Vulnerability – Page 2 – IoT OT Security News

Intel の深刻な脆弱性 CVE-2024-22476 (CVSS 10) などが FIX：全体で 90件を超える欠陥に対応

CVE-2024-22476 (CVSS 10): Intel’s Critical AI Flaw Leaves Systems Open to Attack

2024/05/16 SecurityOnline — Intel は、5月14日に 41件のセキュリティ情報を発表し、同社の製品ライン全体で 90を超える脆弱性に対処した。これらのセキュリティ欠陥の主なポイントはソフトウェアの領域にあり、その中には重要な AI ツールの脆弱性も含まれている。

Amazon Redshift JDBC Driver の SQLi 脆弱性 CVE-2024-32888 (CVSS 10) が FIX：ただちにパッチを！

CVE-2024-32888 (CVSS 10): SQLi Vulnerability Discovered in Amazon Redshift JDBC Driver

2024/05/16 SecurityOnline — Redshift 用の Amazon JDBC Driver は、Java アプリケーションを Amazon Redshift データウェアハウス・サービスに接続するためのツールとして、広く使用されているものだ。その Redshift JDBC Driver に、深刻な SQL インジェクションの脆弱性 CVE-2024-32888 が発見された。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で不正なコマンドを実行し、データ漏洩／不正アクセスなどを引き起こし、さらには、システムの完全な乗っ取りを達成する可能性を得る。

PrestaShop の脆弱性 CVE-2024-34716／34717 が FIX：ただちにパッチを！

CVE-2024-34716: Critical Security Vulnerability Uncovered in PrestaShop

2024/05/16 SecurityOnline — 2007 年以降において、PrestaShop プロジェクトは、全世界で 30 万以上の Web ストアをサポートしている、オープンソースの主要な E コマース・プラットフォームである。PrestaShop は、カスタマイズ性／主要決済サービスのサポート／多言語およびローカライズされたオプション／完全なレスポンシブ・デザインで有名である。その PrestaShop が、先日に発表したのは、２つの深刻な脆弱性に対するセキュリティ・アドバイザリである。

Git の深刻な脆弱性 CVE-2024-32002 などが FIX：ただちにパッチを！

Git Patches Critical RCE Vulnerabilities – CVE-2024-32002 & CVE-2024-32004

2024/05/15 SecurityOnline — ソフトウェア開発の要である “Git” Project に発生した、リモート・コード実行の脆弱性 CVE-2024-32002／CVE-2024-32004 により、不正なデータ操作にさらされる可能性が生じている。すでに、アップデート版が提供されているため、可能な限り早急に対処してほしい。

Froxlor Web Hosting Control Panel の脆弱性 CVE-2024-34070 が FIX：直ちにアップデートを！

Froxlor Web Hosting Control Panel Vulnerable to Remote Compromise (CVE-2024-34070)

2024/05/15 SecurityOnline — 人気の OSS Web ホスティング・コントロール・パネルである、Froxlor に深刻な重脆弱性 CVE-2024-34070 が発見された。この脆弱性の深刻度は CVSS 値 9.7 と評価されており、未認証の攻撃者による Froxlorインスタンスの完全な乗っ取りが可能になるという。その結果として、データの盗難や、サービスの中断だけではなく、ホストされている Web サイトへの、さらなる攻撃につながる可能性も生じる。

Google Chrome の深刻な脆弱性 CVE-2024-4947 が FIX：悪用を確認

Google fixes third actively exploited Chrome zero-day in a week

2024/05/15 BleepingComputer — Google Chrome のセキュリティ・アップデートが緊急リリースされ、この１週間で攻撃で悪用された３つ目のゼロデイ脆弱性への対処が完了した。5月15日 (水) 公開されたセキュリティ・アドバイザリで Google は、「脆弱性 CVE-2024-4947 が悪用されていることを認識している」と述べている。同社は、Mac／Windows 用の 125.0.6422.60／.61 と、Linux 用の 125.0.6422.60のリリースにより、このゼロデイ欠陥を修正した。新バージョンは、今後の数週間をかけて、Stable Desktop チャンネルに登録されている全ユーザーに配布される。

Siemens SIMATIC CN 4100 の深刻な脆弱性 CVE-2024-32741 (CVSS 10) などがFIX

CVE-2024-32741 (CVSS 10): Siemens SIMATIC CN 4100 Critical Vulnerability Exposed

2024/05/15 SecurityOnline — 産業オートメーションの世界的リーダーである Siemens は、SIMATIC CN 4100 通信ノードに関するセキュリティ・アドバイザリを発行し、産業用制御システムを悪意の攻撃にさらす可能性のある深刻な脆弱性について警告した。

D-Link EXO AX4800 の RCE 脆弱性：ゼロデイで PoC が登場

PoC exploit released for RCE zero-day in D-Link EXO AX4800 routers

2024/05/14 BleepingComputer — D-Link EXO AX4800 (DIR-X4860) ルーターに存在する脆弱性により、リモートからの認証されていないコマンドが実行され、HNAP ポートにアクセス可能な攻撃者に、デバイスを完全に乗っ取られる可能性が生じている。D-Link DIR-X4860 ルーターは、最大で 4800 Mbps の速度に対応する高性能 Wi-Fi 6 ルーターであり、OFDMA／MU-MIMO／BSS Coloring などの高度な機能により、効率を高めて干渉を低減するという製品である。とりわけカナダでは、このデバイスは人気を誇っている。D-Link の Web サイトによると、この製品は世界市場で販売されており、同社も積極的にサポートしている。

Aruba Access Points の複数の脆弱性が FIX：デバイスの乗っ取りにいたる可能性

HPE Aruba Networking Patches Critical Vulnerabilities in Access Points

2024/05/14 SecurityOnline — HPE Aruba Networking が顧客に対して警告しているのは、InstantOS／ArubaOS 10 を実行している Aruba Access Point に存在する、複数の深刻な脆弱性への早急なパッチ適用の必要性である。これらの脆弱性を悪用する、認証されていないリモートの攻撃者が悪意のコードを実行し、標的とするデバイスを完全に乗っ取る可能性が生じている。

IEEE 802.11 の脆弱性 CVE-2023-52424：SSID Confusion Attack が成立する？

CVE-2023-52424: New WiFi Flaw Leaves All Devices Vulnerable to ‘SSID Confusion’ Attacks

2024/05/14 SecurityOnline — 先日に発見された WiFi スタンダードにおける脆弱性により、攻撃者がユーザーを欺き、安全ではないネットワークに接続させるという、深刻なセキュリティ・リスクが明らかになった。脆弱性 CVE-2023-52424 を悪用する、SSID Confusion Attack と名付けられた攻撃手法は、セキュリティ研究者である Mathy Vanhoef と Top10VPN が共同で発見したものだ。この発見は、ソウルで開催される WiSec ’24 カンファレンスで発表される予定である。

NIST NVD の混乱が止まらない：新規の CVE 追加が一時的に停止していた

NIST Confusion Continues as Cyber Pros Complain CVE Uploads Stalled

2024/05/14 InfoSecurity — 脆弱性データベースとして、世界で最も信頼されている米国の NVD (National Vulnerability Database) だが、この数ヶ月において最大の危機を迎えており、それに比例してソフトウェア脆弱性の悪用が増加している。2024年2月中旬から、米国の NIST (National Institute of Standards and Technology) が運営する NVD は、脆弱性情報の更新を遅延させてきた。そして 5月9日以降においては、新しい脆弱性の表示を停止していると、ソフトウェア・セキュリティの専門家たちが Infosecurity に語っている。

SAP の深刻な脆弱性 CVE-2024-33006 などが FIX：2024年5月の Patch Day

CVE-2024-33006: Critical SAP Vulnerability Exposes Systems to Complete Takeover

2024/05/14 SecurityOnline — ドイツの大手企業ソフトウェア SAP は、2024年5月の SAP Patch Day の一環として、14件の新たなセキュリティ・ノートと、すでにリリースされている３件のノートに対して、アップデートをリリースすることを発表した。最も重要なセキュリティ・ノートは、SAP NetWeaver Application Server ABAP および ABAP Platform に存在する、深刻な脆弱性 CVE-2024-33006 (CVSS：9.6) に対処するものだ。この脆弱性の悪用に成功した未認証の攻撃者は、悪意のファイルをサーバにアップロードすることが可能となり、それに被害者がアクセスする際に、システムを危険にさらす可能性が生じる。

Adobe Acrobat／Reader の深刻な脆弱性が FIX：５月の Patch Tuesday

Adobe Patches Critical Flaws in Reader, Acrobat

2024/05/14 SecurityWeek — 5月13日 (火) に Adobe は、広範な製品に存在する 35件のセキュリティ脆弱性の存在を明らかにし、また、Adobe Acrobat／Reader の深刻なバグに直ちに対応するよう、ユーザーに注意を促している。今月の Patch Tuesday の一環として、Adobe Acrobat／Reader に存在する 12件の脆弱性にパッチが適用され、コード実行の攻撃にいたる可能性にある問題に、Critical ラベルが貼られた。

Microsoft が FIX した脆弱性 CVE-2024-30051：QakBot のマルウェア配信で悪用

Microsoft fixes Windows zero-day exploited in QakBot malware attacks

2024/05/14 BleepingComputer — Microsoft が修正したゼロデイ脆弱性は、影響を受ける Windows システム上で、 QakBot などのマルウェア・ペイロードを配信する攻撃で、悪用される可能性のあるものだ。この特権昇格の脆弱性 CVE-2024-30051 は、DWM (Desktop Window Manager) コア・ライブラリのヒープバッファ・オーバーフローが起因するものであり、悪用に成功した攻撃者に、SYSTEM 権限の取得を許すものである。

VMware Workstation／Fusion の複数の脆弱性が FIX：Pwn2Own ゼロデイに対応

VMware Fixed Zero-Day Flaws Demonstrated At Pwn2Own Vancouver 2024

2024/05/14 SecurityAffairs — VMware は、Workstation／Fusion デスクトップ・ハイパーバイザーに存在する４件の脆弱性に対処したが、そのうちの３件は、Pwn2Own Vancouver 2024 で実証された３件のゼロデイ脆弱性となる。VMware の Workstation／Fusion 製品においては、複数のセキュリティ上の欠陥が公表されているが、それらが特定の状況下で脅威アクターに悪用されると、機密情報へのアクセス／サービス拒否 (DoS) 状態／コード実行などにいたる可能性がある。

Microsoft 2024-05 月例アップデート：３件のゼロデイと 61件の脆弱性に対応

Microsoft May 2024 Patch Tuesday fixes 3 zero-days, 61 flaws

2024/05/14 BleepingComputer — 今日は、Microsoft の May 2024 Patch Tuesday の日だ。全体で 61件の脆弱性が修正されたが、そのうちの３件は、活発な悪用または、すでに公開済みの、ゼロデイ脆弱性に対するセキュリティ更新となっている。今月の Patch Tuesday における Critical な脆弱性は、Microsoft SharePoint Server のリモート・コード実行のみとなっている。

Linksys EA7500 ルーターの RCE 脆弱性 CVE-2023-46012：パッチ未適用で PoC が公開

CVE-2023-46012 in Linksys EA7500 Routers Allows Remote Takeover, No Patch, Poc Released

2024/05/13 SecurityOnline — Linksys EA7500 ルーターに存在する深刻な脆弱性により、攻撃者に root 権限でリモート・コード実行を許す可能性が生じることが、サイバーセキュリティ研究者たちにり明らかにされた。この脆弱性 CVE-2023-46012 (CVSS：9.8) は深刻度が高く、影響を受けるルーターのユーザーに対して、重大なリスクをもたらす可能性がある。

Cacti の深刻な脆弱性 CVE-2024-29895／CVE-2024-30268 が FIX：直ちにアップデートを！

Critical Security Flaws in Cacti: Command Injection (CVE-2024-29895, CVSS 10) and XSS Vulnerabilities

2024/05/13 SecurityOnline — ネットワーク監視／グラフ作成のための OSS ツールとして人気の Cacti は、セキュリティ・アップデートをリリースし、２つの重大な脆弱性に対処した。システムをサイバー攻撃にさらす可能性のある、これらの脆弱性の影響を受けるのは、Cacti の 1.3.x DEV 以下のバージョンである。

Google Chrome の脆弱性 CVE-2024-4761 が FIX：野放し状態での悪用を確認

CVE-2024-4761: Zero-Day Vulnerability Patched in Google Chrome

2024/05/13 SecurityOnline —Google Chrome に存在する、深刻度の高いゼロデイ脆弱性が対処された。脆弱性 CVE-2024-4761 は、Chrome の JavaScript エンジン V8 で発見された、Out of Bounds Write の欠陥に起因するものだ。この重大なセキュリティ問題は、匿名の研究者により発見／報告され、最新のブラウザが直面する継続的な脅威が浮き彫りにされた。

PowerDNS の DoS 脆弱性 CVE-2024-25581 が FIX：直ちにアップデートを！

Update Released for PowerDNS to Thwart Denial of Service Attack (CVE-2024-25581)

2024/05/13 SecurityOnline — オープンソース DNS ソフトウェア・プロバイダーとして人気の PowerDNS は、DNSdist 1.9.0〜1.9.3 に存在する脆弱性 CVE-2024-25581 に対して、セキュリティ・アドバイザリをリリースした。この脆弱性の悪用に成功した攻撃者は、サービス拒否 (DoS) 状態を引き起こすことが可能になり、インターネット・サービス・プロバイダー (ISP)／ホスティング・プロバイダーなどの、大規模サービス・プロバイダーの DNS 解決を中断させる可能性を持つ。

Cacti の脆弱性 CVE-2024-25641 などが FIX：PoC もリリース！

Cacti Network Monitoring Software Patched for Critical Security Flaws (CVE-2024-25641)

2024/05/13 SecurityOnline — ネットワーク監視ツールとして広く利用されている Cacti がリリースしたのは、深刻なリモート・コード実行 (RCE：Remote Code Execution) などの脆弱性に対処する、クリティカルなセキュリティ・アップデートである。修正された脆弱性のうち、最も深刻度が高い CVE-2024-25641 (CVSS：9.1) は、テンプレートのインポート権限を持つ認証済みの攻撃者に対して、影響を受ける Web サーバ上での任意の PHP コード実行を許す可能性のあるものだ。

Microsoft Edge のゼロデイ CVE-2024-4671 などが FIX：野放し状態での悪用を観測

Microsoft Edge Zero-Day Vulnerability Patched: Urgent Update Needed

2024/05/13 SecurityOnline — すべての Microsoft Edge ユーザーに対して、サイバー・セキュリティ専門家たちが呼びかけているのは、5月10日にリリースされた最新のセキュリティ更新プログラムを、直ちにインストールすることだ。この重要な更新プログラムが対処しているのは、野放し状態で悪用されている、ゼロデイ欠陥 CVE-2024-4671 などの、複数の脆弱性である。

MITRE が公表する EMB3D：組み込み系デバイスのための脅威モデリング・フレームワーク

MITRE Unveils EMB3D: A Threat-Modeling Framework for Embedded Devices

2024/05/13 TheHackerNews — MITRE Corporation が正式に公開したのは、重要インフラ環境で使用される組込み機器メーカー向けの、EMB3D と呼ばれる新たな脅威モデリング・フレームワークである。この非営利の組織は、「今回のモデルは、組込み機器に対するサイバー脅威について、これまでに培われた知識ベースを提供し、この脅威を軽減するために必要なセキュリティ・メカニズムの共通の理解を提供する」と述べている。

Apache OFBiz の脆弱性 CVE-2024-32113：パス・トラバーサルに起因する RCE

CVE-2024-32113 – RCE Vulnerability in Apache OFBiz: Immediate Action Required

2024/05/12 SecurityOnline — 一般的な企業向けソフトウェア・ツール群である Apache OFBiz に、深刻なパス・トラバーサルの脆弱性 CVE-2024-32113 が発見された。この脆弱性の悪用に成功したリモートの攻撃者は、脆弱なバージョンを実行しているシステム上で、悪意のコードを実行する可能性を手にする。Apache OFBiz は、アプリケーション構築のためのフレームワークであり、ERP (enterprise resource planning)／CRM (customer relationship management) ／電子商取引などで使用される。その業界を横断的する視点と柔軟性により、企業にとって人気の選択肢となっている。

WordPress LearnPress LMS Plugin の脆弱性 CVE-2024-4397／4434 が FIX：直ちにアップデートを！

Critical Flaws Found in Popular LearnPress LMS Plugin for WordPress

2024/06/12 SecurityOnline — 世界中で 90,000以上のアクティブなインストールを誇る、WordPress LMS プラグインは、オンライン・コースを作成／管理するためのツールである。この WordPress LMS で発生した、深刻な脆弱性 CVE-2024-4397／CVE-2024-4434 の悪用に成功した攻撃者は、任意のファイル・アップロードや不正なデータベース・アクセスを実行する可能性を持つ。

SolarWinds ARM の脆弱性 CVE-2024-23473／CVE-2024-28075 が FIX：直ちにアップデートを！

Hard-Coded Credentials (CVE-2024-23473), RCE (CVE-2024-28075) Flaws Patched in SolarWinds ARM

2024/05/10 SecurityOnline — IT 管理ソフトウェアのリーディング・プロバイダである SolarWinds は、5月9日にリリース・ノートを公開し、同社の Access Rights Manager (ARM) ソリューションに存在する、深刻な脆弱性 CVE-2024-28075／CVE-2024-23473 にパッチを適用したことを明らかにした。これらの脆弱性が攻撃者に悪用されると、機密データの漏えい／不正アクセスなどが生じる可能性がある。

PostgreSQL ドライバ Npgsql の脆弱性 CVE-2024-32655 が FIX：SQLi が生じる恐れ

CVE-2024-32655: SQL Injection Flaw Discovered in Popular PostgreSQL Driver, Npgsql

2024/05/10 SecurityOnline — PostgreSQL データベースに .NET アプリケーションを接続する際に広く利用される、OSS データ・プロバイダーである Npgsql に、深刻な脆弱性 CVE-2024-32655 (CVSS：8.1) が発見された。この脆弱性の悪用に成功した攻撃者は、影響を受けるアプリケーションに対すしての SQL コマンド・インジェクションが可能となり、データ漏えいや不正アクセスなどの悪意のアクションが実行される可能性が生じる。

Oracle VM VirtualBox の脆弱性 CVE-2024-21115：記述詳細が公表 – Pwn2Own

Technical Details Released for CVE-2024-21115 Vulnerability Reported in VM VirtualBox

2024/05/10 SecurityOnline — Oracle における仮想化で、広く使われている Oracle VM VirtualBox で発見された、深刻なセキュリティ脆弱性 CVE-2024-21115 について、技術的な詳細が明らかになった。この脆弱性が悪用されると、VirtualBox 環境の完全な乗っ取りにつながる可能性が生じる。

Next.js Framework の脆弱性 CVE-2024-34350／34351 が FIX：ただちにパッチを！

CVE-2024-34350 & CVE-2024-34351: Two Vulnerabilities Patched in Popular Next.js Framework

2024/05/09 SecurityOnline — フルスタック Web アプリケーションの構築で用いられる、主要フレームワークである Next.js は、最新の React 機能と Rust ベースの JavaScript ツールの統合により、世界的な大企業に広く採用されている。しかし、先日の発見により、ユーザーデータやサーバの運用を危険にさらす可能性のある、深刻なセキュリティ脆弱性が露呈している。

Netflix Genie の脆弱性 CVE-2024-4701 (CVSS 9.9) が FIX：BigData 処理でパス・トラバーサル

CVE-2024-4701 (CVSS 9.9): Major RCE Risk in Netflix’s Genie Platform

2024/05/09 SecurityOnline — Netflix の BigData 処理用 OSS ジョブ・オーケストレーション・エンジン Genie に、深刻なリモートコード実行 (RCE) の脆弱性が発見された。この脆弱性は CVE-2024-4701 として追跡され、その CVSS スコアは 9.9 である。

Spin Framework の脆弱性 CVE-2024-32980 が FIX：サンドボックス・エスケープの恐れ

Critical Spin Framework Flaw: Sandbox Escape Vulnerability Exposed (CVE-2024-32980)

2024/05/09 SecurityOnline — 先日に Spin Project が発表したのは、WebAssembly を使用して安全で高速なクラウド・マイクロサービスを構築／実行するために設計された、オープンソースの Spin Framework におけるキュリティ勧告である。それは、深刻な脆弱性 CVE-2024-32980 (CVSS：9.1) であり、きわめて高いリスクが懸念されるものだ。この脆弱性は、特別にコンフィグレーションされた Spin アプリケーションにおいて、ネットワーク・サンドボックス・エスケープの可能性を生じるものだ。

Qt Framework の脆弱性 CVE-2024-33861 が FIX：影響は限定的だが油断は禁物

CVE-2024-33861: Patch Released for Qt Vulnerability Affecting Applications

2024/05/09 SecurityOnline — Qt Group がリリースしたのは、QStringConverter コンポーネントで発見された脆弱性 CVE-2024-33861 に対応する、セキュリティ勧告とパッチである。Qt Framework 自体には、リモート攻撃に対する直接の脆弱性は存在しないが、この脆弱性が、QStringDecoder を用いるアプリケーションで悪用される可能性が生じる。

Citrix XenCenter に PuTTY の脆弱性 CVE-2024-31497 が影響：手動での緩和策とは？

Citrix warns admins to manually mitigate PuTTY SSH client bug

2024/05/09 BleepingComputer — 今週に Citrix が顧客に通知したのは、XenCenter 管理者のプライベート SSH キーを、攻撃者が盗み出す可能性がある、PuTTY SSH クライアントの脆弱性を、手動で緩和するためのガイダンスである。XenCenter は、Citrix Hypervisor における仮想マシンのデプロイや監視などを、Windows デスクトップから管理するための環境である。

Google Chrome ゼロデイ脆弱性 CVE-2024-4671 が FIX：悪用が確認されている

Google Rushes to Patch Chrome Zero-Day Exploit: CVE-2024-4671

2024/05/09 SecurityOnline — Google が発表したのは、すでに Chrome で悪用が確認されている、深刻な脆弱性に対処する緊急のセキュリティ・アップデートである。その脆弱性 CVE-2024-4671 、Chrome ブラウザの Visuals コンポーネント内に存在する、use after free のバグに起因する。

Go 環境の脆弱性 CVE-2024-24787／24788 が FIX：任意のコード実行にいたる可能性

CVE-2024-24787 (CVSS 9.8): Go Vulnerability Could Lead to Code Execution

2024/05/08 SecurityOnline — シンプルで効率的なソフトウェア開発を実現する Go プログラミング言語で、最近になって発見された２つの深刻な脆弱性に対処する、セキュリティ・アドバイザリが発表された。Go 環境で確認されたのは、DNS 操作における任意のコード実行 CVE-2024-24787 と、無限ループ CVE-2024-24788 の脆弱性である。

Deno の脆弱性 CVE-2024-34346 が FIX：不適切なパーミッションによる権限昇格

CVE-2024-34346: Deno Vulnerability Allows Privilege Elevation

2024/05/08 SecurityOnline — セキュリティに特化したアーキテクチャで知られる、人気の JavaScript／TypeScript／WebAssembly ランタイムである Deno を使用している、開発者およびシステム管理者は、先日のアップデートで対処された、深刻な脆弱性に注意する必要がある。この脆弱性 CVE-2024-34346 (CVSS：8.5) は、特権ファイルの誤操作による権限昇格を可能にするため、重大なリスクをもたらす。

OSS セキュリティを加速：レギュレーション整備／Security-by-Design／AI の活用 – RSA Con

RSAC: Three Strategies to Boost Open-Source Security

2024/05/08 InfoSecurity — OSS におけるセキュリティ強化は、この種のコミュニティが非公式かつユビキタスであるため、政府にとって重要な課題となっている。ソフトウェア全般にわたって Security-by-Design を推進し、脆弱性の悪用やサプライチェーン・インシデントを減らすという米国政府の取り組みにおいて、OSS は極めて重要な要素になっている。RSA Conference 2024 が、政府関係者と OSS の関係者たちが、このユニークなエコシステムで Security-by-Design の原則を推進する方法について、議論する機会を提供した。

F5 BIG-IP の脆弱性 CVE-2024-21793：アップデートと PoC が提供された

New BIG-IP Next Central Manager bugs allow device takeover

2024/05/08 BleepingComputer — F5 の BIG-IP Next Central Manager に存在する、２件の脆弱性が修正された。この脆弱性の悪用に成功した攻撃者は、管理者権限を取得し、管理対象資産に不正な隠しアカウントを作成できるという。管理者は Next Central Manager を使用することによって、統合管理ユーザー・インターフェイスを介して、オンプレミス／クラウドの BIG-IP Next インスタンス／サービスを制御できるようになる。

CISA の Vulnrichment：NVD が残したギャップを埋める脆弱性メタデータ- RSA Con

RSAC: CISA Launches Vulnrichment Program to Address NVD Challenges

2024/05/08 InfoSecurity — 5月8日に米 CISA (Cybersecurity and Infrastructure Security Agency) が発表したのは、”Vulnrichment” と呼ばれる新たなソフトウェア脆弱性充実化プログラムの開始である。この動きは、NIST (National Institute of Standards and Technology) が運営する、世界で最も包括的な脆弱性データベースである NVD (National Vulnerability Database) が、脆弱性情報の充実という問題に直面してから、約３ヶ月後の出来事である。NIST 自身のデータによると、今年に入ってから NIST に寄せられた 14,228件の CVE のうち、分析できたのは 4523件にしか過ぎないという。

Trend Micro Maximum Security の脆弱性 CVE-2024-32849 が FIX：特権昇格の可能性

CVE-2024-32849: Trend Micro Maximum Security Privilege Escalation Vulnerability

2024/05/08 SecurityOnline — サイバー・セキュリティ企業 Trend Micro は、Windows ユーザー向けの Maximum Security に対してセキュリティ・アップデートを提供し、深刻なローカル権限昇格の脆弱性 CVE-2024-32849 に対処した。この脆弱性の CVSS スコア 7.8 であり、その悪用に成功した攻撃者に対して、特権昇格やシステム・ファイルの操作を許す可能性があるという。

TunnelVision という新たな VPN トンネル侵害：DHCP サーバのオプションを悪用する手法とは？

New ‘TunnelVision’ Technique Leaks Traffic From Any VPN System

2024/05/08 SecurityWeek — DHCP のビルトイン機能を悪用して VPN トンネルを強制的に外すという、新たな VPN バイパス・テクニックを用いる脅威アクターは、被害者のトラフィックを盗み見ることが可能になると、ペンテスト会社 Leviathan Security Group が警告している。この TunnelVision と呼ばれるテクニックは、送信するネットワーク・トラフィックをコンピュータが決定するために用いる、一連のルールである Route Table 操作に依存するものだ。それにより攻撃者は、DHCP サーバを侵害することなく、この手法を使用できるという。

WordPress Litespeed Cache Plugin の脆弱性 CVE-2023-40000：積極的な悪用を観測

Litespeed Cache WordPress Plugin Actively Exploited In The Wild

2024/05/08 SecurityAffairs — WordPress 用 LiteSpeed Cache プラグインの深刻な脆弱性を、脅威アクターたちが積極的に悪用していると、WPScan の研究者たちが報告している。LiteSpeed Cache for WordPress (LSCWP) は、オールインワンのサイト高速化プラグインであり、独自のサーバ・レベル・キャッシュと最適化のための機能を備えている。そして、このプラグインは、500万以上のアクティブなインストール数を誇っている。

Veeam VSPC の深刻な脆弱性 CVE-2024-29212 が FIX：ただちにパッチを！

Veeam fixes RCE flaw in backup management platform (CVE-2024-29212)

2024/05/08 HelpNetSecurity — Veeam が顧客に対して強く促し始めたのは、Veeam Service Provider Console (VSPC) に存在する深刻度の高い脆弱性 CVE-2024-29212 へのパッチの適用である。Veeam Service Provider Console は、ユーザー企業だけではなく MSP (Managed Services Providers) などが、データ・バックアップ・オペレーションを管理／監視するために使用するクラウド・プラットフォームである。

Mirai ボットネットが Ivanti を悪用：脆弱性 CVE-2023-46805／21887 の連鎖に要注意

Mirai Botnet Exploits Ivanti Vulnerabilities (CVE-2023-46805 & CVE-2024-21887)

2024/05/07 SecurityOnline — Ivanti Connect Secure (ICS) および Ivanti Policy Secure Gateway を標的とする攻撃の、きわめて危険なエスカレーションを、Juniper Threat Labs のセキュリティ研究者たちが発見した。この２つの脆弱性 CVE-2023-46805 (認証バイパス)／CVE-2024-21887 (リモートコード実行) を武器化する攻撃者たちは、悪名高い Mirai ボットネット・マルウェアを拡散している。この強力な組み合わせは、広範なネットワークにおける侵害と混乱への扉を開く。

PDF.js／React-PDF の脆弱性 CVE-2024-4367／34342 が FIX：ただちにアップデートを！

CVE-2024-4367 & CVE-2024-34342: JavaScript Flaws Threaten Millions of PDF.js and React-PDF Users

2024/05/07 SecurityOnline — HTML5 で開発され Mozilla がサポートする PDF ビューア PDF.js と、React アプリケーション内で PDF を表示する npm パッケージ React-PDF に、深刻なセキュリティ上の欠陥が確認された。これらの人気ソフトウェアの脆弱性は、任意の JavaScript コードの実行を可能にするものであり、数百万人のユーザーを危険にさらしている。

Security by Design の強化を目指す米国政府：メモリセーフな開発言語とは？ – RSA Con

RSAC: Decoding US Government Plans to Shift the Software Security Burden

2024/05/07 InfoSecurity — RSA Conference 2024 において、Security by Design の強化を目指す、米国政府の計画に対する分析が提供された。このイベントにおいて、米国 CISA の Senior Technical Advisor である Bob Lord は、ソフトウェア・セキュリティに関して受け入れられている、常識を克服することが急務であると述べている。

MITRE への侵害：中国由来の APT UNC5221 の侵害の手法とマルウェアを分析する

MITRE Attributes The Recent Attack To China-Linked UNC5221

2024/05/07 SecurityAffairs — MITRE が共有したのは、先日の攻撃に関連する攻撃者／マルウェア／タイムラインなどの、ハッキングの詳細情報である。2024年4月に MITRE は、同社の研究／試作ネットワークの１つに、セキュリティ侵害があったことを公表した。同組織のセキュリティ・チームは直ちに調査を開始し、脅威行アクターをログアウトさせ、サードパーティのフォレンジック・インシデント対応チームと社内の専門家を協力させ、独自の分析を実施した。

Log4J の脆弱性 CVE-2021-44228：依然として悪用トラフィックは最大級 – Cato

#RSAC: Log4J Still Among Top Exploited Vulnerabilities, Cato Finds

2024/05/07 InfoSecurity — Log4J の脆弱性 CVE-2021-44228 だが、発見から３年が経過した現在においても、最も悪用されるエクスプロイトの１つであることが、クラウド・セキュリティ・プロバイダーである Cato Networks の観測から判明している。Cato Cyber Threat Research Labs (CTRL) は、RSA Conference 2024 の会期中の 5月6日に、SASE Threat Report for Q1 2024 レポートを発表した。

Oracle WebLogic Server の脆弱性 CVE-2024-21006：PoC エクスプロイトが提供される

PoC Releases for CVE-2024-21006: Hackers Can Take Over Oracle WebLogic Server

2024/05/06 SecurityOnline — Oracle WebLogic Server の深刻な脆弱性 CVE-2024-21006 (CVSS：7.5) に対して、技術的な詳細と PoC コードが公開され、リモートの攻撃者による侵害の可能性が高まっている。この脆弱性の悪用に成功した攻撃者は、機密データへの不正アクセスや、Oracle WebLogic Server を完全に制御する可能性を手にする。

WordPress プラグイン Yoast SEO の深刻な脆弱性 CVE-2024-4041 が FIX：ただちにアップデートを！

CVE-2024-4041: Security Flaw Found in Popular Yoast SEO Plugin – Update Immediately!

2024/05/06 SecurityOnline — WordPress における検索エンジン最適化プラグインとして人気の Yoast SEO に、セキュリティ脆弱性が発見され、世界中で 500万以上と言われるアクティブなインストールに影響を及ぼしている。このクロス・サイト・スクリプティング (XSS) の脆弱性 CVE-2024-4041 (CVSS：6.1) により、Web サイトの完全性と管理者の管理に、深刻な脅威が生じる。