Vulnerability – Page 47 – IoT OT Security News

Cisco の中小企業向け IP フォンに深刻な複数の脆弱性：EoL のためパッチは未提供

Cisco Small Business IP Phones Affected by Critical Vulnerabilities, No Patch!

2024/08/07 SecurityOnline — 先日の Cisco セキュリティ・アドバイザリで公表されたのは、同社の Small Business SPA300／SPA500 シリーズ IP フォンに影響を及ぼす、複数の重大な脆弱性に関する情報である。これらの脆弱性 CVE-2024-20450／CVE-2024-20452／CVE-2024-20454／CVE-2024-20451／ CVE-2024-20453 の悪用に成功した攻撃者が、任意のコマンド実行／サービス拒否 (DoS) 状態などを引き起こし、深刻なセキュリティ・リスクをもたらす可能性が生じる。

Apache CloudStack の脆弱性 CVE-2024-42062／42222 が FIX：不正アクセスなどに至る恐れ

Apache CloudStack Releases Critical Patches (CVE-2024-42062 and CVE-2024-42222)

2024/08/07 SecurityOnline — Apache CloudStack が公開した緊急セキュリティ・アドバイザリは、２つの重大な脆弱性 CVE-2024-42062／CVE-2024-42222 に対処するために、直ちにアップデートするようユーザーに呼びかけるものだ。CloudStack のバージョン 4.10.0 〜4.19.1.0 に存在する、これらの脆弱性の悪用に成功した攻撃者は、機密情報への不正アクセスおよび、CloudStack が管理するインフラの完全性を侵害する可能性を手にする。

Apache OFBiz の RCE 脆弱性 CVE-2024-38856：PoC エクスプロイトが提供された

PoC Exploit Released for Apache OFBiz Remote Code Execution Flaw (CVE-2024-38856)

2024/08/07 SecurityOnline — オープンソース ERP システムである Apache OFBiz に存在する、深刻な脆弱性 CVE-2024-38856 (CVSS：9.8) に対する PoC エクスプロイト・コードが、SecureLayer7 の研究者である Zeyad Azimaと Youssef Muhammad により公開された。この脆弱性は、認証を必要としないリモートコード実行の欠陥であり、影響を受けるシステムに深刻な脅威をもたらす。

Microsoft 365 フィッシング対策のバイパス：HTML メールの CSS 操作でアラートを隠す

Microsoft 365 anti-phishing feature can be bypassed with CSS

2024/08/07 BleepingComputer — 研究者は、Microsoft 365 (旧 Office 365) のフィッシング対策を回避する方法が実証され、悪意のメールをユーザーが開封するリスクが高いことが判明した。具体的に言うと、”First Contact Safety Tip” という、見慣れないアドレスからのメッセージを受信した際に、Outlook のメール受信者に警告を出すフィッシング対策が隠されてしまうのだ。この欠陥を発見した Certitude のアナリストが、Microsoft に調査結果を報告したが、現時点では対処しないことが、同社により決定されている。

Progress WhatsUp の RCE 脆弱性 CVE-2024-4885：PoC の提供と活発な悪用

Critical Progress WhatsUp RCE flaw now under active exploitation

2024/08/07 BleepingComputer — Progress WhatsUp Gold において、前日に修正されたリモートコード実行の脆弱性を悪用し、企業ネットワークへのイニシャル・アクセスを試みるという脅威が発生している。これらの攻撃で悪用される脆弱性 CVE-2024-4885 (CVSS：9.8)は、Progress WhatsUp Gold バージョン 23.1.2 以下に影響を与え、認証を必要としないモートコード実行を引き起こす。

Jenkins の RCE 脆弱性 CVE-2024-43044 が FIX：ただちにアップデートを！

CVE-2024-43044: Critical Jenkins Vulnerability Exposes Servers to RCE Attacks

2024/08/07 SecurityOnline — 今日のことだが、OSS として人気を誇る自動化サーバ Jenkins に、２件の脆弱性が発見され、緊急アドバイザリが発表された。これらの脆弱性 CVE-2024-43044／CVE-2024-43045 が悪用されると、任意のファイル読み取りおよび不正アクセスのリスクに、Jenkins インスタンスがさらされることになる。

Linux Kernel の脆弱性 CVE-2023-6817 が FIX：PoC もリリースされている

Linux Kernel Vulnerability CVE-2023-6817: Researcher Unveils Exploit Code

2024/08/06 SecurityOnline — Linuxカーネルに存在する深刻な脆弱性 CVE-2023-6817 (CVSS：7.8) に対する、詳細な技術的洞察と PoC エクスプロイト・コードを、あるセキュリティ研究者が公開した。この脆弱性の悪用に成功した攻撃者は、アプリケーション・クラッシュ／情報漏洩／ローカル権限の昇格などを引き起こす可能性をてにするため、システムにとって重大な脅威が生じる。

Elastic Kibana の脆弱性 CVE-2024-37287 (CVSS 9.9) が FIX：直ちにアップデートを！

CVE-2024-37287 (CVSS 9.9): Urgent Kibana Patch for Severe Security Vulnerability

2024/08/06 SecurityOnline — Elastic Team は、人気の OSS データ可視化／探索ツール Kibana に対する、重要なセキュリティ・アップデートを発表した。このアップデートは、プロトタイプ汚染の脆弱性 CVE-2024-37287 (CVSS：9.9) に対処したものだ。この欠陥が悪用されると、攻撃者に任意のコードを実行される可能性があり、Kibana の自己管理およびクラウドベース・インスタンスに重大なリスクがもたらされる。

Chrome 127 がリリース：深刻な脆弱性 CVE-2024-7532 などが FIX

Google Chrome Update Fixes Critical Code Execution Vulnerability (CVE-2024-7532)

2024/08/06 SecurityOnline — Google は Chrome 127 stable channel 版をリリースし、6件の脆弱性を修正した。このアップデート・バージョンは、Windows／Mac 用の 127.0.6533.99/.100 および、Linux 用の 127.0.6533.99 であり、今後の数日から数週間かけて順次配布される。

CISA KEV 警告 24/08/05：Microsoft の脆弱性 CVE-2018-0824 を登録

CISA adds Microsoft COM for Windows bug to its Known Exploited Vulnerabilities catalog

2024/08/06 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Microsoft COM for Windows の信頼できないデータのデシリアライズの脆弱性 CVE-2018-0824 (CVSS：7.5) を、Known Exploited Vulnerabilities (KEV) カタログに追加した。

JFrog Artifactory の脆弱性 CVE-2024-6915 (CVSS 9.3) が FIX：キャッシュ・ポイズニングの恐れ

CVE-2024-6915 (CVSS 9.3): JFrog Artifactory Flaw Exposes Software Supply Chains to Cache Poisoning

2024/08/05 SecurityOnline — ソフトウェア・アーティファクト管理ソリューションを提供する JFrog が発表したのは、同社の Artifactory プラットフォームに存在する深刻な脆弱性に対するセキュリティ・アドバイザリである。この脆弱性 CVE-2024-6915 (CVSS 9.3) は、JFrog Artifactory の複数バージョンに影響を及ぼし、攻撃に成功した攻撃者に対して、アーティファクト・キャッシュの汚染を許してしまう。その結果として、それらのリポジトリからデプロイされたソフトウェアの完全性が損なわれる可能性が生じる。

Android の脆弱性 CVE-2024-36971 が FIX：Linux Kernel のネットワーク経路管理の問題

CVE-2024-36971: Zero-Day Kernel Flaw Exploited in Targeted Attacks Against Android Devices

2024/08/05 SecurityOnline — Google Android の最新セキュリティ・アップデートにより、標的型攻撃で活発に悪用されている深刻なゼロデイ脆弱性の存在が明らかになった。この脆弱性 CVE-2024-36971 は、Linux Kernel のネットワーク経路管理内に存在し、脆弱なデバイスが攻撃されると、脅威アクターたちにシステム・レベルの特権を与える可能性が生じる。

Apache Linkis の脆弱性 CVE-2024-27181／27182 が FIX：権限昇格などが生じる恐れ

Critical Security Vulnerabilities Discovered in Apache Linkis: Users Urged to Upgrade Immediately

2024/08/05 SecurityOnline — 各種のデータ処理エンジンとアプリケーションを接続するのために、広く使用されている計算ミドルウェア Apache Linkis は、ユーザーを潜在的な攻撃にさらす可能性のある、２つの深刻なセキュリティ脆弱性に対処した。

MISP とは？脅威インテリジェンスを共有するための OSS プラットフォーム

MISP: Open-source threat intelligence and sharing platform

2024/08/05 HelpNetSecurity — MISP (Malware Information Sharing Platform) とは、インシデントやマルウェア分析に関連するサイバー・セキュリティ指標や脅威を、収集／保存／配布／共有するための、脅威インテリジェンスを共有するための OSS プラットフォームのことである。Cyber Security／ICT の専門家たちや、マルウェア解析者たちのために設計されており、構造化された情報を効率的に共有することで、彼らの日常業務をサポートする。

Windows の Smart App Control と SmartScreen の欠陥：研究者たちが指摘する回避方法とは？

Researchers Uncover Flaws in Windows Smart App Control and SmartScreen

2024/08/05 TheHackerNews — Microsoft の Windows Smart App Control と SmartScreen に設計上の弱点があること、サイバー・セキュリティ研究者たちが明らかにした。Microsoft が Windows 11 で導入した Smart App Control (SAC) は、クラウド・パワーのセキュリティ機能であり、悪意のある、信頼できない、また、潜在的に望ましくないアプリが、システム上で実行されるのをブロックするものだ。また、このサービスにより、アプリについて推測が不可能な場合には、そのアプリの署名の有無や、署名の有効性についてチェックし、実行できるようにする。

Roundcube Webmail の XSS 脆弱性などが FIX：ただちにパッチを！

Roundcube Webmail Releases Security Updates to Patch Multiple Vulnerabilities

2024/08/05 SecurityOnline — OSS として人気を博す Web メール・クライアント Roundcube に存在する、深刻な脆弱性に対するセキュリティ・アップデートが、開発チームからリリースされた。昨日にリリースされたバージョン1.6.8／ 1.5.8 は、セキュリティ研究者 Oskar Zeino-Mahmalat (Sonar) から報告された、３件の深刻な脆弱性に対処するものだ。ユーザー・フレンドリーなインターフェイスと堅牢なメール管理機能が評価され、広く利用されている Roundcube プラットフォームの完全性とセキュリティを維持するために、このアップデートが提供された。

Apache InLong の脆弱性 CVE-2024-36268 が FIX：リモート・コード・インジェクションの可能性

CVE-2024-36268: Apache InLong Vulnerability Leaves Systems Open to Remote Attacks

2024/08/04 SecurityOnline — Apache InLong プロジェクトは、大規模なデータ・ストリーム処理において広範に利用されるデータ統合フレームワークであるが、その TubeMQ コンポーネントに深刻な脆弱性が発見され、それを伝えるセキュリティ勧告が発表された。このコード・インジェクションの脆弱性 CVE-2024-36268 の悪用に成功した、リモートの攻撃者は、標的とするシステム上で任意のコードを実行する可能性を手にする。

Windows の深刻な脆弱性 “Leaked Wallpaper” CVE-2024-38100：PoC が提供された

CVE-2024-38100: Leaked Wallpaper Exploit Exposes Windows Users to Privilege Escalation Attacks

2024/08/04 SecurityOnline — Microsoft が最新のセキュリティ情報で公表したのは、Windows のファイル・エクスプローラーにおける、深刻な脆弱性を CVE-2024-38100 (CVSS：7.8) の情報である。この脆弱性は、Semperis の Andrea Pierini により発見され、研究者 Michael Zhmaylo により “Leaked Wallpaper” と名付けられた。この特権昇格の脆弱性の悪用に成功した攻撃者は、たとえ低特権アカウントからであっても、管理者権限の取得を達成する。また、どのセッションからでも、他のユーザーの NetNTLM ハッシュの漏洩を可能にする。

SLUBStick クロス・キャッシュ攻撃：Linux Kernel への影響が実証された

Linux kernel impacted by new SLUBStick cross-cache attack

2024/08/04 BleepingComputer — SLUBStick と名付けられた Linux Kernel クロス・キャッシュ攻撃により、影響が限定されるヒープ関連の脆弱性が、任意のメモリ Read／Write 機能に変換されるという。研究者たちによると、それは 99％のレベルで成功しており、特権昇格やコンテナ・エスケープにいたることが実証されているようだ。この発見は、グラーツ工科大学の研究者チームによるものであり、32-Bit と 64-Bit システムで９件の既存の CVE を使用し、Linux Kernel バージョン 5.9／6.2 で攻撃を実証し、高い汎用性を示した。

Apache OFBiz の RCE 脆弱性 CVE-2024-38856 が FIX：ただちにパッチを！

CVE-2024-38856: Critical Apache OFBiz Flaw Opens Door to Unauthorized Code Execution

2024/08/04 SecurityOnline — OSS の ERP (enterprise resource planning) プラットフォームとして広く採用されている、Apache OFBiz に存在する脆弱性により、コードが不正に実行される可能性があるとする、緊急のセキュリティ・アドバイザリが出されている。この脆弱性 CVE-2024-38856 は Important に分類されているが、ERP システムは事業運営において重要な役割を担っているため、直ちに対策を講じるよう、セキュリティ専門家たちが組織に警告している。

Admidio の深刻な脆弱性 CVE-2024-37906／38529 が FIX：ただちにパッチを！

Critical Admidio Vulnerabilities CVE-2024-37906 and CVE-2024-38529 Revealed

2024/08/04 SecurityOnline — 世界中の組織やグループで使用されている人気の OSS ユーザー管理システム Admidio に存在する、２つの深刻なセキュリティ脆弱性 CVE-2024-37906／CVE-2024-38529 が、サイバー・セキュリティ研究者たちにより発見された。これらの脆弱性の悪用に成功した攻撃者は、機密データやシステムを侵害し、機密性／完全性／可用性を脅かす可能性を手にする。

DARPA の TRACTOR プログラム：C → Rust 変換によりメモリ・セーフ言語へ加速

Accelerating Memory Safety: DARPA’s TRACTOR Program Transforms C to Rust

2024/08/04 SecurityOnline — 米国の国防機関である DARPA (Defense Advanced Research Projects Agency) は、C 言語から Rust への自動変換を目的とする TRACTOR プログラムを通じて、メモリ・セーフなプログラミング言語への移行を加速させている。このイニシアチブでは、レガシー C コードの Rust への変換を自動化するための、機械学習ツールを開発している。メモリ・セーフティの問題は、大規模なコードベースにおける脆弱性の、主な原因となっている。DARPA は、AI モデルがプログラミング言語の変換を支援し、ソフトウェアの安全性を高めることを期待している。

Digital Video Recorder デバイス群の脆弱性 CVE-2024-7339：40万台が危険な状態

CVE-2024-7339: DVR Vulnerability Exposes Over 400,000 Devices to Hackers

2024/08/01 SecurityOnline — TVT／Provision-ISR／AVISION などのモデルを含む、幅広い人気を誇る DVR (Digital Video Recorder) デバイス群で、脆弱性 CVE-2024-7339 が発見された。この脆弱性により、408,035台ものデバイスが、不正アクセスや悪用の可能性にさらされることになる。

Bitdefender GravityZone の脆弱性 CVE-2024-6980 が FIX：オンプレミス・ユーザーは直ちにパッチを！

Bitdefender Patches Critical Vulnerability in GravityZone Update Server

2024/08/01 SecurityOnline — Bitdefender が発表したのは、GravityZone Update Server に存在する深刻な脆弱性 CVE-2024-6980 に対する緊急パッチである。このサイバー・セキュリティ・ソリューションに発生した脆弱性は、n1nj4sec のNicolas VERDIER により発見されたものである。この脆弱性の悪用に成功した脅威アクターが、サーバ・サイド・リクエスト・フォージェリ (SSRF) 攻撃を達成すると、不正アクセスやデータ漏洩につながる可能性が生じてくる。

Apache OFBiz の脆弱性 CVE-2024-32113 が FIX：悪意のスキャンと CISA KEV 登録

Actively Exploited Apache OFBiz Flaw Triggers Urgent Security Alert

2024/07/31 SecurityOnline — Apache OFBiz の脆弱性 CVE-2024-32113 に対するスキャン試行が、この数週間で驚くほど増加していることを、セキュリティ研究者たちが確認している。この欠陥は、パス・トラバーサル問題と説明されており、脆弱なバージョンのソフトウェアを実行しているシステムにおいて、攻撃者に悪意のリモート・コード実行を許す可能性があり、重大なリスクをもたらすとされる。

VMware ESXi の脆弱性 CVE-2024-37085：20,000 台以上のサーバが危険に晒されている

VMware ESXi Vulnerability Exposes Thousands of Servers to Ransomware

2024/07/31 SecurityOnline — VMware ESXi の認証バイパスの脆弱性 CVE-2024-37085 について、サイバー犯罪者による積極的な悪用が報じられ、主要なセキュリティ組織から警告が発せられている。しかし、その一方では、依然として数千台のサーバが、ランサムウェア攻撃に対して脆弱な状態を晒し続けている。Shadowserver は、20,275台もの ESXi インスタンスが、CVE-2024-37085 に対して脆弱であると特定している。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステムの完全な制御が可能となり、壊滅的なランサムウェア攻撃や大規模なデータ窃取の可能性を手にする。

OpenAM の脆弱性 CVE-2024-41667 が FIX：PoC エクスプロイトも提供

CVE-2024-41667: OpenAM Vulnerability Exposes Authentication Systems to Critical Risk

2024/07/31 SecurityOnline — 包括的なアクセス管理ソリューションである Open Identity Platform の OpenAM に、深刻な脆弱性 CVE-2024-41667 (CVSS：8.8) が発見された。この脆弱性の悪用に成功したリモートの攻撃者は、影響を受けるシステム上で任意のコードの実行が可能になる。その結果として、OpenAM を活用することで、認証／Single Sign-On (SSO)／認可／フェデレーション／エンタイトルメント／Web サービスなどの、セキュリティに対応している組織にとって重大な脅威が生じる。

GeoServer の RCE 脆弱性 CVE-2024-36401：PoC の公開と活発な悪用

Critical GeoServer RCE Flaw CVE-2024-36401 Actively Exploited, 6,284 Instances Vulnerable

2024/07/30 SecurityOnline — GeoServer の、インターネットに公開されている 6,284 のインスタンスが、リモート・コード実行攻撃に対して脆弱であることを、セキュリティ脅威監視プラットフォーム Shadowserver が明らかにした。この脆弱性 CVE-2024-36401 は、6月30日に公開された以降において、脅威アクターたちにより、活発に悪用されていることが確認されている。

CISA KEV 警告 24/07/30：VMware ESXi の脆弱性 CVE-2024-37085 を登録

CISA Adds Vmware Esxi Bug To Its Known Exploited Vulnerabilities Catalog

2024/07/30 SecurityAffairs — 米国の CISA は、VMware ESXi に存在する認証バイパスの脆弱性 CVE-2024-37085 (CVSS：6.8) を、KEV (Known Exploited Vulnerabilities) カタログに追加した。その一方で、7月29日に Microsoft が公表したのは、先日にパッチ適用された VMware ESXi の脆弱性 CVE-2024-37085 を、複数のランサムウェア・グループが悪用しているという警告である。

Google Chrome の脆弱性 CVE-2024-6990 などが FIX：直ちにアップデートを！

Urgent Chrome Update: Google Patches Critical Security Flaw (CVE-2024-6990)

2024/07/30 SecurityOnline — Google Chrome の３つの脆弱性 CVE-2024-6990／CVE-2024-7255／CVE-2024-7256 を修正するための、緊急アップデートが公開された。この脆弱性を悪用する脅威アクターにより、ブラウザの機能の弱点が攻撃されると、ユーザーのセキュリティが損なわれる可能性が生じる。

Softnext Email Systems の脆弱性 CVE-2024-5670 (CVSS 9.8) が FIX：ただちにパッチを！

CVE-2024-5670 (CVSS 9.8): Critical Vulnerability Exposes Softnext Email Systems to Attack

2024/07/30 SecurityOnline — Softnext のメール管理システム Mail SQR Expert／Mail Archiving Expert に深刻な脆弱性が存在するとして、Taiwan CERT (Computer Emergency Response Team) が重大な警告を発した。この脆弱性 CVE-2024-5670 (CVSS：9.8) が悪用されると、機密データの漏洩やリモート・コード実行が生じ、重大なリスクにいたる可能があるという。

Progress MOVEit の脆弱性 CVE-2024-6576 が FIX：ただちにパッチを！

Progress Software Issues Security Alert for MOVEit Transfer Users: CVE-2024-6576

2024/07/30 SecurityOnline — Progress MOVEit Transfer で新たに発見された、深刻度の高い脆弱性 CVE-2024-6576 が悪用されると、システム内で特権昇格を攻撃者に許す可能性のあると、同社が顧客に警告している。このマネージド・ファイル転送ソリューションにおける脆弱性は、不適切な認証メカニズムに起因するものであり、2023年／2024年にリリースされた MOVEit Transfer の、いくつかのバージョンに影響を及ぼすものだ。

OpenSSH の脆弱性 regreSSHion CVE-2024-6387：macOS ユーザーにも危険が迫っている

Critical OpenSSH Vulnerability “regreSSHion” Threatens macOS Users

2024/07/29 SecurityOnline — Apple が認めたのは、regreSSHion (CVE-2024-6387) と呼ばれる深刻な OpenSSH の脆弱性が、macOS システムにも存在することだ。この、認証を必要としないリモートコード実行 (RCE) の脆弱性を悪用する攻撃者は、標的とするサーバへの完全なルート・アクセスを取得し、深刻なセキュリティ・リスクをもたらす可能性を手にする。

ImageMagick AppImage の脆弱性が FIX：PoC エクスプロイトも提供

ImageMagick AppImage Vulnerability Opens Door to Arbitrary Code Execution

2024/07/29 SecurityOnline — 幅広い業界で使用されているイメージ処理ライブラリ ImageMagick は、その AppImage バージョンで発見された脆弱性について、ユーザーにセキュリティ勧告を発している。この脆弱性の悪用に成功した攻撃者は、標的とするシステム上で任意のコード実行を可能にし、データ漏洩／システム侵害などの、悪意の行為を引き起こす可能性を得る。

CISA KEV 警告 24/07/29：ServiceNow／Acronis Cyber Infrastructure の脆弱性を登録

Actively Exploited ServiceNow and Acronis Vulnerabilities Pose Significant Threats to Government and Private Sectors

2024/07/29 SecurityOnline — 米国 CISA は、KEV (Known Exploited Vulnerabilities) カタログに、３件の脆弱性 (CVE-2024-4879／CVE-2024-5217／CVE-2023-45249) を追加した。これらの脆弱性は、ServiceNow Now Platform と Acronis Cyber Infrastructure (ACI) サーバに存在するものであり、政府機関と民間企業の両方に重大なリスクをもたらしている。

VMware ESXi への認証バイパスの攻撃：複数のランサムウェアが悪用 – Microsoft

Microsoft: Ransomware gangs exploit VMware ESXi auth bypass in attacks

2024/07/29 BleepingComputer — VMware ESXi の認証バイパスの脆弱性を悪用するランサムウェア集団が、積極的な攻撃を展開していると、Microsoft が警告している。この Medium レベルの脆弱性 CVE-2024-37085 は、Microsoft のセキュリティ研究者である Edan Zwick／Danielle Kuznets Nohi／Meitar Pinto により発見され、6月25日にリリースされた ESXi 8.0 U3 で修正されている。このバグを悪用する攻撃者は、ESX Admins グループを作成し、新規ユーザーの追加を可能にするものであり、それらのユーザーに対しては、ESXi ハイパーバイザー上の完全な管理者権限が自動的に割り当てられるという。

Proofpoint の脆弱性 EchoSpoofing：フィッシング・キャンペーンに悪用されている

Phishing Campaign Exploited Proofpoint Email Protections for Spoofing

2024/07/29 SecurityWeek — Proofpoint のメール保護サービスの脆弱性を悪用し、有名企業に成りすますフィッシング・キャンペーンが展開されていることが、Guardio Labs のレポートにより明らかになった。このキャンペーンでは、１日あたり数百万通のフィッシング・メッセージが配信されている。攻撃者たちは、Proofpoint を悪王することで、フィッシング・メッセージが本物であるように見せかけている。彼らは、過剰なアクセス許可を与えるという、Proofpoint のミス・コンフィグを悪用することで、電子メールのセキュリティ保護を回避しているという。

OAuth と XSS のコンボ攻撃：数百万人の Web ユーザーをアカウント乗っ取りで脅かす

OAuth+XSS Attack Threatens Millions of Web Users With Account Takeover

2024/07/29 DarkReading — Web ユーザーの行動を追跡／記録するサービスの Hotjar と、人気のニュース・サイト Business Insider の API に、重大なセキュリティ欠陥が存在することが判明した。最新の認証規格が悪用され、長年の脆弱性が復活させられたことで、数百万人のユーザーがアカウント乗っ取りの危険にさらされている。API のセキュリティ会社である Salt Security の Salt Labs が、7月29日に公開したブログによると、認証規格の OAuth と、２つのサイトの XSS (cross-site scripting) の欠陥を組み合わせることで、攻撃者は機密データの窃取が可能になり、100万以上の Web サイトの正規ユーザーを装う悪質な活動の可能性が生じているという。

DevSecOps Blueprint：脆弱性管理と Security-by-Design からパイプラインの完全性まで – GitGuardian

Whitepaper: DevSecOps Blueprint

2024/07/29 HelpNetSecurity — GitGuardian による DevSecOps Blueprint ホワイトペーパー “Vulnerability Management and Security-by-Design to Pipeline Integrity” では、SDLC (Software Development Life Cycle) のあらゆる側面に対応する、自動化された技術主導の DevSecOps プログラムを、構築するための強固な基盤が概説されている。このホワイトペーパーでは、ツール／テクノロジー／プロセス (IR やセキュリティ・テストのような)／関係者などの、あらゆるレイヤーにセキュリティを組み込む方法が学ぶことが可能であり、セキュリティを維持しながら、開発者の作業時間を短縮できる。

Raspberry Pi RaspAP の脆弱性 CVE-2024-41637 が FIX：PoC が提供

RaspAP Vulnerability: Root Access at Risk for Raspberry Pi Users

2024/07/29 SecurityOnline — Raspberry Pi デバイスを無線アクセス・ポイントにする人気のオープンソース・ツール RaspAP に、重大な脆弱性 CVE-2024-41637 が存在することが、セキュリティ研究者の Zonifer により発見された。この脆弱性の悪用に成功したローカルの攻撃者は、標準ユーザーから root ユーザーへの権限の昇格が可能になり、Raspberry Pi の完全な制御を奪う可能性を得る。

Microsoft Edge の脆弱性 CVE-2024-38103／39379 などが FIX：直ちにアップデートを！

Microsoft Edge Update Tackles 18 Vulnerabilities, Including Proprietary Fixes

2024/07/28 SecurityOnline — Microsoft Edge ブラウザのセキュリティ更新プログラム (バージョン127.0.2651.74) がリリースされ、18件の脆弱性に対する修正が行われた。このアップデートに含まれるのは、Edge のベースである Chromium プロジェクトで見つかった 16件の脆弱性に対するパッチと、Edge 自身の脆弱性２件に対するパッチである。

Apache Superset の脆弱性 CVE-2024-34693 が FIX：PoC エクスプロイトも提供

CVE-2024-34693: Apache Superset Arbitrary File Read Vulnerability, PoC Published

2024/07/28 SecurityOnline — Apache Software Foundation は、Apache Superset に存在する任意ファイル読み取りの脆弱性 CVE-2024-34693 に対処する、セキュリティ更新プログラムをリリースした。この脆弱性は、Apache Superset 内の MariaDB プロトコル実装における不適切な入力検証に起因し、バージョン 3.1.3 未満/4.0.0 に影響を及ぼすものだ。攻撃者は、local_infile パラメータを有効化し、MariaDB 接続を作成することで、この脆弱性の悪用を試行できる。

Cisco 製品の RADIUS プロトコルの脆弱性：PoC の提供と迅速なパッチ適用の必要性！

Cisco Confirms Critical RADIUS Protocol Vulnerability in Multi Products: Patch Now!

2024/07/28 SecurityOnline — Cisco が公表したのは、ネットワーク・アクセス用の認証／認可フレームワークとして広く使用されている、RADIUS プロトコルに存在する重大な脆弱性 CVE-2024-3596 のセキュリティ・アドバイザリである。この脆弱性により、攻撃者は多要素認証 (MFA：multi-factor authentication) をバイパスし、ネットワークに不正にアクセスする可能性を得る。

Orc コンパイラの脆弱性 CVE-2024-40897：任意のコード実行が生じる恐れ

CVE-2024-40897: Vulnerability in Orc Compiler Opens Door to Code Execution Attacks

2024/07/26 SecurityOnline — Orc Compiler は単純なデータ配列プログラムのためのツールであるが、このコンパイラーに重大な脆弱性 CVE-2024-40897 が存在することが、セキュリティ研究者たちにより公表された。この脆弱性はスタック・ベースのバッファ・オーバーフロー・エラーに起因しており、悪用に成功した攻撃者は、コンパイラと同じ権限で任意のコード実行を可能にする。

Acronis の脆弱性 CVE-2023-45249 が FIX：ユーザー操作を必要としない攻撃が発生

Acronis warns of Cyber Infrastructure default password abused in attacks

2024/07/26 BleepingComputer — Acronis が顧客に発している警告は、インフラストラクチャの重要なセキュリティ上の欠陥に、パッチを適用するよう促すものである。デフォルトの認証情報を用いる攻撃者が、この脆弱性 CVE-2023-45249 の悪用に成功すると、欠陥のあるサーバの認証がバイパスされることになる。Acronis Cyber Protect (ACI) は、マルチテナント型の統合プラットフォームであり、リモート・エンドポイント管理／バックアップ／仮想化機能などを連携させるものだ。さらに、ディザスタ・リカバリのワークロードを実行し、企業のバックアップ・データを安全に保存する。

Apache Pinot の脆弱性 CVE-2024-39676 が FIX：情報漏えいとセキュリティ侵害の恐れ

CVE-2024-39676: Apache Pinot Flaw Exposes Sensitive Data, Urgent Upgrade Needed

2024/07/26 SecurityOnline — リアルタイム分析プラットフォーム Apache Pinot に、深刻なセキュリティ脆弱性 CVE-2024-39676 (深刻度：important) が発見された。この脆弱性の悪用に成功した攻撃者は、権限を必要とせずに機密性の高いシステム情報へのアクセスが可能になり、データ漏洩やセキュリティ侵害につながる恐れが生じる。

NIST NVD に溜まり続ける脆弱性情報バックログ：渋滞解消は 2025年初頭という推測も

NIST may not resolve vulnerability database backlog until early 2025, analysis shows

2024/07/26 NextGov — 米国が管理するサイバー・セキュリティの脆弱性データベースだが、現在の処理スピードで進むなら、2025年初頭になっても処理しきれないほどの、未処理の情報を抱えていることが、新たな分析で明らかになった。NIST (National Institute of Standards and Technology) の NVD (National Vulnerability Database) は、測定ツールなどを用いて脆弱性悪用の危険度を評価する研究者のための、基礎となるコンテンツ・リポジトリであるが、２月以降において明確な説明もないまま、未分析の脆弱性を蓄積し続けている。

PKfail という Secure Boot バイパスが発見された：深刻なファームウェア・サプライチェーン問題とは？

PKfail Secure Boot bypass lets attackers install UEFI malware

2024/07/25 BleepingComputer — 攻撃者がPKfail と呼ばれる深刻なファームウェア・サプライチェーン問題を悪用する攻撃者により、Secure Boot をバイパスしたマルウェアのインストールが可能となり、10 社のベンダーの何百もの UEFI 製品の侵害の可能性が生じている。Binarly Research Team が発見した、この問題の影響を受けるデバイスは、American Megatrends International (AMI) が生成したテスト用の Secure Boot “master key” である、Platform Key (PK) を使用しているものとなる。

OpenStack Nova の脆弱性 CVE-2024-40767 が FIX：サーバ・ファイルへのアクセスが生じる恐れ

CVE-2024-40767: OpenStack Nova Vulnerability Exposes Cloud Servers to Data Theft Risk

2024/07/25 SecurityOnline — クラウド・コンピューティング・プラットフォームの、仮想サーバー管理用コア・コンポーネント OpenStack Novaに深刻な脆弱性 CVE-2024-40767 が発見された。この脆弱性の悪用に成功した権限のないユーザーが、クラウド・サーバ上の機密データにアクセスする可能性が生じ、同プラットフォームを利用する組織にとって重大なリスクとなり得る。

HPE サーバの脆弱性 CVE-2021-38578 (CVSS 9.8) が FIX：広範なサーバ群に影響

HPE Servers Exposed: Critical Vulnerability Demands Urgent Firmware Update

2024/07/25 SecurityOnline — HPE ProLiant／Alletra／Synergy／Apollo／Edgeline に存在する、深刻なセキュリティ脆弱性 CVE-2021-38578 が発見された。この脆弱性は CVSS スコアが 9.8 と評価されており、悪用に成功した攻撃者は、リモート・コード実行が可能になり、データ漏洩／システム侵害／運用の中断などを引き起こす可能性を手にする。