_OpenSource – Page 19 – IoT OT Security News

WordPress の SeedProd Plugin に脆弱性 CVE-2024-1072：90万サイトで利用

CVE-2024-1072: Critical Flaw in SeedProd Plugin Exposes 900K WordPress Sites

2024/02/01 SecurityOnline — WordPress の人気プラグイン Website Builder by SeedProd に、深刻な脆弱性が判明したが、そのインストール数は 90 万を超えるという。Website Builder by SeedProd は、Web サイトの作成とカスタマイズのプロセスを簡素化するために設計された、強力で使いやすい WordPress プラグインだ。SeedProd は、ドラッグ・アンド・ドロップ機能を提供しており、コードを記述することなく簡単にカスタム Web サイトを設計／構築できるため、WordPress ユーザーの間で高い人気を誇っている。

Log4Shell／PwnKit を悪用する FritzFrog：パッチ未適用の内部システムが標的？

FritzFrog Returns with Log4Shell and PwnKit, Spreading Malware Inside Your Network

2024/02/01 TheHackerNews — FritzFrog という P2P ボットネットを背後で操る脅威アクターが、Log4Shell の脆弱性を悪用することで、すでに侵害したネットワーク内で内部的に増殖する、新たな亜種が登場している。Akamai は、「この脆弱性は、可能な限り多くの脆弱な Java アプリケーションをターゲットとする、ブルートフォース攻撃を介して悪用される」と、The Hacker News と共有したレポートの中で述べている。

Android の権限昇格の脆弱性 CVE-2023-45779：少なくとも７つの OEM に影響する

Exploit released for Android local elevation flaw impacting 7 OEMs

2024/01/31 BleepingComputer — 少なくとも７つの Android OEM (Original Equipment Manufacturer) に影響を与える、Google Android のローカル権限昇格の脆弱性の PoC エクスプロイトが、GitHub で公開された。ただし、このエクスプロイトはローカル・アクセスを必要とするため、公開されたとしても、利用できるのは研究者くらいだろう。この脆弱性 CVE-2023-45779 は、2023年9月上旬に Meta の Red Team X により発見され、2023年12月の Android のセキュリティ・アップデートで対処されたものである。

ModSecurity の WAF バイパスの脆弱性 CVE-2024-1019 が FIX：直ちにアップデートを！

CVE-2024-1019: Exposing ModSecurity’s Critical WAF Bypass Flaw

2024/01/31 SecurityOnline — Web アプリケーション・セキュリティの世界において、ModSecurity は、サイバー脅威対策に強いツールの１つとして、以前から人気を誇っている。Trustwave の SpiderLabs により開発された、このオープンソースの WAF (Web Application Firewall) エンジンは、Apache／IIS／Nginx をサポートしている。さらに、強力なイベントベースのプログラミング言語を使用しており、無数の攻撃から Web アプリケーションを守ることに長けていることに加えて、HTTP トラフィックの監視／ロギング／リアルタイム分析などにも優れている。

Gnu Library C の Root Access 脆弱性 CVE-2023-6246：影響を受ける Linux の範囲は？

Root Access Vulnerability In Gnu Library C (Glibc) Impacts Many Linux Distros

2024/01/30 SecurityAffairs — GNU Library C (glibc) に存在する４件のセキュリティ脆弱性が、Qualys Threat Research Unit により発見されたが、その中には、CVE-2023-6246 として追跡されているヒープベースのバッファオーバーフローの欠陥も含まれる。GNU Library C (glibc) は、Linux などの Unix 系オペレーティング・システムに不可欠な、システム・サービスを提供するフリーのソフトウェア・ライブラリである。

GitLab の緊急アップデート：CVSS 9.9 の脆弱性 CVE-2024-0402 を FIX

URGENT: Upgrade GitLab – Critical Workspace Creation Flaw Allows File Overwrite

2024/01/30 TheHackerNews — GitLab は、Community Edition (CE)／Enterprise Edition (EE) に、深刻なセキュリティ上の欠陥があるとして、修正プログラムを再度リリースした。この問題とは、ワークスペース作成時に、任意のファイルを書き込まれる可能性が生じるものだ。この脆弱性 CVE-2024-0402 の深刻度は、CVSS：9.9 と評価されている。

FFmpeg の深刻な脆弱性 CVE-2024-22860／CVE-2024-22862 などが FIX：直ちにアップデートを！

CVE-2024-22860 & CVE-2024-22862: Critical FFmpeg Remote Code Execution Flaws

2024/01/29 SecurityOnline — マルチメディア・ファイル処理のための、人気のオープンソース・プロジェクト FFmpeg に、３つの脆弱性が発見された。これらの脆弱性は Google の OSS-Fuzz サービスを通じて発見されたものであり、そのうちの２つ (CVE-2024-22860／CVE-2024-22862) は特に深刻なものである。

PyPI に新たな悪意のパッケージ： Windows デバイス上に WhiteSnake マルウェアを展開

Malicious PyPI Packages Slip WhiteSnake InfoStealer Malware onto Windows Machines

2024/01/29 TheHackerNews — Python Package Index (PyPI) レポジトリ上で発見されたのは、WhiteSnake Stealer という情報窃取型マルウェアを、Windows システム上に配布する悪意のパッケージである。それらのマルウェアが埋め込まれたパッケージの名前は、nigpal／figflix／terer／seGMM／fbdebug／sGMM／myGens／NewGends／TestLibs111 である。そして、これらのパッケージをアップロードしているのは “WS “という脅威アクターだと、サイバーセキュリティ研究者たちは述べている。

Linux Kernel IPv6 プロトコルの脆弱性 CVE-2023-6200 が FIX：ただちにパッチを！

Critical Alert: CVE-2023-6200 Exploits Linux Kernel with Code Execution Risk

2024/01/28 SecurityOnline — Linux カーネルの IPv6 実装に存在する、新たな脆弱性 CVE-2023-6200 (CVSS：7.5) が明らかになった。この脆弱性は、IPv6 プロトコルの重要コンポーネントである、ICMPv6 パケットの処理における深刻な競合状態に起因するものだ。

Microsoft Edge の脆弱性 CVE-2024-21326 などが FIX：直ちにアップデートを！

CVE-2024-21326 (CVSS 9.6): One Click Could Compromise Microsoft Edge

2024/01/28 SecurityOnline — Microsoft Edge のセキュリティ・アップデートがリリースされ、Chromium の脆弱性に対する独自の修正プログラムの実装が完了した。Microsoft が公開したのは、Google Chromium 121.0.6167.85／.86 をベースにした、MS Edge 121.0.2277.83 である。

Jenkins の脆弱性 CVE-2024-23897 が FIX：翌日に PoC エクスプロイトが登場

Breaking Down CVE-2024-23897: PoC Code Surfaces Just After Jenkins Advisory

2024/01/26 SecurityOnline — Jenkins の深刻な脆弱性である CVE-2024-23897 について、ベンダーがアドバイザリを公表した翌日に、技術的詳細と PoC エクスプロイト・コードが公開された。CI/CD (continuous integration and delivery) に欠かせない、オープンソースの自動化サーバーである Jenkins に、任意のファイル読み取りの脆弱性が存在することが判明したのだ。

Linux の全ブートローダーが危険：shim で発見された RCE 脆弱性 CVE-2023-40547 とは？

CVE-2023-40547: The Critical Shim Flaw Compromising Linux Bootloaders

2024/01/25 SecurityOnline — Linux のシステム・ブート・プロセスの中核を突き、セキュア・ブート・メカニズムの安全性を脅かす、新たな脆弱性が発見された。一見すると無害な EFI アプリケーションである shim で発見された、この脆弱性は、サイバー・セキュリティ業界全体の懸念事項となっている。

Jenkins 深刻な脆弱性 CVE-2024-23897 などが FIX：ただちにパッチを！

Critical Jenkins Vulnerability Exposes Servers to RCE Attacks – Patch ASAP!

2024/01/25 TheHackerNews — オープンソースの CI/CD (continuous integration/continuous delivery and deployment) 自動化ソフトウェア Jenkins のメンテナたちが９件のセキュリティ欠陥 (High ３件) を修正した。その中には、悪用に成功した攻撃者に、リモート・コード実行 (RCE) を許す深刻なバグも含まれる、この脆弱性 CVE-2024-23897 は、ビルトイン CLI (command line interface) を介した、任意のファイル読み取りの脆弱性として説明されている。

Apache Superset の脆弱性 CVE-2023-49657 が FIX：直ちにパッチ適用を！

CVE-2023-49657: Apache Superset Hit by High-Risk Stored XSS Vulnerability

2024/01/24 SecurityOnline — オープンソースのデータ可視化ソフトウェアである、Apache Superset に対する修正プログラムがリリースされ、蓄積型 XSS (cross-site scripting) 攻撃につながる可能性のある深刻な脆弱性に対処した。Apache Software Foundation は、この脆弱性 CVE-2023-49657 について CVSS 値 9.6 と評価している。この脆弱性の深刻度は Critical に分類され、Superset の将来性に暗い影を落としている。

GitLab の深刻な脆弱性 CVE-2023-7028：5,300 台のインスタンスが危険な状態

Over 5,300 GitLab servers exposed to zero-click account takeover attacks

2024/01/24 BleepingComputer — 2024年1月に発見された、GitLab のゼロクリック・アカウント乗っ取りの脆弱性 CVE-2023-7028 (CVSS：10.0) の脆弱性だが、インターネット上に公開されている 5,300 以上のインスタンスで放置されていることが判明した。この脆弱性の悪用に成功した攻撃者は、標的アカウントのパスワード再設定メールを自身が管理するメールアドレスに送信させ、パスワードを変更して対象のアカウントを乗っ取ることが可能になる。

Spring Framework の脆弱性 CVE-2024-22233 が FIX：DDoS の可能性

CVE-2024-22233: A high-severity Spring Framework Vulnerability

2024/01/22 SecurityOnline — Spring Framework はオープンソースの Java プラットフォームであり、エンタープライズ・アプリケーション開発のための、包括的なインフラ・サポートを提供している。基本的には、定型的なコードや一般的なタスクを処理することで開発プロセスを簡素化し、アプリケーションのコアとなるビジネスロジックの記述に、開発者が集中できるようにするためのツールキットである。

pyLoad の CSRF 脆弱性 CVE-2024-22416：CVSS 9.6 で PoC も公開

CVE-2024-22416: Exposing pyLoad’s High-Risk CSRF Vulnerability

2024/01/21 SecurityOnline — NAS システムから次世代ルーター、ヘッドレス・ホームサーバーに至るまで、様々なデバイスがデジタル・ライフのバックボーンとなっている現代技術の相互接続領域では、それらを動かすソフトウェアが大きな鍵となっている。 pyLoad は、多数のプラットフォーム上で Python を活用するために開発され、高い柔軟性と幅広い互換性を備えた、多用途のダウンロード・マネージャーだ。その pyLoad に、広範囲に影響を及ぼす可能性がある、深刻な脆弱性が発見された。

Pillow に深刻な脆弱性 CVE-2023-50447：CVSS 9.0 で PoC も公開された

Pillow’s Critical Flaw: CVE-2023-50447 Exposes Python Projects to Risk

2024/01/21 SecurityOnline — 賑やかな Python 開発の世界で、Pillow は Python Imaging Library (PIL) の後継として、幅広い画像処理タスクを処理する強力な機能で愛用されており、多くのプロジェクトの礎として貢献している。しかしその Pillow に、深刻な脆弱性 CVE-2023-50447 が存在し、攻撃者に任意のコード実行をゆるす可能性があることが、セキュリティ研究者 Duarte Santos の最近の研究で発見された。

Google Chrome の脆弱性 CVE-2024-0517：PoC エクスプロイトが公開

Experts Reveal Details and PoC on Chrome CVE-2024-0517 RCE Flaw

2024/01/21 SecurityOnline — 先日にパッチが適用された Google Chrome のセキュリティ脆弱性 CVE-2024-0517 に関する、技術的な詳細と PoC が公開された。この脆弱性 CVE-2024-0517 は、Chrome の JavaScript エンジンである V8 の境界外書き込みの欠陥に起因するものであり、Qrious Secure のセキュリティ研究者 Toan (suto) Pham に発見された後の 2024年1月に、Google によりパッチが適用されている。

Apache Tomcat の情報漏えいの脆弱性 CVE-2024-21733 が FIX：直ちにアップデートを！

CVE-2024-21733: Apache Tomcat Information Disclosure Vulnerability

2024/01/19 SecurityOnline — Web テクノロジーが拡大し続ける中で、その基盤として登場した Apache Tomcat は、Jakarta Servlet／Jakarta Expression Language／WebSocket 技術にとって、極めて重要なオープンソースのインプリメンテーションである。

Slippy-Book という Linux の脆弱性と PoC エクスプロイト：RCE の可能性

Breaking Down Slippy-Book: The New RCE Flaw in Linux Distros

2024/01/19 SecurityOnline — Slippy-Book と呼ばれる新たな脆弱性が、人気の Linux ディストリビューションの完全性に対する脅威として出現した。このリモート・コード実行 (RCE) の脆弱性は、セキュリティ研究者の Febin Mon Saji が発見したものである。Linux の主要なドキュメント・ビューアにおける、ファイル・パーシングの中核への脅威であり、Xreader では CVE-2023-44451 として、Atril では CVE-2023-52076 として採番されている。

TensorFlow CI/CD のミスコンフィグへの対応：サプライチェーン攻撃の要因になり得る

TensorFlow CI/CD Flaw Exposed Supply Chain to Poisoning Attacks

2024/01/18 TheHackerNews — オープンソースの機械学習フレームワーク TensorFlow で発見された CI/CD (integration and continuous delivery ) のミスコンフィグが、サプライチェーン攻撃の組織化のために悪用された可能性があるという。今週のレポートで Praetorian の研究者である Adnan Khan と John Stawinski は、「このミスコンフィグを悪用する攻撃者が、悪意のプルリクエストを通じて TensorFlow のビルド・エージェントを侵害し、GitHub／PyPi 上の TensorFlow リリースのサプライチェーンを侵害した可能性がある」と述べている。

Apache ActiveMQ の脆弱性 CVE-2023-46604：Godzilla Webshell による侵害を検知

A Stealthy Godzilla Webshell: A New Threat Targeting Apache ActiveMQ

2024/01/18 SecurityOnline — Apache ActiveMQ ホストの脆弱性を悪用するサイバー攻撃が、この数週間で急増していることを、Trustwave のサイバー・セキュリティ専門家たちが検知した。これらの攻撃では、Godzilla Webshell と呼ばれる、未知のバイナリ形式に隠されたステルス性の高い Web シェルが発見されている。

Shopware の深刻な脆弱性 CVE-2024-22406 が FIX：SQLi の可能性

Ecommerce Alert: Shopware Hit by Critical-Risk CVE-2024-22406 Flaw

2024/01/17 SecurityOnline — あらゆる規模の企業に対して、オンライン・ストア作成／管理の機能を提供する、オープンソースの e コマース・プラットフォーム Shopware に、深刻な脆弱性 CVE-2024-22406 (CVSS：9.3) が発見された。この人気のオープンソース・プラットフォームに依存している企業は、重大な脅威にさらされる可能性がある。

GitHub の脆弱性 CVE-2024-0200 が FIX：漏洩キーのローテーションにも対応

GitHub rotates keys to mitigate impact of credential-exposing flaw

2024/01/16 BleepingComputer — GitHub がローテーションしたキーは、2023年12月に発生した脆弱性へのパッチ適用により、公開されてしまう可能性があるものだ。この脆弱性の悪用に成功した攻撃者は、環境変数を介して運用中のコンテナ内の認証情報にアクセスできたという。この、不適切なリフレクションの脆弱性 CVE-2024-0200 が悪用されると、パッチ未適用のサーバ上で、リモート・コード実行にいたる可能性がある。

FBI 警告：AWS／ Microsoft などのクラウド・クレデンシャルを狙うAndroxgh0st ボットネット

FBI: Androxgh0st malware botnet steals AWS, Microsoft credentials

2024/01/16 BleepingComputer — Androxgh0st マルウェアを使用する脅威アクターが、クラウド・クレデンシャルの窃取に特化したボットネットを構築し、窃取した情報を介して悪意のペイロードを配信していることを、1月16日に CISA と FBI が警告した。この、2022年に Lacework Labs により発見されたボットネットは、PHPUnit ユニットテスト・フレームワーク／PHP Web フレームワーク／Apache Web サーバなどを使用する Web サイト／サーバをスキャンし、リモートコード実行 (RCE) の脆弱性を検出するものだ。

Linux Kernel の脆弱性 CVE-2024-0562／CVE-2024-0565 が FIX：直ちにアップデートを！

CVE-2024-0562 & CVE-2024-0565: The Linux Kernel Faces Two Major Vulnerabilities

2024/01/16 SecurityOnline — Linux Kernel は、世界中のシステムを網の目のように結びつける、現代のコンピューティングの基礎として機能している。しかし、その堅牢な構造にも弱点はある。先日には、Linux カーネルの深刻な脆弱性である、CVE-2024-0562 と CVE-2024-0565 が発見されている。

WordPress の 7,100 サイトを侵害する Balada：Popup Builder の脆弱性 CVE-2023-6000 を武器化

Balada Injector Infects Over 7,100 WordPress Sites Using Plugin Vulnerability

2024/01/15 TheHackerNews — WordPress で脆弱な Popup Builder プラグインを使用している数千のサイトが、Balada Injector と呼ばれるマルウェアに感染しているようだ。この、2023年1月に Doctor Web が報告したキャンペーンは、セキュリティ上に欠陥のある WordPress プラグインを武器にして、一連の定期的な攻撃の波を引き起こしている。それらのサイトにバックドアが注入され、偽の技術サポート／宝くじ当選／プッシュ通知などの詐欺ページへと、訪問者たちをリダイレクトしていく。

Apache Hadoop／Flink のミスコンフィグ：クリプトマイナーの配信に悪用されている

Attackers Target Apache Hadoop And Flink To Deliver Cryptominers

2024/01/15 SecurityAffairs — Apache の Hadoop と Flink を標的とする新たな攻撃が、サイバーセキュリティ企業 Aqua の研究者たちにより発見された。この攻撃は、暗号通貨マイナーの展開を目的とし、Apache の Hadoop／Flink のミスコンフィグレーションを悪用するものだ。一連の攻撃において、とりわけ興味深いのは、脅威アクターたちがマルウェアを隠すためにパッカーやルートキットを使用している点だと、研究者たちは述べている。

GitHub 2023 調査：リポジトリを悪用するサイバー攻撃の増加 – Recorded Future

Security Experts Urge IT to Lock Down GitHub Services

2024/01/15 InfoSecurity — GitHub サービスを悪用して秘密裏にサイバー攻撃を仕掛けるケースが増えていると、脅威インテリジェンス企業である Recorded Future が警告している。同社は、企業の IT チームに対して、対策を講じるよう呼びかけている。Recorded Future の最新レポート “Flying Under the Radar: Abusing GitHub for Malicious Infrastructure” では、脅威アクターに最もよく悪用される GitHub サービスが列挙されている。

PyPI に潜む Blank Grabber マルウェア：Python 開発者たちを狙い続ける

“Blank Grabber” Malware in PyPI: A Silent Threat to Python Developers

2024/01/14 SecurityOnline — Python Package Index (PyPI) は、開発者のコーディング効率を向上させるための、膨大なパッケージ・ライブラリとして認識されている。しかし、この革新的なレポジトリに潜んでいる Blank Grabber マルウェアが、新たなサイバー・セキュリティの脅威となっている。

Apache Solr の脆弱性 CVE-2023-50290 が FIX：直ちにアップデートを！

CVE-2023-50290: Apache Solr’s ‘Important’ Severity Security Flaw

2024/01/12 SecurityOnline — Apache Solr は、世界中で利用されている Java で書かれた検索プラットフォームだが、機密情報が漏えいする恐れのある、新たなセキュリティ脆弱性が発見されている。強固な全文検索／リアルタイムのインデックス作成／データベースや NoSQL システムとのシームレスな統合などで、Apache Solr は知れ渡っており、オープンソースの企業向け検索プラットフォームとして認知されている。

Apache OfBiz の深刻な脆弱性 CVE-2023-51467：PoC エクスプロイトが公開された

New PoC Exploit for Apache OfBiz Vulnerability Poses Risk to ERP Systems

2024/01/11 TheHackerNews — オープンソース ERP (Enterprise Resource Planning) システムである Apache OfBiz で、先日に公開された深刻な脆弱性を悪用することで、メモリ常駐型のペイロードを実行する PoC (Proof-of-concept) コードが、サイバー・セキュリティ研究者たちにより公表された。対象となった脆弱性 CVE-2023-51467 (CVSS：9.8) は、Apache OfBiz の別の脆弱性 CVE-2023-49070 (CVSSスコア：9.8) に対するバイパスであり、認証をバイパスして任意のリモートコード実行を行うための武器になり得るものだ。

GitLab の深刻な脆弱性 CVE-2023-7028／CVE-2023-5356 などが FIX：直ちにアップデートを！

CVE-2023-7028 & 5356: GitLab Addresses Account Takeover & Command Flaws

2024/01/11 SecurityOnline — 進化し続けるサイバー脅威の状況に対応するために、DevOps 分野で有名な GitLab が、先日に一連の重大な脆弱性を修正した。今回のアップデートで修正された脆弱性には、Critical なものとして CVE-2023-7028／CVE-2023-5356 があるが、その他にも３件の脆弱性が修正されている。

Redis の RCE 脆弱性 CVE-2023-41056：直ちにパッチ適用を！

CVE-2023-41056: Redis Remote Code Execution Vulnerability

2023/01/09 SecurityOnline — 汎用 NO SQL サーバとして広く利用されている Redis に、深刻度の高い脆弱性 CVE-2023-41056 が発見された。Redis は、サーバ・クライアント・モデルを通じて、変更可能なデータ構造を効率的に提供することで知られており、様々なプロセスにおける共有データ構造の照会／変更を容易にする。

WordPress AI Engine プラグインの脆弱性 CVE-2023-51409 が FIX：RCE にいたる恐れ

CVE-2023-51409: The Severe Vulnerability Threatening 50,000 WordPress Sites

2024/01/09 SecurityOnline — AI Engine プラグインは、50,000 以上のアクティブなインストールを持つ人気の WordPress プラグインだが、先日に深刻なセキュリティ脆弱性が発見された。この、認証を必要としない任意のファイル・アップロードを許してしまう、脆弱性 CVE-2023-51409 により、このプラグインを使用している Web サイトに深刻なリスクが生じている。

Cacti の脆弱性 CVE-2023-51448／CVE-2023-49084：連鎖により RCE 攻撃が可能

Cacti Monitoring Tool Spiked by Critical SQL Injection Vulnerability

2024/01/09 DarkReading — ネットワーク・パフォーマンス監視のための Web ベースのオープンソース・フレームワークである Cacti に、深刻な脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、Cacti のデータベース・コンテンツ全体の公開が可能になる。何千もの Web サイトが、Cacti を使用して、ルーター／スイッチ／サーバーなどのデバイスから、帯域幅の使用率／CPU とメモリーの使用量／ディスク I/O などに関連するネットワーク・パフォーマンス情報を収集している。それにより運用組織は、収集したデータを Round Robin Database utility (RRDTool) に入力し、グラフィックや視覚的なメトリクスを生成できる。

Harmony ライブラリを使用した .NET マルウェア対抗策が公開 – Check Point 調査

New Research: Tackling .NET Malware With Harmony Library

2024/01/08 InfoSecurity — 2024年1月8日に、セキュリティ研究者たちが発表したのは、Harmony ライブラリを使用して .NET マルウェアに対抗するための、戦略的洞察に関するレポートだ。マルウェア研究者／アナリスト／リバース・エンジニアたちにとって、コードの特定の部分の機能を操作する能力は、分析プロセスで有意義な結果を得るために不可欠なものだ。

Linux Kernel の RCE 脆弱性 CVE-2024-0193：権限昇格攻撃の危険性

Linux Kernel Flaw CVE-2024-0193 Opens Root Access

2024/01/08 SecurityOnline — Linux カーネルの信頼性に影を落とす、新たな脅威が出現した。最近に公開された、この脆弱性 CVE-2024-0193 (CVSS：7.8) は、広く使用されている Linux OS に深刻なリスクをもたらす可能性がある。この解放済みメモリの使用の脆弱性は、Netfilter サブシステムに存在する。その悪用に成功したローカルの攻撃者は、権限を昇格し、任意のコード実行を行う可能性を持つ。そのため、壊滅的なカーネル・パニックを引き起こす可能性のある、深刻度の高い欠陥であると言える。

Apache RocketMQ の脆弱性 CVE-2023-33246／CVE-2023-37582：攻撃の試みを観測

Hackers target Apache RocketMQ servers vulnerable to RCE attacks

2024/01/05 BleepingComputer — Apache RocketMQ サービスに存在するリモート・コマンド実行の脆弱性 CVE-2023-33246／CVE-2023-37582 を悪用するために、スキャンを試行する数百の IP アドレスが連日のように検出されている。どちらの脆弱性も、重大度スコアは critical と評価されており、ベンダーが 2023年5月に初期パッチを適用した後も、積極的に悪用されている。当初、このセキュリティ問題は CVE-2023-33246 として追跡され、NameServer／Broker／Controller を含む、複数のコンポーネントに影響を及ぼしていた。

ソフトウェア・サプライ・チェーンの安全性：三本柱の実践で改善できるはず

Three Ways To Supercharge Your Software Supply Chain Security

2024/01/04 TheHackerNews — “Executive Order on Improving the Nation’s Cybersecurity” の第４節で紹介されているのは、技術業界の人々のための、ソフトウェア・サプライ・チェーンと安全性確保の概念である。もし、あなたがソフトウェアを作り、それを連邦政府機関に売りたいと考えているのであれば、ソフトウェア・サプライ・チェーンについて注意を払う必要がある。もし、政府機関に販売する計画がないとしても、ソフトウェア・サプライ・チェーンを理解し、その安全性を確保する方法を学ぶことで、より強固なセキュリティの足場とメリットという配当が得られる。この記事では、ソフトウェア・サプライチェーンのセキュリティを強化するための、３つの方法について説明していく。

npm で発生した “依存性地獄”：パッケージ削除を禁止する最悪の連鎖が発生

‘everything’ blocks devs from removing their own npm packages

2024/01/04 BleepingComputer — 年末年始の連休中に、npm パッケージのレジストリは 3,000以上のパッケージで溢れかえった。この、”everything” をダウンロードするように命名されたパッケージは、すべての npm パッケージを徐々に取り込む。それらは、コンピュータ上の npmjs.com レジストリに公開されものであり、ストレージが不足する可能性がある。しかし、このような問題は、氷山の一角にすぎない。つまり、誰が “everything をインストールするのかという疑問は、このパッケージが持っている、もっと大きな副作用を無視している。

Apache InLong Manager の脆弱性 CVE-2023-51784／51785 が FIX：ただちにアップデートを！

CVE-2023-51784 & 51785: Two Critical Security Flaws in Apache InLong

2024/01/03 SecurityOnline — Apache InLong は、現代企業の血管を流れる情報の奔流を利用することに長けた、先駆的なフレームワークとして登場した。ワンストップ・ソリューションとして設計された Apache InLong は、大規模なデータ統合を効率的に管理し、データの取り込みや同期からサブスクリプションにいたるまでの、幅広い機能を提供するものだ。同フレームワークは、高度なデータ分析やリアルタイム・アプリケーションの構築に不可欠な機能である、バッチとストリームの両方のデータ処理をサポートする点で際立っている。最近、その Apache InLong に、新たな複数の脆弱性が見つかった。

PyPI に新たな悪意のパッケージ： Linux デバイス上で CoinMinerを展開

Python’s New Threat: Malicious PyPI Packages Targeting Linux Devices

2024/01/03 SecurityOnline — 先日に Python コミュニティで、Linux デバイス上に CoinMinerを展開する、３つの悪意の PyPI (Python Package Index) パッケージが発見された。これらのパッケージ modularseven-1.0／driftme-1.0／catme-1.0 は、FortiGuard の AI 駆動型 OSS マルウェア検出システムにより発見されたものであり、オープンソースのエコシステムを標的とする、攻撃の洗練度の大幅なエスカレーションを示唆している。

Terrapin 攻撃に対して脆弱な SSH サーバ：オープンなインターネット上に 1100万台

Nearly 11 million SSH servers vulnerable to new Terrapin attacks

2024/01/03 BleepingComputer — インターネットに公開されている約 1100万台の SSH サーバが、SSH 接続の完全性を部分的に脅かす、Terrapin 攻撃に対して脆弱であるという。Terrapin 攻撃とは、SSH プロトコルを標的とし、クライアントとサーバの双方に影響を与えるものであり、ドイツの Ruhr University Bochum の学術研究者たちにより考案されたものだ。

Deepin Linux の脆弱性 CVE-2023-50255：Archive Manager に潜む脅威と PoC

CVE-2023-50255: The Threat Inside Deepin Linux’s Archive Manager

2024/01/01 SecurityOnline — Deepin とは、Debian の “stable” ブランチをベースにした、人気の Linux ディストリビューションのことである。Deepin は、Qt をベースに構築されており、様々なディストリビューションと互換性のある、美しいデスクトップ環境が高く評価されている。Deepin Linux は、ユーザー・フレンドリーなインターフェイスで知られており、新規ユーザーにも経験豊富なユーザーにも好まれている。

OpenOffice／LibreOffice の４つの脆弱性が FIX：PoC エクスプロイトも提供

Patch Up Your OpenOffice: Four Vulnerabilities You Don’t Want to Ignore

2023/12/31 SecurityOnline — オープンソースの Office Suite の領域において、Apache OpenOffice は、ワードプロセッシングからデータベース管理にいたるまで、その包括的な機能が高く評価され、不動の地位を築いている。数多くの言語による利用が可能であり、さまざまなコンピューター・システムとの互換性を持つ万能スイートは、長い間において、信頼性と効率性で信頼を得てきた。しかし、脆弱性と言うものは、最強のソフトウェアにも脆弱性は存在するもの、Apache OpenOffice も例外ではない。

Apache DolphinScheduler の脆弱性 CVE-2023-49299 が FIX：ただちにパッチを！

Apache DolphinScheduler Hit by Severe CVE-2023-49299 Flaw

2023/12/31 SecurityOnline — 急速に進化するデータ・オーケストレーションの世界において、Apache DolphinScheduler は、複雑なデータ・ワークフローの処理方法に革命を起こす先駆者として登場した。DolphinScheduler のアジャイルでローコードな高性能ワークフロー機能と、堅牢なユーザー・インターフェイスで有名であり、データ・パイプラインの複雑なタスクの依存関係を巧みに管理し、数多くのジョブタイプを速やかに提供してきた。しかし、先日に発見された脆弱性により、セキュリティの堅牢性が試されている。

Apache OFBiz の新たな脆弱性：懸念される Atlassian Confluence への攻撃

Apache OFBiz RCE flaw exploited to find vulnerable Confluence servers

2023/12/28 BleepingComputer — Apache OFBiz に存在する、深刻な認証前リモート・コード実行の脆弱性だが、すでに公開されている PoC エクスプロイトを用いる活発な悪用が観測されている。Apache OFBiz (Open For Business) はオープンソースの企業資源計画システムであり、電子商取引の在庫／注文の管理／人事業務／会計業務などで、数多くの企業に利用されている。

Linux SSH サーバに対する攻撃の調査：脆弱なパスワードがブルートフォースの標的に！

Experts Analyzed Attacks Against Poorly Managed Linux SSH Servers

2023/12/27 SecurityAffairs — AhnLab セキュリティ緊急対応センター (ASEC：AhnLab Security Emergency Response Center) の研究者たちが警告しているのは、管理の不十分な Linux SSH サーバが、DDoS ボットや CoinMiners のインストールを目的とした、攻撃の標的になっていることだ。