Vulnerability – Page 93 – IoT OT Security News

Fortinet が root RCE の脆弱性 CVE-2021-32589 を FIX

Fortinet fixes bug letting unauthenticated hackers run code as root

2021/07/20 BleepingComputer — Fortinet は、ネットワーク管理ソリューションである FortiManager と FortiAnalyzer をアップデートし、最高権限での任意のリモートコード実行 (RCE : Remote Code Execution) という深刻な脆弱性を修正した。FortiManager と FortiAnalyzer は、最大で 10万台のデバイスに対応する、エンタープライズ・グレードのネットワーク管理ソリューションである。

Juniper 製品ポートフォリオの多数の脆弱性にパッチが提供された

Juniper Patches Critical Third-Party Flaws Across Product Portfolio

2021/07/19 SecurityWeek — Juniper Networks は、同社製品ポートフォリオ全体にわたる多数の脆弱性をカバーするセキュリティパッチを出荷し、そこで用いられるサードパーティ・ソフトウェアに含まれる一連の重要なバグにも対応した。最も深刻な脆弱性は、Juniper Networks SBR Carrier with EAP におけるスタック・オーバーフローであり、CVE-2021-0276 (CVSSスコア9.8) として追跡されるものだ。

中国政府が義務化するゼロデイ脆弱性情報の報告とは？

China’s New Law Requires Vendors to Report Zero-Day Bugs to Government

2021/07/17 TheHackerNews — 中国の Cyberspace Administration of China (CAC) は、脆弱性開示に関する厳格な規則を新たに発布し、重大な欠陥の影響を受けたソフトウェア／ネットワークのベンダーは、政府当局に対して２日以内にダイレクトに開示することを義務付けた。この Regulations on the Management of Network Product Security Vulnerability 規則は、2021年9月1日から施行される予定であり、セキュリティ脆弱性の発見／報告／修復／公開を標準化し、セキュリティ・リスクを低減することを目的としている。

Google Chrome のゼロデイ・エクスプロイトが FIX

Google patches 8th Chrome zero-day exploited in the wild this year

2021/07/16 BleepingComputer — Google は、Chrome 91.0.4472.164 を Windows / Mac / Linux 向けにリリースし、7つの脆弱性を修正した。そのうちの１つは、すでに悪用されている、深刻度の高いゼロデイ脆弱性である。Google は、「脆弱性 CVE-2021-30563 の、エクスプロイトが存在するという報告を認識している」と明らかにしている。

脅威モデリングを自動化する時代へと突入する？

Threat Modeling in the Age of Automation

2021/07/16 SecurityBoulevard — サイバー・セキュリティの脅威は急速に増加しており、アプリケーションを構築する企業は、将来の攻撃に耐えるためのコアとなる脅威モデルを含めて、予防原則に基づくセキュリティ対策を検討するようになってきた。しかし、Security Compass の最近の調査によると、ソフトウェア開発の初期段階 (要件の収集／設計) において、脅威モデルを取り入れている企業はわずか 25% だった。さらに、開発したアプリケーションの 90％以上において、脅威モデルを取り入れていると回答した企業は 10％未満であり、脅威モデルの自動化や統合において半数以上の企業が課題を抱えていることが分かった。

イスラエルのサイバー兵器企業がスパイウェアを各国政府に売っている？

Israeli Firm Helped Governments Target Journalists, Activists with 0-Days and Spyware

2021/07/16 TheHackerNews — 今週初めの Microsoft Patch Tuesday で修正された、Windows のゼロデイ脆弱性のうち２つは、イスラエルの Candiru により一連の高精度な攻撃に利用され、世界中のジャーナリスト／学者／活動家／政治的反体制派をなど、100人以上の人々がハッキングされた。University of Toronto の Citizen Lab が発表したレポートによると、このスパイウェア・ベンダーは、Chrome ブラウザの複数のゼロデイ脆弱性を悪用してアルメニアの被害者を狙っていたことを、Google の Threat Analysis Group (TAG) が明らかにした、商業監視会社であることが正式に判明した。

D-Link DIR-3040 のパスワード・ハードコードなどの脆弱性が FIX

D-Link issues hotfix for hard-coded password router vulnerabilities

2021/07/16 BleepingComputer — D-Link は、AC3000 ベースの WiFi ルーター DIR-3040 に存在する、複数の脆弱性に対処するため、ファームウェアの Hotfix を発行した。これらの脆弱性により、ルーター上での任意のコード実行／機密情報への不正アクセス／サービス拒否状態などを引き起こされ、ルーターがクラッシュする可能性があるため、パッチの適用は必須となる。

Microsoft Defender for Identity が PrintNightmare 攻撃を検知する

Microsoft Defender for Identity now detects PrintNightmare attacks

2021/07/16 BleepingComputer — Microsoft Defender for Identity に PrintNightmare 悪用検知機能を追加されたことで、この重要な脆弱性を悪用しようとする攻撃者を、SecOps チームが検知できるようになった。Microsoft の PM である Daniel Naim が明らかにしたように、Defender for Identityは、Windows Print Spooler サービスの悪用 (CVE-2021-34527 PrintNightmare バグを含む) を特定し、組織のネットワーク内での脅威アクターの横移動を阻止するのに役立つ。

Zerodium ゼロデイ・ブローカーが VMware vCenter の RCE 脆弱性を募集している

Exploit broker Zerodium is looking for VMware vCenter Server exploits

2021/07/15 SecurityAffairs — ゼロデイ・エクスプロイト・ブローカーである Zerodium が、VMware vCenter Server のゼロデイ・エクスプロイトを募集していることを発表した。vCenter Server は、VMware の集中管理ユーティリティであり、仮想マシン／ESXi ホストと、それらに依存するコンポーネントを、単一の集中管理理ケーションから管理するために使用される。

SonicWall がサポートを終了した旧式の VPN アプライアンスがランサムウェアの標的に

Ransomware Attacks Targeting Unpatched EOL SonicWall SMA 100 VPN Appliances

2021/07/15 TheHackerNews — ネットワーク機器メーカーの SonicWall は、サポートが終了しパッチが適用されない 8.x ファームウェアを実行している、Secure Mobile Access (SMA) 100シリーズおよび Secure Remote Access (SRA) を標的としたランサムウェア・キャンペーンについて、顧客に対する緊急的な警告を発している。

ペンテストを頑張っても同じ脆弱性が再発するのは何故だろう？

Despite Pen Testing Efforts, Stubborn Vulnerabilities Persist

2021/07/14 SecurityBoulevard — エンタープライズ・ソフトウェアの脆弱性対策に携わるセキュリティ専門家にとって、同じ種類の脆弱性に対してパッチや緩和策を繰り返すのは、まるで「聖濁節」のように思えることがある。クラウドソースのペネトレーション・テストを提供する、Cobalt が発表したレポートによると、この既視感は決して気のせいではないようだ。Cobalt のデータベースによると、ソフトウェアの脆弱性の中で最も一般的な５つのカテゴリーは、この３年間に渡ってほぼ同じであることが分かった。

SolarWinds Serv-U ゼロデイ攻撃には中国の DEV-0322 ハッキング・グループが関与？

China-linked hacking group DEV-0322 behind Solarwinds Serv-U zero-day attacks

2021/07/14 SecurityAffairs — Microsoft によると、最近の SolarWinds ファイル転送サーバーに対する攻撃は、DEV-0322 として追跡されている、中国のハッキング・グループにより行われているようだ。今週、SolarWinds は、Serv-U 製品に存在する、ゼロデイのリモートコード実行の脆弱性 CVE-2021-35211 に対処した。この問題は、Serv-U Managed File Transfer Server および Serv-U Secured FTP が対象となる。

Google: ロシアン・ハッカーたちが Safari ゼロデイで LinkedIn ユーザーを狙う

Google: Russian SVR hackers targeted LinkedIn users with Safari zero-day

2021.07/14 BleepingComputer — Google Threat Analysis Group (TAG) と Google Project Zero の研究者たちは、Google Chrome / Internet Explorer / Apple Safari で使用されている WebKit の、４つのゼロデイ脆弱性を明らかにした。今年の初めに Google の研究者により発見された４つのゼロデイ・エクスプロイトは、悪用の実例があるものになった。

・ Chrome の CVE-2021-21166 / CVE-2021-30551
・ Internet Explorer の CVE-2021-33742
・ WebKit (Safari) の CVE-2021-1879

Schneider Modicon PLC に存在する ModiPwn という名の深刻な脆弱性

ModiPwn flaw in Modicon PLCs bypasses security mechanisms

2021/07/13 SecurityAffairs — IoT セキュリティ企業である Armis の研究者たちが、Schneider Electric のModicon PLC の一部に影響を及ぼす、認証バイパスの脆弱性 CVE-2021-22779 (ModiPwnと呼ばれる) を発見した。この脆弱性が、対象となる PLC へのネットワーク・アクセス権を持つ、認証されていない攻撃者により悪用されされることで、その PLC を完全に制御することが可能だ。

SolarWinds ゼロデイの悪用により米防衛機関が標的に

Hackers use new SolarWinds zero-day to target US Defense orgs

2021/07/13 BleepingComputer — 中国を拠点とするハッカーたちが、SolarWinds Serv-U FTP Server の脆弱性を利用して、米国の防衛機関や関連するソフトウェア企業を積極的に攻撃している。本日、SolarWinds Serv-U に存在し、SSH が有効な場合にリモート・コード実行にいたる、ゼロデイ脆弱性に対するセキュリティ・アップデートを公開した。

米政府機関の Windows PrintSpooler バグを FIX するために CISA が緊急指令を発動

CISA orders federal agencies to patch Windows PrintNightmare bug

2021/07/13 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、ネットワーク上で積極的に悪用されている Window Print Spooler の脆弱性を緩和するよう、連邦政府機関に対して新たな緊急指令を発令した。7月9日 (金) に Microsoft が、サポートされる全 Windows バージョンで PrintNightmare と呼ばれる脆弱性に対処するために、セキュリティ・アップデートを公開した後に、CISA は緊急指令 21-04 を発動した。

Microsoft 2021-07 月例アップデートは 9件のゼロデイと 117件の脆弱性に対応

Microsoft July 2021 Patch Tuesday fixes 9 zero-days, 117 flaws

2021/07/13 BleepingComputer — 本日、Microsoft は July 2021 Patch Tuesday で、9件のゼロデイ脆弱性と合計 117件の脆弱性を修正した。そのうち 13件が Critical、103件が High、1件が Medium に分類されている。117件の脆弱性のうち、44件がリモートコード実行、32件が特権昇格、14件が情報漏えい、12件がサービス拒否、8件がセキュリティ・バイパス、7件が成りすましの脆弱性となっている。セキュリティ以外の Windows の更新プログラムについては、本日の Windows 10 KB5004237 & KB5004245 累積更新プログラムを参照してほしい。

フィッシングやランサムウェアがデータ侵害を増幅していく

Phishing, Ransomware Driving Wave of Data Breaches

2021/07/12 SecurityBoulevard — 2021年も前半が終わったが、５月だけを除いて毎月、データ侵害が増加している。この傾向が続くとして、つまり毎月の平均である 141件の新たな侵害が発生するとして、今年の合計は2017年のワースト記録である 1,632件を上回ることになる。これらのデータは、非営利団体である Identity Theft Resource Center (ITRC) が発表した、最新のデータ侵害分析レポートで明らかにされたものであり、米国のデータ侵害は 2021年 Q2 で 491件となり、Q1 との比較で 38％の増加となっている。

ForgeRock Access Manager の RCE 脆弱性が悪用されている

Critical RCE Flaw in ForgeRock Access Manager Under Active Attack

2021/07/12 TheHackerNews — ForgeRock のアクセス管理ソリューション OpenAM に存在する脆弱性が悪用され、影響を受けたシステム上でリモートからの任意のコード実行が生じる可能性があると、オーストラリアと米国のサイバー・セキュリティ機関が警告している。Australian Cyber Security Centre (ACSC) は、この脆弱性を悪用して複数のホストを危険にさらし、追加のマルウェアやツールを展開する行為を確認した。

Cisco BPA / WSA の深刻な脆弱性が FIX

Cisco fixes High Severity issue in BPA and WSA

202/07/09 SecurityAffairs — Cisco の Business Process Automation (BPA) および Web Security Appliance (WSA) における、深刻度の高い脆弱性に対するセキュリティ・パッチが公開された。このパッチは、Business Process Automation (BPA) に存在する２つの脆弱性 CVE-2021-1574 / CVE-2021-1576 を修正するものであり、認証された攻撃者によるリモートからの悪用と、管理者への不正な権限昇格に対応するものとなる。これらの問題は、Business Process Automation (BPA) の Web-based インターフェイスに存在し、CVSSスコアは 8.8 である。これらの脆弱性は、特定の機能や機密情報を含むログ・ファイルへのアクセスにおける、不適切な権限付与に起因している。

100万ドルの手付金でゼロデイ・エクスプロイトを買い付けるハッカーとは？

Hacker deposited $1M in a popular cybercrime marketplace to buy zero-day exploits

2021/07/08 SecurityAffairs — 脅威インテリジェンス企業である Cyble の研究者たちによると、integra という名前でオンライン活動を行っている脅威アクターが、他のフォーラム・メンバーからゼロデイ・エクスプロイトを購入する目的で、あるサイバー犯罪フォーラムに 26.99 Bitcoin を入金していたことが判明した。専門家によると、2012年9月に integra は、サイバー犯罪フォーラムにメンバーとして参加しており、時間の経過とともに高い評価を得ているようだ。

Morgan Stanley のサードパーティ Accellion にデータ侵害が発生

Morgan Stanley reports data breach after vendor Accellion hack

2021/07/08 BleepingComputer — 投資銀行の Morgan Stanley は、サードパーティ・ベンダーである Accellion FTA サーバーに攻撃者が侵入したことで、同社顧客の個人情報を盗み出されたことを報告した。Morgan Stanley は、投資銀行業務／証券業務／資産運用／投資管理サービスを提供する、世界有数の金融サービス企業である。米国の多国籍企業である同社の顧客には、41カ国以上の企業／政府／団体／個人が含まれている。

CISA 勧告：Philips Vue ヘルスケア製品に 15 の脆弱性

CISA Says Philips Vue Healthcare Products Affected by 15 Vulnerabilities

2021/07/07 SecurityWeek — 昨日、米国 Cybersecurity and Infrastructure Security Agency (CISA) は、Philips のヘルスケア製品 Vue に影響を及ぼす 15件の脆弱性について、各組織に周知するための勧告を発表した。CISA によると、欠陥の多くはサードパーティのコンポーネントに存在し、MyVue / Vue Speech / Vue Motion を含む、複数の Philips Clinical Collaboration Platform Portal (Vue PACS) に影響を及ぼす。これらのセキュリティホールは、不適切な入力検証／メモリ操作／認証処理／リソース処理／保護メカニズム／暗号処理／データ整合性や、クロスサイト・スクリプティングなどに関連するものである。

SonicWall NSM の深刻な脆弱性 CVE-2021-20026 が FIX された

SonicWall addresses critical CVE-2021-20026 flaw in NSM devices

2021/07/06 SecurityAffairs — Positive Technologies の研究者である Nikita Abramov が、SonicWall の Network Security Manager (NSM) に影響を与えるコマンド・インジェクションの脆弱性 CVE-2021-20026 の詳細を発表した。5月末に SonicWall は、オンプレミス版の Network Security Manager (NSM) に影響をおよぼす脆弱性 CVE-2021-20026 について、直ちに対処するよう顧客に呼びかけていた。

QNAP NAS の深刻な脆弱性 CVE-2021-28809 が FIX した

QNAP addressed a critical flaw that allows compromising NAS devices

2021/07/06 SecurityAffairs — 台湾のベンダーである QNAP は、深刻な脆弱性 CVE-2021-28809 を修正した。この脆弱性が攻撃者に悪用されると、脆弱な NAS デバイスを危険にさらす可能性がある。この脆弱性は、HBS 3 Hybrid Backup Sync の特定のレガシー・バージョンに影響するものであり、TXOne IoT/ICS Security Research Labs の Ta-Lun Yen がベンダーに報告したものだ。

Kaseya を襲った REvil ランサム被害が拡大している

REvil is increasing ransoms for Kaseya ransomware attack victims

2021/07/04 BleepingComputer — REvil ランサムウェア・ギャングは、金曜日の Kaseya ランサムウェア攻撃における身代金の要求額を増やしている。REvilのようなランサムウェア・ギャングが攻撃を行う際には、財務情報や、サイバー・セキュリティ保険契約、盗み出したデータなどを分析することで、被害者の支払い能力を確かめる。そして、暗号化したデバイス数や、盗み出したデータ量をもとに交渉を行い、被害者が支払えると思われる金額を、身代金として提示する。

Kaseya のゼロデイ脆弱性が FIX の直前に REvil に悪用されてしまった

Kaseya was fixing zero-day just as REvil ransomware sprung their attack

2021/07/04 BleepingComputer — オンプレミスの Kaseya VSA Server に侵入するために使用されたゼロデイ脆弱性は、金曜日に生じた REvil ランサムウェア・ギャングの大規模な攻撃に対応するために、まさに修正されている最中にあった。この脆弱性は、Dutch Institute for Vulnerability Disclosure (DIVD) のセキュリティ研究者により、少し前から Kaseya に開示されており、顧客に提供されるパッチは検証の段階にあった。

スウェーデンのスーパーマーケット Coop が Kaseya 攻撃により 500店舗を閉鎖

Coop supermarket closes 500 stores after Kaseya ransomware attack

2021.07/03 BleepingComputer — スウェーデンのスーパーマーケット Coop は、MSP (managed service providers) を標的とした REvil ランサムウェアのサプライチェーン攻撃の影響を受け、約500店舗を閉鎖しました。7月2日の夜に、MSP と顧客をターゲットにした REvil ランサムウェア・ギャングが、Kaseya VSA (remote patch management and monitoring uite) を介して大規模なサプライチェーン攻撃を行ったことで、このスーパーマーケット・チェーンは店舗を閉じることになった。

WAGO の PLC/HMI にはリモート攻撃を許す脆弱性が存在する

Vulnerabilities in WAGO Devices Expose Industrial Firms to Remote Attacks

2021/07/02 SecurityWeek — 電気接続および自動化のソリューションを提供する、ドイツの WAGO 製 PLC と HMI に、重要かつ深刻度の高い脆弱性が確認された。ドイツの CERT@VDE が発表した勧告によると、同社の PLC PFC100/PFC200、Edge Controller、HMI Touch Panel 600 には、４種類のメモリー関連の脆弱性が存在し、iocheckd サービスの I/O-Check に影響を与える可能性がある。

Microsoft Windows PrintNightmare セロデイ脆弱性を緩和するには？

Microsoft shares mitigations for Windows PrintNightmare zero-day bug

2021/07/02 BleepingComputer — Microsoft は、Windows Print Spooler のゼロデイ脆弱性 PrintNightmare を狙った、攻撃を阻止するための緩和策を提供している。このリモートコード実行 (RCE : remote code execution) のバグは、CVE-2021-34527 として追跡されている。Microsoft によると、すべての Windows に影響があるが、この脆弱性の悪用については調査中とのことだ。

Microsoft Azure PowerShell の RCE 脆弱性が FIX

Microsoft urges Azure users to update PowerShell to fix RCE flaw

2021/07/02 SecurityAffairs — Microsoft は Azureユーザーに対して、深刻度の高いリモートコード実行の脆弱性 CVE-2021-26701 からシステムを保護するために、PowerShell 7.0/7.1 から 7.0.6/7.1.3 へとアップデートすることを推奨している。Microsoft が公開したアドバイザリには、「PowerShell 7.0/7.1 から Azure リソースを管理している場合、.NET Core のリモート。コード実行の脆弱性に影響を受けるため、PowerShell の新バージョンをリリースした。

API ファースト時代のアプリケーション保護を再考する

Rethinking Application Security in the API-First Era

2021/07/01 TheHackerNews — API ファーストの時代において、アプリケーションの保護は困難な戦いである。開発が加速するにつれ、責任の所在が不明確になり、コントロール自体が困難になる。いまこそ、API ファースト時代の新たな優先順位や原則、そしてプロセスを反映したアプリケーション・セキュリティ戦略を再考する時だ。明日のアプリケーションを保護するには、今日のビジネ・スリスクを評価することから始まる。

米保険大手の AJG にデータ侵害が発生したのは昨年のランサム攻撃のせい？

US insurance giant AJG reports data breach after ransomware attack

2021/07/01 BleepingComputer — Arthur J. Gallagher (AJG 世界最大級の保険ブローカー) は、2020年9月下旬に受けたランサムウェア攻撃により、影響を受けた可能性のある顧客に対して、情報漏えい通知書を郵送している。AJG は、「サイバー・セキュリティおよびフォレンジックの専門家と協力して、何が起こったのか、どのような情報が影響を受けたのかを確認した。

NSA : Russian GRU ハッカーたちは Kubernetes を悪用してブルートフォースを仕掛ける

NSA : Russian GRU hackers use Kubernetes to run brute force attacks

2021/07/01 BleepingComputer — National Security Agency (NSA) は、ロシアの国家に支援されるハッカーたちが。米国のネットワークから電子メールやファイルを盗むために、ブルートフォース攻撃を行っていると警告している。NSA は、7月1日に発表した勧告のにおいて、Russian GRU の 85th Main Special Service Center (GTsSS) の軍事ユニット 26165 が、2019年から Kubernetes のクラスターを悪用することで、米国政府や国防総省などの組織にパスワード・スプレー攻撃を行っていると述べた。

GitHub がリリースする Copilot は AI 搭載のコード・コンプリーション・ツール？

GitHub Launches ‘Copilot’ — AI-Powered Code Completion Tool

2021/06/30 TheHackerNews — 火曜日に GitHub がテクニカル・プレビューを開始した、AI 搭載の新たな Pair Programming Tool は、Python / JavaScript / TypeScript / Ruby / Go などでプログラミングする際に、ソフトウェア開発者がより良いコードを書けるようにすることを目的としている。この Copilot という名のツールは、OpenAI と共同で開発されたコード・シンセサイザーであり、Codex という新たな AI システムを活用している。

Adobe Experience Manager の認証バイパスの脆弱性が大手企業に影響をおよぼしている

Authentication Bypass in Adobe Experience Manager Impacts Large Organizations

2021/06/29 SecurityWeek — Adobe Experience Manager (AEM) は、Web サイトやモバイル・アプリの構築に用いられる CMS (content management solution) であると同時に、開発者によるコンテンツやアセットの管理にも活用される。Detectify Crowdsource Community の研究者である Ai Ho と Bao Bui が、この製品に認証バイパスの脆弱性があることを発見した。

Cisco ASA の脆弱性が FIX して PoC エクスプロイトも公開

Cisco ASA vulnerability actively exploited after exploit released

2021/06/27 BleepingComputer — Cisco ASA にはクロスサイト・スクリプティング (XSS) の脆弱性があり、CVE-2020-3580として追跡されている。Cisco は 2020年10月に、この脆弱性を初めて公表し、修正プログラムを発行した。しかし、CVE-2020-3580 に対する最初のパッチは不完全であり、2021年4月にも修正プログラムが公開された。

FortiWeb WAF にリモートからの OS コマンド・インジェクションの脆弱性が

Flaws in FortiWeb WAF expose Fortinet devices to remote hack

2021/06/25 SecurityAffairs — 先日に Fortinet は、FortiWeb web application firewall (WAF) に深刻度の高い脆弱性 CVE-2021-22123 があり、認証済みのリモート攻撃者が SAML サーバの設定ページを介して、任意のコマンドを実行できるという問題に対処した。FortiWeb firewall 管理インターフェイスの脆弱性は、Positive Technologies の Andrey Medov により発見された。

Dell BIOSConnect の欠陥は 128 種類の PC などに影響をおよぼす

Flaws in Dell BIOSConnect feature affect 128 device models

2021/06/24 SecurityAffairs — サイバー・セキュリティ企業である Eclypsium の研究者が、DellClient BIOS の BIOSConnect 機能に影響する複数の脆弱性を発見した。この脆弱性を悪用して、特権を持つ攻撃者は対象デバイスの BIOS/UEFI レベルで、任意のコードを実行することが可能となる。

Zyxel の Firewall と VPN が攻撃されたという警告

Zyxel warns customers of attacks on its enterprise firewall and VPN devices

2021/06/24 SecurityAffairs — ネットワーク機器ベンダーの Zyxel が、同社のエンタープライズ・ファイアウォールおよび VPN サーバーを標的とした一連の攻撃について、顧客に対する警告を発した。この攻撃における脅威アクターは、オンプレミスの ZLD ファームウェアを実行する、USG / ZyWALL / USG FLEX / ATP / VPN シリーズを標的としている。なお、Nebulacloud management mode を実行している機器は影響を受けないと、同社は述べている。

Google が共有する脆弱性のためのオープンソースとは？

Google Shares Format for Open Source Vulnerability Data

2021.06/24 SecurityBoulevard — 今日、Google は、いくつかのオープンソース・コミュニティと共同で、オープンソース・ソフトウェアの脆弱性を記述するためのスキーマを発表した。Google の Staff Software Engineer である Dan Lorenc によると、「この脆弱性交換スキーマ (interchange schema) は、すべての脆弱性データベースがエクスポートできる標準フォーマットを定義している。

ドイツの Weidmueller 産業用 WLAN デバイスに深刻な脆弱性

Weidmueller Patches Dozen Vulnerabilities in Industrial WLAN Devices

2021/06/24 SecurityWeek — 水曜日のこと、ドイツに拠点を置く産業用ソリューション・プロバイダーの Weidmueller は、同社の一部の産業用 WLAN デバイスに影響を与える、12の脆弱性に対するパッチを適用したと顧客に通知した。Weidmueller は、機械／エネルギー／デバイス製造／輸送／プロセス／建築インフラなどの分野を対象に、接続製品／電子機器／自動化製品／組立製品／作業場製品などを世界中の企業に提供している。

アプリケーションに含まれる Third-Party ライブラリの 79% が更新されていない？

79% of Third-Party Libraries in Apps Are Never Updated

2021/06/24 DarkReading — ソフトウェア開発者は、サードパーティ・ライブラリをコードベースに組み込んだ後に、そのライブラリをアップデートしないことが、大半であることが分かった。Veracode は、301,000 以上のソフトウェア・ライブラリを含む、約86,000の顧客リポジトリを対象に、1,300万回のスキャンを行った結果を分析した。

Palo Alto Networks Cortex XSOAR の深刻な脆弱性 CVE-2021-3044 が FIX された

Palo Alto Networks fixes critical flaw (CVE-2021-3044) in Cortex XSOAR

2021/06/23 SecurityAffairs — Palo Alto Networks の研究者たちが、同社の Cortex XSOAR SOAR platform に影響をおよぼす欠陥を発見した。この不適切な認証の脆弱性 CVE-2021-3044 の CVSS スコアは 9.8 となっている。同社のセキュリティ・アドバイザリーには、「Palo Alto Networks Cortex XSOAR には不適切な認証の脆弱性があり、Cortex XSOAR サーバにネットワーク・アクセスした、リモートの非認証の攻撃者が、REST API を介して不正な操作を行うことができる。

VMware Carbon Black App Control における認証バイパスの脆弱性が FIX

VMware fixes authentication bypass in Carbon Black App Control

2021/06/23 BleepingComputer — 今週のこと、VMware Carbon Black App Control がアップデートされ、認証を必要とせずにサーバへのアクセスが可能となる、深刻度の高い脆弱性が修正された。Carbon Black App Control は、企業環境向けに設計されており、新旧のシステムのセキュリティを強化し、マルウェアやゼロデイ・エクスプロイトなどによる不正な変更からシステムを保護するものだ。

Zephyr RTOS の深刻な Bluetooth 脆弱性が FIX された

Zephyr RTOS fixes Bluetooth bugs that may lead to code execution

2021/06/22 BleepingComputer — 組込み機器向けの RTOS である Zephyr は、6月の初めにアップデートを行い、サービス拒否 (DoS) やリモート・コード実行を引き起こす可能性のある、複数の脆弱性を修正した。これらの問題は、Zephyr の Bluetooth LE Link Layer (LL) および Logical Link Control and Adaptation Protocol (L2CAP) の実装において発見されている。

Codecov サイバー侵害の後に Bash Uploader から NodeJS への乗り換えが完了

Codecov ditches Bash Uploader for a NodeJS executable

2021/06/12 BleepingComputer — ソフトウェア・テストおよびコード・カバレッジを行う Codecov は、従来からの Bash Uploader に代わるクロス・プラットフォームのアップローダを発表した。この新しいアップローダは、Windows / Linux / macOS に対応した静的バイナリとして提供される。今回の発表は、改変された Codecov の Bash Uploader により顧客の CI/CD 環境から機密情報を収集するという、2ヶ月間に渡る Codecov サプライチェーン・インシデントを受けたものである。

簡単に悪用できる Linux の脆弱性を GitHub が公表

GitHub Discloses Details of Easy-to-Exploit Linux Vulnerability

2021/06/11 SecurityWeek — 今週のこと、GitHub は Linux に存在する、root 権限取得の脆弱性を公開したが。この脆弱性は、数多くの Linux ディストリビューションににおいて、デフォルトで搭載されている認証サービス polkit に影響するものだ。このセキュリティ・ホールは、GitHub Security Lab の Kevin Backhouse により発見されたものであり、詳細に関するブログとビデオも公開されている。

攻撃者が悪用する SonicWall VPN の脆弱性とは？

Attackers Leverage SonicWall VPN Flaw to Compromise SRA Appliances

2021/06/11 SecurityWeek — セキュリティ・ベンダーの CrowdStrike の警告によると、古い VPN セキュリティの欠陥を悪用する悪意のハッカーが、SonicWall SRA (secure remote access) デバイスを侵害しているようだ。この脆弱性 CVE-2019-7481 に関しては、2019年に SonicWall がパッチを提供しているが、このレガシー SRA デバイスの問題が、ファームウェア・アップデートでは適切に緩和されなかったと、CrowdStrike は警告している。

RabbitMQ / EMQ X / VerneMQ でサービス拒否 (DoS) 脆弱性が発見された

Organizations Warned About DoS Flaws in Popular Open Source Message Brokers

2021/06/08 SecurityWeek — オープンソースのメッセージ・ブローカーとして広く利用されている、RabbitMQ / EMQ X / VerneMQ において、サービス拒否 (DoS) の脆弱性が発見され、各種の企業に警告が出されている。メッセージ・ブローカーは、フォーマルなプロトコル間でメッセージを変換することで、アプリケーション／システム／サービスなどが通信し、また、情報を交換するものだ。