021-44224 に対処した。CVE-2021-44790 は、Apache HTTP Server 2.4.51 以前の mod_lua でマルチパート・コンテンツを解析する際に生じる、バッファ・オーバーフローの脆弱性である。Apache HTTPD チームは、この脆弱性を悪用した攻撃が、ワイルドに発生しているとは認識していない。

Continue reading “Apache HTTP Server の脆弱性 CVE-2021-44790/CVE-2021-44224 が FIX”

Log4j インシデントに暴露されたサイバー・セキュリティの駄目なところ

Log4j Reveals Cybersecurity’s Dirty Little Secret

2021/12/23 DarkReading — 技術系メディアが、インターネットが炎上していると報じ始めたら、重大な事態に陥っていることを意味する。Log4Shell と呼ばれる Log4j の脆弱性は、時間の経過と伴に、その深刻さが判明し、範囲と影響が拡大する一方である。米国の Cybersecurity and Infrastructure Security Agency (CISA) や英国の機関などが、直ちに対策を講じることを推奨しており、また、現代のハイテク業界の有名企業たちは、この数年で最も深刻なゼロデイ脅威に対して、深刻な脆弱性を抱えていることが判明している。

Continue reading “Log4j インシデントに暴露されたサイバー・セキュリティの駄目なところ”

Arctic Wolf の Log4Shell Deep Scan スクリプト:入れ子になっている Log4j を探査

Arctic Wolf Script Can Discover Log4Shell Vulnerabilities

2021/12/23 SecurityBoulevard — 今週のこと、マネージド・セキュリティ・サービスを提供している Arctic Wolf は、スキャン・ツールによる Log4Shell 脆弱性の発見を支援するスクリプトを公開した。Arctic Wolf の Field CTO である Ian McShane によると、同社は Log4Shell Deep Scan スクリプトを使用して、ネストされた JAR/WAR/EAR ファイル内の CVE-2021-45046/CVE-2021-44228 の脆弱性を検出している。

Continue reading “Arctic Wolf の Log4Shell Deep Scan スクリプト:入れ子になっている Log4j を探査”

Log4j 脆弱性とバグ報奨金:大衆のパワーが事態を明確にしてきた

Bug bounty platforms handling thousands of Log4j vulnerability reports

2021/12/22 DailySwig — 世界のソフトウェア・エコシステムに衝撃を与え続けている、Apache Log4j のバグに関連する脆弱性報告が、バグバウンティ・ハンターにより何千件も提出されている。このバグは、オープンソースの Java ロギング・ライブラリ Log4j に存在する、CVSS 値 10 という深刻な欠陥であり、これまでにない数の潜在的な標的に対して、サイバー犯罪者によるリモートコード実行 (RCE) 攻撃を許してしまうものとなる。

Continue reading “Log4j 脆弱性とバグ報奨金:大衆のパワーが事態を明確にしてきた”

Log4Shell を最初に中国政府に報告しなかった Alibaba:これでペナルティは可哀想

China disciplines Alibaba Cloud for handling of Log4j bug

2021/12/22 SCMP — 中国のインターネット・セキュリティ当局が、Alibaba Group Holding のクラウド・コンピューティング・サービス部門を懲戒処分にした。水曜日に中国メディアが報じたところによると、サイバー・セキュリティ業界を震撼させた Apache Log4j ソフトウェアの深刻な脆弱性を、最初に政府に報告しなかったことが原因のようだ。

Continue reading “Log4Shell を最初に中国政府に報告しなかった Alibaba:これでペナルティは可哀想”

Azure App Service の深刻な問題:4年間にわたり PHP/Ruby/Python/Node のソースが漏洩

4-Year-Old Bug in Azure App Service Exposed Hundreds of Source Code Repositories

202/12/22 TheHackerNews — Microsoft の Azure App Service におけるセキュリティ上の欠陥により、2017年9月から少なくとも4年間に渡り、Java/Node/PHP/Python/Ruby で書かれた、顧客アプリケーションのソースコードが公開されていたことが明らかになった。

Continue reading “Azure App Service の深刻な問題:4年間にわたり PHP/Ruby/Python/Node のソースが漏洩”

Log4j の悪用:企業ネットワークの 40% が攻撃者の標的になり得る

40% of Corporate Networks Targeted by Attackers Seeking to Exploit Log4j

2021/12/14 DarkReading — Log4j の脆弱性が、インターネット・セキュリティにとって最大の脅威の1つであるという初期の懸念は、週末に爆発的に増加した脆弱性の悪用と悪用活動により早急に確認されており、企業が行うべき修復作業の膨大さが明らかになっている。

Continue reading “Log4j の悪用:企業ネットワークの 40% が攻撃者の標的になり得る”

OWASP ModSecurity Core Rule Set サンドボックスが登場:新たな CVE の研究が効率化される

OWASP ModSecurity Core Rule Set sandbox launched to help security researchers test new CVEs

2021/12/10 DailySwig — OWASP ModSecurity Core Rule Set に対してペイロード・テストを行うセキュリティ研究者たちが、プロジェクト・メンテナがリリースした新しいサンドボックスを使えるようになったという朗報である。この Core Rule Set (CRS) とは、ModSecurity および、互換性のある Web Application Firewalls (WAF) で使用するための、一般的な攻撃検知ルールのセットである。その目的は、OWASP Top Ten を含む広範な攻撃から、Webアプリケーションを保護することにある。

Continue reading “OWASP ModSecurity Core Rule Set サンドボックスが登場:新たな CVE の研究が効率化される”

Log4j Java library の深刻なゼロデイ脆弱性 CVE-2021-44228 に対処するには?

New zero-day exploit for Log4j Java library is an enterprise nightmare

2021/12/10 BleepingComputer — ユビキタスな Java ベースのロギング・ライブラリである Apache Log4j の、深刻なゼロデイ脆弱性の PoC エクスプロイトがオンラインで共有されたことで、ホーム/エンタープライズ・ユーザーが、リモートコード実行の攻撃にさらされる可能性が生じている。

Continue reading “Log4j Java library の深刻なゼロデイ脆弱性 CVE-2021-44228 に対処するには?”

悪意の Notepad++ インストーラー:StrongPity マルウェアにログを抜き出される

Malicious Notepad++ installers push StrongPity malware

2021/12/09 BleepingComputer — StrongPity という洗練されたハッキング・グループが、Notepad++ のインストーラーにターゲットにして、マルウェアを拡散している。この、APT-C-41 および Promethium とも呼ばれるハッキング・グループは、2016年〜2018年にもトロイの木馬化した WinRAR インストーラーを拡散し、ターゲットを絞り込んだキャンペーン行っており、この手法は新しいものではない。

Continue reading “悪意の Notepad++ インストーラー:StrongPity マルウェアにログを抜き出される”

Grafana のゼロデイ脆弱性 CVE-2021-43798 の PoC が Twitter で拡散

Grafana fixes zero-day vulnerability after exploits spread over Twitter

2021/12/07 BleepingComputer — 今日、オープンソースの分析/可視化ソリューションを提供する Grafana は、ローカル・ファイルへのリモート・アクセスを許してしまう、深刻度の高いゼロデイ脆弱性を修正する緊急アップデートを行った。この問題の詳細は、今週の初めに公開が始まっており、Grafana Labs は影響を受けるVersion 8.0.0-beta1〜8.3.0 のアップデートを提供した。

Continue reading “Grafana のゼロデイ脆弱性 CVE-2021-43798 の PoC が Twitter で拡散”

普及品 Wi-Fi ルーターに大量の脆弱性:TP-Link 32件/Synology 30件/Netgear 29件など

Hundreds of vulnerabilities in common Wi-Fi routers affect millions of users

2021/12/05 SecurityAffairs — ドイツの IT 雑誌 CHIP のセキュリティ研究者と編集者たちは、有力メーカー (Asus/AVM/D-Link/Netgear/Edimax/TP-Link/Synology/Linksys) の9つの Wi-Fi ルーターに 226件の潜在的なセキュリティ上の欠陥を発見した。これらの脆弱性により、数百万人のユーザーが影響を受ける可能性があるという。TP-Link Archer AX6000 には 32件の脆弱性が発見されており、Synology RT-2600ac には 30件、Netgear Nighthawk AX12 には 29件の脆弱性が見つかっており、これらの脆弱性の影響を受ける可能性が生じている。

Continue reading “普及品 Wi-Fi ルーターに大量の脆弱性:TP-Link 32件/Synology 30件/Netgear 29件など”

CISA 勧告:Hitachi Energy 製品群における OpenSSL/LibSSL/libxml2 などの脆弱性

CISA warns of vulnerabilities in Hitachi Energy products

2021/12/04 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Hitachi Energy の製品に影響を与える脆弱性について、セキュリティ・パッチの提供や通知に関連する、6つの勧告を発表した。

Continue reading “CISA 勧告:Hitachi Energy 製品群における OpenSSL/LibSSL/libxml2 などの脆弱性”

VirusTotal Collections が登場:Indicators of Compromise (IoC) の共有を推進する

VirusTotal Collections allows enhancing the sharing of Indicators of Compromise (IoCs)

2021/12/01 SecurityAffairs — VirusTotal は、脅威研究者がたちが IoC (Indicators of Compromise) を共有するための、新サービス VirusTotal Collections を発表した。このコレクションは、特定の脅威に関連する IoC を含むライ・ブレポートであり、VirusTotal の登録ユーザーであれば利用できる。また、このレポートには、最新の VirusTotal 分析メタ・データが含まれる。

Continue reading “VirusTotal Collections が登場:Indicators of Compromise (IoC) の共有を推進する”

オープンソースからバグを取り除く:重要なのは報奨金とエコシステムだ

Searching for Bugs in Open Source Code

2021/11/30 SecurityBoulevard — まずは、迷信の払拭から始めよう。オープンソース・ソフトウェアが、クローズドソース・ソフトウェアよりも、安全性が低いということはない。しかし、オープンソースのプログラムに脆弱性が発見されると、クローズドソースで発見された脆弱性よりも、はるかに容易に武器化し、悪用される傾向にある。これが、現実だ。

Continue reading “オープンソースからバグを取り除く:重要なのは報奨金とエコシステムだ”

Apache HTTP Server の脆弱性 CVE-2021-40438:悪用の実績と Cisco 製品群への影響

Experts warn of attacks exploiting CVE-2021-40438 flaw in Apache HTTP Server

2021/11/29 SecurityAffairs — 脅威アクターたちは、先日に Apache HTTP サーバーで見つかった、Server-Side Request Forgery (SSRF) の脆弱性 CVE-2021-40438 を悪用している。この CVE-2021-40438 は、mod_proxy モジュールを有効にしている、httpd Web サーバーに対して悪用される可能性がある。脅威アクターたちは、特別に細工したリクエストを用いて問題を引き起こし、任意のオリジン・サーバーに対して、このモジュールからリクエストを転送させることが可能だ。

Continue reading “Apache HTTP Server の脆弱性 CVE-2021-40438:悪用の実績と Cisco 製品群への影響”

GoDaddy の 120万人分のデータ侵害は Managed WordPress で起こった

New GoDaddy data breach impacted 1.2 million customers

2021/11/22 SecurityAffairs — GoDaddy が公表したデータ侵害のインシデントは、最大で 120万人の顧客に影響を与えるという。脅威アクターたちが、同社のマネージド WordPress ホスティング環境に侵入しことで、このインシデントは起こった。脅威アクターは、2021年9月6日ころから、同社のネットワークを侵害していたが、このセキュリティ侵害が発見されたのは 11月17日だった。

Continue reading “GoDaddy の 120万人分のデータ侵害は Managed WordPress で起こった”

Node.js NPM パッケージにバックドア:2200万回/週も DL される人気のライブラリ

Two NPM Packages With 22 Million Weekly Downloads Found Backdoored

2021/11/07 TheHackerNews — オープンソース・ソフトウェアのリポジトリを標的とした、新たなサプライチェーン攻撃が発生した。毎週の累積ダウンロード数が、約2,200万にも上る人気の NPM パッケージ2つが、開発者のアカウントへの不正アクセスにより、悪意のコードで侵害されていたことが判明した。

Continue reading “Node.js NPM パッケージにバックドア:2200万回/週も DL される人気のライブラリ”

Linux カーネル TIPC における深刻な RCE 脆弱性が Ver 5.15 で FIX

Critical RCE Vulnerability Reported in Linux Kernel’s TIPC Module

2021/11/04 TheHackerNews — サイバー・セキュリティ企業の研究者たちが、Linux カーネルの Transparent Inter Process Communication (TIPC) モジュールにセキュリティ上の欠陥があることを明らかにした。この欠陥は、ローカルおよびリモートの両方から悪用され、カーネル内での任意のコード実行や、脆弱化されたマシンの制御を許す可能性がある。

Continue reading “Linux カーネル TIPC における深刻な RCE 脆弱性が Ver 5.15 で FIX”

Hive ランサムウェアによる暗号化:Linux と FreeBSD がターゲットに追加

Hive ransomware now encrypts Linux and FreeBSD systems

2021/10/29 BleepingComputer — ランサムウェア Hive は、Linux や FreeBSD をターゲットに開発された新種のマルウェアを用いて、これらのプラットフォームも暗号化してしまう。しかし、スロバキアのインターネット・セキュリティ企業 ESET が発見したように、Hive の新しい暗号化ツールは開発中であり、機能が不足している。

Continue reading “Hive ランサムウェアによる暗号化:Linux と FreeBSD がターゲットに追加”

Google が考えるセキュアな OSS:開発者たちに1億円の報奨金を準備する

Google Contributes $1M to Reward Developers for OSS Security

2021/10/01 SecurityBoulevard — 今日 Google は、Linux Foundation により管理される Secure Open Source (SOS) Pilot Program を立ち上げた。このプログラムでは、オープンソース・ソフトウェアの安全性を高める取り組みを行った開発者に対して、$1 million の報酬が提供される。Google Open Source Security Team の Principal Engineer and Manager である Abhishek Arya は、「今回の取り組みは、Google が以前から行ってきた $10 billion 規模のオープンソース・セキュリティへの取り組みの最新版だ」と述べている。

Continue reading “Google が考えるセキュアな OSS:開発者たちに1億円の報奨金を準備する”

Travis CI の脆弱性により膨大なオープンソース・プロジェクトから秘密が漏れる

Travis CI Flaw Exposes Secrets of Thousands of Open Source Projects

2021/09/16 TheHackerNews — 継続的インテグレーション・ベンダーである Travis CI は、API keys/Access Tokens/Credentials が流出するという、深刻なセキュリティ上の欠陥を修正した。それに伴い、公開されたソースコード・リポジトリを使用する組織には、攻撃を受ける可能性が生じる。

Continue reading “Travis CI の脆弱性により膨大なオープンソース・プロジェクトから秘密が漏れる”

Kali Linux 2021.3 のペンテスト能力:OpenSSL/VM 対応を強化

Kali Linux 2021.3 released with new pentest tools, improvements

2021/09/15 BleepingComputer — 昨日に Offensive Security からリリースされた Kali Linux 2021.3 には、新しいツールセットや、改善された仮想化サポート、攻撃対象領域が増えた新しい OpenSSL コンフィグレーションなどが含まれている。

Continue reading “Kali Linux 2021.3 のペンテスト能力:OpenSSL/VM 対応を強化”

Microsoft Azure の OMIGOD 脆弱性はログ収集エージェントが原因?

Critical Flaws Discovered in Azure App That Microsoft Secretly Installed on Linux VMs

2021/09/15 TheHackerNews — Microsoft は、9月の Patch Tuesday アップデートにおいて、Azure クラウド標的にした脆弱化されたシステムのリモート操作や、特権昇格などを引き起こす恐れのある4つのセキュリティ陥に対処した。これらの脆弱性は、Wiz の研究者が OMIGOD と総称しているものであり、多くのAzure サービスに自動的に導入されている Open Management Infrastructure という、あまり知られていないソフトウェア・エージェントに影響を与える。

Continue reading “Microsoft Azure の OMIGOD 脆弱性はログ収集エージェントが原因?”

HAProxy の深刻な脆弱性により HTTP リクエスト・スマグリングが生じる?

HAProxy Found Vulnerable to Critical HTTP Request Smuggling Attack

2021/09/08 TheHackerNews — HAProxy は、オープンソースのロード・バランサー/プロキシ・サーバーとして広く利用されているが、この HAProxy には深刻なセキュリティ上の脆弱性が存在する。この CVE-2021-40346として追跡されている整数オーバーフローの脆弱性は、CVSS 値 8.6 であり、HAProxy Ver 2.0.25 / 2.2.17 / 2.3.14 / 2.4.4 で修正されている。

Continue reading “HAProxy の深刻な脆弱性により HTTP リクエスト・スマグリングが生じる?”

Windows イベントログ切り刻む Chainsaw ツールとは?

New Chainsaw tool helps IR teams analyze Windows event logs

2021/09/06 BleepingComputer — インシデント・レスポンダーやブルー・チームは、Windows のイベントログ記録の検索を高速化し、脅威を特定するための、Chainsaw という新しいツールを手に入れた。このツールは、セキュリティ関連業務における、最初の対応ステップを支援するために設計されており、ブルーチームの調査でエントリをトリアージする際にも役立つ。

Continue reading “Windows イベントログ切り刻む Chainsaw ツールとは?”

Google TensorFlow から YAML が脱落:深刻な RCE 脆弱性が原因

Google’s TensorFlow drops YAML support due to code execution flaw

2021/09/05 BleepingComputer — Google が開発した Python ベースの機械学習/人工知能プロジェクトである TensorFlow は、深刻ななコード実行の脆弱性に対処するため、YAML のサポートを終了した。YAML (Yet Another Markup Language) は、コンフィグレーション・ファイルや転送中のデータを扱い、人間が読める形にシリアライズする言語であり、開発者にとって便利な選択肢である。

Continue reading “Google TensorFlow から YAML が脱落:深刻な RCE 脆弱性が原因”

Moxa の鉄道用デバイスに影響をおよぼす 60件の脆弱性

Flaws in Moxa Railway Devices Could Allow Hackers to Cause Disruptions

2021/09/02 SecurityWeek — 台湾の産業用ネットワーク/オートメーション企業である Moxa が製造する、鉄道向けの無線通信デバイスには、60件近くの脆弱性が存在する。今週に、Atos 傘下のサイバーセキュリティ・コンサルティング会社である SEC Consult は、同社の研究者が Moxa デバイスに、新たに2つの脆弱性を発見したほか、数十の欠陥をもたらす古いサードパーティ製ソフトウェア・コンポーネント群を発見した。

Continue reading “Moxa の鉄道用デバイスに影響をおよぼす 60件の脆弱性”

QNAP NAS と OpenSSL 脆弱性:現時点では対応中とのこと

QNAP works on patches for OpenSSL bugs impacting its NAS devices

2021/08/30 BleepingComputer — 先週のこと、NAS メーカーの QNAP は、OpenSSL によるパッチが適用されたリモートコード実行 (RCE) およびサービス拒否 (DoS) の脆弱性に対処するため、セキュリティ・アップデートの調査と作業を行っている。脆弱性 CVE-2021-3711 CVE-2021-3712 は、QTS / QuTS hero / QuTScloud / HBS 3 Hybrid Backup Sync を実行する QNAP NAS デバイスに影響する。

Continue reading “QNAP NAS と OpenSSL 脆弱性:現時点では対応中とのこと”

Synology SNA 問題:OpenSSL の脆弱性が一部のバージョンに影響

Synology: Multiple products impacted by OpenSSL RCE vulnerability

2021/08/26 BleepingComputer — 台湾の NAS メーカーである Synology の発表によると、最近の公開された OpenSSL 脆弱性である、リモートコード実行 (RCE) およびサービス拒否 (DoS) が、同社の一部の製品に影響を与えるとのことだ。

Continue reading “Synology SNA 問題:OpenSSL の脆弱性が一部のバージョンに影響”

クラウドの Linux が標的になり始めている:コンテナの中身は大丈夫?

Attackers Increasingly Target Linux in the Cloud

2021/08/24 DarkReading — これまで、Linux という OS は、システム管理者やハッカーに好まれてきたが、今ではサイバー犯罪者にとっても重要なターゲットとなっている。Web シェルや暗号通貨マイニングなどのマルウェアが Linux コンテナから実行されることがあり、また、Linux に存在する約200種類の脆弱性も攻撃の対象となっている。Trend Micro が発表したデータによると、コンテナが広く普及している状況が示され、また、人気のコンテナには相当数の脆弱性が存在していることが分かる。

Continue reading “クラウドの Linux が標的になり始めている:コンテナの中身は大丈夫?”

Linux System をハックする深刻な脆弱性のリスト Top-15

Top 15 Vulnerabilities Attackers Exploited Millions of Times to Hack Linux Systems

2021/08/23 TheHackerNews — 1,400万近くの Linux ベースのシステムが、インターネットにダイレクトにさらされており、悪意の Web シェルや、暗号通貨マイナー、ランサムウェア、トロイの木馬などのデプロイメントといった、実在する多様な攻撃の格好の標的となっている。この記事は、Trend Micro が発表した Linux の脅威に関する調査結果に基づくものであり、ハニーポット/センサー/匿名化されたテレメトリーから収集したデータを基に、2021 年前半の Linux OS に影響をおよぼした脆弱性の詳細に説明している。

Continue reading “Linux System をハックする深刻な脆弱性のリスト Top-15”

Google Allstar は GitHub のセキュアな運用のためのオープンソース

Google open-sourced Allstar tool to secure GitHub repositories

2021/08/13 SecurityAffairs — Google がオープンソース化した Allstar は、設定ミスを防ぐための一連のセキュリティ・ポリシーを施行することで、GitHub プロジェクトのセキュリティを確保するツールのプロジェクトである。このプロジェクトの説明には、「Allstar は、組織やリポジトリにインストールして、セキュリティ・ポリシーを設定/実施するための GitHub App だ。その目的は、リスクを伴う可能性のある GitHub の設定や、セキュリティのベスト・プラクティスに従わないリポジトリの、ファイル・コンテンツを継続的に監視/検出する点にある。Allstar により、リポジトリのコンプライアンス違反が発見された場合には、課題の作成やセキュリティ設定の復元などのアクションが実行される」と書かれている。

Continue reading “Google Allstar は GitHub のセキュアな運用のためのオープンソース”

Ubuntu Linux の eBPF 脆弱性に対する PoC エクスプロイトが公開

Linux eBPF bug gets root privileges on Ubuntu – Exploit released

2021/07/30 BleepingComputer — Linux カーネルの eBPF (Extended Berkeley Packet Filter) に深刻度の高い脆弱性があり、Ubuntu マシン上において攻撃者に高い権限を与えてしまう可能性があるため、セキュリティ研究者が PoC エクスプロイト・コードを公開した。この、5月に公開された脆弱性 CVE-2021-3490 は、特権昇格を引き起こすものであるが、それを悪用するには、対象マシンのローカル・アクセスが必要となる。なお、eBPF とは、特定のイベントや機能 (システム・コールやネットワーク・イベントなど) をトリガーとして、OS のカーネル内でユーザー・プログラムをサンドボックス化して実行する技術である。

Continue reading “Ubuntu Linux の eBPF 脆弱性に対する PoC エクスプロイトが公開”

中小企業で活用される3つの OSS プロジェクトに9つの脆弱性が

Several Bugs Found in 3 Open-Source Software Used by Several Businesses

2021/07/27 TheHackerNews — この火曜日に、サイバー・セキュリティ研究者たちは、いくつかの中小企業で広く利用されている EspoCRM / Pimcore / Akaunting という、3つの OSS プロジェクトに影響を与える、9つの脆弱性を公開した。この脆弱性が悪用されると、より高度な攻撃への道が開かれてしまう可能性がある。EspoCRM v6.1.6 および、Pimcore Customer Data Framework v3.0.0、Pimcore AdminBundle v6.8.0、Akaunting v2.1.12 に影響を与えるセキュリティ上の欠陥は、公開後1日以内に修正されたと、Nokia の研究者である Wiktor Sędkowski と Rapid7の Trevor Christiansen は指摘している。

Continue reading “中小企業で活用される3つの OSS プロジェクトに9つの脆弱性が”