Vulnerability – Page 88 – IoT OT Security News

Log4j ライブラリの脆弱性悪用：専門家たちが仕掛けたハニーポットからの情報

Experts monitor ongoing attacks using exploits for Log4j library flaws

2021/12/27 SecurityAffairs — DrWeb の研究者たちは、Apache Log4j ライブラリの脆弱性 (CVE-2021-44228／CVE-2021-45046／CVE-2021-4104／CVE-2021-42550) を悪用した攻撃を監視し、また、防御策を講じる必要性を警告している。これらの脆弱性を悪用することで、脅威アクターによるターゲット・システム上での、任意のコード実行／サービス妨害 (Denial of Service)／機密情報の開示などを許してしまう。

mySCADA myPRO HMI/SCADA の深刻な脆弱性 CVE-2021-44462：リモートからの乗っ取りも？

Critical flaws in myPRO HMI/SCADA product could allow takeover vulnerable systems

2021/12/27 SecurityAffairs — mySCADA myPRO HMI/SCADA は、マルチプラットフォーム対応の Human-Machine Interface (HMI)／Supervisory Control and Data Acquisition (SCADA) システムであり、産業プロセスの視覚化および制御に用いられている。セキュリティ研究者の Michael Heinzl は、mySCADA myPRO 製品群に複数の脆弱性を発見し、その中には深刻度 Critical と評価されるものもある。これらの脆弱性は、myPRO の Version 8.20.0 以前に影響する。

Schneider EVlink の脆弱性：リモートから電気自動車用充電ステーションが狙われる

New Flaws Expose EVlink Electric Vehicle Charging Stations to Remote Hacking

2021/12/27 SecurityWeek — Schneider Electric は、同社の電気自動車用充電ステーション EVlink が、リモート攻撃を受ける可能性があるし、複数の新しい脆弱性にパッチを適用した。Schneider は 12月14日にパッチの提供を発表し、顧客に対してパッチ／緩和策を適用を直ちに行うよう促した。

Log4j 問題に関する CISO の実践的なアドバイス：対処法の繰り返しで良いのか？

Log4j: A CISO’s Practical Advice

2021/12/24 DarkReading — あなたは、おそらく、Log4j の脆弱性について、信頼できる技術的分析をたくさん読んでいることだろう。しかし、そのような分析は、この記事にはない。その代わりに、CISO の役割に費やしてきた私の数十年からの視点と、CISO／CIO 仲間との会話から得られた視点を提供したい。

Log4j インシデントに暴露されたサイバー・セキュリティの駄目なところ

Log4j Reveals Cybersecurity’s Dirty Little Secret

2021/12/23 DarkReading — 技術系メディアが、インターネットが炎上していると報じ始めたら、重大な事態に陥っていることを意味する。Log4Shell と呼ばれる Log4j の脆弱性は、時間の経過と伴に、その深刻さが判明し、範囲と影響が拡大する一方である。米国の Cybersecurity and Infrastructure Security Agency (CISA) や英国の機関などが、直ちに対策を講じることを推奨しており、また、現代のハイテク業界の有名企業たちは、この数年で最も深刻なゼロデイ脅威に対して、深刻な脆弱性を抱えていることが判明している。

Arctic Wolf の Log4Shell Deep Scan スクリプト：入れ子になっている Log4j を探査

Arctic Wolf Script Can Discover Log4Shell Vulnerabilities

2021/12/23 SecurityBoulevard — 今週のこと、マネージド・セキュリティ・サービスを提供している Arctic Wolf は、スキャン・ツールによる Log4Shell 脆弱性の発見を支援するスクリプトを公開した。Arctic Wolf の Field CTO である Ian McShane によると、同社は Log4Shell Deep Scan スクリプトを使用して、ネストされた JAR／WAR／EAR ファイル内の CVE-2021-45046／CVE-2021-44228 の脆弱性を検出している。

Microsoft Office の脆弱性 CVE-2021-40444：パッチ回避とマルウェア投下

Crooks bypass a Microsoft Office patch for CVE-2021-40444 to spread Formbook malware

2021/12/23 SecurityAffairs — Microsoft Office に存在する脆弱性 CVE-2021-40444 (CVSS 8.8) に関して、サイバー犯罪者たちはパッチを回避する方法を見つけ出した。そして、この脆弱性を悪用し、マルウェア Formbook を配布している。CVE-2021-40444 は、MSHTML ファイル・フォーマットに影響を与える、リモートコード実行の脆弱性である。

Log4j 脆弱性とバグ報奨金：大衆のパワーが事態を明確にしてきた

Bug bounty platforms handling thousands of Log4j vulnerability reports

2021/12/22 DailySwig — 世界のソフトウェア・エコシステムに衝撃を与え続けている、Apache Log4j のバグに関連する脆弱性報告が、バグバウンティ・ハンターにより何千件も提出されている。このバグは、オープンソースの Java ロギング・ライブラリ Log4j に存在する、CVSS 値 10 という深刻な欠陥であり、これまでにない数の潜在的な標的に対して、サイバー犯罪者によるリモートコード実行 (RCE) 攻撃を許してしまうものとなる。

Log4Shell を最初に中国政府に報告しなかった Alibaba：これでペナルティは可哀想

China disciplines Alibaba Cloud for handling of Log4j bug

2021/12/22 SCMP — 中国のインターネット・セキュリティ当局が、Alibaba Group Holding のクラウド・コンピューティング・サービス部門を懲戒処分にした。水曜日に中国メディアが報じたところによると、サイバー・セキュリティ業界を震撼させた Apache Log4j ソフトウェアの深刻な脆弱性を、最初に政府に報告しなかったことが原因のようだ。

Azure App Service の深刻な問題：４年間にわたり PHP／Ruby／Python／Node のソースが漏洩

4-Year-Old Bug in Azure App Service Exposed Hundreds of Source Code Repositories

202/12/22 TheHackerNews — Microsoft の Azure App Service におけるセキュリティ上の欠陥により、2017年9月から少なくとも４年間に渡り、Java／Node／PHP／Python／Ruby で書かれた、顧客アプリケーションのソースコードが公開されていたことが明らかになった。

CISA の Apache Log4j スキャナー：CVE-2021-44228 と CVE-2021-45046 に対応

CISA releases Apache Log4j scanner to find vulnerable apps

2021/12/22 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、Apache Log4j のリモートコード実行に関する２つの脆弱性 (CVE-2021-44228／CVE-2021-45046) の影響を受ける、Web サービスを特定するためのスキャナのリリースを発表した。

CISA／FBI／NSA と Five Eyes の共同勧告：Log4Shell 攻撃を遅らせるためのガイダンス

CISA, Five Eyes issue guidance meant to slow Log4Shell attacks

2021/12/22 CyberScoop — 米国の国土安全保障省 (Department of Homeland Security) 傘下の Cybersecurity and Infrastructure Security Agency (CISA) は、Apache の Log4j ソフトウェア・ライブラリに存在する脆弱性により引き起こされる、IT およびクラウド・サービスでの潜在的なリスクに対処する方法について、ベンダーやユーザー組織に対して詳細なガイドを提供するという勧告を発表した。

Microsoft Teams のバグ：３月からフィッシングの脅威にさらされている？

Microsoft Teams bug allowing phishing unpatched since March

2021/12/22 BleepingComputer — Microsoft の発表は、2021年3月以降に報告された Microsoft Teams のリンクプレビュー機能に影響をおよぼす、複数のセキュリティ欠陥について、修正しないか、パッチを延期するというものだった。ドイツの IT セキュリティ・コンサルタント会社 Positive Security の Fabian Bräunlein が発見した４つの脆弱性は、Server-Side Request Forgery (SSRF)、URLプレビューの偽装、IP アドレスの漏洩 (Android) と、Message of Death (Android)と名付けられたサービス拒否 (DoS) につながるものだった。

米国の国土安全保障省：Hack DHS バグバウンティ・プログラムを Log4j に拡大

‘Hack DHS’ bug bounty program expands to Log4j security flaws

2021/12/22 BleepingComputer — 米国の国土安全保障省 (Department of Homeland Security : DHS) は、Log4j の脆弱性の影響を受けた DHSシステムを追跡してくれるバグバウンティ・ハンターにも、Hack DHS プログラムを開放することを発表した。

Active Directory の脆弱性：Windows ドメイン・コントローラ乗っ取りの PoC が公開

Active Directory Bugs Could Let hackers Take Over Windows Domain Controllers

2021/12/21 TheHackerNews — Microsoft は、11月に対処した Active Directory ドメイン・コントローラの２つのセキュリティ脆弱性に関して、12月12日に PoC ツールを公開し、パッチを適用するよう顧客に呼びかけている。この２つの脆弱性は、CVE-2021-42278 および CVE-2021-42287 として追跡されており、深刻度を示す CVSS 値は 7.5 であり、Active Directory Domain Services (AD DS) コンポーネントに影響を与える特権昇格の欠陥を示す。この２つのバグを発見／報告したのは、Catalyst IT の Andrew Bartlett である。

Facebook ページの管理者情報が漏れる脆弱性：ネパールの 19歳が発見して報奨金をゲット

Facebook Patches Vulnerability Exposing Page Admin Identity

2021/12/21 SecurityWeek — Facebook は、ページの管理者の身元を明らかにするために、悪用される可能性のある脆弱性について、ネパールの 10代の研究者に $4,750 のバグバウンティ報酬を支払った。このソーシャル・メディア上で、自社ブランドの認知度を高めようとする企業は、この Facebook ページを利用きまるが、ページの管理権限を持つ Facebook の個人アカウントは非公開となっている。

Log4j の新たな攻撃ベクター WebSocket と３つの脆弱性に関する整理

New Log4j Attack Vector Discovered

2021/12/21 DarkReading — 12月9日に公開された Log4j のリモートコード実行 (RCE) の脆弱性だが、それを狙う攻撃への対応を進めている企業は、いくつかの新たな検討事項を念頭に置いている。Blumira のセキュリティ研究者たちは、内部およびローカルに公開された Log4j アプリケーションに対して、JavaScript による WebSocket 接続を介した、RCE の脆弱性がトリガーされる可能性があることを発見した。

WhiteSource の OSS Tool：Log4j 脆弱性の発見を容易にする

WhiteSource Open Source Tool Can Discover Log4j Vulnerabilities

2021/12/20 SecurityBoulevard — WhiteSource は、Log4j ロギング・ソフトウェアの脆弱なインスタンスを検出するための、オープンソース・ツールを公開した。最近になって公開された Log4j の欠陥は、サイバー犯罪者が Java アプリケーションを介して、リモートコード実行 (RCE) 攻撃を仕掛けることを許してしまう。

Log4j 脆弱性を悪用する侵入者：ベルギー国防総省のネットワークを侵害

Intruders leverage Log4j flaw to breach Belgian Defense Department

2021/12/20 CyberScoop — ベルギー国防省 (Belgian Defense Ministry) のコンピュータ・ネットワークの一部が、Apache Log4j の脆弱性を悪用するサイバー攻撃を受け、木曜日から停止していると、同国の政府関係者が発表した。Olivier Séverin 報道官は VRT ニュースの取材に対して、「この週末は、すべてチームを動員して問題をコントロールし、活動を継続し、パートナーに警告を発している。最優先事項は、ネットワークの運用を継続することであり、引き続き状況を監視していく」と述べている。

CISA の Log4j 緊急指令：さまざまな報告義務は意図どおりに機能するのか？

CISA Issues Emergency Directive on Log4j

2021/12/20 SecurityBoulevard — 人気の Java ベースのロギング・ライブラリ Log4j に存在する、一連の脆弱性への警戒レベルを高めるために、Cybersecurity and Infrastructure Security Agency (CISA) が緊急指令を発出した。この脆弱性は、2021年12月9日に公開された、複数の脅威アクターたちにより活発に悪用されている。

Google 調査：Log4j の影響を受ける Java Packages は 35,863 種類

Google Finds 35,863 Java Packages Using Defective Log4j

2021/12/20 SecurityWeek — コンピュータ・セキュリティ業界は、Log4j のセキュリティ問題が散見される、長くて険しい道のりに気を引き締めている。専門家たちは、ソフトウェアの依存関係にパッチを当てる作業が上手くいかないと、世界的な緩和策が遅れてしまうと警告している。今週に、Google のオープンソース・チームが、Maven Central にある 35,863個のJava パッケージが、欠陥のある Log4j ライブラリ。バージョンを使用していると報告したことで、この危機の規模と影響が明らかになった。(編集部注：Maven Centralは最大かつ最重要な Java パッケージ・リポジトリ)

OT 環境での Log4Shell リスク：防御のための最適な手段を探る

Log4Shell Vulnerability Risks for OT Environments — and How You Can Better Protect Against Them

2021/12/19 SecurityIntelligence — Log4Shell の脆弱性を知らない (対応していない) IT 担当者はいない、と言っても過言ではないだろう。オペレーショナル・テクノロジー (OT) の分野も例外ではないが、この脆弱性が OT テクノロジーにおよぼす影響については、まだ完全には解明されていない。今月の初めに公開された、この脆弱性については、最新のパッチ情報を含め、ココで詳細を確認できる。IT 業界は、ネットワークを強化して不正侵入を防ごうとしているが、OT 環境では更に集中的なアプローチが必要になるかもしれない。

Apache Log4j の３度目のパッチ：Lookup による制御不能な再帰に対応

Apache releases the third patch to address a new Log4j flaw

2021/12/18 SecurityAffairs — 専門家たちが、Log4j ライブラリ上の公開された２つ目の脆弱性 CVE-2021-45046 の悪用を警告する一方で、３つ目のセキュリティ脆弱性も話題になっている。ここでは、Log4j の脆弱性の時系列を整理する。１つ目の脆弱性 CVE-2021-44228 (Log4Shell) は、先週に中国のセキュリティ研究者 p0rz9 が PoC エクスプロイトを公開したことで話題になったものだ。

Log4j 脆弱性：WebSocket を介した新たな攻撃ベクターと参入ランサムウェア

New Local Attack Vector Expands the Attack Surface of Log4j Vulnerability

2021/12/18 TheHackerNews — サイバー・セキュリティ研究者たちが、JavaScript による WebSocket 接続を介して、ローカル・サーバー上の Log4Shell 脆弱性を悪用するという、まったく新しい攻撃ベクターを発見した。

TellYouThePass ランサムウェアが復活：Log4Shell で Linux／Windows への攻撃を準備

TellYouThePass ransomware revived in Linux, Windows Log4j attacks

2021/12/17 BleepingComputer — 攻撃者たちが復活させたのは、TellYouThePass と呼ばれる、以前から存在しているアクティブではないランサムウェアであり、Apache Log4j ライブラリの深刻なリモートコード実行の脆弱性を標的とし、Windows および Linux デバイスへの攻撃のためにディプロイされている。KnowSec 404 Team の Heige は月曜日の Twitter で、Log4Shell と名付けられた脆弱性 CVE-2021-44228 を悪用するランサムウェアが、古い Windows システム上にドロップされたことを確認した後に、一連の攻撃を報告した。

Conti と Log4Shell：大物ランサムウェアは VMware vCenter に狙いを定める

Conti ransomware uses Log4j bug to hack VMware vCenter servers

2021/12/17 BleepingComputer — Conti のランサムウェアは、深刻な脆弱性である Log4Shell を利用して、組織内の VMware vCenter Server インスタンスに素早くアクセスし、仮想マシンを暗号化している。Conti は、この新しい攻撃手法の具体化に時間をかけることなく、Log4j の脆弱性を武器にした、最初の一線級のランサムウェア・ギャングとなった。

ロシアのスパイグループが Log4Shell の悪用を開始：APT28／Turla／Ursnif などによる探索を検知

Russian Cyberspy Groups Start Exploiting Log4Shell Vulnerability

2021/12/17 SecurityWeek — 先日に公開された、Log4Shell の脆弱性を狙う国家のリストにロシアが追加されたが、すでに複数のロシアン・サイバースパイ・グループが悪用を試みている。この、CVE-2021-44228／Log4Shell／LogJam として追跡されている、Log4j の脆弱性の悪用は 12月初旬に始まっている。最初の攻撃報告では、暗号通貨マイナー／DDoS マルウェア／ランサムウェア／悪意のプログラムの配信などの、利益を追求するサイバー犯罪者に関連する活動が報告されていた。

VMware Workspace ONE UEM Console の深刻な SSRF の脆弱性 CVE-2021-22054 が FIX

VMware Patches Critical Flaw in Workspace ONE UEM Console

2021/12/17 SecurityWeek — 木曜日に VMware は、Workspace ONE UEM コンソールに存在する深刻なサーバー・サイド・リクエスト・フォージェリ (SSRF) の脆弱性に対するパッチをリリースした。この脆弱性を悪用する攻撃者は、管理コンソール内の機密データにアクセスする可能性があると、VMware は述べている。CVE-2021-22054 として追跡されている、このセキュリティエラーは、CVSS 9.1 となっている。

Log4Shell という API セキュリティの課題：ユーザー入力／JNDI／LDAP が生み出すモンスター

Log4Shell – The API Security Challenge

2021/12/16 SecurityBoulevard — 先週に発生した Log4Shell CVE-2021-44228 の脆弱性は、現代のアプリケーションや、相互に接続されたサービス、そして普及した API が、いかにしてセキュリティに大きな課題を引き起こすかを示す顕著な例である。長年にわたり、API の脆弱性を調査してきたセキュリティ・リサーチャーとしては、これは、どのようにして物事が上手くいかなくなるかを示す好例だと言いたい。私は最近、この新たな脅威に対する、私の理解を共有するために、このエクスプロイトの詳細を説明するウェビナーに参加した。

米国の国土安全保障省がバグバウンティを実施：Hack DHS プログラムとは？

The DHS is inviting hackers to break into its systems, but there are rules of engagement

2021/12/16 StateOfSecurity — 米国の国土安全保障省 (DHS : Department of Homeland Security) は、悪意の攻撃から自らを守るために、脆弱性の発見やシステムへの侵入を、セキュリティ研究者に呼びかけている。DHS は、「DHS の特定システム内のサイバー・セキュリティ脆弱性を特定し、同省のサイバー・セキュリティの回復力を高めるために、バグバウンティ・プログラム Hack DHS を開始すると発表している。

Log4j の攻撃手法が LDAP から RMI へ：現時点では Monero マイナーが使用

Log4j attackers switch to injecting Monero miners via RMI

2021/12/16 BleepingComputer — Apache Log4j の脆弱性を悪用する一部の脅威アクターたちは、LDAP コールバック URL から RMI への切り替えを図り、また、成功の可能性を最大限に高めるために、１つのリクエストで双方を使用しているようだ。この移行は、進行中の攻撃における顕著な変化であり、すべての潜在的な攻撃ベクターを、防御者が保護しようとする際に注意する必要が生じる。

Microsoft 警告：国家に支援されたハッカーたちが Log4j 悪用を開始

Nation-state hackers aim to exploit Log4j software flaw, Microsoft warns

2021/12/15 CyberScoop — 火曜日に、Microsoft の Threat Intelligence Team が発表したところによると、中国／北朝鮮／イラン／トルコの政府に関連するハッカーたちが、Apache Log4j の脆弱性を利用する方法を模索しているとのことだ。この脆弱性を利用して、米国の連邦政府機関を標的した例はないが、依然として攻撃を警戒していると、Cybersecurity and Infrastructure Security Agency (CISA) が述べている。

Log4j の２つ目の脆弱性 CVE-2021-45046 が悪用されている：３つ目の脆弱性も浮上

Hackers Begin Exploiting Second Log4j Vulnerability as a Third Flaw Emerges

2021/12/15 TheHackerNews — 水曜日に、Web インフラ企業である Cloudflare は、幅広く利用されている Log4j ロギング・ユーティリティーの２つ目のバグを悪用しする脅威が存在することを明らかにした。パッチを適用していないシステムに対して、多様なマルウェアによる攻撃が続いているため、顧客は最新バージョンのインストールを迅速に行う必要がある。

Log4J と攻撃者たち：IT／IoT／OT を狙うランサムウェア・ギャングから国家支援ハッカーまで

Attackers Target Log4J to Drop Ransomware, Web Shells, Backdoors

2021/12/15 DarkReading — 新たに公開された Log4j の脆弱性を利用して、ランサムウェア／リモートアクセス型トロイの木馬／Web シェルなどを、脆弱なシステム上に展開しようとするアクティビティが、少なくとも１つの国家機関を含む脅威アクターたちにより行われている。その一方で、複数のユーザー組織が、このログツールの脆弱性を含むバージョンをダウンロードし続けている。

Slack API の悪用：国家支援ハッカーが航空会社にバックドアを仕掛ける

State-sponsored hackers abuse Slack API to steal airline data

2021/12/15 BleepingComputer — イランが国家支援すると疑われている脅威アクターが、新たに発見された Aclip というバックドアを展開し、Slack API を悪用して秘密の通信を行っている。この脅威アクターの活動は 2019年に始まり、無名のアジアの航空会社を標的にしてフライト予約データを盗み出している。IBM Security X-Force のレポートによると、この脅威アクターは、世界中の組織を標的にして非常に活発に動き続けるハッキンググループ MuddyWater こと、ITG17 である可能性が高いとのことだ。

CISA の Log4j 対策：Log4Shell による被害の範囲と深刻さを把握したい

CISA probes scope, potential fallout of Log4j vulnerability

2021/12/14 CyberScoop — この火曜日に、米政府のサイバー担当トップが語ったところによると、Cybersecurity and Infrastructure Security Agency (CISA) では、Apache Log4j の脆弱性を悪用したハッカーによる連邦政府機関への危害を確認していないが、この脆弱性を原因とする広範な攻撃を依然として恐れているという。

米国 CISA から連邦政府各組織へ：Log4Shell への対応を 12月24日までに完了せよ

US CISA orders federal agencies to fix Log4Shell by December 24th

2021/12/14 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、連邦政府の各組織に対して 2021年12月24日までに、Log4j ライブラリに存在する深刻な脆弱性 Log4Shell に対処するよう命じた。この命令は、脆弱性 Log4Shell を悪用する脅威アクターによるたちが、政府システムを攻撃することを防ぐことを目的としている。

Log4Shell 攻撃で最初のランサムウェアを検出：Khonsari はワイパー型マルウェアかも？

New ransomware now being deployed in Log4Shell attacks

2021/12/14 BleepingComputer — 脆弱性 Log4Shell が、ランサムウェアのダウンロード／インストールに使用されるという、最初の事例が研究者により発見された。先週の金曜日に、Java ベースのロギング・プラットフォーム Apache Log4j に存在する、Log4Shell (CVE-2021-44228) と名付けられた深刻なゼロデイ脆弱性に対するエクスプロイトが公開された。Log4j は、開発者が Java アプリケーションに対して、エラーやイベントのログを追加するための開発フレームワークである。

Log4j の悪用：企業ネットワークの 40% が攻撃者の標的になり得る

40% of Corporate Networks Targeted by Attackers Seeking to Exploit Log4j

2021/12/14 DarkReading — Log4j の脆弱性が、インターネット・セキュリティにとって最大の脅威の１つであるという初期の懸念は、週末に爆発的に増加した脆弱性の悪用と悪用活動により早急に確認されており、企業が行うべき修復作業の膨大さが明らかになっている。

Microsoft 2021-12 月例アップデートは６件のゼロデイと 67件の脆弱性に対応

Microsoft December 2021 Patch Tuesday fixes 6 zero-days, 67 flaws

2021/12/14 BleepingComputer — 今日は、Microsoft の December 2021 Patch Tuesday であり、それに伴い、６つのゼロデイ脆弱性と合計で67件の欠陥が修正された。これらのアップデートには、マルウェアの配布キャンペーンで積極的に悪用されている、Windows Installer の脆弱性の修正も含まれている。Microsoft は、今日のアップデートで 55件の脆弱性 (Microsoft Edge を除く) を修正し、７件を Critical に、60件を Important に分類した。

Google Chrome の緊急アップデート：ワイルドに悪用されているゼロデイ脆弱性

Google pushes emergency Chrome update to fix zero-day used in attacks

2021/12/13 BleepingComputer — Google は、Chrome 96.0.4664.110 の Windows／Mac／Linux 用をリリースし、ワイルドに悪用されている深刻度の高いゼロデイ脆弱性に対応した。今日のセキュリティ・アドバイザリで Google は、「脆弱性 CVE-2021-4102 をワイルドに悪用する事例があるという報告を認識している」と述べている。

Dell 製ドライバーに存在し続ける Windows Kernel レベル攻撃の脆弱性

Dell driver fix still allows Windows Kernel-level attacks

2021/12/13 BleepingComputer — 2021年5月に、Dell 製のドライバーに存在する５つの脆弱性が、まとめて CVE-2021-21551 として公開されたが、それは 12年間にわたる悪用の末の修正でもある。しかし、Dell の修正は、さらなる悪用を防ぐために、十分な包括的なものとは言えず、セキュリティ研究者が警告しているように、今後の BYOVD (Bring Your Own Vulnerable Driver) 攻撃の格好の候補となっている。

CISA の Log4j 警告：数億のデバイスに影響する最も深刻な問題の１つだ

CISA warns ‘most serious’ Log4j vulnerability likely to affect hundreds of millions of devices

2021/12/13 CyberScoop — 月曜日の電話ブリーフィングで、Cybersecurity and Infrastructure Security Agency (CISA) の Director である Jen Easterly は業界のリーダーたちに、広く使用されているロギング・ライブラリの脆弱性 CVE-2021-44228 について、「最も深刻ではないにしても、これまで見てきた中で最も深刻なものの１つである」と述べた。

Log4Shell 攻撃を予測：不正スキャン／クリプトマイナー／Mirai／Cobalt Strike

Hackers start pushing malware in worldwide Log4Shell attacks

2021/12/12 BleepingComputer — 脅威アクターたちは、Log4j Log4Shell CVE-2021-44228 の脆弱性をスキャン／悪用し、脆弱なサーバを見つけ出しマルウェアの展開などを行っている。この記事では、Log4j の脆弱性を悪用する既知のペイロード／スキャン／攻撃をまとめている。周知の通り、金曜日の早朝に、Web サーバーやアプリケーションのログ・アクセスに使用される、Java ベースのログ・プラットフォーム Apache Log4j に存在する、「Log4Shell」と呼ばれる深刻なゼロデイ脆弱性のエクスプロイトが公開された。

Apache Log4Shell 脆弱性：Cybereason がワクチン Logout4Shell を発表

Researchers release ‘vaccine’ for critical Log4Shell vulnerability

2021/12/10 BleepingComputer — サイバー・セキュリティ企業 Cybereason の研究者たちは、インターネット上で猛威を振るっている、Apache Log4j に存在するコード実行脆弱性 Log4Shell を、リモートから緩和させるワクチンを発表した。Apache Log4j とは、Webサーバーのアクセスログや、アプリケーションのログを分析するための、Java ベースのロギング・プラットフォームである。このソフトウェアは、エンタープライズおよび eコマース・プラットフォームなどで多用され、本日未明にパッチ版が配布された Minecraft などのゲームでも利用されている。

OWASP ModSecurity Core Rule Set サンドボックスが登場：新たな CVE の研究が効率化される

OWASP ModSecurity Core Rule Set sandbox launched to help security researchers test new CVEs

2021/12/10 DailySwig — OWASP ModSecurity Core Rule Set に対してペイロード・テストを行うセキュリティ研究者たちが、プロジェクト・メンテナがリリースした新しいサンドボックスを使えるようになったという朗報である。この Core Rule Set (CRS) とは、ModSecurity および、互換性のある Web Application Firewalls (WAF) で使用するための、一般的な攻撃検知ルールのセットである。その目的は、OWASP Top Ten を含む広範な攻撃から、Webアプリケーションを保護することにある。

Log4j Java library の深刻なゼロデイ脆弱性 CVE-2021-44228 に対処するには？

New zero-day exploit for Log4j Java library is an enterprise nightmare

2021/12/10 BleepingComputer — ユビキタスな Java ベースのロギング・ライブラリである Apache Log4j の、深刻なゼロデイ脆弱性の PoC エクスプロイトがオンラインで共有されたことで、ホーム／エンタープライズ・ユーザーが、リモートコード実行の攻撃にさらされる可能性が生じている。

Dark Mirai ボットネット：TP-Link の脆弱性 CVE-2021-41653 を狙っている

Dark Mirai botnet targeting RCE on popular TP-Link router

2021/12/09 BleepingComputer — Dark Mirai (通称：MANGA) と呼ばれるボットネットが、2017年に発売されたホームルーター TP-Link TL-WR840N EU V5 に存在する、新たな脆弱性を悪用していることが確認された。この欠陥は、CVE-2021-41653 として追跡されており、認証されたユーザーがデバイス上でコマンドを実行するために使用する、脆弱な host 変数が原因となっている。

Hikvision の脆弱性 CVE-2021-36260：Mirai ベースの Moobot ボットネットが狙っている

Moobot botnet spreads by exploiting CVE-2021-36260 flaw in Hikvision products

2021/12/09 SecurityAffairs — Mirai_based Moobot ボットネットは、Hikvision の Web サーバーに存在する、コマンド・インジェクションの脆弱性 CVE-2021-36260 を悪用して、急速に広まっている。Moobot は、2021年2月に Palo Alto Unit 42 の研究者たちにより発見されたものだが、最近の攻撃ではマルウェアの機能が強化されていることが判明している。

Salt Security レポート：REST API の後継とされる GraphQL の脆弱性について

Salt Security Report Surfaces GraphQL API Vulnerabilities

2021/12/08 SecurityBoulevard — 今日、Salt Security は、非公開の金融サービス企業が実装している、GraphQL API で発見された脆弱性を紹介するレポートを発表した。Salt Security の Technical Evangelist である Michael Isbitski によると、同社の研究者が確認した限りでは、この脆弱性の悪用は検知されていない。しかし、このレポートは、REST API に代わるものとして、開発者が広く使用し始めている、この新しいクラスの API 保護の必要性を、セキュリティ・チームに警告するものになる。