BugBounty – IoT OT Security News

Chrome と Pwn2Own：３つ目の深刻な脆弱性 CVE-2024-3159 が FIX：報奨金は $42,500

Google Patches Chrome Flaw That Earned Hackers $42,500 at Pwn2Own

2024/04/03 SecurityWeek — 4月2日 (火) に Google は、2024年3月に開催された Pwn2Own ハッキング・コンテストで証明された、新たなゼロデイ脆弱性を解決する Chrome アップデートを発表した。この、深刻度の高い脆弱性 CVE-2024-3159 は、V8 JavaScript および WebAssembly エンジンに存在する、境界外メモリ・アクセスの問題に起因すると説明されている。

Google Chrome のゼロデイ CVE-2024-2887／2886 が FIX：Pwn2Own 2024 で悪用が証明された

Google fixes Chrome zero-days exploited at Pwn2Own 2024

2024/03/27 BleepingComputer — 3月26日 (火) に Google は、Chrome Web ブラウザに存在する７件のセキュリティ脆弱性を修正した。そのうちの２件は、Pwn2Own Vancouver 2024 ハッキング大会で悪用が証明されたゼロデイ脆弱性である。１つ目の脆弱性 CVE-2024-2887 は、WebAssembly (Wasm) オープン・スタンダードにおける深刻度の高いタイプ・コンヒュージョンの脆弱性である。Pwn2Own の初日に Manfred Paul は、細工した HTML ページを用いて、Chrome／Edge をターゲットにする、ダブルタップによるリモートコード実行 (RCE) エクスプロイトの一部として、この脆弱性をデモした。

Mozilla Firefox の２つのゼロデイが FIX：Pwn2Own Vancouver 2024 の成果だ！

Mozilla fixes two Firefox zero-day bugs exploited at Pwn2Own

2024/03/22 BleepingComputer — ハッキング・コンテスト Pwn2Own Vancouver 2024 で悪用が実証された、Firefox Web ブラウザに存在する２つのゼロデイ脆弱性に対するセキュリティ・アップデートが、Mozilla からリリースされた。１つ目の脆弱性 CVE-2024-29944 は、境界外 (OOB) 書き込みに起因する、リモート・コード実行につながるものだ。２つ目の脆弱性 CVE-2024-29943 は、危険な関数の利用から、Mozilla Firefox のサンドボックス・エスケープにつながるものだ。この脆弱性を証明した Manfred Paul (@_manfp) は、賞金 $100,000 と、Master of Pwn 10 ポイントを獲得した。

米国防総省の Hack the Pentagon：2016年11月以降において５万件の脆弱性を排除

Over 50,000 Vulnerabilities Discovered in DoD Systems Through Bug Bounty Program

2024/03/18 InfoSecurity — 米国防総省 (DoD) の VDP (Vulnerability Disclosure Program) を通じて、５万件を超える脆弱性が提出された。2024年3月15日に DoD の DC3 (Cyber Crime Center) が報告したのは、2016年11月にクラウド・ソーシングによる倫理的ハッキング・スキームを導入した以降において、５万件に達する脆弱性を処理したというものだ。

Zoom Room の深刻なバグ：HackerOne で報告された SaaS の問題

Critical Zoom Room Bug Allowed To Gain Access To Zoom Tenants

2023/11/30 SecurityAffairs — HackerOne のライブ・ハッキング・イベント H1-4420 において、Zoom Room の脆弱性が AppOms の研究者たちにより報告された。言うまでもなく Zoom Rooms とは、秘密の会議やカンファレンスなどの物理的なスペースでのコラボレーションを強化する、Zoom ビデオ会議プラットフォームの機能のことである。この機能により、会議室にビデオ機能を備えたい企業や組織に対して、包括的なソリューションが提供される。

HackerOne の報奨金は累計で $300 million：2023年のレポートからトレンドを探る

HackerOne paid ethical hackers over $300 million in bug bounties

2023/10/28 BleepingComputer — HackerOne が発表したのは、同社のバグバウンティ・プログラムにおいて、倫理的ハッカーや脆弱性研究者に対して提供された報奨金が、累計で $300 million に達したことだ。これまでに、30人のハッカーが $1 million 以上の報酬金を獲得し、その中には $4 million 以上の報酬金を受け取った人もいるという。HackerOne は 10年以上前に設立されたバグバウンティ・プラットフォームであり、脆弱性や弱点を特定／報告する倫理的ハッカーたちに報酬を支払うことで、ソフトウェア・ベンダーとの関係を構築している。

ロシアの Operation Zero：iPhone／Android ゼロデイに $20M を提示

Russian Zero-Day Broker Is Willing To Pay $20M For Zero-Day Exploits For Iphones And Android Devices

2023/09/27 SecurityAffairs — ロシアのゼロデイ・ブローカー Operation Zero が、トップクラスのモバイル・エクスプロイトに対する報酬を増額している。同社は、iPhone／Android デバイス向けのゼロデイ攻撃に対して、最高で $20 million を提示している。

GitHub からのバグ報奨金：2022年には $1.5 Million が支払われた

GitHub Paid Out $1.5 Million in Bug Bounties in 2022

2023/08/16 SecurityWeek — 8月15日 (火) に Microsoft 傘下の GitHub は、$1.57 million にのぼるバグ報奨金を、2022年2月〜2023年2月の間に支払ったことを発表した。このバグ報奨金プログラムは、2016年から HackerOne プラットフォーム上で実施されているものだが、GitHub は総額で $3.8 million を支払っている。

ホンダの機器類を販売する e コマース・サイトに脆弱性：甚大な被害が発生する可能性があった

Vulnerabilities in Honda eCommerce Platform Exposed Customer, Dealer Data

2023/06/08 SecurityWeek — 各種の機器や美品などの販売に利用されている、ホンダの eコマース・プラットフォームで発見された深刻な脆弱性の詳細が、ある研究者により公開された。この欠陥の悪用に成功した攻撃者は、顧客やディーラーの情報にアクセスできる可能性があったという。このセキュリティ・ホールとデータ流出の可能性は、米国在住の研究者 Eaton Zveare により、今年の初めに発見された後に、３月中旬にはホンダに通知された。同社は直ちに問題に対処するための措置を講じ、このホワイトハット・ハッカーに感謝の意を表したが、バグバウンティ・プログラムを設けていないため、報酬は与えなられなかった。なお、ホンダは、悪用の証拠は見つからなかったと述べている。

Netgear RAX30 ルーターに５つの脆弱性：連鎖によるリモート・コード実行が可能

Netgear Routers’ Flaws Expose Users to Malware, Remote Attacks, and Surveillance

2023/05/12 TheHackerNews — Netgear RAX30 ルーターに存在する、５つものセキュリティ脆弱性が公表された。これらの脆弱性は、連鎖的に認証を回避し、リモート・コード実行を許すものだ。Claroty のセキュリティ研究者である Uri Katz は、「これらの脆弱性の悪用に成功した攻撃者たちは、ユーザーのインターネット活動の監視／インターネット接続の乗っ取り／悪意の Web サイトへのトラフィックのリダイレクト／ネットワーク・トラフィックへのマルウェア注入などが可能になる」とレポートで述べている。

VMware の深刻なゼロデイ脆弱性が FIX：Pwn2Own で証明された侵害チェーンに対処

VMware fixes critical zero-day exploit chain used at Pwn2Own

2023/04/25 BleepingComputer — VMware は、２つのゼロデイ脆弱性に対処するための、セキュリティ・アップデートをリリースした。それらの脆弱性の連鎖に成功した攻撃者に対して、VMware Workstation／Fusion ソフトウェア・ハイパーバイザー上で、コード実行を許す可能性がある。この２つの脆弱性は、１ヶ月前に開催された Pwn2Own Vancouver 2023 ハッキング・コンテスト Day-2 で、STAR Labs チームのセキュリティ研究者たちが、デモを行ったエクスプロイト・チェーンの一部である。

TP-Link Archer WiFi の脆弱性 CVE-2023-1389 が FIX：Mirai による悪用も検出

TP-Link Archer WiFi router flaw exploited by Mirai malware

2023/04/25 BleepingComputer — マルウェア・ボットネット Mirai は、TP-Link Archer A21 (AX1800) WiFi ルーターに存在する脆弱性 CVE-2023-1389 を積極的に悪用して、このデバイスを DDoS (分散サービス拒否) の大群に組み込んでいる。2022年12月に開催された Pwn2Own Toronto のハッキング・イベントで、この欠陥の悪用に挑んだ２つのハッキング・チームが、異なる経路 (LAN／WAN インターフェイス・アクセス) を介して、このデバイスへの侵入を成功させた。

Windows／Ubuntu／VMWare Workstation が陥落：Pwn2Own 2023 レポート Day_3

Windows, Ubuntu, and VMWare Workstation hacked on last day of Pwn2Own

2023/03/24 BleepingComputer — ハッキング・コンテスト Pwn2Own の Day-3 でセキュリティ研究者たちは、Windows 11／Ubuntu Desktop／VMware Workstation を標的とした５つのゼロデイ・エクスプロイトを実演し、$185,000 を獲得した。この日のハイライトは、Ubuntu Desktop オペレーティングシステムが、３つのチームにより３回ハッキングされたことだが、そのうちの１つは、以前から知られていたエクスプロイトと重なってしまった。

Windows 11／Tesla／Ubuntu／macOS が陥落：Pwn2Own 2023 レポート Day_1

Windows 11, Tesla, Ubuntu, and macOS hacked at Pwn2Own 2023

2023/03/22 BleepingComputer — Pwn2Own Vancouver 2023 の初日のこと、セキュリティ研究者たちは Tesla Model 3／Windows 11／macOS のゼロデイ攻撃とエクスプロイト・チェーンのデモに成功し、$375,000 と Tesla Model 3 を手に入れた。最初に陥落したのは、エンタープライズ・アプリケーション部門の Adobe Reader である。Haboob SA の Abdul Aziz Hariri (@abdhariri) が、６つのバグ連鎖を標的とするエクスプロイト・チェーンを用いて、サンドボックスを抜け出し、macOS の禁止 API リストを回避する複数の失敗したパッチの悪用に成功し、$50,000 を獲得した。

Toyota Customer 360 の深刻な脆弱性が FIX：開発用／本番用 API の錯綜が原因

Vulnerability in Toyota Management Platform Provided Access to Customer Data

2023/03/07 SecurityWeek — Toyota Customer 360 という CRM (Customer Relationship Management) プラットフォームに、深刻な脆弱性が存在していたことが判明した。この脆弱性を発見したセキュリティ研究者によると、メキシコの顧客の個人情報にアクセスが可能だったという。この Web アプリケーションは、組織全体として顧客データを集約しており、個人情報／購入履歴／サービス内容などの、全ての顧客情報を一元的に把握するためのものだ。

Google の OSS-Fuzz 脆弱性特定プログラムが延長：すでに $600K 報酬が支払われた

Google Shells Out $600,000 for OSS-Fuzz Project Integrations

2023/02/02 SecurityWeek — 今週に Google は、OSS-Fuzz 報酬プログラムの延長を発表した。このイニシアチブは、OSS-Fuzz 上にプロジェクトを統合するコントリビューターに対して、報酬を与えることを目的としている。2016年に開始された OSS-Fuzz は、継続的なファジングを通じてオープンソース・ソフトウェアの脆弱性を特定し、共通のソフトウェア・インフラの安全性を高めることを目標としている。

Facebook／Instagram の 2FA バイパスが FIX：バグ報奨金は $27,000

Researcher received a $27,000 bounty for 2FA bypass bug in Facebook and Instagram

2023/01/30 SecurityAffairs — Instagram／Facebook に影響を与える２要素認証 (2FA) バイパスの脆弱性を報告したことで、研究者の Gtm Manoz は $27,000 のバグバウンティを得た。この脆弱性は、電話番号／メールアドレスの確認のために、親会社である Meta が使用しているコンポーネントに存在する。Mänôz は、このソフトウェアがレート制限の保護メカニズムを実装していないことに気づいた。そして、Meta Accounts Center を使用して、ターゲット・ユーザーの認証済み Facebook 携帯電話番号を確認することで、Facebook の２要素認証を回避した。

米国防総省のバグバウンティ Hack the Pentagon：４年に一度の大会が開催

US to Launch Third Iteration of ‘Hack the Pentagon’ Bug Bounty Program

2023/01/16 InfoSecurity — 米国国防総省 (DoD : Department of Defense) は、2016年に初めて行われた “Hack the Pentagon” バグバウンティ・プログラムの第３弾を、近々に開催すると発表した。Sam.Gov Web サイトの専用ページによると、この構想では、サイバー・セキュリティ研究者たちが、政府の Facility Related Controls System (FRCS) ネットワークの脆弱性を発見していくことになる。

Synology の深刻な脆弱性 CVE-2022-43931 が FIX：CVSS 10 の RCE

Synology fixes multiple critical vulnerabilities in its routers

2023/01/03 SecurityAffairs — 2022年12月に、台湾の NAS メーカーである Synology は、２つの新しい重要アドバイザリを公開した。最初のアドバイザリは、同社が対処した最も重要なものであり、脆弱性 CVE-2022-43931 (CVSS : 10) として追跡されている、境界外書き込みの深刻な問題だ。この脆弱性は、Ver 1.4.3-0534／1.4.4-0635 以前の、Synology VPN Plus Server の Remote Desktop Functionality に存在している。この脆弱性の悪用に成功したリモートの攻撃者は、不特定のベクター経由で任意のコマンドを実行できる。

Pwn2Own Toronto 2022：63件のゼロデイが発見され $1M 近い報奨金が支払われた

Researchers Find 63 Zero-Day Bugs at Latest Pwn2Own

2022/12/12 InfoSecurity — 先日の Pwn2Own コンテストの参加者は、さまざまな製品に存在する数多くのゼロデイ脆弱性を発見し、デジタル世界の安全性を高めるために貢献した。このコンテストは、Trend Micro の Zero Day Initiative (ZDI) により運営されており、ベンダーに依存しない世界最大のバグバウンティ・プログラムとなっている。

Netgear Nighthawk の脆弱性が FIX：Pwn2Own 用のエクスプロイトを無効化

Netgear Neutralizes Pwn2Own Exploits With Last-Minute Nighthawk Router Patches

2022/12/06 SecurityWeek — 先週に Netgear がリリースしたホット・フィックスにより、Nighthawk RAX30 (AX2400) ルータの誤設定により、ローカル・ネットワークのサービスへの無制限なアクセスを、リモートの攻撃者に許してしまう脆弱性が対処された。Nighthawk RAX30 の WAN インターフェースが、デフォルトで IPv6 を有効にしているにもかかわらず、IPv4 トラフィックに適用されるアクセス制限が、IPv6 トラフィックに適用されないことに、この脆弱性は起因する。

MyOpenVDP で脆弱性を通知：OSS で実現する Vulnerability Disclosure Policy とは？

MyOpenVDP: Open-source web application to securely disclose vulnerabilities

2022/10/26 HelpNetSecurity — MyOpenVDP とは、誰もが自分の脆弱性開示ポリシー (VDP : Vulnerability Disclosure Policy) をホストできるようにするための、オープンソース・ソリューションのことである。この、YesWeHack により開発された Web アプリケーションは、GitHub 上で公開されている。

Chrome 106 の深刻な脆弱性６件が FIX：なかなか止まらない use-after-free 欠陥

Chrome 106 Update Patches Several High-Severity Vulnerabilities

2022/10/12 SecurityWeek — 火曜日に Google は、Chrome の最新アップデートを提供し、４つの use-after-free のバグを含む、６つの深刻度の高い脆弱性にパッチを適用したと発表した。新たに解決された脆弱性は、すべて外部の研究者により発見されたものであり、Google は報告者たちに $38,000 のバグバウンティ報奨金を手渡した。

Uber で生じたデータ侵害：Lapsus$ によるソーシャル・エンジニアリングが侵入経路？

Uber links breach to Lapsus$ group, blames contractor for hack

2022/09/19 BleepingComputer — 先週にサイバー攻撃に遭った Uber だか、その背後にいるハッカーについて、Microsoft／Cisco／NVIDIA／Samsung／Okta などの著名ハイテク企業を侵害したとされる、Lapsus$ グループに関連すると考えているようだ。この攻撃者は、盗み出した Uber EXT 契約者の認証情報を用いて、その契約者たちに 2FA ログインを要求し、誰かが受け入れるまで、MFA 疲れ攻撃を行ったと、同社は述べている。

Google がバグバウンティを刷新：オープンソース・プロジェクトも取り込んでいく

A new Google bug bounty program now covers Open Source projects

2022/08/30 SecurityAffairs — Google は、同社のプロジェクトをカバーしてきた Open Source Software Vulnerability Rewards Program (OSS VRP) の一環として、新たなバグバウンティ・プログラムを開始した。このプログラムでは、Google のプロジェクトに存在する脆弱性に対して、最大 $31,337 〜最低 $100 の報酬額が支払われるという。

Atlassian Bitbucket Server の深刻な RCE 脆弱性：PoC エクスプロイトの前にパッチ適用を！

Atlassian Bitbucket Server vulnerable to critical RCE vulnerability

2022/08/26 BleepingComputer — Atlassian は、Bitbucket Server／Data Center ユーザーに対して、深刻なセキュリティ脆弱性を警告するセキュリティ・アドバイザリを公開した。この脆弱性の悪用に成功した攻撃者に対して、脆弱なインスタンス上での任意のコード実行を許す可能性があるという。Bitbucket とは、Jira と Trello が統合された、Git ベースのコード・ホスティング／マネージメント／コラボレーション・ツールのことである。

Google の Titan M Chip で発見された深刻な脆弱性：研究者たちに $75,000 の報奨金

Critical Vulnerability in Google’s Titan M Chip Earns Researchers $75,000

2022/08/16 SecurityWeek — Quarkslab のセキュリティ研究者は、今年の初めに発見した Google の Titan M Chip における、深刻な脆弱性についての詳細情報を公開した。2018年に発表された Titan M は、Pixel デバイスにセキュリティ保護の強化を提供するために設計された、セキュアブートなどを保証する SoC (system-on-a-chip) である。この新たな脆弱性 CVE-2022-20233 は、Android の 2022年6月のセキュリティ・パッチの一部として対処されたが、深刻な権限昇格のバグだと、Google は説明していた。

Microsoft の脆弱性情報戦略：ゼロデイを防ぎながらノイズを増やさない方法とは？

Microsoft: We Don’t Want to Zero-Day Our Customers

2022/08/12 DarkReading — BLACK HAT USA — Microsoft のセキュリティ担当幹部は、同社の脆弱性開示ポリシーについて、セキュリティ・チームが十分な情報に基づき、パッチ適用を決定するために必要なものであり、また、パッチを素早くリバース・エンジニアリングして悪用する、脅威アクターからの攻撃を受けるリスクはないと述べた。

バグバウンティ・プログラム市場の需要と供給：誰もが幸せになれない現状を考える

Why Bug-Bounty Programs Are Failing Everyone

2022/07/30 DarkReading — Black Hat USA の講演で Katie Moussouris は、バグバウンティ・プログラムが目標を達成できない理由と、セキュリティ上の成果としてバウンティを活用するために、それに続くステップで必要となるものを説明することになる。

LockBit 3.0 が導入したバグバウンティ：情報の内容に応じて $1000〜 $1 million が支払われる

LockBit 3.0 introduces the first ransomware bug bounty program

2022/06/27 BleepingComputer — ランサムウェア・オペレーターである LockBit は、新たに LockBit 3.0 をリリースし、ランサムウェアとしては初めてのバグバウンティ・プログラムを導入し、新たな強奪戦術と Zcash 暗号通貨の支払いオプションについてもリークした。このランサムウェアは 2019年に立ち上げられた後に、最も多発するランサムウェアに成長し、2022年5月には全ランサムウェア攻撃の 40% を占めるまでに至った。

Pwn2Own Vancouver ハッキングコンテスト：Mozilla 製品群の２つのゼロデイ脆弱性が FIX

Mozilla fixes Firefox, Thunderbird zero-days exploited at Pwn2Own

2022/05/24 BleepingComputer — Pwn2Own Vancouver 2022 ハッキングコンテストで悪用が証明されたゼロデイ脆弱性に対応するために、Mozilla は複数の製品に対してセキュリティ・アップデートを公開した。具体的には、Firefox／Firefox ESR／Firefox for Android／Thunderbird の脆弱なバージョンを実行している、モバイル／デスクトップ端末で悪用に成功した攻撃者に対して、JavaScript コード実行を許してしまうという、２つの深刻な脆弱性が存在する。

Pwn2Own Vancouver 2022 ハッキング・コンテスト：Windows 11／Telsa Model 3 などが陥落

Windows 11 hacked again at Pwn2Own, Telsa Model 3 also falls

2022/05/20 BleepingComputer — Pwn2Own Vancouver 2022 ハッキング大会の２日目、出場者たちは再び Microsoft Windows 11 をハッキングし、また、Tesla Model 3 のインフォテインメント・システムにゼロデイを適用するデモを実演した。この日にデモを行った一番手は @Synacktiv チームであり、Tesla Model 3 のインフォテインメント・システムをターゲットにしながら、２つのユニークなバグ (Double-Free & OOBW) と、サンドボックス脱出のデモに成功し、$75,000 の報酬を獲得した。

Pwn2Own Miami 2022 のテーマは ICS：各種の悪用証明に $400,000 の賞金

ICS Exploits Earn Hackers $400,000 at Pwn2Own Miami 2022

2022/04/21 SecurityWeek — Industrial Control Systems (ICS) にフォーカスするハッキング・コンテスト Pwn2Own Miami 2022 が終了し、悪用を証明した出場者たちは総額で $400,000 の賞金を獲得した。この、Trend Micro の Zero Day Initiative (ZDI) が主催するコンテストでは、OPC UA Server／Control Server／Human Machine Interface／Data Gateway の各カテゴリにおいて、11人の出場者が悪用を実演した。

Intel の Software／Firmware がアップデート：18 件の深刻な脆弱性が FIX

Intel Software and Firmware Updates Patch 18 High-Severity Vulnerabilities

2022/02/17 SecurityWeek — 先週に Intel は、22件のセキュリティ勧告を発表し、そのうち７件の深刻度は High となっている。これらのアドバイザリには、18件の深刻度 High の脆弱性が記載されており、そのほとんどが特権の拡大に悪用される可能性を持つ。また、情報漏えいやサービス拒否 (DoS) を引き起こす可能性も生じるという。ただし、これらの脆弱性を悪用するには、対象となるデバイスへのローカル・アクセスが必要となる。

VMware が６つの深刻な脆弱性を FIX：中国の Tianfu Cup が発見に貢献

VMware Issues Security Patches for High-Severity Flaws Affecting Multiple Products

2022/02/16 TheHackerNews — 火曜日に VMware は、ESXi／Workstation／Fusion／Cloud Foundation／NSX Data Center for vSphere に影響をおよぼす、複数の深刻度の高い脆弱性に対してパッチを適用した。これらの脆弱性を悪用すると、任意のコード実行や、サービス拒否 (DoS) などが生じる可能性がある。

Google のバグ報奨金プログラム：2021年は $8.7 M で前年比 30% 増の支払い額

Google Paid Record $8.7 Million to Bug Hunters in 2021

2022/02/12 DarkReading — バグバウンティ・プログラムは、外部のセキュリティ研究者と協力して、製品のセキュリティの脆弱性を特定／修正する意欲の表れであり、また、テクノロジーを標的とする潜在的な攻撃への対抗の表れでもある。Google のプラットフォームである Android／Chrome／Play は、悪意の攻撃者が標的とする、脆弱性の多い環境であり続けている。昨年に Google は、自社のテクノロジーに存在する何千もの脆弱性を発見／報告した、62カ国の 696人のバグハンターに対して過去最高額となる $8.7 million の報奨金を支払った。

Cloudflare の有償パブリック・バグバウンティ・プログラムが開始された

Cloudflare launches a paid public bug bounty program

2022/02/01 BleepingComputer — Web インフラ／Webサイトのセキュリティに特化したプロバイダーである Cloudflare は、新たな公開バグバウンティ・プログラムの開始を発表した。Cloudflare の Product Security Engineer である Rushil Shah は、「本日、Cloudflare は有償パブリック・バグバウンティ・プログラムを開始する。私たちは、バグバウンティが全てのセキュリティ・チームにおける、ツール・ボックスの重要な一部であると信じており、ここ数年、プライベート・バグバウンティ・プログラムの改善と拡大に努めてきた」と述べている。

Microsoft Outlook のゼロデイ／ゼロクリック RCE 脆弱性の報奨金は $400,000

Microsoft Outlook RCE zero-day exploits now selling for $400,000

2022/01/28 BleepingComputer — Exploit Brokerである Zerodium は、Microsoft Outlook メール・クライアントにおけるリモートコード実行 (RCE) を可能にする、ゼロデイ脆弱性に対する報酬を $400,000 に引き上げることを発表した。同社は、この新たな報酬額は永続的なものではないと短いツイートで述べているが、提出の終了日はまだ公表されていない。

HackerOne のバグバウンティ・プログラム：そこから見えてくる５つの論点

5 Things New with Bug Bounty Programs

2022/01/07 SecurityIntelligence — 2021年9月29日に HackerOne は、Internet Bug Bounty (IBB) プログラムの最新版を発表した。この取り組みにより、2013年から2021年の間に生じている、オープンソース・ソフトウェアに存在する、1,000件以上の脆弱性を発見するよう調整がなされた。HackerOne の最新バージョンは、既存のバグバウンティから得られる防御力を蓄積し、脆弱性管理ライフサイクルに貢献する利害関係者を表彰する方法で報奨金を分割していく。さらに、脆弱性提出フローの統合により、参加する研究者のエクスペリエンスを向上させ、プログラムの範囲をさらに拡大することを目的としている。

Google Chrome 97：１件の Critical と 10件の High などの脆弱性を修正

Chrome 97 Patches 37 Vulnerabilities

2022/01/05 Security Week — 今週に Google は、外部の研究者から報告された 24件の脆弱性を含む、合計で 37件のセキュリティ修正を施した Chrome 97 を、Stable Channel でリリースした。外部から報告された 24件のセキュリティ上の欠陥のうち、深刻度 Critical は 1件、High は 10件、Medium は 10件、Low は 3件となっている。脆弱性の種類としては、use-after-free が 7件で、不適切な実装が 8件などになっている。

Log4j 脆弱性とバグ報奨金：大衆のパワーが事態を明確にしてきた

Bug bounty platforms handling thousands of Log4j vulnerability reports

2021/12/22 DailySwig — 世界のソフトウェア・エコシステムに衝撃を与え続けている、Apache Log4j のバグに関連する脆弱性報告が、バグバウンティ・ハンターにより何千件も提出されている。このバグは、オープンソースの Java ロギング・ライブラリ Log4j に存在する、CVSS 値 10 という深刻な欠陥であり、これまでにない数の潜在的な標的に対して、サイバー犯罪者によるリモートコード実行 (RCE) 攻撃を許してしまうものとなる。

米国の国土安全保障省：Hack DHS バグバウンティ・プログラムを Log4j に拡大

‘Hack DHS’ bug bounty program expands to Log4j security flaws

2021/12/22 BleepingComputer — 米国の国土安全保障省 (Department of Homeland Security : DHS) は、Log4j の脆弱性の影響を受けた DHSシステムを追跡してくれるバグバウンティ・ハンターにも、Hack DHS プログラムを開放することを発表した。

Facebook ページの管理者情報が漏れる脆弱性：ネパールの 19歳が発見して報奨金をゲット

Facebook Patches Vulnerability Exposing Page Admin Identity

2021/12/21 SecurityWeek — Facebook は、ページの管理者の身元を明らかにするために、悪用される可能性のある脆弱性について、ネパールの 10代の研究者に $4,750 のバグバウンティ報酬を支払った。このソーシャル・メディア上で、自社ブランドの認知度を高めようとする企業は、この Facebook ページを利用きまるが、ページの管理権限を持つ Facebook の個人アカウントは非公開となっている。

米国の国土安全保障省がバグバウンティを実施：Hack DHS プログラムとは？

The DHS is inviting hackers to break into its systems, but there are rules of engagement

2021/12/16 StateOfSecurity — 米国の国土安全保障省 (DHS : Department of Homeland Security) は、悪意の攻撃から自らを守るために、脆弱性の発見やシステムへの侵入を、セキュリティ研究者に呼びかけている。DHS は、「DHS の特定システム内のサイバー・セキュリティ脆弱性を特定し、同省のサイバー・セキュリティの回復力を高めるために、バグバウンティ・プログラム Hack DHS を開始すると発表している。

オープンソースからバグを取り除く：重要なのは報奨金とエコシステムだ

Searching for Bugs in Open Source Code

2021/11/30 SecurityBoulevard — まずは、迷信の払拭から始めよう。オープンソース・ソフトウェアが、クローズドソース・ソフトウェアよりも、安全性が低いということはない。しかし、オープンソースのプログラムに脆弱性が発見されると、クローズドソースで発見された脆弱性よりも、はるかに容易に武器化し、悪用される傾向にある。これが、現実だ。

Google Cloud Platform のバグ報奨金：３回で $10,000 の内訳とは？

Researcher Awarded $10,000 for Google Cloud Platform Vulnerability

2021/11/24 SecurityWeek — セキュリティ研究者の David Schütz は、Google Cloud Project の脆弱性を報告し、その後に、公開された修正プログラムのバイパスを報告したことで、Google から $10,000 以上のバグ報奨金を受け取ったと述べている。３月に Schütz は、Google Cloud Platform (GCP) の内部プロジェクトである、”cxl-services” のアクセス・トークンを、URL 許可リスト・バイパスを利用して漏洩できることを発見した。

Pwn2Own Austin 2021 が終了：総額で１億円以上の報奨金が支払われた

White hat hackers earn over $1 Million at Pwn2Own Austin 2021

2021/11/06 SecurityAffairs — Trend Micro の Zero Day Initiative が主催するハッキングコンテスト Pwn2Own Austin 2021 が終了し、参加者は 61件のゼロデイ・エクスプロイトを成功させ、合計 $1,081,250 を獲得した。参加者は、Canon／Cisco／HP／NETGEAR／Samsung／Sonos／TP-Link／Western Digital などの、NAS デバイス／携帯電話／プリンター／ルーター／スピーカーなど侵害を証明していった。

ハッキング・コンテスト Pwn2Own：プリンタ部門で Canon／HP が陥落

Printers Hacked for First Time at Pwn2Own

2021/11/03 SecurityWeek — この火曜日に、Zero Day Initiative が主催する 2021年のハッキング・コンテスト Pwn2Own Austin が開幕され、プリンターのハッキングで報酬を獲得する参加者が、このイベント史上初めて登場した。デバイスのハッキングに焦点を当てた Pwn2Own Austin の初日も、ホワイトハット・ハッカーたちは、プリンター／NAS デバイス／ルーター／スマートスピーカーに関するエクスプロイトを実演し、総額で $360,000 以上の賞金を獲得した。

Chrome 95 ゼロデイ脆弱性と中国の Tianfu Cup ハッキング・コンテスト

Chrome 95 Update Patches Exploited Zero-Days, Flaws Disclosed at Tianfu Cup

2021/10/29 SecurityWeek — 木曜日に Google がリリースした Chrome 95 アップデートは、２つの積極的に悪用されているゼロデイ脆弱性と、先日に中国のハッキング・コンテストで公開された欠陥を修正するものだ。積極的に悪用されている脆弱性は、CVE-2021-38000 として追跡されており、Intents への信頼できない入力に対する不十分な検証の問題とされている。また、CVE-2021-38003 は、V8 JavaScript エンジンに影響をおよぼす不適切な実装の問題である。CVE-2021-38000 は９月に発見され、CVE-2021-38003は僅か３日前に確認されたものである。

Zerodium とゼロデイ脆弱性：NordVPN／ExpressVPN／SurfShark が対象

Zerodium wants zero-day exploits for Windows VPN clients

2021/10/19 BleepingComputer — 今日の短いツイートで、エクスプロイト・ブローカーである Zerodium が、マーケットで人気の VPN サービス・プロバイダー３社の、ゼロデイ・エクスプロイト脆弱性情報の取得を検討していることを明らかにした。