_OpenSource – Page 22 – IoT OT Security News

MinIO ストレージ・サーバ侵害：脆弱性 CVE-2023-28432／CVE-2023-28434 の悪用

Hackers Exploit MinIO Storage System Vulnerabilities to Compromise Servers

2023/09/04 TheHackerNews — MinIO 高性能オブジェクト・ストレージ・システムに存在する、深刻度の高いセキュリティ欠陥を武器にする未知の脅威アクターが、影響を生じているサーバ上で不正なコードを実行していることが確認された。サイバー・セキュリティ企業 Security Joes は、この侵入は MinIO インスタンスをバックドア化するために公開されている、エクスプロイト・チェーンを活用したものだと述べている。このチェーンは、脆弱性 CVE-2023-28432 (CVSS：7.5) と CVE-2023-28434 (CVSS：8.8) で構成されているが、前者に関しては、2023年4月21日に米 CISA の KEV (Known Exploited Vulnerabilities) カタログに追加されている。

SapphireStealer という .NET 情報スティーラー：スパイ／ランサムウェア活動の入口に

SapphireStealer Malware: A Gateway to Espionage and Ransomware Operations

2023/08/31 TheHackerNews — .NET ベースのオープンソース情報窃取マルウェア SapphireStealer だが、その機能が強化されたことで、複数のエンティティにより悪用され、独自の亜種を生み出している。Cisco Talos の研究者である Edmund Brumaghin は、「SapphireStealer のような情報窃取マルウェアは、企業における認証情報などの機密情報を取得するために使用される可能性がある。また、そのアクセスが他の攻撃者に転売され、スパイ行為や恐喝型ランサムウェアなどが行われることも多々ある」と、The Hacker News に語っている。

北朝鮮の APT グループ Labyrinth Chollima：偽の VMConnect PyPI キャンペーンを実施

North Korean hackers behind malicious VMConnect PyPI campaign

2023/08/31 BleepingComputer — PyPI (Python Package Index) リポジトリに対して、悪意のパッケージをアップロードする VMConnect キャンペーンの背後には、北朝鮮の国家に支援を受けたハッカーたちが存在し、その中には VMware vSphere の正規のコネクタ・モジュール vConnector を模倣するものがある。この、VMConnect という名前の悪意のパッケージは８月初旬にアップロードされ、仮想化ツールを求める IT スペシャリストを標的としている。すでに、PyPI プラットフォームからは削除されているが、その時点で VMConnect は 237回もダウンロードされている。

npm に悪意のパッケージ：特定のディレクトリからソースコードと機密情報を採取

Malicious npm Packages Aim to Target Developers for Source Code Theft

2023/08/30 TheHackerNews — 悪意の npm パッケージを用いる未知の脅威アクターが、被害者のマシンからソースコードや設定ファイルを盗む目的で開発者を標的にするという、オープンソース・リポジトリにおける脅威が消え去らない状況が示唆されている。ソフトウェア・サプライチェーン・セキュリティ企業 Checkmarx は、「このキャンペーンの背後にいる脅威アクターの活動は、2021年ころから発生している。それ以来、彼らは継続的に、悪意のパッケージを公開している」と、The Hacker News と共有したレポートで述べている。

Openfire Server への攻撃：約 3,000 台の未パッチ・サーバが標的になっている

3,000 Openfire Servers Exposed to Attacks Targeting Recent Vulnerability

2023/08/23 SecurityWeek — Openfire の脆弱性 CVE-2023-32315 に対するパッチが適用されていない、3,000台以上のサーバに対する新たな悪用方法により、その多くが攻撃にさらされていることが、VulnCheck の報告で明らかになった。Ignite Realtime が管理する Openfire は、XMPP プロトコルを使用し、Javaで書かれた、クロスプラットフォームのリアルタイム・コラボレーション・サーバであり、Web インターフェイスによる管理をサポートしている。

LABRAT というキャンペーン：GitLab の脆弱性 CVE-2021-22205 を悪用してシステムに侵入

Proxyjacking and Cryptomining Campaign Targets GitLab

2023/08/18 InfoSecurity — LABRAT と呼ばれる、金銭的な動機に基づく新たなオペレーションが、Sysdig のセキュリティ研究者たちにより発見された。このキャンペーンの目的は、クリプト・マイニングとプロキシ・ジャッキングで利益を得ることであり、様々なテクニックを使って身を潜めるように設計されている。プロキシ・ジャッキングとは、攻撃手法の１つであり、攻撃者が被害者のシステムを侵害して、不正な操作などを行うものだ。LABRAT のオペレーターは、既知の GitLab のリモート・コード実行の脆弱性 CVE-2021-22205 を悪用して、標的のコンテナを侵害していた。

Jenkins Plugin の深刻な脆弱性 CVE-2023-40336 などが FIX

Jenkins Patches High-Severity Vulnerabilities in Multiple Plugins

2023/08/18 SecurityWeek — OSS ソフトウェア開発自動化サーバである Jenkins が、今週に発表したのは、複数のプラグインに影響する High／Medium レベルの脆弱性に対するパッチである。今回のパッチが対応するのは、３つのプラグインである Folders／Flaky Test Handler／Shortcut Job に存在する、クロス・サイト・リクエスト・フォージェリ (CSRF) と、クロス・サイト・スクリプティング (XSS) の脆弱性である。

世界中の Zimbra メール・サーバに危機：フィッシング・キャンペーンが成功を収めている

Phishing campaign steals accounts for Zimbra email servers worlwide

2023/08/17 BleepingComputer — 世界中の Zimbra Collaboration メール・サーバから、認証情報を盗み出そうとするフィッシング・キャンペーンが、遅くとも 2023年4月以降から進行している。ESET のレポートによると、一連のフィッシング・メールは、世界中の組織に対して送信されており、特定の組織や分野に焦点を当てたものではないという。このオペレーションの背後にいる脅威アクターについては、現時点では不明だとされる。

Microsoft PowerShell Gallery に不適切なポリシー問題：サプライ・チェーン攻撃の危険性

Microsoft PowerShell Gallery vulnerable to spoofing, supply chain attacks

2023/08/17 BleepingComputer — Microsoft の PowerShell Gallery コード・リポジトリには、パッケージの命名に関する不適切なポリシーが存在する。それを悪用する脅威アクターは typosquatting 攻撃を実行し、人気のパッケージを詐称し、大規模なサプライチェーン攻撃の基礎を築く可能性を有している。PowerShell Gallery は Microsoft が運営するオンライン・リポジトリであり、PowerShell コミュニティから様々なアップロードされたパッケージとして、各種のスクリプトとコマンドレットのモジュールをホストしている。現時点において、とても人気のあるコード・ホスティング・プラットフォームであり、月間で数千万もダウンロードされるパッケージもあるという。

GitHub からのバグ報奨金：2022年には $1.5 Million が支払われた

GitHub Paid Out $1.5 Million in Bug Bounties in 2022

2023/08/16 SecurityWeek — 8月15日 (火) に Microsoft 傘下の GitHub は、$1.57 million にのぼるバグ報奨金を、2022年2月〜2023年2月の間に支払ったことを発表した。このバグ報奨金プログラムは、2016年から HackerOne プラットフォーム上で実施されているものだが、GitHub は総額で $3.8 million を支払っている。

Magento 2 の脆弱性 CVE-2022-24086 が狙い：Xurum いう名のキャンペーンとは？

Ongoing Xurum Attacks on E-commerce Sites Exploiting Critical Magento 2 Vulnerability

2023/08/14 TheHackerNews — Adobe の Magento 2 ソフトウェアを使用する E コマース・サイトが、遅くとも 2023年1月以降に発生しているキャンペーンで、継続的に標的とされている。この、Akamai により Xurum と名付けられた攻撃は、Adobe Commerce および Magento Open Source の、すでにパッチ適用されている深刻な脆弱性 CVE-2022-24086 (CVSS：9.8) を利用するものであり、その悪用に成功した攻撃者は、任意のコード実行を可能にするという。この攻撃者は、過去 10 日間に Magento ストアで行われた、注文の支払い統計に興味を持っているらしい。

Python の URL 解析の脆弱性 CVE-2023-24329 が FIX：任意のコマンド実行にいたる恐れ

New Python URL Parsing Flaw Could Enable Command Execution Attacks

2023/08/12 TheHackerNews — Python の URL 解析関数に、深刻な脆弱性 CVE-2023-24329 が発見された。その悪用に成功した攻撃者は、ブロック・リストを介して実装された、ドメインやプロトコルのフィルタリング方法のバイパスが可能になるという。そして、最終的には、任意のファイルの読み取りや、コマンドの実行を引き起こすことになると判明した。

オープンソースの Merlin ツールキット：国家組織に対する攻撃に悪用される

Hackers use open source Merlin post-exploitation toolkit in attacks

2023/08/09 BleepingComputer — オープンソースのポスト・エクスプロイト／C2 フレームワークである、Merlin を悪用する脅威アクターによる、国家組織への攻撃が相次いでいると、ウクライナの CERT-UA が警告している。Merlin は、Go ベースのクロス・プラットフォームのポスト・エクスプロイト・ツールキットであり、GitHub を通じた無料での入手が可能であり、セキュリティ専門家がレッドチームの演習に利用するための、広範なドキュメントも提供している。

Moq OSS プロジェクトでの出来事：営利を目的とした依存性の利用という問題

2023/08/09 BleepingComputer — オープンソース・プロジェクト Moq だが、最新リリースにおいて物議を醸す依存性が秘密裏に含まれていることで、厳しい批判を浴びている。NuGet ソフトウェア・レジストリで配布されている Moq は、１日に10万回以上もダウンロードされる存在であり、トータルでは 4億7600万回以上もダウンロードされている。そして、今週にリリースされた Moq の 4.20.0 には、SponsorLink という別のプロジェクトがひっそりと取り込まれていた。

Spring WebFlux の深刻な脆弱性 CVE-2023-34034 が FIX：PoC エクスプロイトも登場

High-Severity Access Control Vulnerability Found in Spring WebFlux

2023/08/09 InfoSecurity — Spring Security の最新バージョンに、新たな脆弱性 CVE-2023-34034 (CVSS：9.8) が見つかった。Spring Security は Java ベースの Spring フレームワークの不可欠なパートであり、強固な認証とアクセス制御に対応している。その幅広いユーザー・ベースにより、このセキュリティ上の脆弱性が悪用されると、壊滅的な結果につながる可能性が生じる。

Microsoft VS Code に脆弱性：悪意のエクステンションに認証トークン窃取の構造的な欠陥？

Malicious extensions can abuse VS Code flaw to steal auth tokens

2023/08/08 BleepingComputer — Microsoft のコード・エディターおよび開発環境である、VS Code (Visual Studio Code) に脆弱性により、Windows／Linux／macOS のクレデンシャル・マネージャーに保存されている認証トークンの取得を、悪意のエクステンションに許す可能性があることが発見された。これらのトークンは、Git／GitHub などのコーディング・プラットフォームや、各種のサードパーティ・サービスおよび API との統合に使用されるものだ。そのため、これらのトークンの窃取により、組織のデータ・セキュリティに深刻な影響が生じ、不正なシステム・アクセスやデータ侵害などにいたる可能性があるという。

VMware vConnector などを装う悪意の PyPI パッケージ：開発者をターゲットに展開

Fake VMware vConnector package on PyPI targets IT pros

2023/08/04 BleepingComputer — VMware vSphere のコネクタ・モジュール vConnector を模倣する悪質なパッケージが、PyPI (Python Package Index) に VMConnect という名前でアップロードされている。VMware vSphere は仮想化ツール群であり、vConnector は開発者やシステム管理者が使用するインターフェース Python モジュールであり、全体的な PyPI 経由のダウンロード数は、毎月およそ 40,000件にも達するという。Sonatype の研究者であり BleepingComputer のレポーターでもある Ax Sharma によると、この悪意のパッケージは、2023年7月28日に PyPI にアップロードされた後に、2023年8月1日に削除されるまでに、237 件ほどダウンロードされたという。

npm に新たな悪意のパッケージ：開発者たちをサプライチェーン攻撃に組み込む

Malicious npm Packages Found Exfiltrating Sensitive Data from Developers

2023/08/04 TheHackerNews — npm パッケージ・レジストリ上に展開され、機密性の高い開発者情報を流出させる悪意のパッケージ群を、サイバー・セキュリティの研究者たちが発見した。2023年7月31日に、ソフトウェア・サプライチェーン企業である Phylum が発見した “test” パッケージは、その機能が向上し、洗練されていることが確認されている。Phylum の研究者たちは、「このプロジェクトの最終目的は明らかではないが、”rocketrefer” や “binarium” といったモジュールが言及されていることから、暗号通貨セクターを狙った高度な標的型キャンペーンであることが疑われている」と述べている。

P2PInfect ワームが Redis を侵害：洗練された手口と Rust で書かれたコードとは？

New P2PInfect Worm Targets Redis Servers with Undocumented Breach Methods

2023/07/31 TheHackerNews — P2PInfect P2 ワームは、これまで文書化されていないイニシャル・アクセス方法を用いて、影響を受けやすい Redis サーバに侵入し、ボットネットへと取り込んでいることが確認されている。Cado Security の研究者である Nate Bill と Matt Muir は、「このマルウェアは、レプリケーション機能を悪用することで、Redis データストアの露出したインスタンスを侵害する。クラウド環境の Redis に対する一般的な攻撃パターンは、悪意のインスタンスを介して上記の機能を悪用し、レプリケーションを有効化することである。具体的に言うと、公開された Redis インスタンスに接続し、SLAVEOF コマンドを発行することで実現する」と、The Hacker Newsと共有したレポートの中で述べている。

Metabase BI Software の深刻な脆弱性 CVE-2023-38646 が FIX：早急な対応が必要

Major Security Flaw Discovered in Metabase BI Software – Urgent Update Required

2023/07/28 TheHackerNews — 人気の BI データ可視化ソフトウェア・パッケージである Metabase のユーザーは、新たに発見された深刻なリモートコード実行の脆弱性を修正するために、最新バージョンへとアップデートするよう勧告されている。その悪用に関しては、認証が不要だとされる。この脆弱性 CVE-2023-38646 は、OpenSource Edition の Ver 0.46.6.1 以前および、Enterprise Edition の Ver 1.46.6.1 以前に存在する。

WordPress の Ninja Forms プラグイン：３件の深刻な脆弱性が FIX

WordPress Ninja Forms plugin flaw lets hackers steal submitted data

2023/07/27 BleepingComputer — WordPress で人気のフォーム作成プラグイン Ninja Forms には、攻撃者に特権への昇格を許し、ユーザー・データ窃取へといたる、３つの脆弱性が存在する。2023年6月22日に Patchstack の研究者たちは、この３つの脆弱性を発見し、プラグインの開発元である Saturday Drive に情報を公開した。そして、2023年7月4日に、Saturday Drive はバージョン 3.6.26 をリリースし、脆弱性を修正した。しかし、WordPress.org の統計によると、Ninja Forms の最新リリースをダウンロードしたのは、すべてのユーザーの約半数に過ぎず、約 40万件のサイトに攻撃の可能性が残されているという。

Ubuntu ユーザーの 40% に脆弱性：Linux カーネル・プロジェクトとの整合性の問題

Almost 40% of Ubuntu users vulnerable to new privilege elevation flaws

2023/07/26 BleepingComputer — 先日に、Ubuntu カーネルに取り込まれてしまった２つの Linux 脆弱性により、権限のないローカル・ユーザーによる昇格昇格が、発生する可能性が生じている。Ubuntu は、最も広く利用されている Linux ディストリビューションの１つであり、特に米国では人気が高く、約 4000万人以上のユーザーを抱えている。Wiz の研究者である S. Tzadik と S. Tamari により発見された、脆弱性 CVE-2023-32629／CVE-2023-2640 が、このオペレーティング・システムに取り込まれてしまったことで、Ubuntu のユーザー・ベースの約 40％に影響が生じている。ｖ

JumpCloud ハッキング：北朝鮮の RGB に属する脅威アクターが関与か？

North Korean Nation-State Actors Exposed in JumpCloud Hack After OPSEC Blunder

2023/07/25 TheHackerNews — 北朝鮮の General Bureau (RGB) に所属する活動家たちが、JumpCloud のハッキングに関与しているようだ。Google 傘下の Mandiant は、UNC4899 という名前で追跡している脅威アクターに起因する活動だとしている。このグループは、ブロックチェーンと暗号通貨セクターを攻撃してきた Jade Sleet／TraderTraitor として監視されている、クラスターと重複している可能性が高いようだ。また、UNC4899 は APT43 とも重なっている。APT43 とは、北朝鮮 (DPRK) に関連する別のハッキング・グループであり、2023年3月の初旬に、標的とした企業から暗号通貨を吸い上げるための、一連のキャンペーンを実施していることが明らかになっている。

OpenSSH の forwarded ssh-agent の脆弱性 CVE-2023-38408 が FIX：RCE にいたる恐れ

A flaw in OpenSSH forwarded ssh-agent allows remote code execution

2023/07/24 SecurityAffairs — Qualys Threat Research Unit (TRU) の研究者たちがが、OpenSSH の forwarded ssh-agent に存在するリモートコード実行の脆弱性を発見した。OpenSSH (Open Secure Shell) は、ネットワーク上で安全な暗号化通信を提供する、オープンソースのツール／ユーティリティのセットである。つまり、SSH (Secure Shell) プロトコルの実装として広く使われており、インターネットなどの安全でないネットワーク上で、他のコンピューターやサーバとの安全なリモート接続を、ユーザーは確立できることになる。

バンキング OSS サプライチェーン攻撃：銀行員を装う脅威アクターが悪意の npm パッケージを展開

Banking Sector Targeted in Open-Source Software Supply Chain Attacks

2023/07/24 TheHackerNews — 銀行業界を初めて標的とする、オープンソース・ソフトウェアのサプライチェーン攻撃が、サイバー・セキュリティの研究者たちにより発見された。Checkmarx は先週に公開したレポートで、「これらの攻撃では、被害者である銀行の Web 資産に悪意の機能を追加することで、特定のコンポーネントを標的にするといった、高度なテクニックが使用されている」と述べている。

Lazarus が開発者を狙っている：悪意の GitHub プロジェクトに御用心

GitHub warns of Lazarus hackers targeting devs with malicious projects

2023/07/20 BleepingComputer — GitHub が警告しているソーシャル・エンジニアリング・キャンペーンは、ブロックチェーン／暗号通貨／オンライン・ギャンブル／サイバー・セキュリティなどの分野の、開発者のアカウントを標的とし、彼らのデバイスにマルウェアに感染させるものだ。このキャンペーンは、北朝鮮国家支援のハッキング・グループ Lazarus と関連づけられている。Microsoft が Jade Sleet と呼び、CISA が TraderTraitor と呼ぶ、この脅威アクターの手口を詳述したレポートは、2022年に米国政府から発表されている。このハッキング・グループは、暗号通貨企業やサイバー・セキュリティ研究者たちを標的とした、サイバースパイ活動や暗号通貨の窃取を行ってきた。

Web 会議ツール Apache OpenMeetings の深刻な脆弱性 CVE-2023-29032 など

Apache OpenMeetings Web Conferencing Tool Exposed to Critical Vulnerabilities

2023/07/20 TheHackerNews — Web 会議ソリューションである Apache OpenMeetings に、複数のセキュリティ上の脆弱性が存在することが明らかになった。その悪用に成功した攻撃者により、管理者アカウントの制御を奪取され、サーバ上で悪意のコードを実行される可能性があるという。Sonar の Vulnerability Researcher である Stefan Schiller は、「攻撃者は、アプリケーションを想定外の状態に追い込み、管理者アカウントなどの、各種のユーザー・アカウントを乗っ取ることができる」と、The Hacker News と共有したレポートの中で述べている。

AI と Open Source の関係：半数以上のプロジェクトで脆弱なパッケージが使用されている

Half of AI Open Source Projects Reference Buggy Packages

2023/07/20 InfoSecurity — AI テクノロジー・スタック全体で、オープンソースが役割を拡大しているが、大半のプロジェクト (52％) ではマニフェスト・ファイルを用いて、既知の脆弱な依存関係が参照されていると、Endor Labs は指摘している。セキュリティ・ベンダーである Endor Labs の最新レポート State of Dependency Management によると、ChatGPT の API はリリースから僅か５ヶ月で、”多様な問題領域”にまたがる 900件の npm／PyPI パッケージで使用されており、これらのパッケージの 70% は真新しいものだという。しかし、あらゆるオープンソース・プロジェクトと同様に、脆弱な依存関係に伴うセキュリティ・リスクは管理される必要があると、Endor Labs は警告している。

VirusTotal からリークした個人情報：米国とドイツの諜報機関などの職員 5,600 人が被害

VirusTotal leaked data of 5,600 registered users

2023/07/18 HelpNetSecurity — VirusTotal がデータ流出に見舞われ、登録ユーザー 5,600人の氏名と電子メール・アドレスが流出した。この流出したデータには、米国とドイツの諜報機関などの職員に関する情報も含まれていると報じられている。Google 傘下の VirusTotal は、疑わしいファイルや URL を分析する人気のオンライン・サービスであり、ウイルス対策エンジンや Web サイト・スキャナーを通じて、マルウェアや悪意のあるコンテンツを検出している。

Linux の偽 PoC エクスプロイトに御用心：GitHub を悪用してマルウェアを配布

Fake Linux vulnerability exploit drops data-stealing malware

2023/07/13 BleepingComputer — サイバー・セキュリティ研究者や脅威アクターたちが、脆弱性 CVE-2023-35829 を悪用して Linux パスワード窃取マルウェアをインストールする、偽の PoCエクスプロイトの標的になっているという。Uptycs のアナリストたちは、定期スキャン中に、予期しないネットワーク接続／未承認のシステム・アクセス試行／非定型のデータ転送などの不正なアクションが検知されたことで、この悪意の PoC を発見した。

Zimbra Collaboration Suite に深刻なゼロデイ脆弱性：管理者に推奨されるパラメータの変更とは？

Zimbra urges admins to manually fix zero-day exploited in attacks

2023/07/13 BleepingComputer — 7月13日 (木) に Zimbra は、Zimbra Collaboration Suite (ZCS) の電子メール・サーバを標的とする攻撃で悪用されている、ゼロデイ脆弱性を手動で修正するよう、管理者に呼びかけた。この、広く採用されている電子メールおよびコラボレーションのプラットフォームは、世界の 140カ国にまたがる 20万以上の企業で採用されており、その中には 1,000以上の政府機関や金融機関も含まれている。

Ghostscript PDF Lib の深刻な RCE 脆弱性 CVE-2023-3664 が FIX

Critical RCE found in popular Ghostscript open-source PDF library

2023/07/12 BleepingComputer — Linux で広く使用されている PostScript 言語であり、PDF ファイルのオープンソース・インタープリタである Ghostscript で、深刻なリモートコード実行の脆弱性が発見された。この脆弱性 CVE-2023-3664 (CVSS：9.8) は、３週間前にリリースされた最新バージョンである 10.01.2 以前の、Ghostscript 全バージョンに影響をおよぼす。この脆弱性の PoC エクスプロイトを作成した、Kroll の研究者である G. Glass と D. Truman によると、悪意のある特別な細工が施されたファイルを開くと、コードが実行される可能性があるとのことだ。

GitHub がパスワードレス認証を導入：Passkeys のベータ版が公開されている

GitHub goes passwordless, announces passkeys beta preview

2023/07/12 BleepingComputer — 7月12日に GitHub は、パブリック・ベータ版でパスワードレス認証のサポートを導入し、ユーザーがセキュリティ・キーから Passkeys にアップグレードできるようにしたと発表した。この Passkeys は、コンピュータ／タブレット／スマートフォンなどの個々のデバイスに紐づけられ、クレデンシャルの盗難や漏えいの試みを防止する。それによりフィッシング攻撃からユーザーを保護し、データ侵害の可能性を最小限に抑える上で、重要な役割を果たす。

NPM パッケージの Manifest Confusion ：チェックのための Python ツールがリリース

New Python tool checks NPM packages for manifest confusion issues

2023/07/04 BleepingComputer — NPM JavaScript ソフトウェア・レジストリのパッケージにおける、マニフェストの不一致をチェックする際に有効なツールが開発／公開された。先週に、GitHub／NPM の元 Engineering Manager である Darcy Clarke は、依存関係の中に潜むマルウェアや、インストール中のスクリプト実行の危険性をもたらす、”Manifest Confusion” の問題について警告を発した。”Manifest Confusion” という言葉が指すのは、JavaScript プログラミング言語用のパッケージ・マネージャーであり、Node.js 環境のデフォルトである NPM (Node Package Manager) のセキュリティ問題である。

WinSCP の偽サイトへ誘導：Google と Bing での悪意の広告キャンペーンでCobalt Strike を展開

BlackCat ransomware pushes Cobalt Strike via WinSCP search ads

2023/07/01 BleepingComputer — BlackCat ランサムウェア・グループ (別名 ALPHV) は、Windows 用ファイル転送アプリケーション WinSCP の公式 Web サイトを模倣した偽ページに人々を誘い込み、マルウェアを仕込んだインストーラーをプッシュするという、マルバータイズ・キャンペーンを行っている。WinSCP (Windows Secure Copy) とは、SFTP／FTP／S3／SCP クライアントおよび、SSH ファイル転送機能を持つ、人気のフリー・オープンソースのファイル・マネージャでああり、SourceForge だけで毎週 40万もダウンロードされている。

WordPress プラグイン Ultimate Member の深刻なゼロデイ脆弱性：WordFence はアンインストールを推奨

Hackers exploit zero-day in Ultimate Member WordPress plugin with 200K installs

2023/06/30 BleepingComputer — WordPress プラグインである Ultimate Member に存在する、権限昇格のゼロデイ脆弱性を悪用するハッカーにより、セキュリティ・バイパスと不正な管理者アカウント登録が発生し、多くの Web サイトが侵害されている。Ultimate Member は、WordPress サイトでのサインアップやコミュニティ構築を容易にする、ユーザー・プロファイル／メンバーシップ・プラグインであり、現時点で 20万以上のアクティブ・インストールを有する。

WordPress の Social Login Plugin に深刻な脆弱性：30,000 以上のサイトでパッチが必要！

Critical Security Flaw in Social Login Plugin for WordPress Exposes Users’ Accounts

2023/06/29 TheHackerNews — miniOrange の WordPress 用 Social Login and Register プラグインに、致命的なセキュリティ上の脆弱性が存在する。その悪意の脅威アクターは、ユーザーから提供されたメールアドレスを知っていると想定され、ログインできる可能性があることが判明した。この認証バイパスの脆弱性 CVE-2023-2982 (CVSS：9.8) は、バージョン 7.6.4 以前の全バージョンに影響を及ぼす。この脆弱性については、2023年6月2日に適切な開示が行われた後の、2023年6月14日に修正され、バージョン 7.6.5 がリリースされた。

NPM の根幹を揺るがす Manifest Confusion：パッケージ情報が信頼できない理由

NPM ecosystem at risk from “Manifest Confusion” attacks

2023/06/28 BleepingComputer — NPM (Node Package Manager) レジストリには、Manifest Confusion と呼ばれるセキュリティ上の欠陥が存在する。具体的に言うと、それにより、依存関係を用いたマルウェアの埋め込みや、インストール中における悪意のスクリプトの実行などが生じ、パッケージの信頼性が損なわることになる。NPM は、JavaScript プログラミング言語用のパッケージ・マネージャであり、広く使用されている Node.js のデフォルト環境である。このパッケージ・マネージャーは、npmjs.com に置かれた npm registry データベースにホストされている、ソフトウェア・パッケージのインストール／アップグレード／コンフィグレーションを、プロジェクト・オーナーが自動化できるよう支援するものである。

Gentoo Soko の深刻な SQLi の脆弱性 CVE-2023-28424 が FIX：リモートコード実行にいたる

Critical SQL Injection Flaws Expose Gentoo Soko to Remote Code Execution

2023/06/28 TheHackerNews — Gentoo Soko に存在する複数の SQL インジェクションの脆弱性が公開され、脆弱なシステム上ではリモートコード実行 (RCE) につながる可能性があると解説されている。SonarSource の研究者である Thomas Chauchefoin は、「Object-Relational Mapping (ORM) ライブラリとプリペアド・ステートメントを使用しているにもかかわらず、これらの SQL インジェクションの脆弱性は発生している。データベースのミスコンフィグレーションにより、Soko上で RCE が発生する可能性がある」と付け加えている。

Grafana の深刻な脆弱性 CVE-2023-3128 が FIX：Azure AD 統合によるアカウント乗っ取りとは？

Grafana warns of critical auth bypass due to Azure AD integration

2023/06/24 BleepingComputer — Grafana がリリースした、複数のバージョン向けにセキュリティ修正は、攻撃に成功した脅威アクターに対して、認証バイパスを許すという深刻なものだ。具体的に言うと、認証に Azure Active Directory を使用している、すべての Grafana アカウントに乗っ取り可能性が生じることになる。Grafanaは、広範に使用されているインタラクティブなオープンソースの分析および可視化のアプリであり、監視のためのプラットフォームや、アプリケーション統合のオプションを提供している。

GitHub で懸念される RepoJacking 攻撃：変更された名称の悪用が容易だと判明

Alert: Million of GitHub Repositories Likely Vulnerable to RepoJacking Attack

2023/06/22 TheHackerNews — GitHub 上の何百万ものソフトウェア・リポジトリが、RepoJackingと呼ばれる攻撃に対して脆弱である可能性が高いことが、新たな研究で明らかになった。マサチューセッツ州を拠点とするクラウドネイティブ・セキュリティ企業 Aqua が、水曜日に発表したレポートによると、それらの脆弱なリポジトリには、Google や Lyft などの、いくつかの組織のものも含まれているという。この、リポジトリ依存関係ハイジャックとも呼ばれるサプライチェーンの脆弱性は、活動を停止した組織やユーザーの名前を乗っ取り、悪意のコードを忍び込ませ、トロイの木馬化したバージョンのリポジトリを公開する攻撃の一種である。

WordPress Plugin の深刻な脆弱性が FIX：脆弱なオンライン販売サイトが数万件

Critical WordPress Plugin Vulnerabilities Impact Thousands of Sites

2023/06/21 SecurityWeek — WordPress の２つのプラグインには、深刻な認証バイパスの脆弱性が存在し、すでに数万インストールされていると、Web アップ・セキュリティ会社である Defiant が警告している。１つ目は、購入プロセスを完了しなかった顧客に通知するプラグインである、Abandoned Cart Lite for WooCommerce に存在する、脆弱性 CVE-2023-2986 (CVSS：9.8) であり、すでに３万件以上のアクティブなインストールがある。このプラグインが送信する通知には、購入を続行するユーザーのための、自動的なログインをサポとするリンクが提供されているが、そのリンクにはカートを識別する暗号化された値が含まれているという。

Amazon S3 バケットで悪意のバイナリを配布：新たなサプライチェーン攻撃を発見

New Supply Chain Attack Exploits Abandoned S3 Buckets to Distribute Malicious Binaries

2023/06/15 TheHackerNews — オープンソース・プロジェクトを狙った、新しいタイプのソフトウェア・サプライチェーン攻撃が検出された。この攻撃では、期限切れの Amazon S3 バケットを掌握した脅威アクターが、S3 モジュール自体には手を加えることなく、不正なバイナリを拡散しているという。Checkmarx の研究者である Guy Nachshon は、「悪意のバイナリが盗み出すのは、ユーザー ID／パスワード／ローカルマシン環境変数／ローカルホスト名などであり、それらのデータを乗っ取ったバケットに流出させている」と述べている。

ICS Patch Tuesday: Siemens が公表した 180件の OSS コンポーネントにおける脆弱性

ICS Patch Tuesday: Siemens Addresses Over 180 Third-Party Component Vulnerabilities

2023/06/14 SecurityWeek — Siemens が発表したのは、合計で約200件の脆弱性をカバーする、12件の新たなアドバイザリである。これらの脆弱性の大部分は、サードパーティのコンポーネントに影響を与えるものだとされる。Siemens は顧客に通知したのは、Simatic S7-1500 に対して、特に TM MFP (Multi Functional Platform) に影響を及ぼす、Linux カーネルの 108件の脆弱性である。同社は、これらの脆弱性に対するパッチを準備中であり、それらが提供されるまでの間の、回避策と緩和策を共有している。

GitHub リポジトリで発見されたマルウェア拡散の新手口：研究者たちの偽プロファイルを悪用

Fake Researcher Profiles Spread Malware through GitHub Repositories as PoC Exploits

2023/06/14 TheHackerNews — 不正なサイバー・セキュリティ企業の研究者たちによる、少なくとも６つの GitHub アカウントが、７つの悪意のリポジトリをプッシュしていることが確認された。この７つのリポジトリは、Discord／Google Chrome／Microsoft Exchange Server などの、ゼロデイ脆弱性の概念実証 (PoC) だと見られている。

Adobe の月例パッチ 2023/06：Adobe Commerce／Magento にコード実行の脆弱性

Patch Tuesday: Critical Flaws in Adobe Commerce Software

2023/06/13 SecurityWeek — Adobe は 6月13日 (火) に、複数の製品の深刻な欠陥に対するパッチを出荷したが、その中には、Adobe Commerce に存在するコード実行の脆弱性も含まれる。Adobe は、スケジュールされた Patch Tuesday の更新の一部として、広く展開されている Adobe Commerce (旧 Magento) 製品に存在する 12件のセキュリティ問題を文書化した。それらの脆弱性の悪用に成功した攻撃者に対して、任意のコード実行／セキュリティ機能のバイパス／任意のファイル・システムの読み取りになどを許す恐れがあると警告している。

GeoServer の深刻な脆弱性 CVE-2023-35042 が FIX：RCE 攻撃が観測されている

Hackers are exploiting RCE Vulnerability (CVE-2023-35042) in GeoServer

2023/06/12 SecurityOnline — 地理空間データの閲覧／編集を可能にする、Javaで書かれたオープンソース・ソフトウェア GeoServer に、新たなセキュリティ脆弱性が発生した。このソフトウェアは、Open Geospatial Consortium (OGC) が定めたオープン・スタンダードに準拠しており、柔軟な地図の作成やデータ共有のための有力なプラットフォームとなっている。しかし、そのための強固なサーバーが、攻撃を受け続けている。

Visual Studio の脆弱性 CVE-2023-28299：Microsoft が言うより悪用は簡単だ

Easily Exploitable Microsoft Visual Studio Bug Opens Developers to Takeover

2023/06/08 DarkReading — セキュリティ研究者たちが警告しているのは、Microsoft Visual Studio のインストーラに存在するバグにより、悪意のエクステンションを作成するサイバー攻撃者が、正規のソフトウェア・パブリッシャーを装い、アプリケーション開発者に配布する方法が生じる点である。そのような悪意のエクステンションを介して開発環境に侵入し、制御を奪い、コードを汚染させ、価値の高い知的財産を盗むことが可能になるという。

ChatGPT が推奨する OSS パッケージは安全なのか？ LLM に悪意を埋め込む PoC が公開

New ChatGPT Attack Technique Spreads Malicious Packages

2023/06/06 InfoSecurity — OpenAI の LLM である ChatGPT を悪用し、開発者たちの環境に悪意のパッケージを拡散させるという、新たなサイバー攻撃手法が登場した。Vulcan Cyber の Voyager18 research team は、先ほど発表したアドバイザリで、この問題について述べている。同社の研究者である Bar Lanyado と、コントリビュータである Ortal Keizman と Yair Divinsky は、「実際には存在しない URL やリファレンスを、さらにはコード・ライブラリや関数を、ChatGPT が生成することが確認されている。このような LLM (Large Language Model) モデルがもたらす幻覚は以前にも報告されていたが、古い学習データの結果として生じている可能性もある」と、技術文書で説明している。

PyPI に新たな悪意のパッケージ：コンパイルされた Python コードで検出を回避

Malicious PyPI Packages Use Compiled Python Code to Bypass Detection

2023/06/02 infosecurity — ReversingLabs のセキュリティ研究者たちが発見したのは、検出回避のためにコンパイルされた、Python コードを用いる新たな攻撃の手法である。ReversingLabs の Reverse Engineer である Karlo Zanki によると、PYC (Python Byte Code) ファイルのダイレクト実行機能を利用する、最初のサプライチェーン攻撃の事例になる可能性があるという。大半のセキュリティ・ツールは、Python ソースコード (PY) ファイルのみをスキャンするため、このような攻撃を見逃す可能性がある。そのため、この手法は、将来的に新たな種類のサプライチェーン脆弱性をもたらすことになる。Zanki は、Python Package Index (PyPI) に関する有害な投稿の増加とも一致すると指摘している。