Apache Log4j 1.x の3つの脆弱性が公開:Chainsaw と JDBC Appender に注意

SBN New Log4j 1.x CVEs, and critical Chainsaw Vulnerability — What to Do?

2022/01/21 SecurityBoulevard — 今週になって、Apache は Log4j 1.x のバージョンに影響を与える、3つの脆弱性を公開した。Log4j 1.x は 2015年8月の時点で、いずれにしても end-of-life の製品であり、推奨されるアドバイスは、安全な log4j 2.x への移行である。しかし、これらの CVE 開示の中には、以下に分析する深刻な Apache Chainsaw の脆弱性が埋もれている。

Continue reading “Apache Log4j 1.x の3つの脆弱性が公開:Chainsaw と JDBC Appender に注意”

CentOS Web Panel の深刻な脆弱性 CVE-2021-45467 がFIX:RCE の可能性

Critical Bugs in Control Web Panel Expose Linux Servers to RCE Attacks

2022/01/21 TheHackerNews — Control Web Panel に存在する、2つの深刻なセキュリティ上の脆弱性が公開された。これらの脆弱性は、侵害の連鎖の一部として悪用され、影響が生じたサーバー上で認証前のリモートコード実行を許す可能性がある。この問題は、CVE-2021-45467 として追跡されており、Web アプリケーションが Web サーバー上の任意のファイルを、公開または実行するように仕向けられることで発生する、ファイル・インクルージョンの脆弱性に関するものだ。

Continue reading “CentOS Web Panel の深刻な脆弱性 CVE-2021-45467 がFIX:RCE の可能性”

2021年はサプライチェーン攻撃の年:3倍増の件数と3つの大きな課題

Software Supply Chain Attacks Tripled in 2021: Study

2022/01/20 SecurityWeek — 2021年は、ソフトウェア・サプライチェーン攻撃の年だったと言えるだろう。SolarWinds が世界の目を見開かせ、脅威の大きさを明らかにした年だ。それ以外にも、Kaseya/Codecov/ua-parser-js/Log4j などの大規模な攻撃があった。いずれの場合も、攻撃者にとって魅力的なのは、分散したコードにおける1つの違反/危殆化/脆弱性が、数千人にもいたる犠牲者を出す可能性があることだ。

Continue reading “2021年はサプライチェーン攻撃の年:3倍増の件数と3つの大きな課題”

Cisco の Configuration Manager に深刻な脆弱性:デバッグ・モードから root 権限で RCE

Cisco bug gives remote attackers root privileges via debug mode

2022/01/20 BleepingComputer — Cisco の社内セキュリティ・テストにおいて、Cisco StarOS ソフトウェア の Cisco Redundancy Configuration Manager (RCM) で発見された深刻なセキュリティ上の欠陥が修正された。この脆弱性 CVE-2022-20649 は、認証されていない攻撃者が、脆弱性のあるソフトウェアを実行しているデバイス上で、root レベル権限でリモートコードを実行できるというものだ。

Continue reading “Cisco の Configuration Manager に深刻な脆弱性:デバッグ・モードから root 権限で RCE”

Microsoft が発見した新たな SolarWinds Serv-U バグが FIX:Log4j 攻撃を伝搬する?

Microsoft: SolarWinds fixes Serv-U bug exploited for Log4j attacks

2022/01/19 BleepingComputer — Microsoft が発見した Serv-U の脆弱性に対して、SolarWinds がパッチを適用した。この脆弱性は、脅威アクターが Log4j 攻撃を、ネットワーク上の内部デバイスに伝播させるために積極的に利用するものだ。Microsoft によると、Log4j 攻撃の監視中に、この脆弱性を発見したとのことだ。このバグは、Microsoft のセキュリティ研究者である Jonathan Bar Or が発見した不適切な入力検証の脆弱性であり、攻撃者により作成されたクエリが、無節操にネットワーク上に送信されることになる。

Continue reading “Microsoft が発見した新たな SolarWinds Serv-U バグが FIX:Log4j 攻撃を伝搬する?”

Box の SMS-based 多要素認証がバイパスされる:研究者たちが指摘する欠陥とは?

Researchers Bypass SMS-based Multi-Factor Authentication Protecting Box Accounts

2022/01/18 TheHackerNews — サイバー・セキュリティ研究者たちが、Box の多要素認証 (MFA) 機構に存在していた、パッチ適用済みのバグの詳細を公開した。Varonis の研究者たちは The Hacker News に対して「このバグを利用すると、攻撃者は盗んだ認証情報を使って組織の Box アカウントを侵害し、被害者の携帯電話にアクセスすることなく機密データを流出させることができる」と報告している。

Continue reading “Box の SMS-based 多要素認証がバイパスされる:研究者たちが指摘する欠陥とは?”

Zoho ManageEngine Desktop Central の深刻な脆弱性 CVE-2021-44757 が FIX

Zoho fixes a critical vulnerability (CVE-2021-44757) in Desktop Central solutions

2022/01/17 SecurityAffairs — Zoho は、同社の Unified Endpoint Management (UEM) ソリューションである 、Desktop Central および Desktop Central MSP に影響をおよぼす、新規の深刻な脆弱性 CVE-2021-44757 を修正した。この問題は、認証バイパスの脆弱性であり、それを悪用するリモートの攻撃者に対して、サーバー内での不正な操作を許す可能性がある。この Zoho ManageEngine Desktop Central は、企業におけるサーバー/ラップトップ/デスクトップ/スマートフォン/タブレットの一元的な管理に役立つ製品である。

Continue reading “Zoho ManageEngine Desktop Central の深刻な脆弱性 CVE-2021-44757 が FIX”

Apple Safari の WebKit に脆弱性:same-origin ポリシー違反による情報漏洩

Safari bug leaks your Google account info, browsing history

2022/01/17 BleepingComputer — Safari の WebKit エンジンに搭載されている、IndexedDB API の実装に問題が発見された。この欠陥を悪用された場合、リアルタイムでの不正な閲覧活動や、ユーザーの個人情報などが漏洩する可能性がある。IndexedDB は、広く使われているブラウザの API であり、容量制限のない汎用性の高いクライアント・サイドのストレージ・システムである。

Continue reading “Apple Safari の WebKit に脆弱性:same-origin ポリシー違反による情報漏洩”

WordPress プラグインの深刻な脆弱性 CVE-2022-0215:Web サイト 84,000 件に影響

High-Severity Vulnerability in 3 WordPress Plugins Affected 84,000 Websites

2022/01/16 TheHackerNews — 研究者たちが、84,000以上の Web サイトに影響を与える、3種類の WordPress プラグインのセキュリティ欠陥を公開した。これらの欠陥を悪用する脅威アクターにより、脆弱な WordPress サイトが乗っ取られる可能性もある。WordPress 傘下のセキュリティ企業である Wordfence は、先週に発表したレポートの中で、「この欠陥により、サイトの管理者が騙され、リンクをクリックするなどのアクションが実行されると、攻撃者は脆弱なサイトで任意のサイト・オプションを更新できる」と述べている。

Continue reading “WordPress プラグインの深刻な脆弱性 CVE-2022-0215:Web サイト 84,000 件に影響”

QNAP NAS デバイスに対する攻撃:Qlocker ランサムウェアの新種が観測されている

A new wave of Qlocker ransomware attacks targets QNAP NAS devices

2022/01/16 SecurityAffairs — 世界中の QNAP NAS デバイスを標的とした、ランサムウェア Qlocker の新たな波が 1月6日に始まり、感染したデバイス上に !!!READ_ME.txt というランサム・ノートを投下している。2021年5月に、台湾のベンダーである QNAP は、Qlocker ランサムウェアの感染を防ぐために、NAS デバイス上で動作する災害復旧アプリ HBS 3 (Hybrid Backup Sync) を更新するよう、顧客に対して警告を発した。

Continue reading “QNAP NAS デバイスに対する攻撃:Qlocker ランサムウェアの新種が観測されている”

ホワイトハウス OSS セキュリティ・サミット:各ベンダーの声明を集めてみた

U.S. Government, Tech Giants Discuss Open Source Software Security

2022/01/14 SecurityWeek — 2020年1月13日にホワイトハウス・サミットが開催され、米国の政府と大手ハイテク企業の代表者がオープンソース・ソフトウェアのセキュリティについて話し合った。広く利用されている Log4j ロギング・ユーティリティーに影響を与える脆弱性が、公開/悪用されたことで、オープンソースとソフトウェア・サプライチェーンのセキュリティの重要性が、あらためて浮き彫りになっている。ホワイトハウス・サミットの目的は、オープンソース・ソフトウェアのセキュリティを向上させ、オープンソース・コミュニティを効果的にサポートする方法を特定することだった。

Continue reading “ホワイトハウス OSS セキュリティ・サミット:各ベンダーの声明を集めてみた”

ウクライナ政府の 15 の Web サイトが一斉に攻撃されオフラインに追い込まれた

Multiple Ukrainian government websites hacked and defaced

2022/01/14 BleepingComputer — ウクライナにおける公的機関の Web サイトのうち、少なくとも 15 の Web サイトが不正アクセスを受け、改ざんされ、その後にオフラインに追い込まれた。その中には、外務省/農業省/教育科学省/安全保障・防衛省/閣僚内閣のオンライン・ポータルなどが含まれている。改ざんされたメッセージは、ウクライナ語/ロシア語/ポーランド語で書かれており、サイトの訪問者に対して、公共のネットワークにアップロードされている、すべての市民データが漏洩していることを警告していた。

Continue reading “ウクライナ政府の 15 の Web サイトが一斉に攻撃されオフラインに追い込まれた”

SEC と FTC の Log4j 脆弱性をめぐる警告:金融分野での悪用に備える米政府

SEC, FTC Issue Warning on Log4j Vulnerabilities

2022/01/14 SecurityBoulevard — 米国連邦取引委員会 (Federal Trade Commission : FTC) および米国証券取引委員会 (Securities and Exchange Commission : SEC) は、Log4j の脆弱性がもたらすリスクに対処していない企業に警告を発している。特に FTC は、消費者向けの製品やサービスに含まれる、様々なシステム・アクティビティを記録するために使用されている、ユビキタス・ソフトウェアである Log4j のセキュリティ脆弱性を修正するよう企業に警告している。

Continue reading “SEC と FTC の Log4j 脆弱性をめぐる警告:金融分野での悪用に備える米政府”

ホワイトハウスの念押し:ハイテク大手のオープンソースが国家安全保障の問題

White House reminds tech giants open source is a national security issue

2022/01/14 BleepingComputer — Log4J の脆弱性による重要インフラへの脅威を受けて、ホワイトハウスは政府機関や民間企業に対して、オープンソース・ソフトウェアとサプライチェーンの安全確保に向けて、リソースを結集し努力するよう養成した。そのためのサミットが開催され、「オープンソース・ソフトウェアのセキュリティ上の欠陥や脆弱性の防止」「セキュリティ上の欠陥の発見と修正のプロセスの改善」「修正プログラムの提供と展開に要する時間の短縮」という、3つのテーマが取り上げられた。

Continue reading “ホワイトハウスの念押し:ハイテク大手のオープンソースが国家安全保障の問題”

Cisco の Unified CCMP/CCDM の深刻な脆弱性 CVE-2022-20658 が FIX

Cisco Releases Patch for Critical Bug Affecting Unified CCMP and Unified CCDM

2022/01/13 TheHackerNews — Cisco の Unified Contact Center Management Portal (Unified CCMP) および Unified Contact Center Domain Manager (Unified CCDM) に脆弱性があり、この脆弱性を悪用するリモートの攻撃者が、システムを制御する可能性があることが判明した。この脆弱性 CVE-2022-20658 は、CVSS 深刻度 9.6 と評価され、サーバー側でのユーザー権限の検証が行われていないことに起因する、特権昇格の問題を引き起こす可能性がある。

Continue reading “Cisco の Unified CCMP/CCDM の深刻な脆弱性 CVE-2022-20658 が FIX”

AWS 顧客データ流出のバグが FIX:発見した Orca と AWS の間で評価にズレが

AWS fixes security flaws that exposed AWS customer data

2022/01/13 BleepingComputer — Amazon Web Services (AWS) は、他の AWS 顧客アカウントにリンクされたデータへのアクセス/変更を許す、AWS Glue のセキュリティ問題に対処した。AWS Glue は、サーバーレスのクラウド・データ統合サービスであり、アプリ開発/機械学習/分析のための、データの発見/準備/結合を支援するものだ。

Continue reading “AWS 顧客データ流出のバグが FIX:発見した Orca と AWS の間で評価にズレが”

Microsoft RDP 脆弱性 CVE-2022-21893:データ窃取やスマートカード PIN 傍受が生じる

Microsoft RDP Bug Enables Data Theft, Smart-Card Hijacking

2022/01/13 DarkReading — 少なくとも、Microsoft Windows Server 2012 R2 以降のシステムは、Remote Desktop Services プロトコルの脆弱性の影響を受けるようだ。この脆弱性により、RDP 経由でリモートシステムに接続した攻撃者は、接続している正当なユーザーたちの、そのマシン上のファイル・システムにアクセスすることが可能になる。

Continue reading “Microsoft RDP 脆弱性 CVE-2022-21893:データ窃取やスマートカード PIN 傍受が生じる”

TellYouThePass ランサムウェアが復活:Golang によるクロス・プラットフォームと Log4Shell

TellYouThePass ransomware returns as a cross-platform Golang threat

2022/01/12 BleepingComputer — TellYouThePass ランサムウェアは、Golang でコンパイルされたマルウェアとして再登場し、多様なオペレーティング・システムにおいて、特に macOS と Linux を標的にすることが容易になった。このマルウェアは、先月に Log4Shell エクスプロイトと組み合わせることで、脆弱なマシンを狙うために使用されたことで注目されている。今回、Crowdstrike が発表したレポートは、Windows 以外のプラットフォーム向けのコンパイルを容易にする、コードレベルの変更による復活に注目している。

Continue reading “TellYouThePass ランサムウェアが復活:Golang によるクロス・プラットフォームと Log4Shell”

Oxeye の Ox4Shell は Log4Shell の難読化に対抗するためのツールだ

Oxeye Tool Can Counter Log4j Obfuscation Attacks

2022/01/12 SecurityBoulevard — 今日、Oxeye は、Ox4Shell と名付けられた、オープンソースの対難読化ツールを発表した。それにより、サイバーセキュリティ・チームは、脆弱性 Log4Shell を利用しようとする、隠れたペイロードをより簡単に発見できるようになる。多くの企業の IT 部門は、Java アプリケーションからログデータを収集するために広く使用されている、Log4j で発見された一連のゼロデイ脆弱性に悩まされている。Oxeye の CTO である Ron Vider は Ox4Shell について、脆弱性 Log4jShell を悪用するペイロードを隠すために、多くのサイバー犯罪者が用いる難読化戦術に対抗するために設計されていると述べている。

Continue reading “Oxeye の Ox4Shell は Log4Shell の難読化に対抗するためのツールだ”

Firefox 96 でフィッシングを止めろ:フルスクリーン通知バイパスの脆弱性などが FIX

Firefox fixes fullscreen notification bypass bug that could have led to convincing phishing campaigns

2022/01/12 DailySwig — Mozilla Firefox に存在する、セキュリティ問題にパッチが適用された。この問題は、攻撃者が密かに実行するフルスクリーン・モードを介して、正規の Web サイトに成りすますことを許すものだ。この脆弱性 CVE-2022-22746 は、Windows 版の Firefox に存在していたものであり、競合状態のバグにより、ブラウザのフルスクリーン通知の警告が回避されてしまうという。それにより、攻撃者はユーザーを騙すことが可能となり、悪意のリンクのクリックや、偽 Web サイトへの機密情報の入力といった、悪意のある行為を実行できる。

Continue reading “Firefox 96 でフィッシングを止めろ:フルスクリーン通知バイパスの脆弱性などが FIX”

脆弱性 2021 の最終結果:件数は前年比 10% のアップと5年連続の増加

The Final Count: Vulnerabilities Up Almost 10% in 2021

2022/01/11 Security Boulevard — 2021年12月8日に、NIST National Vulnerability Database (NVD) に記録された脆弱性の数が、単年度の記録として5年連続で過去最高を記録したことを伝えた。 2021年が終了した今、2021年に記録された脆弱性の最終集計結果を見ることが可能となった。 この年には、前年比 9.3% 増の 20,061件の脆弱性が記録され、このデータベースが始まって以来、過去最多の記録が塗り替えられることになった。

Continue reading “脆弱性 2021 の最終結果:件数は前年比 10% のアップと5年連続の増加”

Night Sky ランサムウェアによる Log4j バグの悪用:VMware Horizon のハッキングが開始された

Night Sky ransomware uses Log4j bug to hack VMware Horizon servers

2022/01/11 BleepingComputer — ランサムウェア Night Sky が、Log4j ロギング・ライブラリに存在する深刻な脆弱性 CVE-2021-44228 (Log4Shell) を悪用し、VMware Horizon システムへのアクセスを開始した。このランサムウェアは、正規の企業を装ったドメインから、Web 上に公開されている脆弱なマシンを標的としており、その中にはテクノロジーやサイバー・セキュリティ分野の企業も含まれている。

Continue reading “Night Sky ランサムウェアによる Log4j バグの悪用:VMware Horizon のハッキングが開始された”

Microsoft Windows の HTTP プロトコル・スタックに存在する脆弱性 wormable が FIX

Microsoft: New critical Windows HTTP vulnerability is wormable

2022/01/11 BleepingComputer — Microsoft は、Windows 11 および Windows Server 2022 などの、最新の Windows デスクトップ/サーバーに影響を与えることが判明した、wormable と呼ばれる深刻な脆弱性にパッチを適用した。この脆弱性 CVE-2022-21907 (CVSS 値 7.8) には、今月の Patch Tuesday が適用されている。

Continue reading “Microsoft Windows の HTTP プロトコル・スタックに存在する脆弱性 wormable が FIX”

CISA から連邦政府機関へ警告:活発に悪用されている既知の脆弱性 15件

CISA alerts federal agencies of ancient bugs still being exploited

2022/01/11 BleepingComputer — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、悪用が検知されている脆弱性のリストを更新し、米国企業への攻撃手段として頻繁に利用されている、15件のセキュリティ問題を新たに追加した。今回のリストに追加された脆弱性は、それぞれの深刻度と公開日を持ち、中程度のリスクと評価されているものもあれば、2013年に公開されたものもある。

Continue reading “CISA から連邦政府機関へ警告:活発に悪用されている既知の脆弱性 15件”

イランの国家支援ハッカーが Log4j 攻撃により新規の PowerShell バックドアを投下

State hackers use new PowerShell backdoor in Log4j attacks

2022/01/11 BleepingComputer — イランの国家支援グループ APT35 (Charming Kitten/Phosphorus) に属すると思われるハッカーが、Log4Shell 攻撃により新たな PowerShell バックドアを投下していることが確認されている。このモジュール型ペイロードは、C2 通信を処理し、システムの列挙を行い、最終的には追加モジュールの受信/復号化/ロードを行うことが可能とされる。Log4Shell は、12月に公開された Apache Log4j の深刻なリモートコード実行の脆弱性 CVE-2021-44228 を悪用するものである。

Continue reading “イランの国家支援ハッカーが Log4j 攻撃により新規の PowerShell バックドアを投下”

KCodes NetUSB に RCE 脆弱性:Netgear/TP-Link/Tenda などのルーターに影響

New KCodes NetUSB Bug Affect Millions of Routers from Different Vendors

2022/01/11 TheHackerNews — この、問題となるコンポーネントは、Netgear/TP-Link/Tenda/EDiMAX/D-Link/Western Digital などの、数百万台のエンドユーザー向けルーターに組み込まれている。KCodes NetUSB は、ローカル・ネットワーク上のデバイスが、USB ベースのサービスを IP 経由で提供できるようにするための Linux カーネル・モジュールである。

Continue reading “KCodes NetUSB に RCE 脆弱性:Netgear/TP-Link/Tenda などのルーターに影響”

CISA の Log4j ブリーフィング:現時点で深刻な被害を受けた連邦政府機関は無い

CISA Unaware of Any Significant Log4j Breaches in U.S.

2022/01/11 SecurityWeek — 米国の Cybersecurity and Infrastructure Security Agency (CISA) だが、先日に公開された Log4j の脆弱性に関連した深刻な侵害について、現在のところ検知していないと述べている。月曜日に行われたメディアへのブリーフィングで、CISA の Director である Jen Easterly と、Executive Assistant Director for Cybersecurity である Eric Goldstein は、深刻なインシデントは検知していないと述べている。これは、数多くの組織が迅速に対応した結果だと思われる。

Continue reading “CISA の Log4j ブリーフィング:現時点で深刻な被害を受けた連邦政府機関は無い”

Microsoft 2022-01 月例アップデートは6件のゼロデイと 97件の脆弱性に対応

Microsoft January 2022 Patch Tuesday fixes 6 zero-days, 97 flaws

2022/01/11 BleepingComputer — 今日は、Microsoft の January 2022 Patch Tuesday であり、それに伴い、6つのゼロデイ脆弱性を含む、合計で97件の脆弱性が修正された。Microsoft は、今日のアップデートで、97件の脆弱性 (29件の Microsoft Edge 脆弱性を除く) を修正し、9件を Critical に、88件を Important に分類している。

Continue reading “Microsoft 2022-01 月例アップデートは6件のゼロデイと 97件の脆弱性に対応”

WordPress 5.8.3 がリリース:SQL injection/XSS などの脆弱性に対応

WordPress 5.8.3 security update fixes SQL injection, XSS flaws

2022/01/10 BleepingComputer — WordPress の開発チームは、4つの脆弱性 (そのうちの3つは深刻度 High) に対応した、短期サイクルのセキュリティ・リリースである Ver 5.8.3 をリリースした。このセットには、WP_Query での SQL インジェクション/WP_Meta_Query を介したブラインド SQL インジェクション/post slugs を介した XSS 攻撃/admin object インジェクションが含まれる。

Continue reading “WordPress 5.8.3 がリリース:SQL injection/XSS などの脆弱性に対応”

Log4j の脆弱性は極めて深刻:多くの問題をインターネット上に残した

Extremely Critical Log4J Vulnerability Leaves Much of the Internet at Risk

2022/01/10 TheHackerNews — Apache Software Foundation は、広く利用されている Java ベース・ロギング・ライブラリ Log4j に存在する、悪意のコード実行と脆弱なシステムの乗っ取りを許す、ゼロデイ脆弱性の修正プログラムを公開した。この問題は、CVE-2021-44228 として追跡され、Log4Shell または LogJam というニックネームで呼ばれている。具体的に言うと、このオープンソース・ユーティリティを使用する全てのアプリケーションにおいて、認証を必要とせずにリモートコードが実行されるというものであり、Log4j Ver 2.0-beta9〜2.14.1 に影響する。このバグの深刻度は、CVSS 値 10.0 となっているで。

Continue reading “Log4j の脆弱性は極めて深刻:多くの問題をインターネット上に残した”

BlackMatter ランサムウェアのロジックに欠陥:Active Directory 保護のヒントになるのか?

How to Proactively Limit Damage From BlackMatter Ransomware

2022/01/08 DarkReading — 米国の重要インフラ企業や大規模組織などへの攻撃に多用される、ランサムウェア BlackMatter のコードに重大な論理的欠陥があり、状況によってはマルウェアの有効性を制限できる。Illusive は、この欠陥のあるロジックを起動できれば、BlackMatter が自社の環境にもたらす被害を軽減できる可能性があると発表した。

Continue reading “BlackMatter ランサムウェアのロジックに欠陥:Active Directory 保護のヒントになるのか?”

英国民保健サービス NHS の VMware Horizon が Log4Shell に狙われている

NHS Warns of Hackers Targeting Log4j Flaws in VMware Horizon

2022/01/07 TheHackerNews — 英国の国民保健サービス (National Health Service:NHS) のデジタル・セキュリティ・チームは、パッチが適用されていない VMware Horizon サーバーに存在するLog4j の脆弱性 (Log4Shell) を利用して、悪意の Web シェルを投下し、侵害したネットワーク上に持続的に存続して、次の攻撃をねらうという未知の脅威行為に対して警鐘を鳴らした。

Continue reading “英国民保健サービス NHS の VMware Horizon が Log4Shell に狙われている”

SonicWall の Y2K22 問題:メールセキュリティとファイアウォールに障害が発生

SonicWall: Y2K22 bug hits Email Security, firewall products

2022/01/07 BleepingComputer — 今日、SonicWall は、同社のメール・セキュリティ製品およびファイアウォール製品の一部が Y2K22 バグに見舞われ、2022年1月1日以降のメッセージログ更新やジャンクボックス操作に障害が発生していたことを確認した。同社によると、影響を受けたシステムでは、メールユーザーおよび管理者により、ジャンク・ボックスへのアクセスや、新たに受信したメールのジャンク解除などが不能になるという。また、メッセージログ更新が不能であることから、メッセージログを介した送受信メールを追跡も不可能になるという。

Continue reading “SonicWall の Y2K22 問題:メールセキュリティとファイアウォールに障害が発生”

QNAP 警告:インターネットに露出する NAS がランサムウェアに狙われている

QNAP warns of ransomware targeting Internet-exposed NAS devices

2022/01/07 BleepingComputer — 今日、QNAP は、ランサムウェアやブルートフォースなどの進行中の攻撃から、インターネットに露出した NAS デバイスを直ちに保護するよう、顧客に警告した。QNAP は、今日のプレスリリースの中で、「すべての QNAP NAS ユーザーに対して、QNAP ネットワーク・デバイスのセキュリティを確保するために、指示に従うことを強く求める」と述べている。

Continue reading “QNAP 警告:インターネットに露出する NAS がランサムウェアに狙われている”

H2 Database Console に Log4Shell と同じ構造の脆弱性:約 6,800 件のアーティファクトに影響

Log4Shell-like Critical RCE Flaw Discovered in H2 Database Console

2022/01/07 TheHackerNews — H2 データベース・コンソールで発見されたリモートコード実行の脆弱性だが、先月に明らかになった Log4Shell と同じ構造を持つ欠陥であることが、研究者たちにより公表された。JFrog の研究者である Andrey Polkovenko と Shachar Menashe は、「Log4j 以外のコンポーネントで発表された、Log4Shell に似た初めての深刻な問題であり、Log4Shell と同じ根本的な原因であう、JNDI リモートクラス・ローディングを悪用するものだ」と述べている。

Continue reading “H2 Database Console に Log4Shell と同じ構造の脆弱性:約 6,800 件のアーティファクトに影響”

HackerOne のバグバウンティ・プログラム:そこから見えてくる5つの論点

5 Things New with Bug Bounty Programs

2022/01/07 SecurityIntelligence — 2021年9月29日に HackerOne は、Internet Bug Bounty (IBB) プログラムの最新版を発表した。この取り組みにより、2013年から2021年の間に生じている、オープンソース・ソフトウェアに存在する、1,000件以上の脆弱性を発見するよう調整がなされた。HackerOne の最新バージョンは、既存のバグバウンティから得られる防御力を蓄積し、脆弱性管理ライフサイクルに貢献する利害関係者を表彰する方法で報奨金を分割していく。さらに、脆弱性提出フローの統合により、参加する研究者のエクスペリエンスを向上させ、プログラムの範囲をさらに拡大することを目的としている。

Continue reading “HackerOne のバグバウンティ・プログラム:そこから見えてくる5つの論点”

Mac マルウェア調査:Windows に比べて安全という考え方は過去のものに

New Mac Malware Samples Underscore Growing Threat

2022/01/07 DarkReading — 2021年に出現した一握りのマルウェア・サンプルは、Windows システムに比べて Apple のテクノロジーが、攻撃や侵害を受けにくいとはいえ、決して無敵ではないことを改めて示した。セキュリティ研究者である Patrick Wardle は、その年に出現した全ての新しい Mac マルウェアの脅威リスト The Mac Malware of 2021 [pdf] を、6年連続で発表している。彼は、それぞれのマルウェアのサンプルについて、感染経路/インストールと持続のメカニズム/マルウェアの目的などの特徴を特定している。2021年に出現した新しい Mac マルウェアの各サンプルは、彼の Web サイトで公開されている。

Continue reading “Mac マルウェア調査:Windows に比べて安全という考え方は過去のものに”

VMware が Workstation/Fusion/ESXi の脆弱性 CVE-2021-22045 を FIX

VMware fixed CVE-2021-22045 heap-overflow in Workstation, Fusion and ESXi

2022/01/06 SecurityAffairs — VMware は、Workstation/Fusion/ESXi 製品群に存在するヒープバッファ・オーバーフローの脆弱性 CVE-2021-22045 に対処する、セキュリティ・アップデートをリリースした。具体的には、Workstation 16.2.0/Fusion 12.2.0/ESXi670-20211101-SG/ESXi650-20211101-SG をリリースしている。

Continue reading “VMware が Workstation/Fusion/ESXi の脆弱性 CVE-2021-22045 を FIX”

Google Chrome 97:1件の Critical と 10件 の High などの脆弱性を修正

Chrome 97 Patches 37 Vulnerabilities

2022/01/05 Security Week — 今週に Google は、外部の研究者から報告された 24件の脆弱性を含む、合計で 37件のセキュリティ修正を施した Chrome 97 を、Stable Channel でリリースした。外部から報告された 24件のセキュリティ上の欠陥のうち、深刻度 Critical は 1件、High は 10件、Medium は 10件、Low は 3件となっている。脆弱性の種類としては、use-after-free が 7件で、不適切な実装が 8件 などになっている。

Continue reading “Google Chrome 97:1件の Critical と 10件 の High などの脆弱性を修正”

Honda と Acura の車両に Y2K22 バグが発生:ナビが 2002 年にリセットされた

Honda, Acura cars hit by Y2K22 bug that rolls back clocks to 2002

2022/01/05 BleepingComputer — Honda Acura の車両だが、ナビゲーション・システムの時計が 2002年1月1日にリセットされ、変更する方法がないという、2022年問題のバグである、通称 Y2K22 に見舞われている。2022年1月1日以降、Honda と Acura の車両に搭載されたナビゲーション・システムの日付が、自動的に2002年1月1日に変更され、おそらく車が位置する地域に応じてだと思われるが、時刻は 12時/2時/4時などにリセットされた。

Continue reading “Honda と Acura の車両に Y2K22 バグが発生:ナビが 2002 年にリセットされた”

Microsoft 警告:Log4j 脆弱性を悪用する攻撃ベクターは広がっていく

Microsoft Warns of Continued Attacks Exploiting Apache Log4j Vulnerabilities

2022/01/04 TheHackerNews — Microsoft は、オープンソースのロギング・フレームワーク Log4j に存在する脆弱性の悪用により、システムにマルウェアを展開しようとする試みが、国家支援ハッカーやコモディティ攻撃者により継続されていると警告している。Microsoft Threat Intelligence Center (MSTIC) は、今週の初めに発表したガイダンスの改訂版で、「12月の最後の数週間、攻撃の試みとテストが高水準で推移している。既存の攻撃者の多くが、コインマイナーからハンズオン・キーボード攻撃にいたるまで、一連の Log4j 脆弱性の悪用を、既存のマルウェア・キットや戦術に追加していることが確認されている」と述べている。

Continue reading “Microsoft 警告:Log4j 脆弱性を悪用する攻撃ベクターは広がっていく”

FTC 警告:Log4J 攻撃から顧客データを保護しない企業に法的措置?

FTC warns companies to secure consumer data from Log4J attacks

2022/01/04 BleepingComputer — 今日、米国連邦取引委員会 (FTC : Federal Trade Commission) は、継続して止まない Log4J 攻撃から、顧客データの保護を怠る米国企業を追及すると警告した。FTC は、「Log4j および、今後の類似する脆弱性の結果として生じる、消費者データの流出を止めるための合理的な措置を講じない企業を、法的権限をフルに活用して追及する意向だ」と述べている

Continue reading “FTC 警告:Log4J 攻撃から顧客データを保護しない企業に法的措置?”

Log4j が明らかにしたもの:ソフトウェアの依存関係と SBoM のすすめ

Log4j Highlights Need for Better Handle on Software Dependencies

2022/01/04 DarkReading — 新しい年を迎えたが、サイバー・セキュリティ業界は、またしてもソフトウェア・サプライチェーン・セキュリティの悪夢がもたらす、長期化が予測される問題に直面している。アプリケーション・セキュリティのゼロデイ問題が多発した1年の最後に生じた、Log4j の脆弱性 (Log4Shell) の問題は、2021年のテーマに沿ったブックエンドのようなもので、SolaWinds がスタートさせた年を、同じようなかたちで締め括る。

Continue reading “Log4j が明らかにしたもの:ソフトウェアの依存関係と SBoM のすすめ”

Windows Server の Remote Desktop のバグ対応:KB5010196 更新パッケージがリリース

Emergency Windows Server update fixes Remote Desktop issues

2022/01/04 BleepingComputer — Microsoft は、Remote Desktop の接続およびパフォーマンスの問題につながる Windows Server のバグに対処するため、緊急の更新プログラムをリリースした。同社は、「Microsoft は 2022年1月4日に緊急更新プログラムをリリースし、Windows Server における黒画面表示や、サインインでの遅延、全体的な速度低下の問題を解決した」と説明している。

Continue reading “Windows Server の Remote Desktop のバグ対応:KB5010196 更新パッケージがリリース”

セキュリティ専門家たちの燃え尽き症候群:褒めずに責任を押し付けるのは間違いだ

Security Pro Burnout Signals IT Security Shift

2022/01/03 SecurityBoulevard — 世界的なパンデミックに端を発した、この世界の大きな変化は、IT セキュリティ専門家たちのメンタルヘルスに大きな負担をかけている。あらゆる組織において、リモートファーストの働き方への適応を求める動きが強まったことで、IT セキュリティの専門家たちは、迅速なデジタル・トランスフォーメーションだけでなく、安全なデジタル・トランスフォーメーションを実現するために、時間外労働を強いられている。

Continue reading “セキュリティ専門家たちの燃え尽き症候群:褒めずに責任を押し付けるのは間違いだ”

SEGA Europe が AWS S3 バケットを誤って公開:データとインフラが危険に

SEGA Europe left AWS S3 bucket unsecured exposing data and infrastructure to attack

2022/01/03 SecurityAffairs — サイバー・セキュリティ企業の VPN Overview の報告によると、年末にゲーム大手の SEGA Europe が、Amazon Web Services (AWS) の S3 バケットにユーザーの個人情報を誤って公開し、放置していたことが分かった。この S3 バケットには、複数の AWS キーが含まれており、これらのキーを使用することで、SEGA Europe の複数のクラウド・サービスにアクセスすることが可能だった。また、MailChimp や Steam のキーも含まれており、これらのサービスに SEGA の名前でアクセスすることもできた。

Continue reading “SEGA Europe が AWS S3 バケットを誤って公開:データとインフラが危険に”

Netgear Nighthawk R6700v3 ルーターに複数の脆弱性:現時点ではパッチは未適用?

Multiple flaws in Netgear Nighthawk R6700v3 router are still unpatched

2021/12/31 SecurityAffairs — Tenable の研究者たちが、人気の Netgear Nighthawk R6700v3 WiFi ルーターの、最新のファームウェアのバージョン 1.0.4.120 に存在する複数の脆弱性を発見した。攻撃者たちは、この脆弱性をトリガーとして、危殆化したデバイスを完全に制御できる。

Continue reading “Netgear Nighthawk R6700v3 ルーターに複数の脆弱性:現時点ではパッチは未適用?”

Log4j 問題の 5W1H:現状の正確な認識と将来へ向けたステップ

AppSec and Software Community Respond to Log4j

2021/12/30 SecurityBoulevard — アプリケーション・セキュリティとオープンソース・ソフトウェアのコミュニティは、Java Log4j の脆弱性の問題に立ち向かい、ソフトウェアへのパッチ適用/情報の共有/緩和策やツールの提供などを行っている。まだ危機を脱したわけではないが、彼らのこれまでの行動には感銘を受けた。

Continue reading “Log4j 問題の 5W1H:現状の正確な認識と将来へ向けたステップ”

中国の APT ハッカーたちが Log4Shell を使って大規模な学術機関を攻撃

Chinese APT Hackers Used Log4Shell Exploit to Target Academic Institution

2021/12/30 The Hacker News — 中国を拠点とする新たな標的型侵入攻撃者である Aquatic Panda は、Apache Log4j ロギング・ライブラリの深刻な欠陥をアクセス・ベクターとして利用し、ターゲット・システム内での偵察や資格情報の収集などの、持続性のある攻撃のための準備を行っていることが観察されている。

Continue reading “中国の APT ハッカーたちが Log4Shell を使って大規模な学術機関を攻撃”