SupplyChain – Page 7 – IoT OT Security News

GitHub の名前空間リタイアメントにバグ：RepoJacking 攻撃が発生する可能性とは？

GitHub Bug Exposed Repositories to Hijacking

2022/10/27 InfoSecurity — セキュリティ研究者が新たに発見した GitHub の欠陥は、攻撃に成功した攻撃者がリポジトリを制御し、関連するアプリやコードにマルウェアを拡散する可能があるものだ。現時点において GitHub は、”popular repository namespace retirement” 機能のバグを修正しているが、将来において同じツールが、脅威者の標的となる可能性があると Checkmarx は警告している。

Docker／Kubernetes の脆弱なインスタンスを狙う：Kiss-a-dog クリプトジャッキング

New Cryptojacking Campaign Targeting Vulnerable Docker and Kubernetes Instances

2022/10/27 TheHackerNews — 脆弱な Docker／Kubernetes インフラを標的とし、暗号通貨の不正マイニングを行う、新たなクリプトジャッキング・キャンペーンが発覚した。このアクティビティを Kiss-a-dog と名付けた CrowdStrike は、その Command and Control インフラについて、ミスコンフィグレーションのある Docker／Kubernetes インスタンスへの攻撃で知られる、TeamTNT などのグループとの重複があることを明らかにした。この、kiss.a-dog[.]top というドメインに由来する侵入は、2022年9月に発見されており、Base64 エンコードされた Python コマンドを用いて、侵入したコンテナでシェル・スクリプト・ペイロードを起動するものである。

Google の GUAC：OSS の全ての要素を結びつける Knowledge Graph の作成が目標

Google Launches GUAC Open Source Project to Secure Software Supply Chain

2022/10/20 TheHackerNews — 木曜日に Google は、ソフトウェア・サプライチェーン強化の継続的な取り組みの一環として、新たなオープンソース構想 Graph for Understanding Artifact Composition (GUAC) とへの、コントリビュータを募集していると発表した。Google の Brandon Lum と、Mihai Maruseac、Isaac Hepworth は、「GUAC とは、ソフトウェアのビルド／セキュリティ／依存関係のメタデータを生成するための、エコシステム全体で急成長している取り組みから生まれたニーズに対応するものだ」と、The Hacker News で共有した投稿で述べている。

OSS サプライチェーンの深刻な問題：３年間で 742% 急増した悪意のパッケージ

Software Supply Chain Attacks Soar 742% in Three Years

2022/10/19 InfoSecurity — 専門家たちが、2022年に発見した悪意のオープンソース・パッケージは 8万8000件にのぼり、2019年のデータと比べて 742% の増加となった。それにより示唆されるのは、企業への攻撃における標的面積の急速な拡大である。この数字は、Maven Central のダウンロード数 1310億件／オープンソース・プロジェクト数千件を含む、公開データ／独自データを分析した、Sonatype のレポート 2021 State of the Software Supply Chain で発表されたものである。

VMware の OSS 調査：新たな懸念はサプライチェーンの効率と安全性の不足

New security concerns for the open-source software supply chain

2022/10/17 HelpNetSecurity — VMware によると、オープンソース・ソフトウェアは、あらゆる規模の企業におけるソフトウェア・サプライチェーンの重要な要素となっている。しかし、オープンソース・ソフトウェアのサプライチェーンには、新たなセキュリティ上の懸念が存在するため、パッケージング・セキュリティに対する進化したアプローチが求められている。

LofyGang という犯罪グループ：ソフトウェア・サプライチェーン攻撃への大規模な関与が判明

LofyGang Group Linked to Recent Software Supply Chain Attacks

2022/10/07 InfoSecurity — Checkmarx の最新調査により、ソフトウェア・サプライチェーンに対する注目すべきサイバー・インシデントの大半に、１年以上前から活動している攻撃グループ LofyGang が関与していることが判明した。研究者たちは、LofyGang に関連する約 200の悪意のパッケージと数千のインストーラを発見した。これらのパッケージには、いくつかのクラスに分類される悪意のペイロード／一般的なパスワード窃盗ツール／Discord 専用の永続的マルウェアなどが含まれていたという。

Telstra でデータ侵害：豪テレコム従業員の個人情報が流出？

Telstra Telecom Suffers Data Breach Potentially Exposing Employee Information

2022/10/05 TheHackerNews — オーストラリア最大の通信会社 Telstra は、Optus の情報漏洩が報告されてから２週間ほど後に、サードパーティを介した情報漏洩の被害に遭ったことを明らかにした。Telstra の CISO for the Asia Pacific である Narelle Devine は、「Telstra のシステムへの侵入はなかった。また、顧客のアカウント・データも含まれていない」と述べている。

PHP Packagist の深刻な脆弱性 CVE-2022-24828：サプライチェーン攻撃にいたる恐れ

Critical Packagist Vulnerability Opened Door for PHP Supply Chain Attack

2022/10/04 SecurityWeek — 10月4日に、コード・セキュリティ企業の SonarSource は、Packagist に影響を及ぼす深刻な脆弱性の詳細を発表した。この脆弱性の悪用に成功した脅威アクターにより、PHP コミュニティを標的としたサプライチェーン攻撃が行われる可能性があるという。Packagist とは、PHP 管理ツールである Composer のデフォルト・リポジトリであり、インストール可能な PHP パッケージが集約されている場所だ。Composer は、毎月のように 20億以上のパッケージをダウンロードするために使用されている。

CISA から連邦政府への新指令 BOD 23-01：IT 資産の可視化／脆弱性検出を強化

CISA Directive Improves Asset Visibility, Vulnerability Detection on Federal Networks

2022/10/04 InfoSecurity — CISA は、連邦政府のネットワークにおける、IT 資産の可視性／脆弱性検出を改善するための、新たな拘束的運用指令 (BOD：Binding Operational Directive) を発表した。この新指令 BOD 23-01 は、2023年4月3日に発効され、また、連邦民間行政機関 (FCEB) に対して、IT 資産の発見を７日ごとに自動を行うよう求めるものとなる。BOD 23-01 の文書には、「この課題を達成するために、数多くの方法や技術を用いることが可能だが、最低限でカバーすべき範囲は、それぞれの機関が用いる IPv4 空間全体となる」と記されている。

KFC／McDonald’s @ シンガポール／サウジアラビア／UAE を狙ったフィッシング・キャンペーンが発生

Phishing Campaigns Target KFC, McDonald’s in Saudi Arabia, UAE, Singapore

2022/10/03 InfoSecurity — シンガポール／サウジアラビア／UAE の KFC と McDonald’s の顧客がフィッシング・キャンペーンに狙われ、一部の顧客の支払情報が脅威アクターにより盗み出された。CloudSEK のセキュリティ研究者たちが発見した一連のキャンペーンだが、その当初の手口は、Google Play ストアに成りすましたドメインを経由して、悪質な Chrome ブラウザベースのアプリを表示させるというものだった。

Chromium アプリ・モードの危険性：Chrome／Edge／Brave ユーザーの盲点を突く攻撃手法

Web browser app mode can be abused to make desktop phishing pages

2022/10/03 BleepingComputer — Chrome のアプリケーション・モード機能を利用した、デスクトップ・アプリとして表示されるローカル・ログイン・フォームから、新たなフィッシング手法を実施する脅威アクターが、認証情報を容易に盗み出しているという。このアプリ・モード機能は、Google Chrome／Microsoft Edge／Brave Browser などを含む、すべての Chromium ベースのブラウザで利用できる。この機能により、正規のログイン画面と見分けがつかない、リアルなログイン画面を生成することが可能となる。

Auth0 警告：2020年以前のコード・リポジトリが流出したが Okta には影響なし

Auth0 warns that some source code repos may have been stolen

2022/09/28 BleepingComputer — 認証サービスプロバイダーであり、Okta の子会社でもある Auth0 は、同社のコード・リポジトリの一部に関わる、”Security Event” と呼ぶものを公表した。Auth0 の認証プラットフォームは、AMD／Siemens／Pfizer／Mazda／Subaru などを含む、30カ国 2000社以上の企業ユーザーにより、毎日 4200万回以上のログインの認証に使用されている。

Google が Chrome Manifest V3 のテスト開始を発表：2023年6月に V2 は消滅

Google to test disabling Chrome Manifest V2 extensions in June 2023

2022/09/28 BleepingComputer — Google は、Chrome Manifest V2 エクステンションのサポート終了に関する詳細を発表し、より多くの開発者にManifest V3 への移行を促している。Chrome チームからのアップデートによると、2023年6月に Manifest V2 を段階的に廃止しながら、スムーズなエンドユーザー・エクスペリエンスを確保しながら、慎重かつ実験的なステップで進めていくとのことだ。

CircleCI で進行するフィッシング：GitHub のアカウント認証情報と 2FA コードを盗み出す

Hackers stealing GitHub accounts using fake CircleCI notifications

2022/09/22 BleepingComputer — GitHub は、9月16日に始まったフィッシング・キャンペーンが活発に進行していることについて、注意を呼びかけている。具体的に言うと、継続的なインテグレーションとデリバリーのプラットフォームである、CircleCI になりすましたメールがユーザーを狙っているという。この偽メッセージは、「ユーザー規約とプライバシー・ポリシーが変更されたことをユーザー知らせ、GitHub アカウントにサインインして変更を受け入れ、サービスを使い続ける必要がある」と述べている。

Tailwind CSS／Material Design を模倣：発見された悪意の NPM パッケージとは？

Malicious NPM Package Caught Mimicking Material Tailwind CSS Package

2022/09/22 TheHackerNews — Material Tailwind の正規のソフトウェア・ライブラリを装う、悪意の NPM パッケージが発見され、オープンソース・ソフトウェアのリポジトリで悪意のコード配布を試みる、脅威アクターたちの狙いが再確認された。Material Tailwind は、CSS ベースのフレームワークであり、「Tailwind CSS と Material Design のための使いやすいコンポーネント・ライブラリ」だと、メンテナは宣伝している。

PyPI の脆弱性 CVE-2007-4559：35万件のオープンソース・プロジェクトに影響

350K Open-Source Projects At Risk of Supply Chain Vulnerability

2022/09/21 InfoSecurity — Trellix が設立を発表した Advanced Research Center は、最新のサイバー・セキュリティ脅威を検出／対応／修復するための、リアルタイムのインテリジェンスと脅威指標の作成を目的とするものだ。Trellix の最高製品責任者である Aparna Rayasam は、「脅威の状況は、洗練され、影響を与える可能性が拡大している。我々は、デジタルと物理的な世界で全ての人々を安全にするために、この事業に取り組んでいる。脅威アクターたちは、人材と技術的ノウハウに戦略的に投資している。したがって、サイバー・セキュリティ業界は、最も好戦的な行為者とその手法を研究し、より速い速度で革新していく義務がある」と述べている。

オープンソース・リポジトリへの攻撃が３年間で 700% 増加：サプライチェーンの深刻な危機

Open Source Repository Attacks Soar 700% in Three Years

2022/09/21 InfoSecurity — Sonatype の調査結果によると、アップストリームのオープンソース・コード・リポジトリを標的とする悪意の活動の量は、この３年間で３桁の増加に達したという。同社は、新たに公開したデータの中で、ソフトウェア・コンポーネントにマルウェアを仕込むことを目的とした攻撃が、700％増加していることを検出したと主張している。また、同社は、これらのコンポーネントがダウンストリームの DevOps チームに悪影響をおよぼすことで、大混乱が引き起こされる可能性があると述べている。

Uber が主張する機密情報へのアクセスの証拠は無い：しかし無事だという証拠も無い

Uber Claims No Sensitive Data Exposed in Latest Breach… But There’s More to This

2022/09/17 TheHackerNews — Uber が更新した情報だが、木曜日の遅くに発覚した社内コンピューター・システムの侵害により、ユーザーの個人情報が漏えいしたという証拠は無いと述べている。同社は、「我々は、このインシデントが、機密性の高いユーザーデータへのアクセスに関連しているという証拠はないと捉えている。Uber／Uber Eats／Uber Freight／Uber Driver アプリを含む、当社の全サービスは稼働している」と説明している。

Docker の調査：TeamTNT が仕掛けた不正イメージが 15万回以上もダウンロード

TeamTNT Hits 150K Docker Containers via Malicious Cloud Images

2022/09/14 DarkReading — TeamTNT 脅威グループ・メンバーの明らかな不手際により、不適切なコンフィグレーションで運用されている Docker サーバを、悪用するために用いられていた戦術の一部が暴露された。先日に Trend Micro のセキュリティ研究者たちは、Docker REST API を公開するハニーポットを設置し、広く利用されているクラウド・コンテナ・プラットフォームの脆弱性やミスコンフィグレーションを、一般的な脅威者が悪用する方式を理解しようと試みた。

NSA と CISA のガイダンス：サプライチェーン攻撃から組織を守るために

NSA and CISA share tips to secure the software supply chain

2022/09/01 BleepingComputer — 今日、米国の NSA と CISA (Cybersecurity and Infrastructure Security Agency) は、ソフトウェア・サプライチェーンを保護するためのチップスを発表した。この指針は、米国の重要インフラと国家安全保障システムに対する脅威に対処する、官民パートナーシップである Enduring Security Framework (ESF) により、ソフトウェア開発者向けの推奨事例集として作成されたものだ。

AWS アクセス・トークンなどをハードコード：1,800 種類の Android／iOS アプリ

Over 1,800 Android and iOS Apps Found Leaking Hard-Coded AWS Credentials

2022/09/01 TheHackerNews — 研究者たちが提起した深刻なセキュリティ・リスクとは、Amazon Web Services (AWS) 認証情報などをハードコードしている、1,859 種類の Android／iOS アプリが特定されたというものだ。Broadcom Software 傘下 Symantec の Threat Hunter チームは、The Hacker News と共有したレポートの中で、「それらのアプリの 77% に、AWS プライベート・クラウド・サービスにアクセスできる、有効な AWS アクセス・トークンが含まれていた」と述べている。

LastPass に脅威アクターが侵入：ソースコードの一部が盗み出された影響は？

LastPass Suffers Data Breach, Source Code Stolen

2022/08/27 DarkReading — LastPass の内部システムに侵入した攻撃者が、ソースコードと知的財産を持ち去った。パスワード管理会社である LastPass は、開発環境における異常なアクティビティを、２週間前に検出したと発表した。今週に行われた発表では、フォレンジック・データを調査した結果、開発者アカウントに侵入した何者かが、ネットワークにアクセスし、LastPass ソースコードの一部と独自の技術情報が窃取したと述べられている。

Twilio／Authy ハッキングの全容：2FA アカウントへの不正なアクセスとデバイス追加

Twilio breach let hackers gain access to Authy 2FA accounts

2022/08/26 BleepingComputer — 8月4日に発生した攻撃について、Twilio での調査が継続されている。そして、一部の Authy ユーザー・アカウントにハッカーアクセスし、不正なデバイスを登録したことが判明したという。Twilio 傘下の Authy が提供する２要素認証 (2FA) サービスは、ログイン認証情報の入力が成功した後に、専用アプリで２回目の認証を行うことで、同機能に対応したオンライン・アカウントを安全に利用できるようにするものだ。

SysAid で Log4j の脆弱性を悪用：イラン政府のハッカーがイニシャル・アクセスに成功

Iranian Government Hackers Exploit Log4Shell in SysAid Apps for Initial Access

2022/08/26 SecurityWeek — イラン政府に関連するとされる脅威グループが、SysAid の Log4Shell 脆弱性を悪用し、ターゲットの組織へのイニシャル・アクセスを確立したようだ。Apache Log4j のロギング・ユーティリティに影響を与える脆弱性 Log4Shell は、2021年12月に明るみに出たものである。この脆弱性 CVE-2021-44228 は、リモート・コード実行に悪用される可能性があり、営利目的のサイバー犯罪者に加えて、国家に支援されるサイバー・スパイにも悪用されてきた。

Twilio／Okta ハッキングの全容：背後にいる脅威アクターの追跡も始まる

Twilio hackers hit over 130 orgs in massive Okta phishing attack

2022/08/25 BleepingComputer — 最近に発生した、Twilio／MailChimp／Klaviyo などへの、一連のサイバー攻撃を実行したハッカーは、同じフィッシング・キャンペーンにより 130以上の組織に侵入した。このフィッシング・キャンペーンでは、コードネーム 0ktapus と呼ばれるフィッシング・キットが使用され、合計で 9,931件のログイン情報が盗み出され、それを基に VPN などのリモートアクセス介して、企業のネットワークやシステムへのアクセスが行われた。

GitLab の深刻な脆弱性 CVE-2022-2884 が FIX：認証済みの攻撃者による RCE

GitLab fixed a critical Remote Code Execution (RCE) bug in CE and EE releases

2022/08/23 SecurityAffairs — DevOps プラットフォームの GitLab は、GitLab Community Edition (CE) および Enterprise Edition (EE) に影響を及ぼす、深刻なリモートコード実行の脆弱性 CVE-2022-2884 (CVSS 9.9) を修正する、セキュリティ・アップデートをリリースした。攻撃者が認証されている場合には、GitHub の Import API を介して、この脆弱性の悪用が可能となる。

Electron ベース・アプリ 18種類に深刻な脆弱性： Teams／WhatsApp／Slack などに影響

Security Analysis Leads to Discovery of Vulnerabilities in 18 Electron Applications

2022/08/17 SecurityWeek — 各社の研究者チームが、Electron ベースのデスクトップ・アプリケーションを解析した結果、広く利用されている複数のソフトウェアに脆弱性が存在していることが判明した。Electron は、クロスプラットフォームのデスクトップ・アプリケーションを開発するための、無償で提供されるオープンソース・フレームワークである。たとえば、Microsoft Teams／WhatsApp／Slack といった、非常に人気の高いアプリケーションの構築にも利用されている。

PyPI に悪意のパッケージ：Discord を改ざんしてパスワードなどを盗み出す

Malicious PyPi packages turn Discord into password-stealing malware

2022/08/17 BleepingComputer — Discord (VoIP and Instant Messaging) クライアントを、情報に隠し持つバックドアに改変し、Web ブラウザや Roblox からデータを盗むマルウェアをインストールしていく、12個の悪意の PyPI パッケージが発見された。これらの 12個のパッケージは、2022年8月1日に scaredcoder というユーザーが Python Package Index (PyPI) にアップロードしたものであり、Snyk の研究者たちにより発見された。

英国民保健サービス NHS が機能停止：Managed Service Provider への攻撃が原因

UK NHS suffers outage after cyberattack on managed service provider

2022/08/05 BleepingComputer — 英国の National Health Service (NHS) 111 救急サービスは、英国の Managed Service Provider (MSP) である Advanced のシステムを襲ったサイバー攻撃による、大規模かつ継続的な障害の打撃を受けている。同組織のステータス・ページによると、NHS 111 サービスの 85％で使用されている Advanced のクライアント患者管理ソリューション Adastra が、MSP が提供する他のいくつかのサービスとともに、大規模な障害に見舞われているとのことだ。

IBM 調査：データ侵害が生み出す１件あたりのコストが史上最高の $4.35 M に達する

The global average cost of a data breach reaches an all-time high of $4.35 million

2022/07/27 HelpNetSecurity — IBM Security がリリースした 2022 Cost of a Data Breach Report より、これまで以上にコストが高く、影響が大きいデータ侵害が発生し、調査対象組織におけるデータ侵害の平均コストは、過去最高の $4.35 million であることが判明した。

FileWave MDM における深刻なリモート攻撃の脆弱性 CVE-2022-34906 などが FIX

Critical FileWave MDM Flaws Open Organization-Managed Devices to Remote Hackers

2022/07/26 TheHackerNews — FileWave の Mobile Device Management (MDM) システムに、リモート攻撃を許し、接続されているデバイス群の制御を許してしまう、２つの深刻なセキュリティ脆弱性が発見された。Claroty のセキュリティ研究者である Noam Moshe は、月曜日のレポートで、「これらの脆弱性はリモートから悪用が可能であり、攻撃者は認証メカニズムを回避し、MDM プラットフォームと管理デバイスを完全に制御することができる」と説明している。

クラウド・セキュリティの調査：IT リーダーの 60%が安全性に自信を持てない

60% of IT leaders are not confident about their secure cloud access

2022/07/21 HelpNetSecurity — Ponemon Institute の調査で明らかになったのは、さまざまなクラウドの導入が進みつつあるにもかかわらず、IT／セキュリティリーダーの 60%が、自社のクラウド・アクセスの安全性に自信を持っていないことである。The Global Study on Zero Trust Security for the Cloud は、世界中の約 1,500人の IT意思決定者／セキュリティ専門家を対象に行われ、クラウド環境のセキュリティ確保における問題点と、ゼロトラストセキュリティの手法が、いかにデジタル・トランスフォーメーションを可能にするかが調査された。

Okta の脆弱性：研究者たちが指摘するパスワード窃取の可能性とは？

Okta Exposes Passwords in Clear Text for Possible Theft

2022/07/20 DarkReading — Authomize の研究者たちの指摘によると、ID／アクセス管理プロバイダーの Okta が、深刻なセキュリティ脆弱性に直面しているようだ。この脆弱性により、脅威アクターは、プラットフォームへのリモート・アクセスが容易になり、平文のパスワードを抽出し、下流アプリのユーザーになりすまし、ログを改ざんして痕跡を消すことが可能になる。しかし Okta は、この指摘に対し、これはアプリの脆弱性ではなく機能であり、アプリは設計通りに動作していると述べている。

NPM サプライチェーン攻撃：IconBurst 混入のモジュールが 27,000回以上もダウンロード

NPM supply-chain attack impacts hundreds of websites and apps

2022/07/05 BleepingComputer — NPM のサプライチェーン攻撃は、2021年12月からたどる必要がある。そのとき、難読化された Javascript コードを含む、数十の悪意の NPMモジュールが用いられ、数百の下流にあるデスクトップ・アプリケーションと Web サイトが危険にさらされた。

Zimbra の UnRAR に存在する脆弱性 CVE-2022-30333 が FIX：任意のコード実行が可能？

New UnRAR Vulnerability Could Let Attackers Hack Zimbra Webmail Servers

2022/06/29 TheHackerNews — RARlab の UnRAR ユーティリティで、新たなセキュリティ脆弱性 CVE-2022-30333 が発見された。この脆弱性の悪用に成功したリモートの攻撃者は、UnRAR バイナリに依存しているシステム上で任意のコード実行が可能になる。この、Unix 版の UnRAR に存在する脆弱性は、パストラバーサル欠陥に起因するものであり、悪意を持って細工された RAR アーカイブを展開した際に、発生する可能性がある。

AWS の機密情報を漏洩させる、迷惑なバックドアつき Python ライブラリ

Multiple Backdoored Python Libraries Caught Stealing AWS Secrets and Keys

2022/06/24 TheHackerNews — 研究者たちは、一般公開されたエンドポイントへ向けて、AWS の認証情報／環境変数を流出させるよう設計された悪意の Python パッケージを、サードパーティの公式ソフトウェア・リポジトリで数多く発見した。Sonatype のセキュリティ研究者 Ax Sharma によると、それらのパッケージには loglib-modules／pyg-modules／pygrata／pygrata-utils／hkg-sol-utils が含まれていたが、現在では一連のエンドポイントも含めて削除されているとのことだ。彼は、「これらのパッケージのいくつかは、ユーザーの機密情報を窃取／流出させるコードを含んでいるか、その機能をもつ依存関係を使用している」と述べている。

オープンソース・ソフトウェアと脆弱性の関係：実際に攻撃可能なものは３％に過ぎない

Only 3% of Open Source Software Bugs Are Actually Attackable, Researchers Say

2022/06/25 DarkReading — ソフトウェア・サプライチェーンにおけるセキュリティ・リスクが高まる中、脆弱性管理の作業負荷が増大しているが、今日の Shiftleft レポートでは、現存の脆弱性のうち、実際に攻撃者が到達可能なものは約３%に過ぎないことが示されている。このデータは、アプリケーション・セキュリティ (appsec) の専門家と開発者たちが、攻撃可能な脆弱性の修正と軽減に注力すれば、チームの負担を劇的に軽減できることを示唆している。

DFSCoerce という新たな NTLM リレー攻撃：PetitPotam にように Windows ドメインを乗っ取る？

New NTLM Relay Attack Lets Attackers Take Control Over Windows Domain

2022/06/21 TheHackerNews — DFSCoerce と呼ばれる、新しい種類の Windows NTLM リレー攻撃が発見された。この攻撃では、ドメインの制御を掌握するために、Distributed File System (DFS)： Namespace Management Protocol (MS-DFSNM) が悪用されていることが判明した。

Zimbra の脆弱性 CVE-2022-27924 が FIX：ユーザー操作なしでＥメールのログイン情報が窃取される

Zimbra bug allows stealing email logins with no user interaction

2022/06/15 BleepingComputer — Eメール・ソリューションのひとつである Zimbra は、世界の政府機関／金融機関／教育機関などの、数多くの組織で広く利用されている。その Zimbra の特定のバージョンに影響する深刻な脆弱性について、技術的な詳細が明らかにされた。脆弱性 CVE-2022-27924 は、悪用に成功した攻撃者に対して、認証／ユーザー操作を必要としないログイン情報の窃取を許し、オープンソース版／商用版の Zimbra 8.8.x／9.x に影響を及ぼす。

Travis-CI API からの OAuth トークン流出：GitHub や AWS S3 に影響が生じた理由が判明

Unpatched Travis CI API Bug Exposes Thousands of Secret User Access Tokens

2022/06/14 TheHackerNews — Travis-CI API における未パッチの脆弱性により、数万人のユーザー・トークンが潜在的な攻撃にさらされ、脅威アクターによるクラウド・インフラの侵害／不正なコード変更／サプライチェーン攻撃がなど事実上可能になっている。クラウド・セキュリティ企業である Aqua の研究者たちは、月曜日のレポートの中で「無料ユーザーの 7億 7000万件以上のログが公開され、そこから GitHub／AWS／Docker Hubといった人気のクラウドサービス・プロバイダーに関連する、トークン／機密情報／認証情報などが容易に抽出できる」と述べている。

PyPI パッケージ keep に含まれるタイプミス：悪意の依存関係とパスワード窃取

PyPI package ‘keep’ mistakenly included a password stealer

2022/06/12 BleepingComputer — PyPI パッケージである keep／pyanxdns／api-res-py の一部のバージョンには、悪意の request との依存関係が存在するため、バックドアが含まれることが判明した。たとえば、keep プロジェクトの大半のバージョンでは、HTTP リクエストを行うために正規の Python モジュール requests を使用しているが、keep v.1.2 にはマルウェアである request (s なし) が含まれている。BleepingComputer は、これが単なる誤植なのか自作自演なのか、それとも、メンテナ・アカウントの乗っ取りによるものなのかを確認するため、それぞれのパッケージの作者に問い合わせた。

Pegasus Airline から漏洩した 6.5TB の機密情報：CSPM があれば AWS S3 バケットを守れたのか？

6.5TB of Sensitive Data Flies Away in Airline Cloud Data Breach

2022/06/07 SecurityBoulevard — つい先日のこと、Pegasus Airline は大規模なAWSデータ侵害に見舞われ、6.5TB のデータを危険にさらすことになった。最終的に、乗務員の個人情報／平文パスワード／秘密鍵／ソースコードなどの機密情報を含む、2300万件のファイルが公開されてしまった。犯人と思われるのは、悪名高い S3 バケット問題である。

SBoM 支持の CISA／OpenSSF／OWASP：ソフトウェア・サプライチェーンのリスクを軽減

Gathering Momentum: 3 Steps Forward to Expand SBoM Use

2022/06/06 DarkReading — IT 環境における Software Bills of Materials (SBoM) の普及を求める声は大きくなっているが、アプリケーション・ポートフォリオで使用されている、ソフトウェア・コンポーネントの追跡のために SBoM を一貫して導入している組織は、相対的に少ないという現実がある。

Log4Shell 悪用と AI ポイズニング：企業のデータレイクに忍び寄る脅威とは？

Log4Shell Exploit Threatens Enterprise Data Lakes, AI Poisoning

2022/05/13 DarkReading — 人工知能 (AI) や機械学習 (ML) の導入が進み、企業のデータレイクは大容量化しているが、残念なことに、Java Log4Shell 脆弱性を介して悪用されやすいことが、研究者たちにより明らかにされている。一般的な組織は、プライバシー保護に配慮しながら、AI／ML アルゴリズムの学習用に可能な限り多くのデータポイントを取り込むことに注力しているが、データレイク自体のセキュリティ強化に手を抜いていることが、あまりにも多くなっているという。

SaaS-to-SaaS サプライチェーンの時代：保護すべき対象がズレ始める時代

The SaaS-to-SaaS supply chain is a wild, wild mess

2022/05/12 HelpNetSecurity — クラウドへの移行と IT の民主化により、ビジネス・ワークフローのデジタル化と自動化のための統合が進み、相互に接続されたビジネス・アプリのネットワークが拡大し続けている。デジタル・トランスフォーメーション時代の従業員たちは、生産性を高めるために、SaaS アプリや、Workato／Zapier などの no／low code プラットフォーム、サードパーティ・アプリを独自に採用／接続している。

FBI／CISA／NSA などが共同勧告：MSP を狙う脅威アクターが増え続けている

FBI, CISA, and NSA warn of hackers increasingly targeting MSPs

2022/05/11 BleepingComputer — 今日、Five Eyes (FVEY) のインテリジェンス同盟のメンバーは、MSP (Managed Service Provider) とその顧客に対して、サプライチェーン攻撃の標的となるケースが、ますます増えていることを警告した。FVEY 諸国におけるサイバー・セキュリティ機関および法執行機関 (NCSC-UK／ACSC／CCCS／NCSC-NZ／CISA／NSA／FBI) は、これらの増大が予測されるサイバー脅威から。MSP がネットワークと機密データを保護するための、ガイダンス Protecting Against Cyber Threats to Managed Service Providers and their Customers を共有した。

Microsoft Azure の Integration Runtime の RCE 脆弱性 CVE-2022-29972 が FIX

Microsoft releases fixes for Azure flaw allowing RCE attacks

2022/05/09 BleepingComputer — Microsoft は、Azure Synapse／Azure Data Factory パイプラインに影響を及ぼす、セキュリティ上の欠陥に対応する更新プログラムをリリースし、Integration Runtime インフラストラクチャ全体での、攻撃者によるリモートコマンド実行を阻止した。Integration Runtime (IR) のコンピューティング基盤は、Azure Synapse および Azure Data Factory のパイプラインで使用され、ネットワーク環境全体でデータ統合する機能 (データフロー／アクティビティのディスパッチ／SQL Server Integration Services (SSIS) パッケージ実行) を提供するものだ。

CISO として考えるべき脅威検知の視点：７つの質問を用意してみた

7 threat detection challenges CISOs face and what they can do about it

2022/05/05 HelpNetSecurity — セキュリティ運用 (SecOps) チームは、新たな攻撃やマルウェアの亜種の氾濫に、さらされ続けている。最近の AV-TEST 調査によると、2021年だけで 1億7000万以上の新しいマルウェア亜種が存在している。その結果として、CISO とチームが、これらの新たな脅威を特定し、阻止するための負担は、かつてないほど高まっている。しかし、それを行おうとすると、スキル不足／データの相関関係の特定 (手作業)／誤検出の追及／長時間の調査といった、さまざまな課題に直面する。この記事では、CISO が直面している脅威検知プログラムの課題を探り、セキュリティ運用を改善するためのヒントを紹介したいと思う。

NIST のサプライチェーン・リスク対策：Cybersecurity Supply Chain Risk Management がリリース

NIST Releases Updated Cybersecurity Guidance for Managing Supply Chain Risks

2022/05/04 TheHackerNews — 木曜日に National Institute of Standards and Technology (NIST) は、魅力的な攻撃経路としてサプライチェーンが浮上していることから、そのリスクを管理するための最新のサイバー・セキュリティ・ガイダンスを発表した。NIST は声明において、「ユーザー組織に対して推奨されるのは、利用を検討している完成品としての製品の脆弱性だけではなく、他で開発された可能性のあるコンポーネントの脆弱性についても、考える必要があるという点だ。また、それらのコンポーネントが、手元に到達するまでの道のりについても、考慮する必要がある」と述べている。

GitHub が 2FA への完全移行を 2023 年末まで実施：ソフトウェア・サプライチェーンを攻撃から守る

GitHub to require 2FA from active developers by the end of 2023

2022/05/03 BleepingComputer — 今日、GitHub は、同社のプラットフォーム上でコードをコントリビュートする、約 8300万人の開発者が使用するアカウントに対して、2023年末までに二要素認証 (2FA) の有効化を義務付けることを発表した。この、2FA 有効化が要求されるアクティブなコントリビューターに含まれるのは、コードのコミット／Actionsの使用／プルリクエストの open/merge／パッケージの公開などを行う GitHub ユーザーとなるが、それらに限定されるものではない。