Vulnerability – Page 68 – IoT OT Security News

Jenkins サーバのミスコンフィグ：クリプトジャッキング攻撃に悪用されている

Misconfigured Jenkins Servers Targeted in Cryptojacking Attacks

2024/07/06 SecurityOnline — Jenkins サーバのミスコンフィグを標的とする攻撃が相次いでいることを、サイバー・セキュリティの世界のリーダー Trend Micro が警告している。脅威アクターたちは、Jenkins Script Console の脆弱性を悪用して、暗号通貨マイニング・ソフトウェアを不正にインストール／運用し、無防備な組織から計算リソースを抜き取っている。

KDE Plasma の脆弱性 CVE-2024-36041 が FIX：不正アクセスの恐れ

CVE-2024-36041: KDE Plasma Flaw Opens Door to Unauthorized System Access

2024/07/06 SecurityOnline — KDE 開発チームが公表したのは、Plasma デスクトップ環境の KSmserver コンポーネントに影響を及ぼす、深刻度の高い脆弱性 CVE-2024-36041 に関するセキュリティ・アドバイザリである。この脆弱性の悪用に成功した同一マシン上のユーザーは、セッション・マネージャーに対して不正にアクセスできるようになり、次回の起動時に任意のコード実行の可能性を得るという。

MongoDB Compass の脆弱性 CVE-2024-6376 (CVSS 9.8) が FIX：コード・インジェクションの恐れ

CVE-2024-6376 (CVSS 9.8) in MongoDB Compass Exposes Systems to Code Injection Risks

2024/07/05 SecurityOnline — MongoDB データのクエリ／集計／分析に広く使われる GUI である、MongoDB Compass に深刻な脆弱性が発見された。このツールは、macOS／Windows／Linux に対応するクロス・プラットフォームとして、堅牢な機能を提供することで知られているが、現在は、深刻なセキュリティ上の課題に直面している。

HFS の脆弱性 CVE-2024-39943 (CVSS 9.9) が FIX：RCE にいたる恐れ

CVE-2024-39943 (CVSS 9.9): Critical Vulnerability in HTTP File Server Exposes Systems to RCE

2024/07/05 SecurityOnline — HTTP 経由でのファイル送受信に使用される、一般的なファイル共有ソフトウェアである HFS (HTTP File Server) に、重大な脆弱性 CVE-2024-39943 (CVSS：9.9) が発見された。この脆弱性は、Linux／UNIX／macOS 上で 0.52.10 未満の HFS を実行しているシステムに重大な脅威をもたらす。この脆弱性の悪用に成功した、アップロード権限を持つ、認証されたリモートの攻撃者は、OS のコマンド実行が可能になる。

Apache HTTP Server の脆弱性 CVE-2024-39884 が FIX：情報漏えいの恐れ

Apache HTTP Server Update Patches Critical Source Code Disclosure Flaw (CVE-2024-39884)

2024/07/04 securityonline — 先日に Apache が公表したのは、深刻なソースコード漏洩の脆弱性 CVE-2024-39884 に対処する、Apache HTTP Server 2.4.61 への緊急アップデートの実施である。Apache チームにより “Important” と評価された、この脆弱性の悪用に成功した攻撃者は、サーバに保存された機密情報を漏えさせる可能性を手にする。

Fiber Go の深刻な脆弱性 CVE-2024-38513 が FIX：セッション ID の不正操作

CVE-2024-38513 (CVSS 9.8): Critical Security Flaw in Popular Go Web Framework, Fiber

2024/07/04 SecurityOnline — プログラミング言語 “Go” の Web フレームワークとして広く使われている “Fiber” に、脆弱性 CVE-2024-38513 (CVSS：9.8) が発見された。この脆弱性の悪用に成功した攻撃者は、ユーザー・セッションを乗っ取ることができ、不正アクセスやデータ漏洩へとつなげる可能性を手にする。

Logsign Unified SecOps Platform の脆弱性 CVE-2024-5716／5717 が FIX：直ちにアップデートを！

Logsign Unified SecOps Platform Urgent Update Addresses Critical RCE Vulnerabilities

2024/07/04 SecurityOnline — セキュリティ運用のための包括的なソフトウェア・ソリューションである、Logsign の Unified SecOps Platform に、２つの脆弱性 CVE-2024-5716／CVE-2024-5717 が発見された。これらの脆弱性を組み合わせると、HTTP リクエストを介して Web サーバ上で認証なしで、リモート・コードの実行が可能になる。それにより、リモートの攻撃者がシステムに不正にアクセス／コントロールする可能性が生じる。

OpenStack の脆弱性 CVE-2024-32498 が FIX：機密データへの不正アクセスに繋がる恐れ

CVE-2024-32498: Critical OpenStack Flaw Exposes Cloud Data to Attackers

2024/07/03 SecurityOnline — OpenStack Foundation が公開した緊急のセキュリティ・アドバイザリは、そのクラウド・インフラ・プラットフォームの複数のコア・コンポーネントに影響を及ぼす、深刻な重脆弱性 CVE-2024-32498 (CVSS：8.8) に関するものだ。この脆弱性の悪用に成功した攻撃者は、Cinder (block storage)／Glance (image management)／Nova (compute) などのサービス内の、機密データへの不正アクセスの可能性を手にする。

SnailLoad という TCP の脆弱性 CVE-2024-39920：PoC エクスプロイトが提供

SnailLoad (CVE-2024-39920): New Side-Channel Attack Exposes Your Web Activity

2024/07/03 SecurityOnline — グラーツ工科大学のセキュリティ研究者は、新しい脆弱性 CVE-2024-39920 を発表し、SnailLoad と命名した。このサイド・チャネル攻撃は TCP (Transmission Control Protocol) の脆弱性を悪用するものであり、ユーザーによる Web サイトへの訪問や、ストリーミング・ビデオの参照などのアクティビティが、リモートの攻撃者により監視される可能性が生じる。

MSI Center の脆弱性 CVE-2024-37726 が FIX：Windows 権限昇格の PoC も提供

CVE-2024-37726: MSI Center Flaw Exposes Windows Systems to Privilege Escalation Attacks

2024/07/03 securityonline — Windows OS 用のシステム管理アプリケーションである MSI Center に、深刻なローカル権限昇格の脆弱性 CVE-2024-37726 が発見された。この脆弱性は、MSI Center のバージョン 2.0.36.0 以下に影響を及ぼし、システムの完全性とセキュリティに重大なリスクをもたらす。

Twilio Authy の API に脆弱性：3,300万件の電話番号を含むユーザー情報が流出

Hackers abused API to verify millions of Authy MFA phone numbers

2024/07/03 BleepingComputer — Twilio が認めたのは、数百万人の Authy 多要素認証ユーザーの電話番号を確認できる脅威アクターたちが、SMS フィッシングや SIM スワッピングなどの攻撃を仕掛けてくる可能性があることだ。Authy は、MFA をサポートしている Web サイトにおいて、多要素認証コードを生成するモバイル・アプリだが、その API エンドポイントの安全性が欠如していた。2024年6月下旬に、ShinyHunters という脅威アクターが流出させた CSV ファイルには、Authy サービスに登録された 3,300万件の電話番号を含まれていた。

Microsoft MSHTML の脆弱性 CVE-2021-40444：スパイウェア MerkSpy の配布で悪用

Microsoft MSHTML Flaw Exploited to Deliver MerkSpy Spyware Tool

2024/07/03 TheHackerNews — Microsoft MSHTML の脆弱性 CVE-2021-40444 を悪用して、MerkSpy という監視ツールを配信する、未知の脅威アクターが発見された。このキャンペーンでは、カナダ／インド／ポーランド／米国のユーザーが、主要ターゲットにされているという。Fortinet FortiGuard Labs の研究者である Cara Lin は、「MerkSpy は、ユーザーの活動を密かに監視して、機密情報を取得することに加えて、侵害したシステム上で永続性を確立するよう設計されている」と、先週に公開されたレポートで述べている。

Juniper SRX の脆弱性 CVE-2024-21586 が FIX：DoS 攻撃の恐れ

CVE-2024-21586: Juniper SRX Vulnerability Leaves Networks Open to Attack

2024/07/03 SecurityOnline — Juniper Networks が公表したのは、同社の SRX Series ファイアウォールに存在する、深刻な脆弱性のセキュリティ・アドバイザリである。この脆弱性 CVE-2024-21586 (CVSSv4 8.7) の悪用に成功した未認証の攻撃者は、リモートでパケット転送エンジン (PFE) をクラッシュさせ、サービス拒否 (DoS) 状態を引き起こす可能性を手にする。

GeoServer の脆弱性 CVE-2024-36401 (CVSS 9.8) が FIX：RCE の恐れ

CVE-2024-36401 (CVSS 9.8): Urgent Patch Needed for GeoServer RCE Vulnerability

2024/07/02 SecurityOnline — 地理空間データを管理／共有するための、OSS プラットフォームとして広く利用されているGeoServer に、深刻な脆弱性 CVE-2024-36401 (CVSS：9.8) が発見された。この脆弱性の悪用に成功した攻撃者は、影響を受けるサーバ上で任意のコード実行が可能となり、機密性の高い地図や位置情報が危険にさらされる。

ProxyLogon／ProxyShell の脆弱性が復活：政府機関の電子メールが侵害される

ProxyLogon & ProxyShell Vulnerabilities Back: Gov’t Emails Breached

2024/07/02 SecurityOnline — 悪名高い脆弱性である ProxyLogon と ProxyShell だが、 Microsoft Exchange サーバにおける大混乱を引き起こしてから、約３年が経過している。しかし、最近になって、これらの脆弱性を悪用してイニシャル・アクセスを行い、機密通信を盗聴する可能性のあるサーバが、Hunt Research Team により特定された。この新たな活動は、アジア／ヨーロッパ／南米などの、複数の地域の政府機関に影響を及ぼしている。

WordPress Icegram Express Plugin の脆弱性 CVE-2024-6172 が FIX：直ちにアップデートを！

CVE-2024-6172: Critical Flaw in Icegram Express Plugin Threatens 90,000+ WordPress Sites

2024/07/02 SecurityOnline — メール・マーケティングやニュースレターに広く使われている WordPress プラグインの Icegram Express に、深刻な脆弱性が発見された。この脆弱性は CVE-2024-6172 として追跡されており、その CVSS スコアは 9.8 と最大に近い値となっている。

Apache HTTP Server の緊急アップデート：ただちにパッチ適用を！

Multiple Vulnerabilities in Apache HTTP Server Demand Immediate Action

2024/07/01 SecurityOnline — Apache Software Foundation が公開した緊急のセキュリティ・アドバイザリにより、人気の Apache HTTP Server に複数の脆弱性が存在することが判明した。これらの脆弱性が悪用されると、サービス拒否 (DoS：denial-of-service) 攻撃／リモート・コード実行／不正アクセスなどが生じ、何百万もの Web サイトがサイバー攻撃にさらされる可能性が生じる。この脆弱性群は、CVE-2024-36387 から CVE-2024-39573 として追跡されており、mod_proxy／mod_rewrite／コア機能などの、Apache HTTP Server の各種コンポーネントに影響を与えるという。

Google の KVM のゼロデイ脆弱性報奨プログラム kvmCTF が開始：その報酬額は MAX で $250,000

Google now pays $250,000 for KVM zero-day vulnerabilities

2024/07/01 BleepingComputer — Google が立ち上げたのは、KVM (Kernel-based Virtual Machine) ハイパーバイザーのセキュリティ向上のための、新たな脆弱性報奨プログラム (VRP：vulnerability reward program) としての kvmCTF である。この kvmCTF は、2023年10月に発表されたものであり、完全な VM エスケープ・エクスプロイトに対して、$ 250,000 の報奨金が支払われるという。KVM (Kernel-based Virtual Machine) は、17年以上にわたって開発されているオープンソースのハイパーバイザーである。そして、いまでは、コンシューマーや企業における重要なコンポーネントとなり、Android や Google のクラウド・プラットフォームの基盤としても活用されている。

Linux Netfilter の脆弱性 CVE-2024-1085：PoC エクスプロイトが提供される

Linux Flaw: CVE-2024-1085 PoC Exploit Exposes Privilege Escalation Risk

2024/07/01 SecurityOnline — Linux Kernel に存在する、深刻度の高い脆弱性 CVE-2024-1085 を標的とする PoC エクスプロイトでｓ・コードが、あるセキュリティ研究者により公開された。この脆弱性は、Netfilter サブシステムの nftables コンポーネントに存在し、影響を受けるシステム上で悪用に成功したローカルの認証済み攻撃者が、昇格した特権を不正に獲得する可能性が生じるこの脆弱性の CVSS 値は 7.8 であり、深刻度が高いことが示唆される。この脆弱性を悪用する前提としてローカル認証が必要となるが、悪用に成功した攻撃者は、システムを大幅に制御できるようになるため、深刻なセキュリティ・リスクが生じる。

Ubuntu Snap の Sandbox Escape の脆弱性 CVE-2024-1724 が FIX：Linux システムを脅かす恐れ

CVE-2024-1724: Snap Sandbox Escape Vulnerability Threatens Linux Systems

2024/07/01 SecurityOnline — Ubuntu などの Linux ディストリビューションで人気のパッケージ・マネージャーである Snap に存在する深刻な脆弱性が、セキュリティ研究者 McPhail のセキュリティ情報公開で特定された。この脆弱性 CVE-2024-1724 の悪用に成功した攻撃者は、Snap のサンド・ボックス環境を回避しながら、ユーザーのシステム上で任意のコード実行が可能にするという。

Splunk Enterprise 製品群の複数の RCE 脆弱性が FIX：ただちにパッチを！

Splunk Patches High-Severity Vulnerabilities in Enterprise Product

2024/07/01 SecurityWeek — 7月1日 (月) に Splunk が発表したのは、Splunk Enterprise／Cloud Platform に存在する 16 件の脆弱性に対するパッチである。深刻度の高い問題のうちの３件は、リモートコード実行の脆弱性であるが、悪用の前提条件として認証が必要だとされる。１つ目の脆弱性 CVE-2024-36985 は、低特権ユーザーが ‘splunk_archiver’ アプリケーションを参照するルックアップを通じて、悪用される可能性があるものだ。この問題は、Splunk Enterprise バージョン 9.2.x／9.1.x／9.0.x に影響を及ぼす。すでに Splunk は、Enterprise バージョン 9.2.2／9.1.5／9.0.10 のリリースにより、この脆弱性に対処している。なお、このバグは、’splunk_archiver’ アプリケーションを無効化することでも軽減できる。

Cisco NX-OS のゼロデイ悪用が発見される：カスタム・マルウェアの展開を警告

Cisco warns of NX-OS zero-day exploited to deploy custom malware

2024/07/01 BleepingComputer — Cisco が公表したのは、脆弱なスイッチに root 権限で未知のマルウェアをインストールするという、2024年4月の攻撃で悪用された、NX-OS のゼロデイ脆弱性 CVE-2024-20399 に対する修正である。サイバー・セキュリティ企業の Sygnia は、このインシデントを Cisco に報告し、同社が追跡している脅威アクター “Velvet Ant” による攻撃と関連付けた。Sygnia のインシデント対応の担当ディレクターである Amnon Kushnir は、「Velvet Ant として追跡している、中国由来のサイバー・スパイ・グループに関する大規模なフォレンジック調査中に、この悪用を検出した」と、 BleepingComputer に語っている。

OpenSSH の脆弱性 regreSSHion CVE-2024-6387：無数の Linux システムが危険な状況に！

CVE-2024-6387: Critical OpenSSH Unauthenticated RCE Flaw ‘regreSSHion’ Exposes Millions of Linux Systems

2024/07/01 SecurityOnline — regreSSHion と命名された深刻なセキュリティ脆弱性について、Qualys Threat Research Unit (TRU) はレポートを公開し、無数の Linux システムにリモート・コード実行の脆弱性が残存していることを明らかにした。この脆弱性 CVE-2024-6387 は、glibc ベースの Linux システム上の OpenSSH のサーバ (sshd) に影響を及ぼすものだ。この脆弱性の悪用に成功した、認証されていない攻撃者は、root アクセス権を取得して影響を受けるマシンの完全な制御を奪う可能性を手にする。

LibreOfficeKit の深刻な脆弱性 CVE-2024-5261 が FIX：情報漏えいの恐れ

CVE-2024-5261 (CVSS 10): LibreOffice Patches Critical Vulnerability in LibreOfficeKit

2024/06/30 SecurityOnline — 人気の OSS オフィス・スイート LibreOffice を運営する Document Foundation が緊急に発表したのは、LibreOfficeKit コンポーネントの深刻な脆弱性 CVE-2024-5261 に関するセキュリティ・アドバイザリである。この脆弱性の悪用に成功した攻撃者は、LibreOffice とリモート・サーバーの間で送信されるデータの搾取／操作が可能となり、機密情報の漏洩へといたる恐れがある。

node-ip の GitHub リポジトリが凍結された：開発者が指摘する CVE 発行フローの問題点とは？

Dev rejects CVE severity, makes his GitHub repo read-only

2024/06/30 BleepingComputer — 人気のオープンソース・プロジェクト node-ip の GitHub リポジトリが、その開発者の手により、先日にアーカイブ (読み取り専用) 状態になってしまった。その背景にあるのは、今年の始めに node-ip に対する CVE が提出されたことで、開発者である Fedor Indutny に対して、インターネット上のユーザーからの脆弱性の指摘が集中したことである。残念なことに、今回のケースは、彼に限った出来事ではない。このところ、オープンソースの開発者たちの間で急増しているには、自分のプロジェクトに対して提出された、議論の余地のある CVE レポートや、十分な確認もなしに提出された全くのインチキ CVE レポートを受け取るケースである。

Linux Kernel の権限昇格の脆弱性 CVE-2024-0193：技術的詳細と PoC が提供される

PoC Exploit Published for Linux Kernel Privilege Escalation Flaw (CVE-2024-0193)

2024/06/30 SecurityOnline — Linux Kernel の Netfilter サブシステムに存在する、脆弱性 CVE-2024-0193 (CVSS：7.8) の技術的詳細と PoC エクスプロイト・コードが、あるセキュリティ研究者により公開された。この脆弱性の悪用に成功したローカルの攻撃者は、権限を昇格させて任意のコードを実行し、カーネルに壊滅的なパニックをもたらす可能性を手にする。

Oracle WebLogic の古い脆弱性を悪用：暗号マイナーを展開する Water Sigbin とは？

Water Sigbin Threat Actor Targets Oracle WebLogic Servers to Deploy XMRig Cryptominer

2024/06/30 SecurityOnline — Oracle WebLogic サーバを標的とし、XMRig 暗号通貨マイナーを展開する Water Sigbin という脅威アクター (別名 8220 Gang) による巧妙なキャンペーンが、Trend Micro の研究者たちにより発見された。このグループが主として狙っているのは、暗号マイニング・マルウェアの展開であり、Oracle WebLogic Server の脆弱性 CVE-2017-3506／CVE-2023-21839 などを悪用して、多段攻撃を開始していることが判明している。

D-Link DIR-859 ルーターの脆弱性 CVE-2024-0769：EoL に PoC という状況

Hackers exploit critical D-Link DIR-859 router flaw to steal passwords

2024/06/29 BleepingComputer — D-Link DIR-859 WiFi ルーターの深刻な脆弱性を悪用するハッカーたちが、アカウント情報をデバイスから収集しているが、その中にはパスワードも含まれるという。なお、この脆弱性 CVE-2024-0769 (CVSS：9.8) は、2024年1月に公開されたものだ。

悪意の Chrome エクステンション TRANSLATEXT：機密データを窃取する北朝鮮 Kimsuky の手口とは？

Kimsuky Using TRANSLATEXT Chrome Extension to Steal Sensitive Data

2024/06/28 TheHackerNews — 北朝鮮の脅威アクター Kimsuky が、機密情報を盗むように設計された、新たな悪意の Google Chrome エクステンションを使用して、情報収集活動を展開している。この活動を 2024年3月初旬に観測した Zscaler ThreatLabz は、このエクステンションのコードネームを TRANSLATEXT とし、電子メールアドレス／ユーザー名／パスワード／クッキー／ブラウザのスクリーン・ショットなどを、収集する機能を持つと指摘している。この標的型キャンペーンは、韓国の学術界を狙うものであり、特に北朝鮮の政治問題に関連するアカウントを標的にしたものだと見られている。

Juniper Session Smart Router の認証バイパスの脆弱性 CVE-2024-2973 が FIX

CVE-2024-2973 (CVSS 10): Juniper Session Smart Router Authentication Bypass Vulnerability

2024/06/27 SecurityOnline — Juniper Networks は、最新のサイバーセキュリティ・アドバイザリにおいて、脆弱性 CVE-2024-2973 への対応を公表した。この脆弱性は、Session Smart Router (SSR)／Session Smart Router／WAN Assurance Router 製品群に影響を及ぼし、ネットワーク・セキュリティに深刻な脅威をもたらす。

Avaya IP Office の脆弱性 CVE-2024-4196／4197 が FIX：システム乗っ取りの可能性

Avaya IP Office Users Urged to Patch Critical Flaws (CVE-2024-4196 & CVE-2024-4197)

2024/06/27 SecurityOnline — 世界的なテレフォニー・システムである Avaya IP Office で、深刻な２つの脆弱性 CVE-2024-4196／CVE-2024-4197 が発見された。この脆弱性を悪用するリモートの攻撃者は、影響を受けるシステムを完全に制御する可能性を手にする。

Rockwell Automation ThinManager の深刻な脆弱性が FIX：ただちにパッチを！

Critical Vulnerabilities Uncovered in Rockwell Automation’s ThinManager: Immediate Action Required

2024/06/27 SecurityOnline — Rockwell Automation が発表したのは、ThinManager の深刻な脆弱性３件の発見と、最新バージョンへのアップデートを促すセキュリティ・アドバイザリである。これらの脆弱性は、Tenable Network Security のセキュリティ研究者たちにより、発見／報告されたものであり、CVE-2024-5988／CVE-2024-5989／CVE-2024-5990として追跡されている。悪用に成功したリモートの攻撃者により、影響を受けるデバイス上での、任意のコード実行やサービス拒否状態が引き起こされる恐れがある。

CISA KEV 警告 24/06/26：GeoSolutions／Linux Kernel／ Roundcube の脆弱性を登録

CISA Adds GeoSolutionsGroup Jai-Ext, Linux Kernel, And Roundcube Webmail Bugs To Its Known Exploited Vulnerabilities Catalog

2024/06/27 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、以下の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した：

CVE-2022-24816：GeoSolutionsGroup JAI-EXT におけるコード・インジェクションの脆弱性
CVE-2022-2586：Linux カーネルにおける Use-After-Free 脆弱性
CVE-2020-13965：Roundcube Webmail における Cross-Site Scripting (XSS) の脆弱性

PoC で武器化された脆弱性の 75% は 19日以内に悪用される – Skybox Security

75% of new vulnerabilities exploited within 19 days

2024/06/27 HelpNetSecurity — Skybox Security の “Vulnerability and Threat Trends Report 2024” によると、2023年だけで 30,000 件以上の新たな脆弱性が公表されたという。この新たな脆弱性の件数が示すのは、１週間あたり平均 600件の出現と、約 17分ごとの出現である。この報告書が浮き彫りにしているのは、パッチ適用までの平均期間が 100日を超えているのに対し、”武器化された” 新たな脆弱性の 75％は19日以内に悪用されるという、改善努力における決定的なギャップである。これらの調査結果は、増大するサイバー攻撃のリスクから身を守るために、継続的な暴露管理と最新の脆弱性緩和戦略が緊急に必要であることを強調している。

Canonical が公表した Everything LTS とは？必要最小限の Ubuntu コンテナが攻撃面積を狭める

Canonical Unveils ‘Everything LTS’: 12-Year Security for Custom Docker Images

2024/06/26 SecurityOnline — 6月26日に Canonical は、Long Term Support (LTS) サービスの大幅な拡充を発表し、従来からの “deb” パッケージに加えて、ディストリビューションが不要の Dockerイメージの設計／構築サービスも、新たに提供することを明らかにした。このサービスは、対象となるソフトウェアが事前に Ubuntu でパッケージ化されているかどうかに関係なく、あらゆるオープンソースのアプリケーションや依存関係に対して、12年間のセキュリティ・メンテナンスを提供するものだという。

GitLab の緊急アップデート：脆弱性 CVE-2024-5655 (CVSS 9.6) などが FIX

GitLab Releases Critical Updates to Address Multiple Vulnerabilities

2024/06/26 SecurityOnline — DevOps ライフサイクル・ツールの主要プラットフォームである GitLab は、Community Edition (CE)／Enterprise Edition (EE) 向けのクリティカル・アップデートをリリースした。新バージョンの 17.1.1／17.0.3／16.11.5 には、重要なセキュリティとバグの修正が含まれている。GitLab は全てのユーザーに対して、潜在的な悪用からインストールを保護するため、直ちにアップグレードするよう呼びかけている。

Fortra FileCatalyst Workflow の SQLi 脆弱性 CVE-2024-5276 が FIX：PoC も提供

CVE-2024-5276 (CVSS 9.8): Critical SQLi Flaw in Fortra FileCatalyst Workflow, PoC Available

2024/06/26 SecurityOnline −−− エンタープライズ向けのファイル転送ソリューションとして人気の、Fortra FileCatalyst Workflow に存在する、SQL インジェクションの脆弱性 CVE-2024-5276 (CVSS：9.8) が公表された。この脆弱性の悪用に成功した攻撃者は、アプリケーション・データベース内の機密情報の改ざんに加えて、管理ユーザーの作成／データ削除などの可能性を手にする。

FreeRTOS-Plus-TCP の脆弱性 CVE-2024-38373 が FIX：無数の IoT デバイスが危険な状況

CVE-2024-38373: FreeRTOS-Plus-TCP Flaw Exposes Millions of IoT Devices to Critical Risk

2024/06/26 SecurityOnline — IoT (Internet of Things) デバイスや組み込みシステムで広く使用されている、TCP/IP スタックである FreeRTOS-Plus-TCP に、重大な脆弱性 CVE-2024-38373 (CVSS：9.6) が発見された。この脆弱性の悪用に成功した攻撃者は、リモート・コードを実行が可能となり、何百万台もの接続されたデバイスの、セキュリティと完全性を破壊する可能性を手にする。

CISA／FBI などの共同勧告：多くの OSS プロジェクトで Memory Unsafe 言語が使用されている

CISA: Most critical open source projects not using memory safe code

2024/06/26 BleepingComputer — 6月26日に米国の CISA が公開したレポートは、メモリ欠陥の影響の受けやすさについて、172件の主要オープンソース・プロジェクトを調べた結果をまとめたものだ。CISA／FBI／ASD (Australian Signals Directorate)／ACSC (Australian Cyber Security Centre)／CCCS (Canadian Centre for Cyber Security) によるレポートは、2023年12月に発表された “Case for Memory Safe Roadmaps” に続くものであり、メモリ・セーフなコードの重要性に対する、認識を高めることを目的としている。