_OpenSource – Page 17 – IoT OT Security News

Node.js の脆弱性 CVE-2024-27980 が FIX：ただちにアップデートを！

CVE-2024-27980: Critical Node.js Update Patches Windows Command Injection Flaw

2024/04/10 SecurityOnline — Node.js プロジェクトがリリースしたのは、Windows システムにおける深刻なコマンド・インジェクションの脆弱性 CVE-2024-27980 に対処する、緊急のセキュリティ・アップデートである。この脆弱性の悪用に成功した攻撃者は、シェル・オプションが無効化されている場合においても、影響を受けるマシン上での悪意のコード実行が可能になる。

GitLab の４件の脆弱性が FIX：XSS および Dos が発生する可能性

GitLab Races to Fix Critical XSS Flaws – Don’t Delay Your Upgrade

2024/04/10 SecurityOnline — コードコラボレーションとプロジェクト管理のための DevOps プラットフォームとして広く利用されている GitLab が、重要なセキュリティ・アップデートとして 16.10.2／16.9.4／16.8.6 をリリースした。このリリースで対処された複数の欠陥のうち、最も深刻なものは、蓄積型クロスサイトスクリプティング (XSS) の脆弱性である。これらの脆弱性の悪用に成功した攻撃者は、ユーザー・セッションの乗っ取りや、機密データの窃取を可能にし、さらには、標的システム内での攻撃のための足場を構築する可能性もあるという。

WordPress Core に脆弱性：バージョン 6.5.2 への移行を急いでほしい

WordPress Releases Urgent Security Patch – Update Immediately!

2024/04/10 SecurityOnline — 人気の CMS (Content Management System) である WordPress がリリースしたのは、クロス・サイト・スクリプティング (XSS) などの脆弱性に対処する、重要なセキュリティ・アップデートである。あらたにリリースされた WordPress 6.5.2 は、このソフトウェアを利用している、すべてのウェブサイト所有者にとって不可欠なものだ。

Rust の脆弱性 CVE-2024-24576 (CVSS 10) に注意：Windows 限定のコマンド・インジェクション

CVE-2024-24576 (CVSS 10): Rust Flaw Exposes Windows Systems to Command Injection Attacks

2024/04/09 SecurityOnline — Rust Standard Library で発見された致命的な脆弱性により、Windows ベースのシステムにおいて、任意のコード実行の可能性が生じている。この脆弱性 CVE-2024-24576 が攻撃者に悪用されると、システムを不正に制御される可能性があるという。

PostgreSQL pgAdmin の脆弱性 CVE-2024-3116 が FIX：RCE 攻撃の恐れ

CVE-2024-3116: Critical pgAdmin Vulnerability Exposes Databases to Remote Attacks

2024/04/05 SecurityOnline — PostgreSQL データベースの管理のために、世界中で使用されているオープンソース・ツールの pgAdmin に、深刻な脆弱性 CVE-2024-3116 が発見された。この脆弱性の悪用に成功した攻撃者は、pgAdmin を実行しているサーバー上で悪意のコードを実行し、データベース・システム全体を危険にさらす可能性がある。

Apache CloudStack の脆弱性 CVE-2024-29008 などが FIX：ただちにパッチを！

Apache CloudStack Releases Critical Security Patches – Update Immediately

2024/04/04 SecurityOnline — Apache Software Foundation が発表したのは、人気のクラウド管理プラットフォーム CloudStack 4.18.1.1／4.19.0.1 によりセキュリティ・リリースである。これらのリリースで対処される、３件の脆弱性を悪用する攻撃者は認証を回避し、トラフィックをリダイレクトし、基盤となるインフラの制御を奪う可能性があるという。

HTTP/2 で発見された新たな脆弱性：CONTINUATION Flood の仕組みについて解説する

New HTTP/2 Vulnerability Exposes Web Servers to DoS Attacks

2024/04/04 TheHackerNews — HTTP/2 プロトコルの CONTINUATION フレームを悪用することで、サービス拒否 (DoS) 攻撃が可能なことが、新たな研究で判明した。セキュリティ研究者の Bartek Nowotarski により、このテクニックは “HTTP/2 CONTINUATION Flood” というコードネームで呼ばれている。2024年1月25日に彼は、この問題を CERT Coordination Center (CERT/CC) に報告している。

Apache HTTP サーバの３つの脆弱性が FIX：ただちにパッチを！

Apache HTTP Server Hit by Triple Vulnerabilities – Users Urged to Update

2024/04/04 SecurityOnline — 広く使用されている Apache HTTP Server に、３つの脆弱性が存在することを、セキュリティ研究者たちが発見した。それらの脆弱性 CVE-2023-38709／CVE-2024-27316／CVE-2024-24795 が開く攻撃のドアから、脅威アクターたちが入り込み、Web サイトのコンテンツ改ざんから、サービス拒否 (DoS) シナリオにいたるまでの、攻撃が仕掛けられる恐れがある。

Node.js の脆弱性 CVE-2024-27983／27982 が FIX：クラッシュと HTTP スマグリングの可能性

Node.js Security Update Addresses Server Crash, Request Smuggling Vulnerabilities

2024/04/03 SecurityOnline — Node.js プロジェクトがリリースしたのは、人気の JavaScript 実行環境における、アクティブなリリースライン v18.x／v20.x／v21.x に存在する、２つの脆弱性に対処するための重要なセキュリティ更新プログラムである。１つ目の脆弱性には、Node.js HTTP/2 サーバのクラッシュにいたる可能性があり、２つ目の脆弱性には、HTTPリクエスト・スマグリング攻撃を容易にする可能性がある。

WordPress LayerSlider Plugin の脆弱性 CVE-2024-2879 が FIX：CVSS 値は 9.8

Critical Security Flaw Found in Popular LayerSlider WordPress Plugin

2024/04/03 TheHackerNews — WordPress の LayerSlider plugin に、致命的なセキュリティ脆弱性 CVE-2024-2879 (CVSS：9.8) が発見された。この脆弱性は SQL インジェクションと分類されており、7.9.11〜7.10.0 までのバージョンに影響を与える。この脆弱性の悪用に成功した攻撃者は、データベースからパスワード・ハッシュなどの機密情報を抜き取る可能性がある。

XZ Utils の脆弱性 CVE-2024-3094：バックドア検出の無料スキャナーを Binarly が開発／提供

Binarly Released The Free Online Scanner To Detect The Cve-2024-3094 Backdoor

2024/04/02 SecurityAffairs — 3月29日に Microsoft のエンジニアである Andres Freund が明らかにしたのは、xz ツールとライブラリの最新バージョンにバックドアが存在するという現実である。この脆弱性は、CVE-2024-3094 (CVSS：10.0) として追跡されている。Red Hat は、Fedora の開発版／実験版が稼働しているシステムを直ちに使用中止するよう、ユーザーに呼びかけている。XZ は、一般的なデータ圧縮フォーマットであり、Linux ディストリビューションにおける、コミュニティ主導型と商用型の大半に実装されている。

Apache Pulsar の脆弱性 CVE-2024-29834 が FIX：直ちにアップデートを！

Apache Pulsar Patches Authorization Flaw (CVE-2024-29834) – Update Now to Protect Sensitive Data

2024/04/02 SecurityOnline — OSS メッセージング／ストリーミング・プラットフォームとして人気の Apache Pulsar に存在する、深刻なセキュリティ脆弱性 CVE-2024-29834 にパッチが適用された。この脆弱性の悪用に成功した、権限のない攻撃者は、機密データ・ストリームやシステム・アクセス・ルールなどの変更が可能になるため、組織のデータが危険にさらされる可能性が生じる。

XZ Utils for Linux に仕込まれた悪意のコード：RCE を引き起こすという調査結果

Malicious Code in XZ Utils for Linux Systems Enables Remote Code Execution

2024/04/02 TheHackerNews — 主要 Linux ディストリビューションで広範に使用されている、OSS ライブラリ XZ Utils に挿入された悪意のコードは、リモートからのコード実行も可能であることが、新たな分析により明らかになった。脆弱性 CVE-2024-3094 (CVSS：10.0) を悪用する大胆なサプライチェーン侵害は、Microsoft のエンジニアであり、PostgreSQL の開発者でもある Andres Freund が、先週に警告したものである。このデータ圧縮ユーティリティにバックドアが存在するため、リモートの攻撃者がセキュア・シェル認証を回避し、影響を受けたシステムへの完全なアクセスを提供することが明らかになっている。

WallEscape 脆弱性 CVE-2024-28085：Linux のパスワードが漏えいする可能性とは？

‘WallEscape’ Linux Vulnerability Leaks User Passwords

2024/04/01 SecurityWeek — Linux システムの util-linux コア・ユーティリティ・パッケージで発見された新たな脆弱性について、セキュリティ研究者たちが文書化を進めている。それによると、悪用に成功した攻撃者は、ユーザー・パスワードの漏えいや、クリップボード内容の改ざんなどを引き起こす可能性があるという。”WallEscape” と名付けられた脆弱性 CVE-2024-28085 は、コマンドライン引数におけるエスケープシーケンスをフィルタリングしない、util-linux の “wall” コマンドに影響を及ぼすものである。

JumpServer の深刻な脆弱性 CVE-2024-29201／29202 が FIX：ただちにパッチを！

CVE-2024-29201 & CVE-2024-29202 Flaws Expose JumpServer Users to RCE Attacks

2024/04/01 SecurityOnline —人気の OSS 要塞ホスト・システムである JumpServer に、２件のリモート・コード実行の脆弱性 CVE-2024-29201／CVE-2024-29202 が発見された。この脆弱性は、セキュリティ・インフラストラクチャを JumpServer に依存している、各種の組織に深刻なリスクをもたらす。

XZ Utils に注入されたバックドア：主要の Linux ディストリビューションに影響

Supply Chain Attack: Major Linux Distributions Impacted by XZ Utils Backdoor

2024/04/01 SecurityWeek — データ圧縮ライブラリである XZ Utils のバックドア付きバージョンにより、主要な Linux ディストリビューションがサプライチェーン攻撃の影響を受けている。このバックドアは、Microsoft の Software Engineer である Andres Freund により発見されたものである。彼によると、2024年2月にリリースされた XZ Utils 5.6.0 の tarball ダウンロード・パッケージに、悪意のコードが混入していたという。その直後にリリースされたバージョン 5.6.1 では、難読化の追加や一部の設定で発生するエラーの修正など、悪意のコードが更新されていた。

Apache Fineract の脆弱性 CVE-2024-23537 などが FIX：直ちにアップデートを！

Apache Fineract Patches Multiple Flaws, Including Critical Privilege Escalation (CVE-2024-23539)

2024/03/31 SecurityOnline — 金融機関で広く使用されている OSS コア・バンキング・ソリューション Apache Fineract に存在する、３つの脆弱性に対応するセキュリティ・パッチがリリースされた。これらの脆弱性の悪用に成功した攻撃者は、権限の昇格や、悪意のデータベース・クエリ実行を引き起こす可能性がある。

Linux Kernel の脆弱性 CVE-2024-0582：PoC と技術的詳細が公開

CVE-2024-0582: Serious Linux Kernel Bug Opens Door to System Takeovers, PoC Published

2024/03/31 SecurityOnline — Linux カーネルの脆弱性 CVE-2024-0582 (CVSS 7.8) の、PoC エクスプロイト・コードと技術的詳細が公開された。この脆弱性は、バージョン 6.4〜6.6 に影響するものであり、悪用に成功したローカル・ユーザー・アクセス権を持つ攻撃者は、システムを侵害して完全な管理者権限を獲得する可能性を得るという。

Ruby RDoc の RCE 脆弱性 CVE-2024-27281 が FIX：直ちにアップデートを！

CVE-2024-27281: Critical Vulnerability Patched in Popular Ruby Documentation Tool

2024/03/29 SecurityOnline — 人気の Ruby 文書生成ツールである、RDoc に存在する脆弱性 CVE-2024-27281 に対処する緊急のセキュリティ・パッチが、Ruby 開発チームからリリースされた。この脆弱性の悪用に成功した攻撃者は、脆弱なバージョンの RDoc を使用しているシステム上で、リモート・コード実行を行うことが可能になる。

XZ Utils の脆弱性 CVE-2024-3094：Fedora で発見されたバックドア – Red Hat 警告

Red Hat warns of backdoor in XZ tools used by most Linux distros

2024/03/29 BleepingComputer — 3月29日に Red Hat が公開したのは、最新のデータ圧縮ツール／ライブラリである XZ Utils にバックドアが見つかったという警告である。同社は、Fedora の開発版／実験版を実行しているシステムの使用を、直ちに停止するようユーザーに求めている。Red Hat は通知で、「FEDORA 41／FEDORA RAWHIDE INSTANCES の使用を直ちに中止してほしい」と述べている。

GitLab の脆弱性 CVE-2023-6371／CVE-2024-2818 が FIX：ただちにパッチを！

GitLab Patches Vulnerabilities, Users Urged to Update Immediately

2024/03/28 SecurityOnline — 人気の DevOps プラットフォームである GitLab において、 Git Management Software バージョン 16.10.1／16.9.3／16.8.5 用の重要なセキュリティ・アップデートがリリースされた。これらのパッチで対処された脆弱性は、悪意のコードの実行から、システムの停止にいたる攻撃を引き起こし、ユーザーを危険にさらす可能性を持つものだ。

Grafana の脆弱性 CVE-2024-1313 が FIX：データ削除を防ぐために直ちにパッチを！

CVE-2024-1313: BOLA Flaw in Grafana Threatens Dashboard Integrity – Patch Immediately

2024/03/27 SecurityOnline — Grafana で、Broken Object Level Authorization (BOLA) の脆弱性 CVE-2024-1313 が発見された。したがって、このソフトウェアに依存して、重要なデータを可視化している組織には、早急にパッチを適用する必要性が生じている。この脆弱性は、Palo Alto Research の Ravid Mazon と Jay Chen により検出されたものであり、その悪用に成功した権限のないユーザーが、悪意を持ってスナップショットを削除できるため、ダッシュボードに混乱が生じ、データの整合性が毀損し、業務に支障が発生する可能性がある。

Linux util-linux の脆弱性 WallEscape CVE-2024-28085：PoC が提供

CVE-2024-28085: Critical ‘WallEscape’ Flaw Discovered in Linux Utilities Package – Passwords at Risk

2024/03/27 SecurityOnline — WallEscape と名付けられた、深刻なセキュリティ脆弱性 CVE-2024-28085 が、Linux の必須システム・ユーティリティ・パッケージである util-linux で発見された。このパッケージは Linux オペレーティング・システムの要であり、ディスク／ファイル／ユーザー・ログイン／プロセスの管理といった、基本的なタスクのためのツールを提供している。

Linux Kernel Netfilter の深刻な脆弱性 CVE-2024-1086 が FIX：PoC もリリース！

CVE-2024-1086: Critical Linux Kernel Flaw Demands Immediate Patching, PoC Published!

2024/03/26 SecurityOnline — Linux Kernel Netfilter に存在する深刻な脆弱性の、技術的詳細と PoC エクスプロイト・コードが公開され、無数のシステムが危険にさらされている。この脆弱性 CVE-2024-1086 (CVSS：7.8) の悪用に成功した、基本的なアクセス権を持つローカル攻撃者は、簡単に特権をエスカレートさせることが可能となる。突如として、一般のユーザーが、あなたのシステムのルート権限を得るという状況を想像してみてほしい。

Apple の RCE 脆弱性 CVE-2024-1580 が FIX：iOS／macOS での悪用を証明する PoC もリリース

Apple Patches Code Execution Vulnerability in iOS, macOS

2024/03/26 SecurityWeek — Apple がリリースしたのは、任意のコード実行の脆弱性を解決するための、iOS／macOS デバイス向けのセキュリティ・アップデートである。この脆弱性 CVE-2024-1580 は、境界外書き込みにつながる整数オーバーフローと説明されており、iOS／macOS の CoreMedia および WebRTC コンポーネントに影響を与えるものであり、画像処理中にトリガーされる可能性があるという。

WordPress File Manager プラグインの脆弱性 CVE-2024-1538 が FIX：影響は 100万サイトに及ぶ

CVE-2024-1538: Critical WordPress Plugin Flaw Exposes Over 1 Million Sites – Patch Immediately!

2024/03/25 SecurityOnline — WordPress 用 File Manager プラグインに、深刻なセキュリティ脆弱性 CVE-2024-1538 (CVSS：8.8) が発見された。このプラグインは、100万以上のアクティブなインストール数を誇るものであり、WordPress ダッシュボード内で Web サイトの管理者が、ファイルやフォルダをダイレクトに管理するために用いられている。

BSD システム NFS の脆弱性 CVE-2024-29937：PoC が出てくる？

CVE-2024-29937: Critical NFS Vulnerability Exposes BSD Systems to Remote Code Execution

2024/03/25 SecurityOnline — OpenBSD や FreeBSD などの BSD 由来のオペレーティング・システムで使用されている NFS (Network File System) に、深刻な脆弱性 CVE-2024-29937 が存在することが判明した。この脆弱性の発見者である、signedness.org のセキュリティ研究者たち (Christer／Claes／Marcus) は、近々に開催される t2 Infosec Conference でプレゼンを行う予定だという。

OSS Cybersecurity Tools 20選：このエコシステムを活用するために知っておくべきことは？

20 essential open-source cybersecurity tools that save you time

2024/03/25 HelpNetSecurity — オープンソース・ソフトウェアの適応性が約束するのは、その耐久性と妥当性であり、また、新しいテクノロジーとの互換性も保証してくれる。オープンソースのサイバーセキュリティ・エコシステムについて、深く掘り下げ始めたとき知ったのは、数多くの問題に対する実用的な解決策を見つけようと取り組む、開発者たちの熱心なコミュニティの存在である。

GitHub のサプライチェーン攻撃：Top.gg アカウントを悪用してマルウェアを展開

GitHub Developers Hit in Complex Supply Chain Cyberattack

2024/03/25 DarkReading — 正体不明の脅威グループが、Top.gg の GitHub のメンバーや開発者たちに対して高度なサプライチェーン攻撃を展開し、このコード・エコシステムに悪意のコードを注入していることが明らかになった。攻撃者は、信頼されているソフトウェア開発要素に侵入することで、開発者たちを侵害していく。彼らは、盗んだクッキーで GitHub アカウントを乗っ取り、検証済みのコミットを通じて悪意のコードを投稿し、偽の Python ミラーを確立し、PyPI レジストリに汚染されたパッケージを公開する。

OpenVPN の深刻な脆弱性が FIX：特権昇格／リモート攻撃／クラッシュなどの権限に対応

OpenVPN Patches Serious Vulnerabilities in Windows Installations

2024/03/24 SecurityOnline — OpenVPN がリリースした、重要なセキュリティ・アップデート (バージョン 2.6.10) は、特権昇格／リモート攻撃／システムクラッシュなどを引き起こす可能性のある、 Windows ソフトウェアにおける一連の脆弱性に対処するものだ。これらの脆弱性が浮き彫りにするのは、特に OpenVPN のようなネットワーク・トラフィックを扱うツールにおける、定期的なソフトウェア・アップデートの必要性である。

Varnish Cache の脆弱性 CVE-2024-30156：Web サイトをダウンさせる Dos 攻撃が生じる恐れ

CVE-2024-30156 Flaw in Popular Varnish Cache Software Could Cripple Websites

2024/03/24 SecurityOnline — Web サイトのスピードとパフォーマンスの向上のために、広く利用されている Varnish Cache だが、深刻なセキュリティ脆弱性 CVE-2024-30156 が発見された。この脆弱性の悪用に成功した攻撃者は、サービス拒否 (DoS) 攻撃を仕掛け、コンテンツが豊富な大規模な Web サイトが相手であっても、ダウンさせる可能性を持つという。

Mozilla Firefox の２つのゼロデイが FIX：Pwn2Own Vancouver 2024 の成果だ！

Mozilla fixes two Firefox zero-day bugs exploited at Pwn2Own

2024/03/22 BleepingComputer — ハッキング・コンテスト Pwn2Own Vancouver 2024 で悪用が実証された、Firefox Web ブラウザに存在する２つのゼロデイ脆弱性に対するセキュリティ・アップデートが、Mozilla からリリースされた。１つ目の脆弱性 CVE-2024-29944 は、境界外 (OOB) 書き込みに起因する、リモート・コード実行につながるものだ。２つ目の脆弱性 CVE-2024-29943 は、危険な関数の利用から、Mozilla Firefox のサンドボックス・エスケープにつながるものだ。この脆弱性を証明した Manfred Paul (@_manfp) は、賞金 $100,000 と、Master of Pwn 10 ポイントを獲得した。

Apache Doris の脆弱性 CVE-2024-27438 が FIX：リモートコード実行の可能性

CVE-2024-27438: Apache Doris Remote Command Execution Vulnerability

2024/03/21 SecurityOnline — Apache Doris 開発チームがリリースしたのは、人気のリアルタイム分析データベース・システムに存在する、２つの脆弱性に対処するセキュリティ・アップデートである。これらのセキュリティ欠陥の１つは Important と評価されており、影響を受けるシステム上で、攻撃者に悪意のコード実行を許す可能性が生じる。

800 以上の NPM パッケージで不一致を検出：そのうちの 18件は Manifest Confusion を悪用

Over 800 npm Packages Found with Discrepancies, 18 Exploitable to ‘Manifest Confusion’

2024/03/21 TheHackerNews — npm レジストリに存在する、800 以上のパッケージのレジストリ・エントリに不一致であることが、サイバーセキュリティ企業 JFrog の新たな調査により判明した。不一致があったエントリのうちの 18 件は、 “Manifest Confusion” と呼ばれる手法を悪用していたという。JFrog によると、開発者を騙して悪意のコードを実行させるために、この問題が脅威アクターに悪用される可能性があるという。

GitHub Advanced Security の新機能がリリース：AI を活用した脆弱性のパッチ適用支援

GitHub Launches AI-Powered Autofix Tool to Assist Devs in Patching Security Flaws

2024/03/21 TheHackerNews — 3月20日に GitHub が発表したのは、Advanced Security の全顧客を対象に、コードスキャン自動修正と呼ばれる機能を、パブリック・ベータ版として公開することである。GitHub の Pierre Tempel と Eric Tooley によると、「GitHub Copilot と CodeQL を搭載したコードスキャン自動修正機能は、JavaScript／TypeScript／Java／Python のアラート・タイプの 90％以上をカバーし、見つかった脆弱性の３分の２以上を、ほとんど編集せずに修正できるコード案を提供する」という。

Artica Proxy の脆弱性 CVE-2024-2054：パッチは未適用だが、PoC が公開された

CVE-2024-2054: Critical Artica Proxy Flaw Exposed, Patch Unavailable, PoC Published

2024/03/21 SecurityOnline — 人気の Artica Proxy アプライアンスにおける深刻な脆弱性が、KoreLogic のセキュリティ研究者である Jaggar Henry により発見された。この脆弱性 CVE-2024-2054 が未認証の攻撃者に悪用されると、影響を受けるサーバ上で悪意のコードが実行される可能性が生じる。

Firefox／Thunderbird の６件の脆弱性が FIX：今すぐアップデートを！

CVE-2024-2615: Update Firefox Now! Zero-Click Attacks Possible

2024/03/19 SecurityOnline ‐‐‐ Mozilla は、Firefox (Firefox 124／Firefox ESR 115.9) と Thunderbird (115.9) の、緊急セキュリティ・アップデートをリリースした。今回のアップデートで修正されたのは、深刻なリモート・コード実行の脆弱性のほか、システムのサンドボックス・エスケープ／システムのクラッシュ／データの窃取／設定の操作などを、攻撃者にゆるす可能性がある、危険性の高い複数の脆弱性だ。

WordPress Automatic plugin の２つの脆弱性が FIX：40,000 以上のサイトが危険に晒されている

40,000+ Sites Exposed: WordPress Plugin Update Critical – CVE-2024-27956 & CVE-2024-27954

2024/03/19 SecurityOnline — 3月19日に Patchstack が公開したセキュリティ・アドバイザリによると、WordPress の Automatic プラグイン (プレミアム版) に、２つの危険な脆弱性 CVE-2024-27956／CVE-2024-27954 が発見されたとのことだ。WordPress サイトでのコンテンツ・インポートの自動化に用いられる同プラグインは、40,000 以上のアクティブなインストールがあるため、リスクは広範かつ差し迫ったものである。

Kubernetes Argo の３つの脆弱性：認証メカニズム破壊にいたる可能性

Three New Critical Vulnerabilities Uncovered in Argo

2024/03/18 InfoSecurity — Kubernetes セットアップで用いられる人気の GitOps CD (Continuous Delivery) ツール Argo に存在する３つの深刻な脆弱性を、KTrust のセキュリティ研究者たちが発見した。これらの脆弱性の悪用に成功した攻撃者は、ブルートフォース巧撃に対するレートリミット保護メカニズムをバイパスし、サービス拒否 (DoS) 攻撃を誘発することで、システム・セキュリティに重大なリスクをもたらし、最終的にはユーザー・アカウントの安全性を損なうことになる。

WordPress miniOrange プラグインの脆弱性 CVE-2024-2172 が FIX：サイトの侵害が生じる恐れ

WordPress Admins Urged to Remove miniOrange Plugins Due to Critical Flaw

2024/03/18 TheHackerNews — WordPress プラグインである、miniOrange の Malware Scanner と Web Application Firewall に、深刻なセキュリティ欠陥が発見された。ユーザーに求められるのは、これらのプラグインを Web サイトから削除することだ。Stiofan により発見された、この脆弱性 CVE-2024-2172 は、CVSS スコア 9.8 と評価されている。

Podman／Buildah の脆弱性 CVE-2024-1753 が FIX：ただちにアップデートを！

CVE-2024-1753: Podman/Buildah Vulnerability Allow Container Escapes

2024/03/18 SecurityOnline — 人気のコンテナ化ツールである Podman と Buildah に、深刻な脆弱性 CVE-2024-1753 が発見された。この脆弱性は CVSS スコア 8.6 (深刻度：Important) と評価されており、悪用に成功した攻撃者は、ビルド・プロセス中にコンテナの制限をエスケープし、基盤となるホスト・システムに大混乱をもたらす可能性がある。

“gitgub” というマルウェア・キャンペーン：GitHub ユーザーにRisePro インフォ・スティーラーを配布

“Gitgub” Malware Campaign Targets Github Users With Risepro Info-Stealer

2024/03/17 SecurityAffairs — RisePro インフォ・スティーラーを配信するように設計され、クラック済みのソフトウェアをホストする、少なくとも 13 の GitHub リポジトリを、G-Data の研究者たちが発見した。専門家たちが気づいたのは、このキャンペーンの運営者が、”gitgub” という名称を用いていたことだ。悪意の GitHub リポジトリに関する Arstechnica の情報を得て、研究者たちは調査を開始した。彼らは、このキャンペーンに関与しているリポジトリを特定するために、脅威ハンティング・ツールを作成した。その結果として判明したのは、すべてのリポジトリが同じダウンロード・リンクにつながるという、新たに作成されたリポジトリの存在である。

AIOHTTP の脆弱性 CVE-2024-23334 と PoC：ShadowSyndicate による悪用を確認

ShadowSyndicate Ransomware Gang Targets aiohttp CVE-2024-23334 Flaw: Patch Now!

2024/03/15 SecurityOnline — 人気の Python Web Framework である AIOHTTP の、最近にパッチが適用された脆弱性が、悪名高いランサムウェア・オペレーターたちに悪用されたことが、Cyble Global Sensor Intelligence (CGSI) の調査により判明した。この脆弱性 CVE-2024-23334 (CVSS：7.5) の悪用に成功した攻撃者は、AIOHTTP の古いバージョンを実行しているサーバ上の機密ファイルに、自由にアクセスする可能性を得るという。

Apache ZooKeeper の情報漏えいの脆弱性 CVE-2024-23944 が FIX：ただちにパッチ適用を！

CVE-2024-23944: Critical Apache ZooKeeper Flaw Exposes Sensitive Data, Patch Immediately

2024/03/14 SecurityOnline — Apache ZooKeeper に、深刻な脆弱性 CVE-2024-23944 が発見された。この脆弱性の悪用に成功した攻撃者は、秘密裏に機密情報の監視が可能となり、設定と管理のためにおいて ZooKeeper に依存しているシステムを、危険にさらす可能性を生み出す。

Apache CXF の脆弱性 CVE-2024-28752 が FIX：SSRF が生じる恐れ

Patch Now! CVE-2024-28752 – SSRF Vulnerability Impacts Apache CXF Users

2034/03/14 SecurityOnline — OSS の Web サービス・フレームワークとして人気の高い Apache CXF だが、ユーザーに対して直ちにアップデートするよう渓谷は発せられている。Apache CXF の 4.0.4／3.6.3／3.5.8 未満のバージョンに、サーバ・サイド・リクエスト・フォージェリ (SSRF) の脆弱性 CVE-2024-28752 が発見されたのだ。この脆弱性は “Important”と評価されており、対処が遅れると深刻な結果が生じると示唆される。

Kubernetes の RCE 脆弱性 CVE-2023-5528 が FIX：Windows ノードの乗っ取りにいたる？

Patch Now: Kubernetes RCE Flaw Allows Full Takeover of Windows Nodes

2024/03/14 DarkReading — 広く使用されている Kubernetes コンテナ管理システムの脆弱性により、Windows エンドポイント上の System 権限で、リモートの攻撃者からのコード実行が可能となり、Kubernetes クラスター内の全ての Windows ノードが、完全に乗っ取られる危険性が生じている。この不具合は Akamai のセキュリティ研究者 Tomer Peled が発見したものであり、CVE-2023-5528 (CVSS：7.2) として追跡されている。この脆弱性の悪用方法は、クラスタ上のポッド間でのデータ共有をサポートする Kubernetes ボリュームの操作と、ポッド・ライフサイクル外でのデータの永続的な保存にあると、3月13日に公開したブログで Tomer Peled は説明している。

Apache Pulsar の脆弱性 CVE-2024-27135 などが FIX：直ちにアップデートを！

CVE-2024-27135: Apache Pulsar Remote Code Execution Vulnerability

2024/03/13 SecurityOnline — Apache Software Foundation がリリースしたのは、多用途メッセージング／ストリーミング・プラットフォームである、Apache Pulsar に対する緊急パッチである。これらのセキュリティ・アップデートは、潜在的なリモート・コード実行／不正なデータ・アクセス／不適切な認証などの、５つの脆弱性に対処したものとなっている。Apache Pulsar を利用しているユーザーは、深刻なリスクを軽減するために、直ちにパッチをインストールする必要がある。

Apache Tomcat の脆弱性 CVE-2024-23672／CVE-2024-24549 が FIX：DoS 攻撃が生じる恐れ

Apache Tomcat Vulnerabilities Exposed, Prompt Updates Required

2024/03/13 SecurityOnline — 人気の Web サーバ・ソフトウェアである Apache Tomcat に、２つの脆弱性 CVE-2024-23672／ CVE-2024-24549 が発見された。Tomcat に依存している組織は、これらの脆弱性を悪用したサービス拒否 (DoS：Denial-of-Service) 攻撃を軽減するために、優先的にアップデートを行う必要がある。

WordPress Ultimate Member Plugin の脆弱性が FIX：200,000 以上のサイトが攻撃に晒される

WordPress Plugin Flaw Exposes 200,000+ Websites To XSS Attacks

2024/03/12 GBHackers — WordPress の Ultimate Member Plugin に、XSS (Cross-Site Scripting) 脆弱性 CVE-2024-2123 が発見された。現時点において、200,000 以上の Web サイトが、この脆弱性の脅威に晒されていることが分かった。stealthcopter という研究者により発見された、この脆弱性が浮き彫りにするのは、デジタル・エコシステムにおけるリスクであり、また、Wordfence のような Web を保護するサイバー・セキュリティ企業の重要な役割である。

2023年の GitHub：全体で 1200万件のシークレットが漏えいしてしまった

Over 12 million auth secrets and keys leaked on GitHub in 2023

2024/03/11 BleepingComputer — 2023年に GitHub ユーザーが、誤って公開してしまった認証や機密のシークレットは 1280万件に達し、それらは 300万以上の公開リポジトリ上に存在している。GitGuardian のサイバー・セキュリティ専門家たちによると、シークレットを暴露してしまった人々に　180万通の無料メール・アラートを送ったが、連絡を受けた人たちのうち、誤りを修正するために迅速に行動したのは、僅か 1.8% に過ぎなかったという。