CVE-2024-33861: Patch Released for Qt Vulnerability Affecting Applications
2024/05/09 SecurityOnline — Qt Group がリリースしたのは、QStringConverter コンポーネントで発見された脆弱性 CVE-2024-33861 に対応する、セキュリティ勧告とパッチである。Qt Framework 自体には、リモート攻撃に対する直接の脆弱性は存在しないが、この脆弱性が、QStringDecoder を用いるアプリケーションで悪用される可能性が生じる。
Continue reading “Qt Framework の脆弱性 CVE-2024-33861 が FIX：影響は限定的だが油断は禁物”Citrix warns admins to manually mitigate PuTTY SSH client bug
2024/05/09 BleepingComputer — 今週に Citrix が顧客に通知したのは、XenCenter 管理者のプライベート SSH キーを、攻撃者が盗み出す可能性がある、PuTTY SSH クライアントの脆弱性を、手動で緩和するためのガイダンスである。XenCenter は、Citrix Hypervisor における仮想マシンのデプロイや監視などを、Windows デスクトップから管理するための環境である。
Continue reading “Citrix XenCenter に PuTTY の脆弱性 CVE-2024-31497 が影響：手動での緩和策とは？”CVE-2024-24787 (CVSS 9.8): Go Vulnerability Could Lead to Code Execution
2024/05/08 SecurityOnline — シンプルで効率的なソフトウェア開発を実現する Go プログラミング言語で、最近になって発見された２つの深刻な脆弱性に対処する、セキュリティ・アドバイザリが発表された。Go 環境で確認されたのは、DNS 操作における任意のコード実行 CVE-2024-24787 と、無限ループ CVE-2024-24788 の脆弱性である。
Continue reading “Go 環境の脆弱性 CVE-2024-24787／24788 が FIX：任意のコード実行にいたる可能性”CVE-2024-34346: Deno Vulnerability Allows Privilege Elevation
2024/05/08 SecurityOnline — セキュリティに特化したアーキテクチャで知られる、人気の JavaScript／TypeScript／WebAssembly ランタイムである Deno を使用している、開発者およびシステム管理者は、先日のアップデートで対処された、深刻な脆弱性に注意する必要がある。この脆弱性 CVE-2024-34346 (CVSS：8.5) は、特権ファイルの誤操作による権限昇格を可能にするため、重大なリスクをもたらす。
Continue reading “Deno の脆弱性 CVE-2024-34346 が FIX：不適切なパーミッションによる権限昇格”RSAC: Three Strategies to Boost Open-Source Security
2024/05/08 InfoSecurity — OSS におけるセキュリティ強化は、この種のコミュニティが非公式かつユビキタスであるため、政府にとって重要な課題となっている。ソフトウェア全般にわたって Security-by-Design を推進し、脆弱性の悪用やサプライチェーン・インシデントを減らすという米国政府の取り組みにおいて、OSS は極めて重要な要素になっている。RSA Conference 2024 が、政府関係者と OSS の関係者たちが、このユニークなエコシステムで Security-by-Design の原則を推進する方法について、議論する機会を提供した。
Continue reading “OSS セキュリティを加速：レギュレーション整備／Security-by-Design／AI の活用 – RSA Con”Litespeed Cache WordPress Plugin Actively Exploited In The Wild
2024/05/08 SecurityAffairs — WordPress 用 LiteSpeed Cache プラグインの深刻な脆弱性を、脅威アクターたちが積極的に悪用していると、WPScan の研究者たちが報告している。LiteSpeed Cache for WordPress (LSCWP) は、オールインワンのサイト高速化プラグインであり、独自のサーバ・レベル・キャッシュと最適化のための機能を備えている。そして、このプラグインは、500万以上のアクティブなインストール数を誇っている。
Continue reading “WordPress Litespeed Cache Plugin の脆弱性 CVE-2023-40000：積極的な悪用を観測”CVE-2024-4367 & CVE-2024-34342: JavaScript Flaws Threaten Millions of PDF.js and React-PDF Users
2024/05/07 SecurityOnline — HTML5 で開発され Mozilla がサポートする PDF ビューア PDF.js と、React アプリケーション内で PDF を表示する npm パッケージ React-PDF に、深刻なセキュリティ上の欠陥が確認された。これらの人気ソフトウェアの脆弱性は、任意の JavaScript コードの実行を可能にするものであり、数百万人のユーザーを危険にさらしている。
Continue reading “PDF.js／React-PDF の脆弱性 CVE-2024-4367／34342 が FIX：ただちにアップデートを！”RSAC: Decoding US Government Plans to Shift the Software Security Burden
2024/05/07 InfoSecurity — RSA Conference 2024 において、Security by Design の強化を目指す、米国政府の計画に対する分析が提供された。このイベントにおいて、米国 CISA の Senior Technical Advisor である Bob Lord は、ソフトウェア・セキュリティに関して受け入れられている、常識を克服することが急務であると述べている。
Continue reading “Security by Design の強化を目指す米国政府：メモリセーフな開発言語とは？ – RSA Con”CVE-2024-4041: Security Flaw Found in Popular Yoast SEO Plugin – Update Immediately!
2024/05/06 SecurityOnline — WordPress における検索エンジン最適化プラグインとして人気の Yoast SEO に、セキュリティ脆弱性が発見され、世界中で 500万以上と言われるアクティブなインストールに影響を及ぼしている。このクロス・サイト・スクリプティング (XSS) の脆弱性 CVE-2024-4041 (CVSS：6.1) により、Web サイトの完全性と管理者の管理に、深刻な脅威が生じる。
Continue reading “WordPress プラグイン Yoast SEO の深刻な脆弱性 CVE-2024-4041 が FIX：ただちにアップデートを！”CVE-2023-49606 (CVSS 9.8): Tinyproxy Zero-Day Threatens Thousands
2024/05/05 SecurityOnline — 個人のホビイスト／中小企業／パブリック Wi-Fi プロバイダーなどが、そのシンプルさと有益性から好んで使用する、軽量 HTTP/S プロキシである Tinyproxy に深刻な欠陥が発見された。このソフトウェアの最新バージョンのユーザーに、深刻な脅威をもたらすこの脆弱性 CVE-2023-49606 (CVSS：9.8) は、Critical に分類されている。
Continue reading “Tinyproxy の脆弱性 CVE-2023-49606 (CVSS 9.8)：パッチ適用までの緩和策は？”CVE-2024-4215 & CVE-2024-4216: Security Flaws Patched in Popular PostgreSQL Tool pgAdmin
2024/05/05 SecurityOnline — 世界で最も先進的な OSS データベースである PostgreSQL における、管理／開発プラットフォームとして有名な pgAdmin で発生した、２つの深刻なセキュリティ脆弱性が FIX した。これらの脆弱性は、バージョン 8.5 以下に存在し、アプリケーション内での不正なアクションやスクリプトの実行を許す可能性があり、ユーザーに深刻なリスクをもたらすものとされる。なお、この脆弱性 CVE-2024-4215／CVE-2024-4216 の CVSS 値は、どちらも 7.4 である。
Continue reading “PostgreSQL pgAdmin の脆弱性 CVE-2024-4215／4216 が FIX：ただちにパッチを！”WordPress Sites Under Widespread Attack – LiteSpeed Cache Plugin Exploit Puts Millions at Risk
2024/05/03 SecurityOnline — 現時点で世界中の 500万以上の Web サイトにインストールされている、WordPress のLiteSpeed Cache Plugin の脆弱性を、ハッカーたちが積極的に悪用している。この、脆弱性 CVE-2023-40000 を悪用する攻撃者は、管理者アカウントの作成を達成し、無数の WordPress サイトに深刻なセキュリティリスクをもたらしている。
Continue reading “WordPress の LiteSpeed Cache Plugin の脆弱性 CVE-2023-40000 が FIX：深刻な蓄積型 XSS”CVE-2024-4439: Unauthenticated Stored Cross-Site Scripting Vulnerability in WordPress Core
2024/05/03 SecurityOnline — 世界で最も人気のある CMS である WordPress に、深刻なセキュリティ脆弱性が発見され、影響を受ける Web サイトの制御を、攻撃者により奪われる可能性があることが確認された。この脆弱性 CVE-2024-4439 (CVSS：7.2) は、WordPress Core に存在する蓄積型クロス・サイト・スクリプティング (XSS) の欠陥に起因する。
Continue reading “WordPress Core の脆弱性 CVE-2024-4439 が FIX：とても危険な蓄積型 XSS”CVE-2024-32114: High-Severity Vulnerability Exposed in Apache ActiveMQ
2024/05/02 SecurityOnline — Apache ActiveMQ は、最も人気のある Open-Source／Multi-Protocol／Java-based のメッセージ・ブローカーとして広く知られており、JavaScript／C／C++／Python／.Net などのプログラミング言語と、多様なクライアントソフトウェアとの間の通信を容易にする。さらに、AMQP のような標準プロトコルをサポートすることで、マルチ・プラットフォーム・アプリケーションを統合する際の、幅広い互換性と柔軟性を確保している。しかしながら、バージョン 6.x で発見された、深刻度の高いセキュリティ脆弱性 CVE-2024-32114 により、同プラットフォームのユーザーに重大なリスクが生じている。
Continue reading “Apache ActiveMQ の脆弱性 CVE-2024-32114 が FIX：コンフィグ修正の緩和策も提供”Microsoft Researcher to Unveil 4 OpenVPN Zero-Day Vulnerabilities at Black Hat USA 2024
2024/05/02 SecurityOnline — 2024年8月上旬に開催される Black Hat USA 2024 Conference において、OpenVPN に存在する一連の深刻なゼロデイ脆弱性に関するプレゼンテーションが、Microsoft の Senior Security Researcher である Vladimir Tokarev から行われる予定だ。OpenVPN は、全世界で何百万ものエンドポイントに使用されている、世界有数の VPN ソリューションである。コードネーム “OVPNX” と命名された、これらの脆弱性は、Windows／iOS／macOS／Android／BSD などの広範なプラットフォームのセキュリティ・リスクを露呈し、世界中の何千もの企業に影響を与える可能性がある。
Continue reading “OpenVPN のゼロデイ脆弱性：Black Hat 2024 で悪用チェーンなどが公開予定”CVE-2024-32971: Critical Vulnerability in Apollo Router Compromises Data Integrity
2024/05/02 SecurityOnline — Apollo Router のバージョン 1.44.0／1.45.0 に、深刻な脆弱性 CVE-2024-32971 (CVSS：9.1) が発見された。この脆弱性により、Apollo Router を通じて実行される操作の完全性に深刻な懸念が生じるため、直ちにシステムをアップデートするよう求める緊急アドバイザリが、ユーザーに対して通知された。
Continue reading “Apollo Router の深刻な脆弱性 CVE-2024-32971 が FIX：データの完全性が脅かされる可能性”CVE-2024-32962 (CVSS 10): Critical Vulnerability in XML-Crypto Affects Millions
2024/05/01 SecurityOnline — XML ドキュメントの暗号セキュリティにおいて、広く使用されている不可欠なツール XML-Crypto npm パッケージに、深刻なセキュリティ上の欠陥が発見された。この脆弱性には CVE-2024-32962 が採番され、その深刻度は CVSS 値 10.0 と評価されている。この脆弱性は、電子署名の真正性を適切に検証しないという、同パッケージのデフォルト設定における基本機能の欠陥に起因しており、悪用に成功した攻撃者に対して、なりすまし署名を許してしまう。
Continue reading “XML-Crypto の脆弱性 CVE-2024-32962 が FIX：CVSS 値は 10.0”CISA says GitLab account takeover bug is actively exploited in attacks
2024/05/01 BleepingComputer — 5月1日に CISA は、 GitLab の脆弱性 CVE-2023-7028 (CVSS：10.0) を KEV (Known Exploited Vulnerabilities) カタログに追加した。この脆弱性を積極的に悪用する攻撃者たちにより、パスワード・リセットとアカウントの乗っ取りが生じると、同組織は警告している。GitLab は、専有コードや API キーを含む機密データをホストしているため、アカウントが乗っ取りが生じると、深刻な事態に陥る可能性がある。この脆弱性の悪用に成功した攻撃者は、CI/CD (Continuous Integration/Continuous Deployment) 環境に悪意のコードを挿入し、リポジトリを侵害するサプライチェーン攻撃を実行する可能性がある。
Continue reading “CISA KEV 警告 24/05/01：GitLab の脆弱性 CVE-2023-7028 を KEV に追加”CVE-2024-2912: Critical ‘BentoML’ Flaw Opens AI Systems to Remote Takeover
2024/04/30 SecurityOnline — AI アプリケーションのビルド／デプロイに用いられる、人気の Python ベース・フレームワークである BentoML に、深刻なセキュリティ上の欠陥があることが明らかになった。この脆弱性 CVE-2024-2912 は、ソフトウェアがデータを処理する方法に起因し、BentoML を実行しているサーバ上で、攻撃者に任意のコード実行を許すものになる。
Continue reading “BentoML の脆弱性 CVE-2024-2912 と PoC エクスプロイト：ただちにパッチを！”Millions of Docker repos found pushing malware, phishing sites
2024/04/30 BleepingComputer — Docker Hub ユーザーを標的として、2021年初めから展開されている３つの大規模なキャンペーンにより 、マルウェアやフィッシング・サイトをプッシュする、数百万のリポジトリが設置されていたことが判明した。Docker Hub がホストする 1,500 万件のリポジトリのうちの約 20%に、スパムからマルウェアやフィッシング・サイトなどにいたる、悪意のコンテンツが含まれていたことが、JFrog のセキュリティ研究者たちにより発見された。
Continue reading “Docker Hub ユーザーを標的にした３つのキャンペーン：2021年から展開されていたことが判明”New R Programming Vulnerability Exposes Projects to Supply Chain Attacks
2024/04/29 TheHackerNews — プログラミング言語 R に新たに発見されたセキュリティ脆弱性 CVE-2024-27322 は、攻撃者が作成した悪意のRDS (R Data Serialization) ファイルを、読み込んで参照するとコードが実行され、侵害にいたるというものだ。この脆弱性について、AI アプリケーション・セキュリティ企業 Hidden Layer は、「R-lang における Promise オブジェクトの使用と遅延評価に起因する」と、The Hacker News に共有したレポートで述べている。
Continue reading “R プログラミング言語の脆弱性 CVE-2024-27322：サプライチェーン攻撃につながる恐れ”Bogus npm Packages Used to Trick Software Developers into Installing Malware
2024/04/27 TheHackerNews — 現在進行中のソーシャル・エンジニアリング・キャンペーンは、ソフトウェア開発者の就活をターゲットにする偽の npm パッケージを提供し、Python バックドアをダウンロードさせるというものだ。サイバー・セキュリティ企業の Securonix は、このキャンペーンを DEV#POPPER という名前で追跡しており、北朝鮮の脅威アクターと結びつけている。
Continue reading “技術者の就活を狙う悪意の npm パッケージ：騙されてマルウェアをインストール”Attacker Social-Engineered Backdoor Code Into XZ Utils
2024/04/25 DarkReading — SolarWinds や CodeCov が経験したような、広範なソフトウェア・サプライチェーンへの攻撃において、敵対者には高度な技術的スキルは必要ない。 必要なのは、ほんの少しの時間と、巧妙なソーシャル・エンジニアリングだけということもある。今年の初めに、Linux システムの OSS である XZ Utils データ圧縮ユーティリティに、バックドアを仕込んだ人物も、きっと、そうだっただろう。今週に発表された、このインシデントに対する Kaspersky による分析と、ここ数日における他の企業からの同様の報告から判明したのは、このユーティリティにバックドアを組み込んだ攻撃者は、ほぼ全面的にソーシャル・エンジニアリングを頼っていたことだ。
Continue reading “XZ Utils へのバックドア混入：そこで用いられたソーシャル・エンジニアリングを紐解く”Urgent GitLab Update Patches Account Takeover Flaw, Other High-Severity Bugs
2024/04/24 SecurityOnline — 先日の GitLab セキュリティ・リリースで対処されたのは、広範なコード・リポジトリや開発ワークフローに影響を及ぼす可能性のある一連の脆弱性である。それらの脆弱性の悪用に成功した攻撃者は、リソース消耗によりサービス拒否から、完全なアカウント乗っ取りに至るまでの、さまざまな攻撃を引き起こす可能性を持つ。GitLab を利用している組織にとって、バージョン 16.11.1／16.10.4／16.9.6 へのアップグレードは必須である。
Continue reading “GitLab の深刻な脆弱性が FIX：アカウントの乗っ取りにいたる可能性も”Critical Vulnerabilities in Popular Database Library Expose Millions of Applications to Attack
2024/04/23 SecurityOnline — 無数の Web アプリケーションとバックエンド・システムの基盤である、JavaScript データベース・ライブラリ node-mysql2 に複数の脆弱性が存在することが、セキュリティ研究者たちにより発見された。これらの脆弱性は、CVE-2024-21508／CVE-2024-21509／CVE-2024-21511 として追跡されており、あらゆる業界の組織に対して、広範な影響を及ぼす可能性がある。
Continue reading “node-mysql2 の脆弱性 CVE-2024-21508 などが FIX：PoC も公開！”Multiple Vulnerabilities Patched in Apache HugeGraph – Update Immediately
2024/04/22 SecurityOnline — Apache HugeGraph は、数十億の交点とエッジの処理を行い、堅牢な OLTP (online transaction processing) 機能を持つ、主要な高性能グラフ・データベースとして知られている。その HugeGraph だが、最近になって、ユーザーに重大なリスクをもたらし得る、３つのセキュリティ脆弱性に対処した。これらの脆弱性は、HugeGraph システムの様々なコンポーネントに影響するものであり、悪用されると、SSRF (Server-Side Request Forgery)／ RCE (Remote Command Execution)／認証バイパスなどが生じる恐れがある。
Continue reading “Apache HugeGraph の脆弱性 CVE-2024-27347 などが FIX：直ちにアップデートを！”GitLab affected by GitHub-style CDN flaw allowing malware hosting
2024/04/22 BleepingComputer — 先日に BleepingComputer は、GitHub の欠陥 (あるいは設計上の仕様) を悪用する脅威アクターが、Microsoft のリポジトリに関連付けられた URL を介して、信頼できるファイルを装いながら、マルウェアを配布していることを報告した。この問題は、GitLab に対しても影響を及ぼすものであり、同様の方法で悪用される可能性が生じることが判明した。このマルウェアに関連する活動の大半は、Microsoft GitHub の URL に基づくものだった。しかしこの “欠陥” は、GitHub や GitLab の、あらゆる公開リポジトリで悪用が可能であり、きわめて説得力のあるルアーを、脅威アクターたちは作成できるという。
Continue reading “GitLab にも GitHub スタイルの コメント悪用の問題：マルウェアのホスティングが容易になる”Linux Systems Targeted: Open-Source Pupy RAT Exploited in Attacks Across Asia
2024/04/21 SecurityOnline — Pupy と呼ばれるパワフルな RAT (Remote Access Trojan) が、韓国を含むアジア全域の Linux システムを標的とした攻撃で積極的に武器化されている。AhnLab Security Emergency Response Center (ASEC) のセキュリティ研究者たちが、先日に発見したのは、Pupy の巧妙なオペレーションの存在であり、そこでは Decoy Dog という新たな亜種も用いられているという。
Continue reading “Linux を標的とする OSS Pupy RAT：充実したポスト・エクスプロイト機能でアジアを狙う”Laravel Framework Hit by Data Exposure Vulnerability (CVE-2024-29291) – Database Credentials at Risk
2024/04/21 SecurityOnline — 先日に発見された、人気の Web 開発フレームワーク Laravel における脆弱性により、Web サイトやアプリケーションで、深刻なデータ侵害の可能性が生じている。この脆弱性 CVE-2024-29291 は、Laravel のバージョン 8〜11 に影響を及ぼし、機密性の高いデータベースのログイン認証情報が暴露される可能性があるという。
Continue reading “Laravel Framework の脆弱性 CVE-2024-29291：ゼロデイ状態で PoC も提供”GitHub comments abused to push malware via Microsoft repo URLs
2024/04/20 BleepingComputer — GitHub のバグ (あるいは設計上の仕様) を悪用する脅威アクターたちが、Microsoft のリポジトリに関連する URL を使って信頼できるファイルを装い、マルウェアを配布している。先日に発見されたマルウェアの多くは、Microsoft GitHub の URL を中心に活動していた。さらに、この “欠陥” の悪用は、GitHub 上のあらゆる公開リポジトリで応用できるため、きわめて説得力のあるルアーを、脅威アクターたちが作成するという可能性が生じている。
Continue reading “GitHub のコメント機能を悪用：Microsoft のリポジトリ URL 経由でマルウェア配布”CVE-2024-2961 – glibc Vulnerability Opens Door to PHP Attacks: Patch Immediately
2024/04/19 SecurityOnline — GNU C Library (glibc) の iconv 関数において、先日に発見された脆弱性 CVE-2024-2961 は、PHP で構築される Web アプリケーションに深刻な影響を及ぼすものだ。この脆弱性を悪用するリモートの攻撃者により、境界を越えたメモリ書き込みが可能となり、 脆弱な PHP アプリケーションのコンテキスト内で、任意のコードを実行される可能性が生じる。
Continue reading “glibc の深刻な脆弱性 CVE-2024-2961 が FIX：PHP 環境への攻撃が予測される”Keycloak Patches Vulnerabilities, Mitigates DDoS and Data Theft Risks
2024/04/18 SecurityOnline — 認証／認可のための OSS ソリューションとして人気の Keycloak が、複数の脆弱性に対処するためのセキュリティ・アップデートをリリースした。これらの脆弱性が悪用されると、サービス拒否攻撃や、機密データの流出などの可能性が生じる。影響を受けるバージョンを使用している場合には、パッチが適用された Keycloak 22.0.10／24.0.3 へと、直ちにアップデートするよう推奨される。
Continue reading “Keycloak のセキュリティ・アップデート：DDoS／データ流出などの脆弱性に対処”ClamAV Issues Urgent Patch for High-Risk DoS Vulnerability CVE-2024-20380
2024/04/18 SecurityOnline — ClamAV 開発チームがリリースしたのは、人気のオープンソース・アンチウイルス・ソフトウェアに対する、緊急のセキュリティ・パッチである。このパッチは、脆弱性 CVE-2024-20380 (CVSS：7.5) に対処するものであり、認証されていないリモートの攻撃者に悪用されると、ClamAV サービスがクラッシュし、サービス拒否 (DoS) 状態に陥る可能性が生じる。
Continue reading “ClamAV の脆弱性 CVE-2024-20380 が FIX：クラッシュとサービス拒否状態を回避”Flatpak Users Beware: CVE-2024-32462 Vulnerability Allows Apps to Escape Sandbox
2024/04/18 SecurityOnline — Linux アプリケーションのパッケージ化とディストリビューションのための、一般的なフレームワークである Flatpak に脆弱性 CVE-2024-32462 が存在することが、最近のセキュリティ・アドバイザリにより明らかになった。この脆弱性により侵害された Flatpak アプリがサンドボックス・デザインの欠陥を悪用し、意図した環境外で有害なコードを実行する可能性があるという。
Continue reading “Flatpak の深刻な脆弱性 CVE-2024-32462 が FIX：サンドボックス・エスケープが発生”Hackers Exploit OpenMetadata Flaws to Mine Crypto on Kubernetes
2024/04/18 TheHackerNews — OpenMetadata の深刻な脆弱性を悪用する脅威アクターたちが、Kubernetes のワークロードに不正アクセスし、暗号通貨マイニングに悪用していることが判明した。Microsoft Threat Intelligence チームによると、この脆弱性は、2024年4月の始めから武器化されているという。
Continue reading “OpenMetadata の脆弱性：Kubernetes 上で暗号通貨のマイニングに悪用されている”2024/04/17 SecurityOnline — 広く使用されている WordPress Forminator プラグインに、複数の重大な脆弱性があることが JVN のセキュリティ・アドバイザリにより明らかになった。これらの脆弱性の悪用に成功した攻撃者は、Web サイトを侵害し、機密データを盗み、サービスに障害を引き起こす可能性を持つ。
Continue reading “WordPress Forminator プラグインの深刻な脆弱性が FIX：Web サイトの侵害や機密データ流出の恐れ”US Government and OpenSSF Partner on New SBOM Management Tool
2024/04/17 InfoSecurity — Open Source Security Foundation (OpenSSF) は米国政府と共同して、ユーザー組織における Software Bill of Materials (SBOMs) 管理を簡素化する、新しいツールを発表した。新しい OSS ツールである Protobom は、すべての組織における SBOM とファイル・データの読取／生成をサポートし、また、業界標準の SBOM フォーマット間で、それらのデータを変換するためのものだ。
Continue reading “米政府と OpenSSF がパートナーシップ：SBOM 管理のためのツール Protobom とは？”OpenJS Foundation Targeted in Potential JavaScript Project Takeover Attempt
2024/04/16 TheHackerNews — 先日に発覚したオープンソースの XZ Utils バックドア騒動と似た手口で、信頼を悪用して OpenJS Foundation を標的とし、 乗っ取ろうとする試みが、セキュリティ研究者たちにより発見された。OpenJS Foundation と Open Source Security Foundation (OpenSSF) は共同アラートの中で、「OpenJS Foundation Cross Project Council は、GitHub 関連のメールと重複するが、名前が異なる一連の不審なメールを受け取った」と述べている。
Continue reading “OpenJS Foundation／OpenSSF の共同アラート：OpenJS が乗っ取りの標的にされた”CVE-2024-32019 in Popular Monitoring Tool Netdata Could Allow Hackers Root Access
2024/04/15 SecurityOnline — OSS のモニタリング／トラブルシューティング・ツールとして広く利用されている Netdata に、深刻なセキュリティ脆弱性 CVE-2024-32019 (CVSS：8.8) が発見された。この脆弱性の悪用に成功した攻撃者は、影響を受けたシステム上で root レベルの特権を得て、完全な制御を奪っていく可能性がある。Github で 68k 以上のスターを獲得している Netdata の人気は高く、数多くのシステムが危険にさらされることが懸念される。
Continue reading “Netdata の脆弱性 CVE-2024-32019 が FIX：ただちにアップデートを！”Vulnerability in Popular VPN Software Could Lead to Crashes and Service Disruptions
2024/04/15 SecurityOnline — 広く利用されているオープンソースの VPN (Virtual Private Network) ソフトウェアである Libreswan で、新たに発見された脆弱性 CVE-2024-3652 により、システム・クラッシュやサービス拒否攻撃の可能性が生じていると、研究者たちが指摘している。この脆弱性は、接続の安全性を確保するために、Libreswan に依存している組織にとってリスクとなる。
Continue reading “Libreswan の脆弱性 CVE-2024-3652 が FIX：システム・クラッシュや DoS 攻撃が生じる恐れ”CVE-2024-2876: Critical Security Flaw Impacts Popular WordPress Email Marketing Plugin
2024/04/15 SecurityOnline — 人気の WordPress プラグインである Email Subscribers by Icegram Express に、深刻なセキュリティ脆弱性 CVE-2024-2876 (CVSS：9.8) が発見された。このプラグインの脆弱性の悪用に成功した、認証されていない攻撃者は、WordPress サイトに悪意のコードを注入する可能性を持つ。
Continue reading “WordPress Email Subscribers の脆弱性 CVE-2024-2876 が FIX：ただちにアップデートを！”CVE-2024-31497: Critical PuTTY Vulnerability Exposes Private Keys – Immediate Action Required
2024/04/15 SecurityOnline — 一般的な SSH クライアントである、PuTTY バージョン 0.68〜0.80 に存在する、深刻な脆弱性 CVE-2024-31497 が発見された。この脆弱性は、FileZilla／WinSCP／TortoiseGit／TortoiseSVN などの、広範なソフトウェアに影響を及ぼす。この脆弱性の悪用に成功した攻撃者は、NIST P-521 曲線を用いた ECDSA アルゴリズムで使用される秘密鍵を大幅に弱体化させ、容易に復元できる状態にするという。この欠陥は、Ruhr 大学 Bochum.の、セキュリティ研究者である Fabian Bäumer と Marcus Brinkmann により発見された。
Continue reading “PuTTY の深刻な脆弱性 CVE-2024-31497 が FIX：秘密鍵の大幅な弱体化”Critical PHP Vulnerabilities Patched: Update Immediately to Mitigate Attacks
2024/04/14 SecurityOnline — PHP のバージョン 8.1.28／8.2.18／8.3.6 に影響を及ぼす複数の脆弱性に対して、緊急のセキュリティ・パッチがリリースされた。これらの脆弱性は、クリティカルなコマンド・インジェクションの不具合から、 アカウント漏洩にいたるまでの多岐にわたり、 Web サイトやアプリケーションで PHP を利用している、ユーザーと開発者の双方にとって、 早急な対応が必要なものである。
Continue reading “PHP の深刻な脆弱性 CVE-2024-1874／2757 などが FIX：ただちにパッチを！”‘BatBadBut’ Command Injection Vulnerability Affects Multiple Programming Languages
2024/04/12 SecurityWeek — 複数のプログラミング言語から、Windows アプリケーションのコマンド・インジェクションにつながるという深刻な脆弱性について、Flatt Security のバグハンターたちが警告している。この BatBadBut と名付けられた問題は、Windows オペレーティング・システムにおいて、”CreateProcess” 関数でバッチ (bat) ファイルが実行され、”cmd exe” プロセスが生成される際に、プログラミング言語がコマンド引数を適切に回避しないことに起因する。
Continue reading “BatBadBut コマンド・インジェクション：Windows 上の Rust／Node.js／PHP などに影響”CVE-2024-22262: Spring Framework Hit by New Vulnerability, Urgent Update Needed
2024/04/12 SecurityOnline — 広範に利用されている Spring Framework ソフトウェアに存在する、深刻度の高いセキュリティ上の欠陥 CVE-2024-22262 が、新たに発見された。この脆弱性により、無数のアプリケーションに対して、リダイレクト攻撃やサーバ・サイド・リクエスト・フォージェリ (SSRF) 攻撃が発生する可能性があると、研究者たちが警告している。
Continue reading “Spring Framework の深刻な脆弱性 CVE-2024-22262 が FIX：SSRF 攻撃などが発生する可能性”Popular Rust Crate liblzma-sys Compromised with XZ Utils Backdoor Files
2024/04/12 TheHackerNews —XZ Utilsのバックドアに関連する “テストファイル” が、liblzma-sys という名の Rust crate に紛れ込んでいることが、Phylum の新たな調査で明らかになった。この liblzma-sys は、現時点において 21,000回以上もダウンロードされており、XZ Utils データ圧縮ソフトウェアの一部である、基礎ライブラリ liblzma 実装へのバインディングを、Rust 開発者に提供している。問題のバージョンは、0.3.2 である。
Continue reading “XZ Utils バックドア汚染：Rust Crate liblzma-sys 侵害から手口を辿ってみる”CVE-2024-27309: Major Apache Kafka Flaw Could Expose Sensitive Data in Popular Enterprises
2024/04/11 SecurityOnline — 人気の OSS イベント・ストリーミング・プラットフォームである Apache Kafka の、一般的なバージョンにおいて深刻な脆弱性 CVE-2024-27309 が発見された。この脆弱性は、Kafka クラスタを ZooKeeper モードから KRaft モードに移行する過程において、機密データへの不正アクセスを許す可能性があり、多数の大規模企業に影響を与えると推測されている。
Continue reading “Apache Kafka の脆弱性 CVE-2024-27309 が FIX：ただちにアップデートを！”Threat Actors Game GitHub Search to Spread Malware
2024/04/11 InfoSecurity — 脅威アクターたちは、悪意のコードが隠された GitHub リポジトリを、多大な労力を費やして拡散していると、Checkmarx が警告している。最近に発見されたキャンペーンでは、これらのリポジトリが GitHub の検索結果の上位に表示されるよう設計された、テクニックが展開されていたという。
Continue reading “GitHub リポジトリ検索の悪用：マルウェア拡散の温床になっている”XZ Utils Scare Exposes Hard Truths About Software Security
2024/04/11 DarkReading ‐‐‐ ほぼ全ての主要 Linux ディストリビューションに搭載されている、データ圧縮ユーティリティである XZ Utils に、バックドアが注入されていたことが、最近になって判明した。このインシデントから痛感させられるのは、OSS コンポーネントを利用する組織は、ソフトウェアの安全性を確保する責任を、最終的に負う必要があるということだ。
Continue reading “XZ Utils バックドア騒動：ソフトウェア・セキュリティの問題点が浮き彫りに”CVE-2024-31861: Apache Zeppelin Vulnerability Opens Door to Code Injection Attacks
2024/04/10 SecurityOnline — 人気のデータ分析ノートブック・ツールである Apache Zeppelin に、新たなセキュリティ脆弱性 CVE-2024-31861 (重要度：Important) が発見された。この脆弱性の悪用に成功した攻撃者は、Zeppelin のシェル・インタプリタを通じて悪意のコードを注入し、機密システムの完全性とセキュリティに影響を与える可能性がある。
Continue reading “Apache Zeppelin の脆弱性 CVE-2024-31861：コード・インジェクション攻撃が生じる恐れ”
IoT OT Security News 
You must be logged in to post a comment.