_OpenSource – Page 14 – IoT OT Security News

HFS の脆弱性 CVE-2024-39943 (CVSS 9.9) が FIX：RCE にいたる恐れ

CVE-2024-39943 (CVSS 9.9): Critical Vulnerability in HTTP File Server Exposes Systems to RCE

2024/07/05 SecurityOnline — HTTP 経由でのファイル送受信に使用される、一般的なファイル共有ソフトウェアである HFS (HTTP File Server) に、重大な脆弱性 CVE-2024-39943 (CVSS：9.9) が発見された。この脆弱性は、Linux／UNIX／macOS 上で 0.52.10 未満の HFS を実行しているシステムに重大な脅威をもたらす。この脆弱性の悪用に成功した、アップロード権限を持つ、認証されたリモートの攻撃者は、OS のコマンド実行が可能になる。

Apache HTTP Server の脆弱性 CVE-2024-39884 が FIX：情報漏えいの恐れ

Apache HTTP Server Update Patches Critical Source Code Disclosure Flaw (CVE-2024-39884)

2024/07/04 securityonline — 先日に Apache が公表したのは、深刻なソースコード漏洩の脆弱性 CVE-2024-39884 に対処する、Apache HTTP Server 2.4.61 への緊急アップデートの実施である。Apache チームにより “Important” と評価された、この脆弱性の悪用に成功した攻撃者は、サーバに保存された機密情報を漏えさせる可能性を手にする。

Fiber Go の深刻な脆弱性 CVE-2024-38513 が FIX：セッション ID の不正操作

CVE-2024-38513 (CVSS 9.8): Critical Security Flaw in Popular Go Web Framework, Fiber

2024/07/04 SecurityOnline — プログラミング言語 “Go” の Web フレームワークとして広く使われている “Fiber” に、脆弱性 CVE-2024-38513 (CVSS：9.8) が発見された。この脆弱性の悪用に成功した攻撃者は、ユーザー・セッションを乗っ取ることができ、不正アクセスやデータ漏洩へとつなげる可能性を手にする。

OpenStack の脆弱性 CVE-2024-32498 が FIX：機密データへの不正アクセスに繋がる恐れ

CVE-2024-32498: Critical OpenStack Flaw Exposes Cloud Data to Attackers

2024/07/03 SecurityOnline — OpenStack Foundation が公開した緊急のセキュリティ・アドバイザリは、そのクラウド・インフラ・プラットフォームの複数のコア・コンポーネントに影響を及ぼす、深刻な重脆弱性 CVE-2024-32498 (CVSS：8.8) に関するものだ。この脆弱性の悪用に成功した攻撃者は、Cinder (block storage)／Glance (image management)／Nova (compute) などのサービス内の、機密データへの不正アクセスの可能性を手にする。

GeoServer の脆弱性 CVE-2024-36401 (CVSS 9.8) が FIX：RCE の恐れ

CVE-2024-36401 (CVSS 9.8): Urgent Patch Needed for GeoServer RCE Vulnerability

2024/07/02 SecurityOnline — 地理空間データを管理／共有するための、OSS プラットフォームとして広く利用されているGeoServer に、深刻な脆弱性 CVE-2024-36401 (CVSS：9.8) が発見された。この脆弱性の悪用に成功した攻撃者は、影響を受けるサーバ上で任意のコード実行が可能となり、機密性の高い地図や位置情報が危険にさらされる。

WordPress Icegram Express Plugin の脆弱性 CVE-2024-6172 が FIX：直ちにアップデートを！

CVE-2024-6172: Critical Flaw in Icegram Express Plugin Threatens 90,000+ WordPress Sites

2024/07/02 SecurityOnline — メール・マーケティングやニュースレターに広く使われている WordPress プラグインの Icegram Express に、深刻な脆弱性が発見された。この脆弱性は CVE-2024-6172 として追跡されており、その CVSS スコアは 9.8 と最大に近い値となっている。

Apache HTTP Server の緊急アップデート：ただちにパッチ適用を！

Multiple Vulnerabilities in Apache HTTP Server Demand Immediate Action

2024/07/01 SecurityOnline — Apache Software Foundation が公開した緊急のセキュリティ・アドバイザリにより、人気の Apache HTTP Server に複数の脆弱性が存在することが判明した。これらの脆弱性が悪用されると、サービス拒否 (DoS：denial-of-service) 攻撃／リモート・コード実行／不正アクセスなどが生じ、何百万もの Web サイトがサイバー攻撃にさらされる可能性が生じる。この脆弱性群は、CVE-2024-36387 から CVE-2024-39573 として追跡されており、mod_proxy／mod_rewrite／コア機能などの、Apache HTTP Server の各種コンポーネントに影響を与えるという。

Linux Netfilter の脆弱性 CVE-2024-1085：PoC エクスプロイトが提供される

Linux Flaw: CVE-2024-1085 PoC Exploit Exposes Privilege Escalation Risk

2024/07/01 SecurityOnline — Linux Kernel に存在する、深刻度の高い脆弱性 CVE-2024-1085 を標的とする PoC エクスプロイトでｓ・コードが、あるセキュリティ研究者により公開された。この脆弱性は、Netfilter サブシステムの nftables コンポーネントに存在し、影響を受けるシステム上で悪用に成功したローカルの認証済み攻撃者が、昇格した特権を不正に獲得する可能性が生じるこの脆弱性の CVSS 値は 7.8 であり、深刻度が高いことが示唆される。この脆弱性を悪用する前提としてローカル認証が必要となるが、悪用に成功した攻撃者は、システムを大幅に制御できるようになるため、深刻なセキュリティ・リスクが生じる。

Ubuntu Snap の Sandbox Escape の脆弱性 CVE-2024-1724 が FIX：Linux システムを脅かす恐れ

CVE-2024-1724: Snap Sandbox Escape Vulnerability Threatens Linux Systems

2024/07/01 SecurityOnline — Ubuntu などの Linux ディストリビューションで人気のパッケージ・マネージャーである Snap に存在する深刻な脆弱性が、セキュリティ研究者 McPhail のセキュリティ情報公開で特定された。この脆弱性 CVE-2024-1724 の悪用に成功した攻撃者は、Snap のサンド・ボックス環境を回避しながら、ユーザーのシステム上で任意のコード実行が可能にするという。

OpenSSH の脆弱性 regreSSHion CVE-2024-6387：無数の Linux システムが危険な状況に！

CVE-2024-6387: Critical OpenSSH Unauthenticated RCE Flaw ‘regreSSHion’ Exposes Millions of Linux Systems

2024/07/01 SecurityOnline — regreSSHion と命名された深刻なセキュリティ脆弱性について、Qualys Threat Research Unit (TRU) はレポートを公開し、無数の Linux システムにリモート・コード実行の脆弱性が残存していることを明らかにした。この脆弱性 CVE-2024-6387 は、glibc ベースの Linux システム上の OpenSSH のサーバ (sshd) に影響を及ぼすものだ。この脆弱性の悪用に成功した、認証されていない攻撃者は、root アクセス権を取得して影響を受けるマシンの完全な制御を奪う可能性を手にする。

LibreOfficeKit の深刻な脆弱性 CVE-2024-5261 が FIX：情報漏えいの恐れ

CVE-2024-5261 (CVSS 10): LibreOffice Patches Critical Vulnerability in LibreOfficeKit

2024/06/30 SecurityOnline — 人気の OSS オフィス・スイート LibreOffice を運営する Document Foundation が緊急に発表したのは、LibreOfficeKit コンポーネントの深刻な脆弱性 CVE-2024-5261 に関するセキュリティ・アドバイザリである。この脆弱性の悪用に成功した攻撃者は、LibreOffice とリモート・サーバーの間で送信されるデータの搾取／操作が可能となり、機密情報の漏洩へといたる恐れがある。

node-ip の GitHub リポジトリが凍結された：開発者が指摘する CVE 発行フローの問題点とは？

Dev rejects CVE severity, makes his GitHub repo read-only

2024/06/30 BleepingComputer — 人気のオープンソース・プロジェクト node-ip の GitHub リポジトリが、その開発者の手により、先日にアーカイブ (読み取り専用) 状態になってしまった。その背景にあるのは、今年の始めに node-ip に対する CVE が提出されたことで、開発者である Fedor Indutny に対して、インターネット上のユーザーからの脆弱性の指摘が集中したことである。残念なことに、今回のケースは、彼に限った出来事ではない。このところ、オープンソースの開発者たちの間で急増しているには、自分のプロジェクトに対して提出された、議論の余地のある CVE レポートや、十分な確認もなしに提出された全くのインチキ CVE レポートを受け取るケースである。

Linux Kernel の権限昇格の脆弱性 CVE-2024-0193：技術的詳細と PoC が提供される

PoC Exploit Published for Linux Kernel Privilege Escalation Flaw (CVE-2024-0193)

2024/06/30 SecurityOnline — Linux Kernel の Netfilter サブシステムに存在する、脆弱性 CVE-2024-0193 (CVSS：7.8) の技術的詳細と PoC エクスプロイト・コードが、あるセキュリティ研究者により公開された。この脆弱性の悪用に成功したローカルの攻撃者は、権限を昇格させて任意のコードを実行し、カーネルに壊滅的なパニックをもたらす可能性を手にする。

Canonical が公表した Everything LTS とは？必要最小限の Ubuntu コンテナが攻撃面積を狭める

Canonical Unveils ‘Everything LTS’: 12-Year Security for Custom Docker Images

2024/06/26 SecurityOnline — 6月26日に Canonical は、Long Term Support (LTS) サービスの大幅な拡充を発表し、従来からの “deb” パッケージに加えて、ディストリビューションが不要の Dockerイメージの設計／構築サービスも、新たに提供することを明らかにした。このサービスは、対象となるソフトウェアが事前に Ubuntu でパッケージ化されているかどうかに関係なく、あらゆるオープンソースのアプリケーションや依存関係に対して、12年間のセキュリティ・メンテナンスを提供するものだという。

GitLab の緊急アップデート：脆弱性 CVE-2024-5655 (CVSS 9.6) などが FIX

GitLab Releases Critical Updates to Address Multiple Vulnerabilities

2024/06/26 SecurityOnline — DevOps ライフサイクル・ツールの主要プラットフォームである GitLab は、Community Edition (CE)／Enterprise Edition (EE) 向けのクリティカル・アップデートをリリースした。新バージョンの 17.1.1／17.0.3／16.11.5 には、重要なセキュリティとバグの修正が含まれている。GitLab は全てのユーザーに対して、潜在的な悪用からインストールを保護するため、直ちにアップグレードするよう呼びかけている。

CISA／FBI などの共同勧告：多くの OSS プロジェクトで Memory Unsafe 言語が使用されている

CISA: Most critical open source projects not using memory safe code

2024/06/26 BleepingComputer — 6月26日に米国の CISA が公開したレポートは、メモリ欠陥の影響の受けやすさについて、172件の主要オープンソース・プロジェクトを調べた結果をまとめたものだ。CISA／FBI／ASD (Australian Signals Directorate)／ACSC (Australian Cyber Security Centre)／CCCS (Canadian Centre for Cyber Security) によるレポートは、2023年12月に発表された “Case for Memory Safe Roadmaps” に続くものであり、メモリ・セーフなコードの重要性に対する、認識を高めることを目的としている。

WordPress Core 6.5.5 がリリース：無数の Web サイトに影響をおよぼす３つの脆弱性が FIX

WordPress Issues Urgent Security Update to Patch Multiple Vulnerabilities

2024/06/25 SecurityOnline — 世界有数の CMS である WordPress が、6月24日にリリースした WordPress 6.5.5 は、無数の Web サイトをサイバー攻撃にさらす可能性のある、３つの重大な脆弱性に対処したものだ。

WordPress SEOPress Plugin の脆弱性 CVE-2024-5488 が FIX：30万のサイトに RCE 攻撃に可能性

SEOPress Plugin Alert: CVE-2024-5488 Flaw Exposes 300K Sites

2024/06/25 SecurityOnline — 300,000 万以上のアクティブなインストールを誇る WordPress プラグイン SEOPress に、脆弱性 CVE-2024-5488 (CVSS：8.1) が発見された。この脆弱性の悪用に成功した権限のない攻撃者は、認証をバイパスして機密データの操作を達成し、リモート・コード実行の可能性を手にする。

WordPress サイトへの広範なサプライチェーン攻撃：５種類のプラグインが侵害されていた

Breaking News: Widespread WordPress Plugin Compromise in Active Supply Chain Attack

2024/06/24 SecurityOnline — 世界で最も人気の CMS である WordPress が、広範なサプライチェーン攻撃に遭遇するという、重大なセキュリティ脅威に直面している。WordPress.org の公式リポジトリで提供されている５種類の人気プラグインが侵害され、数千の Web サイトが危険にさらされる可能性があるという。この、Wordfence Threat Intelligence により発見された侵害は、Social Warfare plugin 注入された悪質なコードから始まっていた。同チームが調査を進めたところ、４種類プラグインにも同じコードが含まれていることが判明し、協調的かつ継続的な攻撃が行われていることが判明した。

Apache StreamPipes の脆弱性 CVE-2024-29868：IIoT アカウント乗っ取りが生じる？

CVE-2024-29868 in Popular IoT Toolbox StreamPipes Opens Door to Account Takeovers

2024/06/24 SecurityOnline — IIoT (Industrial Internet of Things) データ処理プラットフォームとして広く利用されている、Apache StreamPipes に存在する深刻なセキュリティ脆弱性により、数千人のユーザーがアカウント乗っ取り危険にさらされている。この脆弱性 CVE-2024-29868 は、同プラットフォームにおけるユーザー登録とパスワード回復プロセスで、脆弱な乱数生成器が使用されていることに起因する。

Bludit CMS に深刻な RCEなどの脆弱性：PoC の提供と緩和策について

Bludit CMS Faces Critical Security Vulnerabilities: RCE and More, No Patch Available

2024/06/24 SecurityOnline — 多数の Web サイトで使用されている Bludit の５つの深刻な脆弱性が、先日に Redguard のサイバー・セキュリティ研究者 Andreas Pfefferle により発見された。人気の OSS フラットファイル CMS で発生した、これらの脆弱性のうち２つは特に深刻であり、悪用に成功した攻撃者がリモート・コードを実行することで、標的とする Web サイトの制御が完全に奪われる可能性が生じる。

AI プラットフォーム Ollama に脆弱性 CVE-2024-37032：リモート・コード実行の恐れ

Critical RCE Vulnerability Discovered in Ollama AI Infrastructure Tool

2024/06/24 TheHackerNews — オープンソースの AI インフラ・プラットフォーム Ollama に存在する、リモート・コード実行の脆弱性 CVE-2024-37032 に関する詳細情報が、クラウド・セキュリティ企業 Wiz により公開された。この Wiz が Probllama と命名する脆弱性は、2024年5月5日に情報が開示され、その後の 5月7日にリリースされた Ollama 0.1.34 で対処されている。

WordPress Icegram Express の脆弱性 CVE-2024-5756 が FIX：CVSS 値は 9.8

CVE-2024-5756 (CVSS 9.8): Critical Icegram Express Flaw Puts 90,000 WordPress Sites at Risk

2024/06/23 SecurityOnline — 90,000 以上のアクティブなインストールを誇る、WordPress 用のメール・マーケティング・プラグイン Icegram Express に発見された脆弱性 CVE-2024-5756 (CVSS：9.8) により、機密性の高いユーザー・データが危険にさられる可能性が生じている。この脆弱性の悪用に成功した未認証の攻撃者は、プラグインのデータベース・クエリに悪意のコードを注入することが可能となるため、大規模なデータ漏洩につながる恐れがある。

WooCommerce プラグインの脆弱性 CVE-2024-6027 が FIX：30,000 以上のサイトが危険な状態

Over 30,000 WooCommerce Sites Exposed by Critical Plugin Flaw (CVE-2024-6027)

2024/06/21 SecurityOnline — WordPress の人気プラグイン “WooCommerce Product Filter” の脆弱性により、30,000 以上のオンラインストアが深刻なデータ漏えいの危機にさらされている。脆弱性 CVE-2024-6027 (CVSS：9.8) の悪用に成功した攻撃者は、ストアのデータベースから顧客名／住所／クレジットカードなどの機密情報を窃取する可能性を手にする。

Python ライブラリ js2py の脆弱性 CVE-2024-28397：PoC エクスプロイトと技術的詳細が公開

CVE-2024-28397: js2py Vulnerability Exposes Millions of Python Users to RCE

2024/06/21 SecurityOnline — 月間のダウンロード数が 100万を超える、Python ライブラリjs2py に存在する脆弱性 CVE-2024-28397 (CVSS：8.8) により、無数の Web スクレイパーやアプリケーションが、RCE (remote code execution) 攻撃にさらされる可能性が生じている。この脆弱性の悪用に成功した攻撃者は、JavaScript のサンドボックスを抜け出し、基盤となるシステム上で任意のコマンドを実行することが可能になるという。

Ghostscript の脆弱性 CVE-2024-33871 などが FIX：任意のコード実行の可能性

Ghostscript Patches Multiple Vulnerabilities, Potential for Arbitrary Code Execution

2024/06/20 SecurityOnline — Ghostscript がリリースしたのは、深刻な脆弱性を修正するバージョン 10.03.1 である。この OSS プロエジェクトのアップデートは、５つの脆弱性に対処しているが、そのうちのいくつかは、任意のコード実行へとつながり、攻撃者にシステムの完全な制御を許す可能性があるものだ。PostScript／PDF ファイルの作成／変換で、広範に使用されている Ghostscript だけに、その影響が懸念される。

Mailcow Mail Server の脆弱性 CVE-2024-30270／31204 が FIX：RCE が生じる恐れ

Mailcow Mail Server Flaws Expose Servers to Remote Code Execution

2024/06/18 TheHackerNews — OSS メール・サーバ Mailcow に、２つのセキュリティ脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、影響を受けやすいインスタンス上で任意のコードを実行する可能性を持つ。どちらの脆弱性も、2024年4月4日にリリースされた 2024-04 未満の全てのバージョンに影響する。なお、それらの脆弱性は、2024年3月22日に SonarSource により公表されたものである。

Rancher Kubernetes Engine の脆弱性 CVE-2023-32191 (CVSS 10) が FIX：直ちにアップデートを！

CVE-2023-32191 (CVSS 10) in Rancher Kubernetes Engine Exposes Sensitive Credentials

2024/06/18 SecurityOnline — 人気の Kubernetes ディストリビューションである Rancher Kubernetes Engine (RKE) に、深刻な脆弱性 CVE-2023-32191 (CVSS：10.0) が発見された。RKE は、 Kubernetes のインストールと運用を簡素化するために使用されているものだ。したがって、この脆弱性は、RKE により管理される Kubernetes クラスタのセキュリティと完全性に深刻なリスクをもたらす。

中国のサイバー Offense／Defense パワー：世界の脆弱性情報エコシステムとの関係を考察する – ETH Zurich

Bug Bounty Programs, Hacking Contests Power China’s Cyber Offense

2024/06/18 DarkReading — これまでの 10年間を振り返ってみると、中国のサイバー・セキュリティ専門家は、世界的なエクスプロイト・コンテストや、バグ・バウンティ・プログラムへの遠慮がちな参加者から、これらの分野における支配的なプレーヤーへと進化している。そして、中国政府は、この戦利品を国家のサイバー攻撃力強化に活用している。

Deep Java Library の深刻な脆弱性 CVE-2024-37902 が FIX：システム乗っ取りの恐れ

CVE-2024-37902 (CVSS 10): Critical Flaw in Deep Java Library Opens Door to System Takeover

2024/06/17 SecurityOnline — ディープ・ラーニング・プロジェクト用の OSS フレームワークとして広く利用されている、Deep Java Library (DJL) に深刻な脆弱性 CVE-2024-37902 が発見された。この脆弱性は、DJL バージョン 0.28.0 未満に影響をおよぼすものであり、悪用に成功した攻撃者は、重要なシステム・ファイルを上書きし、侵害したシステムの制御を奪う可能性を手にする。

XenForo の深刻な脆弱性 CVE-2024-38457／38458 が FIX：ただちにアップデートを！

XenForo Issues Urgent Security Patch to Thwart Remote Code Execution Threat

2024/06/17 SecurityOnline — 人気のフォーラム・ソフトウェア・プラットフォーム XenForo がリリースしたのは、リモートコード実行や XSS 攻撃に繋がりかねない、深刻なな脆弱性に対処するための緊急セキュリティ・パッチである。２つの脆弱性 CVE-2024-38457／CVE-2024-38458 の悪用に成功した攻撃者は、影響を受けるサーバの制御を奪い、ユーザーが閲覧する Web ページへの有害なスクリプトの注入などを可能にするという。

Pandora FMS の緊急アップデート：CVE-2024-35307 などが FIX

Pandora FMS Reveals High-Risk Security Flaws Affecting 50,000+ Installations

2024/06/17 SecurityOnline — 全世界で 50,000以上のインストール実績を持つ、OSS モニタリング・アプリケーション Pandora FMS が公開したセキュリティ・アドバイザリは、同製品のバージョン 700 〜777 未満に存在する複数の脆弱性に関するものだ。これらの脆弱性が悪用されると、システム・コマンド・インジェクション／SQL インジェクション／リモート・コード実行などの重大なリスクが生じる可能性がある。

WordPress Woody Code の脆弱性 CVE-2024-3105 が FIX：７万以上の Webサイトに影響？

CVE-2024-3105 (CVSS 9.9) in Woody Code Snippets Plugin Threatens 70,000+ WordPress Sites

2024/06/14 SecurityOnline — WordPress のプラグイン Woody Code Snippets に、深刻な脆弱性 CVE-2024-3105 (CVSS：9.9) が発見された。この脆弱性の悪用に成功した、コントリビューター (寄稿者) 以上のアクセス権を持つ認証されたユーザーは、対象となるサーバ上で任意のコード実行を可能にし、このプラグインを使用している Web サイトに深刻なリスクをもたらす。

Snowflake 侵害をトリアージ：YetiHunter という OSS ハンティング・ツールが登場

YetiHunter: Open-source threat hunting tool for Snowflake environments

2024/06/14 HelpNetSecurity — Snowflake 環境における侵害の証拠を照会するために、ユーザー企業が利用できる脅威検出／ハンティング・ツール YetiHunter を、クラウド ID 保護企業の Permiso が作成した。クラウド・ベースのデータ・ストレージと分析の企業である Snowflake が、先日に発表したのは、攻撃者に侵害された認証情報が悪用され、同社の一部顧客のアカウントへの不正アクセスが発生していることだ。

VLC Media Player の２つの脆弱性が FIX：直ちにアップデートを！

VLC Media Player Patches Two Vulnerabilities: Users Urged to Update Immediately

2024/06/11 SecurityOnline — 人気のメディアプレーヤー VLC を運営する Videolan は、緊急のセキュリティ・アップデートをリリースし、ユーザーを深刻なリスクにさらす可能性のある、２件の深刻な脆弱性に対処した。VLC デスクトップ／モバイル版で発見された、これらの脆弱性が攻撃者に悪用されると、アプリケーションのクラッシュ／悪意のコード実行／データの不正アクセスなどが生じる可能性がある。

SuiteCRM の深刻な脆弱性９件が FIX：SQLi と RCE が引き起こされる可能性

Urgent Security Alert: SuiteCRM Users Urged to Patch Multiple Critical Vulnerabilities

2024/06/11 SecurityOnline — オープンソースの CRM (Customer Relationship Management) プラットフォームとして、広く採用されている SuiteCRM がリリースしたのは、機密性の高い顧客データを暴露し、システムの完全性を損なう可能性のある、複数の重大な脆弱性に対処する緊急のセキュリティ・パッチである。これらの脆弱性は、CVE-2024-36408 〜 CVE-2024-36415 として特定されているが、CVSS 値が 9.1 〜 10.0 となっているため、すべての SuiteCRM ユーザーにとって、早急な対処が必要となっている。

PHP Composer の脆弱性 CVE-2024-35241／35242 が FIX：直ちにアップデートを！

Critical Security Flaws Discovered in Popular PHP Package Manager

2024/06/11 SecurityOnline — 人気の PHP 対応マネージャである Composer が、先日にリリースしたセキュリティアップ・デートは、２つの重大な脆弱性 CVE-2024-35241／CVE-2024-35242 に対処するものだ。これらの脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で悪意のコードを実行する可能性を持つ。開発者に強く推奨されるのは、最新版 (PHP 7.2+では 2.7.7、PHP 5.3～7.1 では2.2.24) への迅速なアップデートである。

JetBrains の脆弱性 CVE-2024-37051 が FIX：IDE ユーザーの GitHub アクセストークンが漏洩の恐れ

Users of JetBrains IDEs at risk of GitHub access token compromise (CVE-2024-37051)

2024/06/11 HelpNetSecurity —- GitHub のアクセス・トークン侵害により、JetBrains IDE (integrated development environments) のユーザーが危険に晒される可能性のある、深刻な脆弱性 CVE-2024-37051 が修正された。JetBrains は、各種のプログラミング言語用の、IDE を提供しているベンダーである。

PHP の脆弱性 CVE-2024-4577：TellYouThePass ランサムウェアの標的に！

PHP Vulnerability (CVE-2024-4577) Actively Exploited in TellYouThePass Ransomware Attacks

2024/06/10 SecurityOnline — Web 開発で多用されるスクリプト言語 PHP に、深刻な脆弱性 CVE-2024-4577 が発見され、サイバーセキュリティ界は厳戒態勢を敷いている。現時点において、TellYouThePass と呼ばれるランサムウェアの大規模キャンペーンで、この脆弱性が脅威アクターにより積極的に悪用されている。

GitHub のノーティフィケーションを介したフィッシング：悪意の oAuth アプリ・プッシュには要注意

Gitloker attacks abuse GitHub notifications to push malicious oAuth apps

2024/06/10 BleepingComputer — フィッシング攻撃を介して GitHub のセキュリティ／リクルート・チームになりすまし、悪意の OAuth アプリを用いてリポジトリを乗っ取り、侵害したリポジトリを消去すると脅すキャンペーンが現在進行中だという。遅くとも 2024年2月以降において、このキャンペーンで標的とされた数十人の開発者が、侵害された GitHub アカウントを用いて、ランダムなリポジトリの課題や、プルリクエストに追加されたスパム・コメントにタグ付けされた後に、”notifications@github.com” から偽の求人や警告のメールを受け取っているようだ。

PHP の深刻な脆弱性 CVE-2024-5585 が FIX：RCE の恐れ

Command Injection Vulnerability Discovered in PHP: CVE-2024-5585

2024/06/10 SecurityOnline — サーバ・サイド・スクリプト言語として広く使われている PHP の複数のバージョンに、深刻な脆弱性 CVE-2024-5585 (CVSS：7.7) が発見された。この脆弱性の悪用に成功した攻撃者は、セキュリティ設定が適切な場合でも、任意のコマンド実行が可能となる。

Brave Browser のユーザーが急増：2024年5月に過去最大の伸びを記録

Brave says May 2024 was its biggest growth month ever

2024/06/09 BleepingComputer — プライバシー重視の Web ブラウザである Brave は、2024年5月に過去最大の伸びを記録し、その月間ユーザー数は 7.3％増の 7,895万人以上となった。Brave は、特に中南米で急成長を遂げ、いくつかの国で Google Play ストアのトップ・アプリのひとつとなった。

Microsoft VSCode 調査：数百万回もインストールされた悪意のエクステンションを発見！

Malicious VSCode extensions with millions of installs discovered

2024/06/09 BleepingComputer — Visual Studio Code マーケットプレイスの、セキュリティを調査していたイスラエルの研究者グループが、人気の公式テーマである “Dracula Official” のコピーに、実験として悪意のコードを取り込んだトロイの木馬により、100以上の組織を擬似的に感染させることに成功した。さらに、彼らが VSCode マーケットプレイスを調査したところ、数千もの悪意のエクステンションが、数百万もインストールされていることが判明した。

New York Times のソースコードが盗まれた：GitHub トークンの悪用からリポジトリ侵害にいたる

New York Times source code stolen using exposed GitHub token

2024/06/08 BleepingComputer — The New York Times 内部のソースコードとデータが、同社の GitHub リポジトリから盗まれたのは 2024年1月のことだが、それらが 4chan 掲示板に流出した。New York Times から盗まれた 273GB のデータ含むアーカイブが、匿名のユーザーにより投稿されたの 6月6日 (木) のことであり、最初に発見したのは VX-Underground だった。

WordPress WooCommerce Plugin に３つの脆弱性：公式パッチは未適用

Security Flaws Found in Popular WooCommerce Plugin

2024/06/07 InfoSecurity — WordPress のプラグイン WooCommerce Amazon Affiliates (WZone) に、３つの脆弱性が存在することが、Patchstack により明らかにされた。Amazon アフィリエイト・プログラム経由で、Web サイト運営者やブロガーの収益化を支援するように、WooCommerce Amazon Affiliates は設計されている。AA-Team により開発された、この WordPress プラグインは、35,000 以上の販売実績を有している。先日に発見された脆弱性は、バージョン 14.0.10 を含む、すべてのテスト済みバージョンに影響を与えるものであり、バージョン 14.0.20 以降にも影響を与える可能性があるという。

PyTorch 分散 RPC フレームワークの脆弱性 CVE-2024-5480 が FIX：ただちにパッチを！

CVE-2024-5480 (CVSS 10): Critical RCE Vulnerability in PyTorch Distributed RPC Framework

2024/06/07 SecurityOnline — PyTorch の分散 RPC (Remote Procedure Call) フレームワークに、深刻な脆弱性 CVE-2024-5480 が発見され、機械学習モデルや機密データに対するリモートコード実行 (RCE) 攻撃の可能性が生じている。この脆弱性は、セキュリティ研究者の xbalien により特定されたものであり、CVSS 値は最大の 10.0 と評価されている。分散トレーニング環境において PyTorch を利用している、ユーザーにとって急務なのは、速やかなパッチ適用である。

PHP の深刻な脆弱性 CVE-2024-4577：PoC エクスプロイトが公開

Researchers Detail Critical PHP Flaw CVE-2024-4577 with PoC Exploit Code

2024/06/07 SecurityOnline — PHP に存在する深刻な脆弱性 CVE-2024-4577 の、技術的詳細と PoC エクスプロイトが、watchTowr のサイバー・セキュリティ研究者たちにより公開された。この、Orange Tsai が発見した脆弱性は、特定の条件下でリモート・コード実行 (RCE) につながる可能性があり、その影響は、Web サーバの迅速なセットアップで広く使用されている、ソフトウェア・パッケージ XAMPP にも及ぶという。

ThinkPHP の古い脆弱性 CVE-2018-20062／CVE-2019-9082：中国の脅威アクターに悪用される

Chinese Threat Actor Exploits Old ThinkPHP Flaws Since October 2023

2024/06/07 SecurityAffairs — ThinkPHP に存在する２つのリモート・コード実行の脆弱性 CVE-2018-20062／CVE-2019-9082 が、中国の脅威アクターに悪用されていることが、Akamai の研究者たちにより判明した。この、遅くとも 2023年10月から展開されているキャンペーンは、当初は限られた数の顧客／組織を標的としていたが、最近になって攻撃の対象を広げているという。この攻撃は、香港ベースの Zenlayer クラウド・プロバイダー (ASN 21859) にホストされている、各種サーバの IP アドレスから発信されていた。

Apache RocketMQ の脆弱性 CVE-2023-33246：Muhstik マルウェアの配布に悪用されている

Muhstik Malware Exploits Apache RocketMQ Flaw: Thousands at Risk

2024/06/06 SecurityOnline — Apache RocketMQ のインストールを標的とする、Muhstik マルウェアのキャンペーンを、Aqua Nautilus のサイバーセキュリティ研究者たちが発見した。この新たな攻撃の波において、攻撃者は RocketMQ バージョン 5.1.0 以下の脆弱性 CVE-2023-33246 を悪用してリモートでコードを実行し、侵害されたシステムに悪名高い Muhstik マルウェアをダウンロードする。

PyPI に新たな悪意のパッケージ：Crytic-Compiler を装い Lumma スティーラーを配布

Hackers Target Python Developers with Fake “Crytic-Compilers” Package on PyPI

2024/06/06 TheHackerNews — Lumma (別名：ummaC2) 情報スティーラーを配信するように設計された悪意の Python パッケージが、Python Package Index (PyPI) リポジトリにアップロードされたことを、サイバー・セキュリティ研究者たちが発見した。このパッケージは、crytic-compile という正規ライブラリのタイポスクワット版であり、PyPI のメンテナにより削除されるまでに、441回もダウンロードされている。