_OpenSource – Page 9 – IoT OT Security News

CPython の脆弱性 CVE-2024-12254 が FIX：asyncio アプリにメモリ枯渇の可能性

CVE-2024-12254: CPython Flaw Could Lead to Memory Exhaustion in asyncio Applications

2024/12/09 SecurityOnline — Python プログラミング言語のリファレンス実装である CPython に、深刻度の高い脆弱性 CVE-2024-12254 (CVSSv4：8.7) が発見された。この脆弱性は、バージョン 3.12.0 以降に影響を及ぼすものであり、asyncio モジュールを用いるアプリケーションにおいてメモリ不足を引き起こす可能性がある。

OpenWrt の深刻な脆弱性 CVE-2024-54143：ファームウェア更新サーバが悪用される恐れ

Critical OpenWrt Flaw Exposes Firmware Update Server to Exploitation

2024/12/09 SecurityWeek — OpenWrt プロジェクトは、Linux ベースの OS を組み込みデバイス向けに提供する OSS イニシアチブである。その OpenWrt がリリースしたのは、ファームウェア更新サーバを悪意のある攻撃にさらす可能性にある、深刻な脆弱性に対するパッチである。この脆弱性 CVE-2024-54143 は、OpenWrt sysupgrade サーバに影響を及ぼし、侵害されたファームウェア・イメージをユーザーにインストールさせるという、潜在的なリスクを生み出している。

PyPI における Ultralytics AI の悪用：ビルド環境の侵害と XMRig マルウェアの展開

Ultralytics AI Library with 60M Downloads Compromised for Cryptomining

2024/12/09 HackRead — PyPI (Python Package Index) で人気を博す、Ultralytics AI ライブラリに悪意のコードを注入して、暗号通貨のマイニングを行うという攻撃が、ReversingLabs のサイバーセキュリティ研究者たちにより発見された。

Apache ActiveMQ の脆弱性 CVE-2023-46604：Mauri ランサムウェアが悪用

Mauri Ransomware Exploits Apache ActiveMQ Flaw (CVE-2023-46604)

2024/12/08 SecurityOnline — AhnLab Security Intelligence Response Center (ASEC) が明らかにしたのは、Apache ActiveMQ の深刻な脆弱性 CVE-2023-46604 を悪用する脅威アクターが、攻撃において Mauri ランサムウェアを展開し始めたことである。この脆弱性の悪用に成功した攻撃者は、パッチ未適用のサーバ上で、悪意のリモート・コマンドの実行を達成し、データ漏洩／システム侵害／ランサムウェア展開などを引き起こす可能性を手にする。

WordPress WP Umbrella Plugin の脆弱性 CVE-2024-12209 が FIX：３万件のサイトが危険な状態に！

CVE-2024-12209 (CVSS 9.8): WP Umbrella Plugin Vulnerability Exposes 30,000 Websites to Compromise

2024/12/07 SecurityOnline — WordPress WP Umbrella Plugin は、30,000 件以上の Web サイトで使用されている人気のプラグインであるが、深刻なセキュリティ脆弱性 CVE-2024-12209 (CVSS：9.8) が存在していることが判明した。このプラグインのコードの、ローカル・ファイル・インクルージョン (LFI) 脆弱性を発見したのは、セキュリティ研究者 Arkadiusz Hydzik である。この脆弱性は、WP Umbrella のバージョン 2.17.0 以下に影響を及ぼすことが確認されている。

Django の脆弱性 CVE-2024-53907／53908 が FIX：DoS／SQLi の可能性

Django Releases Patches for CVE-2024-53907 and CVE-2024-53908 to Mitigate DoS and SQLi Threats

2024/12/05 SecurityOnline — Django に存在するセキュリティ脆弱性 CVE-2024-53907／CVE-2024-53908 が、バージョン 5.1.4／5.0.10／4.2.17 のリリースにより修正された。ユーザーに対して推奨されるのは、最新のセキュリティ・アップデートを、可能な限り早急にインストールすることだ。

WordPress Sweet Date Theme の脆弱性 CVE-2024-43222 が FIX : ただちにパッチを！

CVE-2024-43222 (CVSS 9.8): Critical Flaw in Sweet Date WordPress Theme Exposes Thousands of Sites to Potential Takeovers

2024/12/05 SecurityOnline — WordPress の Sweet Date テーマで、深刻な脆弱性 CVE-2024-43222 が発見された。このテーマは、人気のプレミアム・テーマであり、販売数は 10,000 近くに達するという。この脆弱性の CVSS スコアは 9.8 であり、重大度が極めて高いため、悪用により深刻な影響が生じる恐れがある。

AsyncHttpClient の脆弱性 CVE-2024-53990 (CVSS 9.2) が FIX：誤った Cookie 処理の発生

CVE-2024-53990 (CVSS 9.2): AsyncHttpClient Vulnerability Puts Java Applications at Risk

2024/12/05 SecurityOnline — Java ライブラリである AsyncHttpClient (AHC) に、深刻な脆弱性 CVE-2024-53990 (CVSS：9.2) が発見された。この、非同期 HTTP リクエスト送信で広く利用されるライブラリの脆弱性により、攻撃者はユーザー・セッションの悪用を達成し、機密情報への不正アクセスの可能性を手にする。

CISA KEV 警告 24/12/04：CyberPanel の脆弱性 CVE-2024-51378 を登録

CVE-2024-51378 (CVSS 10): Critical CyberPanel Flaw Under Active Attack, CISA Warns

2024/12/04 SecurityOnline — CISA は、CyberPanel の脆弱性 CVE-2024-51378 を、KEV (Known Exploited Vulnerabilities) カタログに追加した。この OSS の Web ホスティング・コントロールパネル CyberPanel に存在する、脆弱性 CVE-2024-51378 を積極的に悪用する攻撃者たちが、PSAUX／C3RB3R／Babuk などのランサムウェア亜種を展開していることが確認されている。

Zabbix の脆弱性 CVE-2024-42327 (CVSS：9.9)：PoCエクスプロイトが登場

PoC Exploit Releases for Critical Zabbix Vulnerability – CVE-2024-42327 (CVSS 9.9)

2024/12/03 SecurityOnline — Zabbix に影響を及ぼす深刻な SQL インジェクションの脆弱性 CVE-2024-42327 (CVSSv3：9.9) に対する、詳細な技術分析と PoC エクスプロイトコードが公開された。この脆弱性に対する PoC の登場により、広く利用されているエンタープライズ・ネットワーク／アプリケーション監視のための OSS プラットフォームである Zabbix の、デプロイメントに深刻な影響が及ぶ可能性が生じている。

ProFTPD の脆弱性 CVE-2024-48651 が FIX：root アクセスの不正取得の恐れ

CVE-2024-48651: ProFTPD Vulnerability Grants Root Access to Attackers

2024/12/02 SecurityOnline — 人気の FTP サーバである ProFTPD に、重大なセキュリティ脆弱性 CVE-2024-48651 (CVSS：7.5) が存在することが判明した。ProFTPD バージョン 1.3.8b 以下の mod_sql コンポーネントに存在する、この脆弱性により、脆弱なシステムへのルート・アクセスが、攻撃者に許される可能性があるという。

Linux Tuned Daemon の脆弱性 CVE-2024-52336／52337 が FIX：特権昇格／ログ操作の可能性

CVE-2024-52336 & CVE-2024-52337: Vulnerabilities in Linux Tuned Daemon

2024/12/01 SecurityOnline — Linux Tuned Daemon に２つの脆弱性 CVE-2024-52336／CVE-2024-52337 が存在することが、SUSE Security Team により発見された。このツールは、ランタイム・ハードウェアとカーネル最適化に不可欠なものであるため、これらの脆弱性を悪用する攻撃者は、特権昇格やログ操作などを可能にするとされる。

WordPress Widget Options Plugin の脆弱性 CVE-2024-8672 が FIX：CVSS 値は 9.9

CVE-2024-8672 (CVSS 9.9): Critical Flaw in Widget Options Plugin Threatens 100,000+ Websites

2024/11/30 SecurityOnline — 100,000 以上のアクティブなインストール数を誇る WordPress Widget Options plugin に、深刻な脆弱性 CVE-2024-8672 (CVSSv3：9.9) が発見されたが、最新バージョン (4.0.8) で修正された。この脆弱性により、 Widget Options plugin を利用する Web サイトに、深刻な脅威の可能性が生じている。この脆弱性の悪用に成功した、コントリビューター以上のアクセス権限を持つ攻撃者は、標的サーバ上で任意のコード実行の可能性を得る。

Apache Arrow R の脆弱性 CVE-2024-52338 が FIX：任意のコード実行が可能に

CVE-2024-52338: Critical Security Flaw in Apache Arrow R Package Allows Arbitrary Code Execution

2024/11/29 SecurityOnline — Apache Arrow R パッケージのバージョン 4.0.0〜16.1.0 に存在する、重大な脆弱性 CVE-2024-52338 が修正された。この脆弱性の悪用に成功した攻撃者は、悪意を持って細工されたデータファイルを処理するシステム上で、任意のコード実行の可能性を得る。

Contiki-NG の脆弱性 CVE-2024-41125 などが FIX：デバイス・クラッシュ／悪意のコード実行の可能性

Contiki-NG IoT OS Patches Critical Vulnerabilities

2024/11/28 SecurityOnline — Contiki-NG OS に存在する、３つの重大な脆弱性が修正された。この、IoT デバイス用として人気を博す、OSS 製品の脆弱性の悪用に成功した攻撃者は、デバイス・クラッシュや悪意のコード実行を引き起こす可能性を得る。

Zabbix の RCE の脆弱性 CVE-2024-42330 (CVSS 9.1) が FIX：ただちにパッチを！

CVE-2024-42330 (CVSS 9.1): Zabbix Patches Critical Remote Code Execution Vulnerability

2024/11/28 SecurityOnline — 人気の OSS 監視ツール Zabbix がリリースしたのは、バージョン 6.0／6.4／7.0 に影響を及ぼす、脆弱性 CVE-2024-42330 (CVSS：9.1) を修正するための、緊急のセキュリティ・アップデートである。この脆弱性の悪用に成功した攻撃者は、脆弱なシステム上で任意のコード実行の可能性を得るという。

Jenkins の複数の脆弱性が FIX：プラグインとの組み合わせて被害が拡大する恐れ

Jenkins Users Beware: Multiple Security Vulnerabilities Discovered

2024/11/27 SecurityOnline — Jenkins が発行したのは、コア・システムとプラグインに影響を及ぼす、複数の脆弱性に対処するためのセキュリティ・アドバイザリである。それらの、サービス拒否やクロス・サイト・スクリプティングの脆弱性を放置すると、広く使用されている OSS 自動化サーバ Jenkins のユーザーに、重大なリスクが生じる可能性がある。

Zabbix の SQLi の脆弱性 CVE-2024-42327 (CVSS 9.9) が FIX：ただちにパッチを！

CVE-2024-42327 (CVSS 9.9): Critical SQL Injection Vulnerability Found in Zabbix

2024/11/27 SecurityOnline — Zabbix が公表したのは、SQL インジェクションの脆弱性 CVE-2024-42327 (CVSS：9.9) の発見に関する情報である。この脆弱性を悪用する攻撃者は、権限の昇格を達成し、Zabbix インスタンスの完全な制御を手にするとされる。したがって、世界中の組織で使用されている人気の OSS IT インフラ監視ツールにより、機密性の高いデータや接続されたシステムが危険に直面することになる。

ProjectSend の脆弱性 CVE-2024-11680 (CVSS 9.8)：大量の未パッチ・インスタンスと PoC エクスプロイト

CVE-2024-11680 (CVSS 9.8): Critical ProjectSend Vulnerability Actively Exploited, PoC Published

2024/11/27 SecurityOnline — ProjectSend の深刻な脆弱性 CVE-2024-11680 (CVSS：9.8) が、積極的に悪用されていると、VulnCheck がレポートしている。この OSS のファイル共有 Web アプリケーションに対しては、2023年5月の時点でパッチが提供されているが驚くべきことに、ProjectSend インスタンスの 99% がパッチ未適用であり、悪用の危険性が高まっている。

GitLab CE/EE の脆弱性 CVE-2024-8114 (CVSS 8.2) などが FIX：特権昇格／DoS の可能性

CVE-2024-8114: GitLab Vulnerability Allows Privilege Escalation

2024/11/26 SecurityOnline — GitLab が公表したのは、Community Edition (CE)／Enterprise Edition (EE) 17.6.1／17.5.3／17.4.5 に影響を及ぼす、６つの脆弱性に対処するセキュリティ・アップデートである。一連の脆弱性の影響を受けるバージョンを使用しているユーザーに対して、同社が推奨するのは、すべてのインストールを最新バージョンへと、可能な限り早急にアップグレードすることである。

Keycloak のセキュリティ・アップデート：DDoS 脆弱性 CVE-2024-10270 などに対処

Keycloak Patches Multiple Vulnerabilities in Latest Update

2024/11/25 SecurityOnline — Keycloak がリリースしたのは、複数の脆弱性に対処するためのセキュリティ・アップデートである。それらが放置されると、このオープンソースの ID／アクセス管理プラットフォームにおいて、サービス拒否攻撃／情報漏えい／認証バイパスなどが生じる可能性がある。

PHP の脆弱性 CVE-2024-8929 などが FIX：PoC も提供されている

PHP Patches Multi Flaws, Including CVE-2024-8932 (CVSS 9.8), Urges Immediate Update

2024/11/25 SecurityOnline — PHP 開発チームがリリースしたのは、バージョン 8.1.31／8.2.26／8.3.14 未満に影響を及ぼす、複数の脆弱性に対処するための緊急セキュリティ・アップデートである。これらの脆弱性の深刻度は多様であり、また、機密情報の漏洩／任意のコード実行／サービス拒否攻撃などを、攻撃者に許すという可能性が生じる。

PyPI の “aiocpa” は悪意のライブラリ：Telegram Bot で Crypto Keys を盗み出す手口とは？

PyPI Python Library “aiocpa” Found Exfiltrating Crypto Keys via Telegram Bot

2024/11/25 TheHackerNews — Python Package Index (PyPI) リポジトリの管理者が隔離したのは、Telegram 経由で秘密鍵を盗み出すための悪意のコードを埋め込んだ、“aiocpa” パッケージのアップデート版である。この問題のパッケージは、Crypto Pay API の同期／非同期クライアントとして説明されている。2024年9月にリリースされた “aiocpa” パッケージは、現在までに 12,100 回もダウンロードされている。今回の Python ライブラリの隔離により、クライアントにおけるインストールが防止され、メンテナーによる変更もできなくなった。

WordPress – FluentSMTP の脆弱性 CVE-2024-9511 が FIX：30万以上のサイトに乗っ取りの可能性

CVE-2024-9511 (CVSS 9.8): Critical Flaw in FluentSMTP Plugin Exposes Over 300,000 WordPress Sites to Potential Takeover

2024/11/23 SecurityOnline — WordPress の FluentSMTP Plugin に、深刻な脆弱性が CVE-2024-9511 (CVSS v3.1：9.8) 発見された。この脆弱性を悪用する未認証の攻撃者は、脆弱性のある Web サイト上での、任意のコード実行の可能性を得る。

Apache NiFi の脆弱性 CVE-2024-52067 が FIX：デバッグ・ログへの機密データ漏洩の恐れ

CVE-2024-52067: Sensitive Data Exposed in Apache NiFi Debug Logs

2024/11/21 SecurityOnline — Apache NiFi で発見された脆弱性 CVE-2024-52067 は、バージョン 1.16.0〜1.28.0／2.0.0-M1〜2.0.0-M4 に影響を与えるものだ。このデータフロー・システムの脆弱性が悪用されると、センシティブなパラメータ値がデバッグ・ログで公開されるという想定外の処理が起こり、機密情報の漏洩へといたる可能性が生じる。

Kubernetes の脆弱性 CVE-2024-10220 が FIX：任意のコマンド実行が可能に

CVE-2024-10220: Kubernetes Vulnerability Allows Arbitrary Command Execution

2024/11/20 SecurityOnline — Kubernetes に存在する、深刻な脆弱性 CVE-2024-10220 (CVSS：8.1) が明らかにされた。この脆弱性は、特定バージョンの kubelet を実行している、Kubernetes クラスタに影響を与えるものであり、悪用に成功した攻撃者は、コンテナの境界外での任意のコマンド実行の可能性を得る。

OSS のセキュリティ神話を検証：解かれるべき誤解とエンタープライズでの採用について

Debunking myths about open-source security

2024/11/20 HelpNetSecurity — Canonical の CISO である Stephanie Domas へのインタビューは、オープンソースのセキュリティに関する一般的な誤解と、それを払拭するためのコミュニティの取り組みについて説明するものだ。彼女の主張は、神話に反してオープンソース・ソリューションが、エンタープライズ・グレードの成熟度／信頼性／透明性を提供しているというものだ。さらに Stephanie Domas は、セキュリティの強化と、革新と安定のバランスを得るために、ユーザー組織がオープンソースを採用する際の、優先すべき重要な要素についても説明している。

Ubuntu Linux の needrestart の脆弱性：５つの欠陥が 10年間にわたり未検出だった

Ubuntu Linux impacted by decade-old ‘needrestart’ flaw that gives root

2024/11/20 BleepingComputer — Ubuntu Linux で使用される、needrestart ユーティリティに存在する、５件のローカル権限昇格 (LPE) の脆弱性が発見された。このユーティリティは、10年以上も前の、バージョン 21.04 で導入されたものだ。Qualys により、この５件の脆弱性 CVE-2024-48990／CVE-2024-48991／CVE-2024-48992／CVE-2024-10224／CVE-2024-11003 は発見されている。

Cobbler の脆弱性 CVE-2024-47533 が FIX：Linux の制御を奪う PoC も登場

CVE-2024-47533 (CVSS 9.8): Cobbler Vulnerability Exposes Linux Servers to Compromise

2024/11/19 SecurityOnline — ネットワーク・ベースの導入に多用される、Linux インストール・サーバ Cobbler に、深刻な脆弱性が発見された。この脆弱性 CVE-2024-47533 (CVSS：9.8) の悪用に成功した、権限を持たない攻撃者は、Cobbler サーバの制御を完全に奪う可能性を手にする。

Wget の脆弱性 CVE-2024-10524 が FIX：短縮 URL による SSRF 攻撃の可能性

Wget Vulnerability (CVE-2024-10524) Opens Door to SSRF Attacks

2024/11/19 SecurityOnline — Wget に存在する脆弱性 CVE-2024-10524 を悪用する攻撃者は、内部サーバまたは制限されたサーバへ向けて、想定外のリクエスト送信を可能にする。インターネットからファイルをダウンロードするために広く使用される、このコマンド・ライン・ツールの脆弱性は、JFrog のセキュリティ研究者 Goni Golan により報告されたものだ。

Apache OFBiz の脆弱性 CVE-2024-47208／48962 が FIX：RCE などの恐れ

CVE-2024-47208 & CVE-2024-48962: Apache OFBiz Exposed to Remote Code Execution

2024/11/19 SecurityOnline — Apache Software Foundation が公表したのは、Apache OFBiz に存在する２つの深刻な脆弱性 CVE-2024-47208／ CVE-2024-48962 に対する、セキュリティ・アップデートをリリースである。この人気の OSS ビジネスアプリケーション・スイート Apache OFBiz の、脆弱性の悪用に成功した攻撃者は、任意のコード実行を達成し、機密データやビジネス・オペレーションを危険にさらす可能性を手にする。

GitHub CLI の RCE 脆弱性 CVE-2024-52308 が FIX：ただちにアップデートを！

CVE-2024-52308: GitHub CLI Vulnerability Could Allow Remote Code Execution

2024/11/18 SecurityOnline — GitHub CLI (Command Line Interface) に、深刻なセキュリティ脆弱性 CVE-2024-52308 (CVSS：8.1) が発見された。この脆弱性を悪用する攻撃者に対しては、ユーザーのワークステーション上での RCE (remote code execution) を許される可能性があるという。それのより、浮き彫りにされるのは、開発者によるソフトウェア更新の適切な実施と、セキュリティに対する意識の重要性である。

Apache Tomcat の３件の脆弱性が FIX：認証バイパスや XSS の恐れ

Trio of Apache Tomcat Flaws Disclosed: Authentication Bypass, HTTP/2 Request Mix-Up, and XSS Flaw

2024/11/18 SecurityOnline — 先日に Apache Software Foundation が公開したのは、広く利用されている OSS の Web Server／Servlet Container である、Apache Tomcat に影響を及ぼす３件の脆弱性に関する情報である。認証バイパスから XSS 攻撃にいたるまでの、これらの脆弱性により、多数の Web アプリケーションが攻撃者に対して無防備になる可能性が生じる。

Apache Kafka の脆弱性 CVE-2024-31141 が FIX：機密データへの不正アクセスの恐れ

CVE-2024-31141: Apache Kafka Vulnerability Exposes User Data to Potential Attackers

2024/11/18 SecurityOnline — Apache Kafka クライアントで発見された、脆弱性 CVE-2024-31141 を悪用する攻撃者は、機密情報への不正アクセスの可能性を手にする。その結果として、この人気の OSS イベント・ストリーミング・プラットフォームを、重要なデータ操作に利用している、何千もの企業に影響が及ぶ可能性がある。

WordPress の Really Simple Security の脆弱性 CVE-2024-10924 が FIX：400 万を超えるサイトに影響

Urgent: Critical WordPress Plugin Vulnerability Exposes Over 4 Million Sites

2024/11/18 TheHackerNews — WordPress の Really Simple Security (旧 Really Simple SSL) プラグインに、深刻な認証バイパスの脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、脆弱なサイトでの完全な管理者権限を、リモートから取得する可能性を得る。今回の脆弱性 CVE-2024-10924 (CVSS：9.8) は、400 万を超える WordPress サイトにインストールされている、このプラグインの無料版とプレミアム版に影響を及ぼす。

Sonatype Nexus Repository 2 の脆弱性 CVE-2024-5082／5083 が FIX：RCE／XSS に至る恐れ

Sonatype Nexus Repository 2 Hit By RCE (CVE-2024-5082) and XSS (CVE-2024-5083) Flaws

2024/11/17 SecurityOnline — Sonatype が発行したセキュリティ勧告は、ソフトウェア・アーティファクトの保存／配布用リポジトリ・マネージャー Nexus Repository Manager 2.x 存在する、２件の脆弱性に関するものだ。これらの脆弱性 CVE-2024-5082／CVE-2024-5083 の悪用に成功した攻撃者は、悪意のコードを実行し、システムを侵害する可能性を得る。したがって、Sonatype はユーザーに対して、早急な対応を求めている。

Apache Traffic Server の脆弱性 CVE-2024-38479／50305／50306 が FIX：直ちにアップデートを！

Apache Traffic Server Patches Critical Vulnerabilities in Latest Release

2024/11/17 SecurityOnline — Apache Software Foundation は、Apache Traffic Server に存在する３つの重大な脆弱性に対処するための、セキュリティ・アップデートをリリースした。これらの脆弱性は、Apache Traffic Server 9.0.0〜9.2.5／10.0.0〜10.0.1 に存在するものであり、その影響は、キャッシュ・ポイズニングから特権の昇格まで多岐にわたる。

WP Time Capsule の脆弱性 CVE-2024-8856 が FIX：20,000+ のサイトに乗っ取りの可能性

CVE-2024-8856: WP Time Capsule Plugin Vulnerability Exposes 20,000+ Sites to TakeOver

2024/11/16 SecurityOnline — WordPress バックアップ・プラグインである、WP Time Capsule の深刻度の高い脆弱性により、20,000 を超える Web サイトにおいて、完全な乗っ取りの可能性が生じている。セキュリティ研究者 Rein Daelman により発見された、この脆弱性 CVE-2024-8856 を悪用する未認証の攻撃者により、Web サイトのサーバへの任意のファイルのアップロードが可能になるという。つまり、攻撃者による、バックドアやマルウェアの挿入や、サイトの完全な乗っ取りも可能になる。

Apache Airflow の脆弱性 CVE-2024-45784 が FIX：ログ内の機密データ流出の可能性

CVE-2024-45784: Apache Airflow Vulnerability Exposes Sensitive Data in Logs

2024/11/16 SecurityOnline — Apache Airflow に存在する脆弱性により、機密コンフィグ・データが誤って公開され、システム・セキュリティが侵害される可能性が生じている。この人気のワークフロー管理プラットフォームで発見された、脆弱性 CVE-2024-45784 (CVSS：7.5) は、Airflow バージョン 2.10.3 未満に影響を及ぼすものだ。この問題は、Airflow プラットフォームのデフォルトでは、タスク・ログ内の機密コンフィグ値をマスクできないことに起因している。

Icinga 2 の脆弱性 CVE-2024-49369 (CVSS 9.8) が FIX：なりすましと RCE の恐れ

CVE-2024-49369 (CVSS 9.8): Critical Flaw in Icinga 2 Allows for Impersonation and RCE

2024/11/15 SecurityOnline — Icinga 2 のバージョン 2.4.0 以降に存在する、TLS 証明書の検証バイパス脆弱性 CVE-2024-49369 (CVSS：9.8) が明らかにされた。この、広く使用されている OSS 監視システムに影響を及ぼす、深刻な脆弱性に対処するために、Icinga は緊急のセキュリティ・アップデートをリリースした。

PostgreSQL の脆弱性 CVE-2024-10979 が FIX：情報漏洩とシステム乗っ取りの恐れ

8.8 Rated PostgreSQL Vulnerability Puts Databases at Risk

2024/11/15 HackRead — PostgreSQL に存在する深刻度の高い脆弱性 CVE-2024-10979 により、世界中の無数のデータベースのセキュリティが、危険に直面するという可能性が生じる。この、広範に使用されている OSS データベース・システムの脆弱性を発見したのは、Varonis のサイバー・セキュリティ研究者である Tal Peleg と Coby Abrams である。

Laravel の脆弱性 CVE-2024-52301 が FIX：Web アプリへの多様な攻撃での悪用可能性

Critical Laravel Flaw (CVE-2024-52301) Exposes Millions of Web Applications to Attack

2024/11/14 SecurityOnline — Laravel フレームワークに、深刻なセキュリティ脆弱性 CVE-2024-52301 (CVSS：8.7) が発見された。この、堅牢なアプリケーションを構築するための、洗練された構文と包括的なツールセットで知られるフレームワークの欠陥により、多数の Laravel ベースのアプリケーションにおいて、不正アクセス／データ改竄／権限昇格の危険が生じる恐れがある。

WordPress Chart Plugin の脆弱性 CVE-2024-10571 (CVSS 9.8)：活発な攻撃を観測

CVE-2024-10571 (CVSS 9.8): Critical Flaw in WordPress Chart Plugin Under Active Attack

2024/11/14 SecurityOnline — WordPress Chart Plugin に存在する脆弱性 CVE-2024-10571 (CVSS 9.8) が、攻撃者により積極的に悪用されていることが判明した。この 2,000 件以上のアクティブなインストール数を誇るプラグインは、認証されていないローカル・ファイル・インクルードに対して脆弱であり、影響を受ける Web サイト上での悪意のコード実行を、攻撃者に許す可能性が生じる。

GitLab CE/EE の脆弱性 CVE-2024-9693 (CVSS 8.5) などが FIX：XSS／DoS 攻撃の可能性

CVE-2024-9693: GitLab Issues Critical Patch for Kubernetes Agent

2024.11/13 SecurityOnline — GitLab がリリースしたセキュリティ・アップデートは、Kubernetes クラスタへの不正アクセスを許す可能性のある、深刻な脆弱性に対処するものだ。Community Edition (CE)／Enterprise Edition (EE) のバージョン 17.5.2／17.4.4／17.3.7 では、Kubernetes の深刻な脆弱性 CVE-2024-9693 を含む、６件のセキュリティ脆弱性が修正されている。

Apache CloudStack の脆弱性 CVE-2024-50386 が FIX：KVM ベースの環境に影響

Apache CloudStack Releases Security Update for KVM Infrastructure Vulnerability – CVE-2024-50386

2024/11/12 SecurityOnline — Apache CloudStack が公表した、重要なセキュリティ・アドバイザリは、LTS (Long-Term Support) バージョン 4.18.2.5／4.19.1.3 のリリースに合わせたものである。このアドバイザリで対処されるのは、KVM (Kernel-based Virtual Machine) ベースの環境に影響を与える、深刻な脆弱性CVE-2024-50386 (CVSS：8.5) である。この脆弱性の悪用に成功した攻撃者は、テンプレートのダウンロードを悪用してホスト・ファイル・システムを侵害し、KVM インフラの整合性と機密性を重大なリスクにさらす可能性を得る。

プロジェクト管理ツール Kanboard の脆弱性 CVE-2024-51747／51748 が FIX：直ちにアップデートを！

New Critical Vulnerabilities in Kanboard Project Management Software: Admins Urged to Patch

2024/11/12 SecurityOnline — カンバン式のプロジェクト管理ツール Kanboard に存在する２つの深刻な脆弱性が、Deutsche Telekom Security GmbH により発見された、それらの脆弱性の悪用に成功した認証済みの攻撃者は、サーバ上でのファイルの読取／削除および、任意のコードの実行などを可能にするため、影響を受けるバージョンの Kanboard を利用する組織にとって深刻な脅威が生じる。

Ghostscript の６件の脆弱性が FIX：直ちにアップデートを！

Ghostscript Update Patches Six Critical Vulnerabilities: Code Execution, Buffer Overflow, and Path Traversal Risks

2024/11/11 SecurityOnline — 広範に利用される PostScript／PDF ファイルのインタープリター Ghostscript に存在する、６件の脆弱性に対応する重大なセキュリティ・アップデートがリリースされたが、その中には、リモート・コード実行の可能性に至るものも含まれるという。それらの、一連のセキュリティ脆弱性は、Ghostscript の最新リリースであるバージョン 10.04.0 で修正されている。

WordPress テーマ WPLMS の脆弱性 CVE-2024-10470 (CVSS 9.8) が FIX：直ちにアップデートを！

CVE-2024-10470 (CVSS 9.8) in Popular WordPress Theme Exposes Thousands of Sites

2024/11/08: SecurityOnline — オンライン・コース管理で広く使用される WordPress のプレミアム・テーマ WPLMS に、任意のファイル読取／削除を許してしまう深刻な脆弱性が発見された。Wordfence のセキュリティ研究者である Istvan Marton によると、この脆弱性 CVE-2024-10470 (CVSS：9.8) は、認証されていない攻撃者に対して機密ファイルの読取／削除を許すものであるが、その中には重要な wp-config.php ファイルも含まれるという。

Apache ZooKeeper の脆弱性 CVE-2024-51504 が FIX：認証バイパスの恐れ

Apache ZooKeeper Security Alert: Important Flaw Impacts Admin Server (CVE-2024-51504)

2024/11/07 SecurityOnline — 先日に Apache ZooKeeper が発表したのは、深刻な脆弱性 CVE-2024-51504 (Important) に関するセキュリティ・アドバイザリである。分散アプリケーションの同期とコンフィグレーションを管理する、人気の一元化サービスで発見された脆弱性により、ZooKeeper Admin Server は、IP スプーフィングによる潜在的な認証バイパスに直面することになる。

Linux のエミュレート環境が標的：“CRON#TRAP” キャンペーンの巧妙な検出回避術とは？

New “CRON#TRAP” Campaign Exploits Emulated Linux Environments to Evade Detection

2024/11/06 SecurityOnline — Securonix 脅威調査チームが検出したのは、”CRON#TRAP” と呼ばれる高度なマルウェア・キャンペーンの存在である。このキャンペーンは、軽量のエミュレートされた Linux 環境内で攻撃を仕掛けるものである。人気のオープンソース仮想化ソフトウェア QEMU などの、正規のツールを悪用する攻撃者は、セキュリティ対策を回避し、正規のソフトウェアを使用しているように見せかけ、悪意のアクティビティの存在を隠し続ける。