IoT OT Security News

開発者の三人に一人はセキュア・コーディングを知らない：OpenSSF と Linux Foundation の調査結果

One-third of dev professionals unfamiliar with secure coding practices

2024/07/19 HelpNetSecurity — OpenSSF と Linux Foundation によると、ソフトウェアの脆弱性を攻撃者は常に発見／悪用しており、堅牢なソフトウェア・セキュリティの重要性が増している。そこで浮き彫りにされる問題点は、セキュアなソフトウェア開発を効果的に実施するために不可欠な、知識とスキルを欠いている開発者が多いことである。

Oracle WebLogic の脆弱性CVE-2024-21181 (CVSS 9.8) が FIX：悪用は容易！

Oracle WebLogic Users Urged to Patch Critical Vulnerability (CVE-2024-21181, CVSS 9.8)

2024/07/18 SecurityOnline — Oracle が発した警告は、同社の WebLogic サーバの完全な乗っ取りにつながる可能性のある、重大な脆弱性 CVE-2024-21181 に対するパッチ適用を強く促すものである。この脆弱性の CVSS スコアは 9.8 と評価されており、容易に悪用が可能であり、また、認証が必要とされないため、攻撃者にとって魅力的な標的となっている。

中国由来の APT41 が復活：世界のロジスティクスやテクノロジーなどの産業を狙っている – Mandiant

Chinese Hacking Group APT41 Infiltrates Global Shipping and Tech Sectors, Mandiant Warns

2024/07/18 SecurityWeek — ヨーロッパとアジアの海運／ロジスティクス／テクノロジー／自動車産業の組織に侵入したとして摘発された、中国政府が支援する多発ハッキング・チーム APT41 によるマルウェア攻撃が、大規模なレベルで復活していることを、Mandiant の研究者たちが指摘している。Mandiant の警告によると、侵入された組織の大部分は英国／イタリア／スペイン／トルコ／タイ／台湾にあるという。これらの組織に侵入した APT41 は、遅くとも 2023年以降において、不正アクセスを長期にわたって維持することに成功しているようだ。

HPE 3PAR Service Processor の脆弱性 CVE-2024-22442 (CVSS 9.8) が FIX：ただちにパッチを！

CVE-2024-22442 (CVSS 9.8): HPE Patches Critical 3PAR Service Processor Flaw

2024/07/18 SecurityOnline — Hewlett Packard Enterprise (HPE) が公表したのは、3PAR Service Processor ソフトウェアに存在する、深刻な脆弱性 CVE-2024-22442 に対応する、セキュリティ・アップデートのリリースに関する情報である。この脆弱性の悪用に成功したリモートの攻撃者は、認証のバイパスを達成し、接続されているストレージ・システム内の、機密データへの不正アクセスの可能性を手にする。

SonicWall SonicOS の IPSec VPN における未認証 DoS 脆弱性 CVE-2024-40764 が FIX

SonicWall Patches Unauthenticated DoS Flaw (CVE-2024-40764) in SonicOS IPSec VPN

2024/07/18 SecurityOnline — SonicWall が発表したのは、同社の SonicOS に存在するヒープベース・バッファオーバーフローの脆弱性に対処するセキュリティ・パッチである。この脆弱性 CVE-2024-40764 (CVSS：7.5) の悪用に成功した未認証の攻撃者により、脆弱なデバイスに対してサービス拒否 (DoS) 攻撃が仕掛けられる可能性が生じる。

米国のデータ漏洩被害者数が前年比で 1170％の急増 – ITRC 調査

US Data Breach Victim Numbers Surge 1170% Annually

2024/07/18 InfoSecurity — この３ヶ月間におけるインシデント発生数は 12％減であるが、2024年 Q2 における米国のデータ漏えいの被害者数は、前年同期比で 100倍以上も増加していることが、Identity Theft Resource Center (ITRC) の調査により判明した。NPO 組織である ITRC は、米国で公に報告された侵害事例から、H1 2024 Data Breach Analysis 分析を実施した。

Splunk Enterprise の深刻な脆弱性 CVE-2024-36991 が FIX：PoC も提供されている

Critical Splunk flaw can be exploited to grab passwords (CVE-2024-36991)

2024/07/18 HelpNetSecurity — 先日に修正された、Windows 上の Splunk Enterprise に影響を及ぼす脆弱性 CVE-2024-36991 について、「当初に考えられていたよりも深刻なものだ」と、SonicWall の脅威リサーチャーたちが指摘している。IT コンサルタントの Mohamed Nabil Ali により公開された、いくつかの PoC エクスプロイトは、インターネットに面した脆弱なエンドポイントの、一括スキャンが可能なことを証明し、”/etc/passwd” ファイルの読み取りなども達成している。

Apache HTTP Server の脆弱性 CVE-2024-40725／40898 が FIX：ただちにパッチを！

CVE-2024-40725 & CVE-2024-40898: Apache HTTP Server Flaws Put Millions of Websites at Risk

2024/07/17 SecurityOnline — Apache Software Foundation が発表したセキュリティ・アドバイザリは、Apache HTTP Server のバージョン 2.4.0 ～ 2.4.61 に影響を及ぼす、２つの深刻な脆弱性 CVE-2024-40725／CVE-2024-40898 に関するものだ。これらの脆弱性は、世界中の Web サーバに重大なリスクをもたらし、ソースコードの漏洩／サーバーサイド・リクエストフォージェリ (SSRF) 攻撃を引き起こす可能性を持つ。

ロシアの FIN7 ギャング：セキュリティ回避ツール AvNeutralizer を販売していた

Notorious FIN7 hackers sell EDR killer to other threat actors

2024/07/17 BleepingComputer — 悪名高いハッキング・グループ FIN7 が、企業ネットワーク上のエンドポイント保護ソフトウェアを破壊して検知を回避するための、カスタム・ツール AvNeutralizer を販売していることが発見された。FIN7 はロシアのハッキング・グループと考えられており、その活動が観測され始めた 2013年頃は金融詐欺に注力しており、組織をハッキングしてデビットカードやクレジットカード情報を窃取してきた。同グループは、やがてランサムウェアの分野にも進出し、DarkSide／BlackMatter などの RaaS (ransomware-as-a-service) を使用し始めた。最近では、2024年3月頃に発生した、UnitedHealth からの身代金を持ち逃げるという BlackCat ランサムウェアの活動にも、FIN7 が関係している可能性が高いと見られている。

SolarWinds Access Rights Manager の緊急アップデート：ただちにパッチ適用を！

SolarWinds Patches Multiple Critical Vulnerabilities in Access Rights Manager

2024/07/17 SecurityOnline — SolarWinds が発表したのは、同社の Access Rights Manager (ARM) 製品に存在する、13件の脆弱性に対するセキュリティ勧告である。これらの脆弱性が悪用されると、不正アクセス／データ侵害／完全なシステム乗っ取りの可能性などの脅威に、ユーザー組織は直面することになる。

Cisco Secure Email Gateway の深刻な脆弱性 CVE-2024-20401 が FIX：RCE などの恐れ

Critical Security Flaw in Cisco Secure Email Gateway: CVE-2024-20401

2024/07/17 SecurityOnline — Cisco が発表したのは、Secure Email Gateway 製品で発見された、深刻な脆弱性 CVE-2024-20401 (CVSS：9.8) に対する緊急のセキュリティ・アドバイザリである。この脆弱性の悪用に成功した攻撃者は、OS 上の任意ファイルの上書きを可能にし、無許可でのユーザー作成／コンフィグ変更／リモート・コード実行などを達成し、Email Gateway の完全なシャットダウンを引き起こす可能性を得る。

CISA KEV 警告 24/07/17：Adobe／SolarWinds／VMware の脆弱性を登録

CISA Adds Three New Vulnerabilities to Known Exploited Vulnerabilities Catalog

2024/07/17 SecurityOnline — 米国 CISA は、KEV (Known Exploited Vulnerabilities) カタログに、積極的に悪用されている３件の脆弱性 (CVE-2024-34102／CVE-2024-28995／CVE-2022-22948) を追加した。サイバー犯罪者たちは、これらの脆弱性を積極的に悪用して不正アクセスを行い、データを盗み、重要なインフラを麻痺させる可能性を持つ。ユーザー組織に対しては、システムに直ちにパッチを適用することが求められている。

Ivanti Endpoint Management Software の脆弱性 CVE-2024-37381 が FIX ：SQLi の恐れ

Ivanti Patches SQLi Vulnerability (CVE-2024-37381) in Endpoint Management Software

2024/07/17 SecurityOnline — Ivanti が公表したのは、Endpoint Management Software における SQL インジェクションの脆弱性 CVE-2024-37381 への、速やかな対処の完了である。この脆弱性の悪用に成功した、同一ネットワーク内の認証済みの攻撃者は、影響を受けるシステム上で任意のコードを実行する可能性を手にする。

Cisco SSM On-Prem の脆弱性 CVE-2024-20419 が FIX：パスワード改ざんの恐れ

Cisco SSM On-Prem bug lets hackers change any user’s password

2024/07/17 BleepingComputer — Cisco のはSmart Software Manager On-Prem (SSM On-Prem) ライセンス・サーバにおける、脆弱性 CVE-2024-20419 (CVSS：10.0) が修正された。この脆弱性の悪用に成功した攻撃者は、管理者を含む任意のユーザーの、パスワードの変更が可能になる。この欠陥は、SSM On-Prem の前身である、Smart Software Manager Satellite (SSM Satellite) の 7.0 未満の SSM On-Prem のインストールにも影響を及ぼす。Cisco Smart Licensing のコンポーネントである SSM On-Prem は、サービス・プロバイダーたちを支援し、Cisco パートナーの顧客アカウントと製品ライセンスを管理するものだ。

Apache HugeGraph の脆弱性 CVE-2024-27348：悪用の試みが観測されている

Critical Apache HugeGraph Vulnerability Under Attack – Patch ASAP

2024/07/17 TheHackerNews — 最近に公開された Apache HugeGraph-Server の RCE 脆弱性 CVE-2024-27348 (CVSS：9.8) を悪用する、脅威アクターたちの動きが活発化している。この脆弱性は、HugeGraph の Gremlin Traversal Language Interface に存在し、リモート・コマンド実行につながる欠陥だと説明されており、HugeGraph 1.3.0 未満の全てのバージョンに影響を及ぼすものだ。

Microsoft Outlook のバグが FIX：セキュリティ誤報が修正された

Microsoft finally fixes Outlook alerts bug caused by December updates

2024/07/16 BleepingComputer — Outlook の 2023年12月のセキュリティ更新プログラムをインストールした後に、Microsoft Outlook Desktop に不正なセキュリティ警告が表示される問題が、昨日になって、ようやく修正された。2月上旬から Microsoft が調査を進めていたのは、ICS (Internet Calendaring and Scheduling) ファイルをダブルクリックすると、予期せぬ警告が表示されるという報告に関するものだ。具体的に言うと、誤ったメッセージである、「この場所は安全でない可能性がある」や、「Microsoft Officeは潜在的なセキュリティ上の懸念を特定した」が表示されると、多数の Microsoft 365 ユーザーから指摘されていたのだ。

Apache Airflow の脆弱性 CVE-2024-39877 が FIX：RCE の恐れ

CVE-2024-39877: Apache Airflow Security Update Addresses Code Execution Vulnerability

2024/07/16 SecurityOnline — Apache が公開したのは、Airflow バージョン 2.4.0 ～ 2.9.2 に影響を及ぼす、RCE の脆弱性 CVE-2024-39877 に対処するためのセキュリティ・アップデートである。この脆弱性の悪用に成功した認証済みの DAG (Directed Acyclic Graph) 作成者は、スケジューラ・コンテキスト内での任意のコード実行を可能とし、Airflow 環境のセキュリティと完全性が損なわれる恐れがある。

WooCommerce HUSKY Plugin の脆弱性 CVE-2024-6457 (CVSS 9.8) が FIX：ただちにアップデートを！

CVE-2024-6457 (CVSS 9.8): Critical Flaw in HUSKY Plugin Threatens 100K+ WooCommerce Stores

2024/07/16 SecurityOnline — 広く使用されている WordPress プラグイン HUSKY – Products Filter Professional for WooCommerce に重大なセキュリティ上の欠陥が発見された。この脆弱性 CVE-2024-6457 の CVSS スコアは 9.8 (Critical) であり、10万以上の WooCommerce オンラインストアに対する、不正なデータ侵害が生じる恐れがある。

Atlassian Bamboo／Confluence の脆弱性 CVE-2024-21687／21686 が FIX：ただちにアップデートを！

Atlassian Fixes CVE-2024-21687 & CVE-2024-21686 Vulnerabilities in Bamboo and Confluence

2024/07/16 SecurityOnline — コラボレーション・ツールや生産性向上ツールを提供する Atlassian が、最近のセキュリティ勧告で公表したのは、広く利用されている Bamboo／Confluence に影響を及ぼす、２件の深刻度の高い脆弱性に関する情報である。これらの脆弱性の悪用に成功した攻撃者は、機密データを危険にさらし、一連のプラットフォームに依存している組織の業務を混乱させる可能性を手にする。

Squarespace への侵害：Google Domains から移行したドメインに甚大な被害が

Hackers Exploit Flaw in Squarespace Migration to Hijack Domains

2024/07/16 SecurityWeek — 先週のことだが、Squarespace に登録された複数のドメイン名がハッカーに侵害され、複数の暗号通貨プラットフォームが DNS レコード制御を取り戻すために、奔走する事態となっている。2023年に Squarespace が買収した、Google Domains からの移行ドメインを管理するアカウントに、この 7月9日に始まった侵害の影響は及んでいる。Squarespace は、Google から買収した約 1,000万件のドメイン名のユーザーを移行してきたが、その方式に潜んでいた欠陥を悪用するハッカーにアカウントが乗っ取られ、それらのドメインの DNS レコードが変更されるという事態に陥った。

Microsoft MHTMLの脆弱性 CVE-2024-38112：Void Banshee APT が Atlantida スティーラーの配布に悪用

Void Banshee APT Exploits Microsoft MHTML Flaw to Spread Atlantida Stealer

2024/07/16 TheHackerNews — Void Banshee という APT グループが、最近に公開された Microsoft の MHTML ブラウザ・エンジンのゼロデイ脆弱性 CVE-2024-38112 を悪用し、Atlantida 情報窃取ツールを配信していることが確認された。この活動を 2024年5月中旬に観測したサイバーセキュリティ企業 Trend Micro によると、この脆弱性は、特別に細工されたインターネット・ショートカット (URL) ファイルを使用する、多段階攻撃チェーンの一部として使用されていたという。

WordPress Profile Builder の脆弱性 CVE-2024-6695 が FIX：近々に PoC がリリースされる

CVE-2024-6695 (CVSS 9.8) in Popular WordPress Plugin Exposes 50,000 Sites to Admin Hijacking

2024/07/15 SecurityOnline — WordPress Profile Builder は、5万以上のアクティブなインストールを誇るプラグインだが、そこに存在する深刻な脆弱性 CVE-2024-6695 (CVSS：9.8) が、セキュリティ研究者の John Castro により発見された。この脆弱性の悪用に成功した攻撃者は、ユーザー・アカウントを事前に必要とすることなく、脆弱な Web サイトの管理者権限を取得する可能性を手にする。

Python Setuptools ライブラリの脆弱性 CVE-2024-6345 が FIX：PoC も公開される

Security Flaw CVE-2024-6345 in Setuptools Exposes Python Projects to RCE

2024/07/15 SecurityOnline — Python プロジェクトのパッケージ化／配布／インストールにおいて、広範に使用されるライブラリ Setuptools に、深刻な脆弱性が発見された。この脆弱性 CVE-2024-6345 (CVSS：8.8) は、”package_index” モジュールに存在するものであり、システム上で RCE を引き起こす恐れがある。

Moxa 製品群と Linux Netfilter の脆弱性 CVE-2024-1086：ほぼ FIX の状態

CVE-2024-1086: Linux Kernel Vulnerability Impacts Numerous Moxa Products

2024/07/15 SecurityOnline — Linux Kernel で発見された深刻な脆弱性が、多数の Moxa 産業用ネットワーキング／コンピューティング製品に影響を及ぼすことが判明した。この脆弱性 CVE-2024-1086 (CVSS： 7.8) の悪用に成功した攻撃者は、システム破壊や権限昇格などを達成し、不正アクセスやシステムの乗っ取りにつながる可能性を手にする。

脆弱性 CosmicSting CVE-2024-34102：１時間に 3～5件のペースで侵害される Magento ストア

Critical Magento Flaw Exploited: CosmicSting (CVE-2024-34102) Strikes Global Brands

2024/07/15 SecurityOnline — Adobe Commerce と Magento を用いるストアへの、深刻な脅威である脆弱性 CVE-2024-34102 (別名：CosmicSting) は、現在も活発に悪用され続けている。セキュリティ企業 Sansec の新たな調査では、攻撃の急増が明らかになり、１時間あたり 3～5件のペースでオンラインストアが侵害されているとのことだ。その被害者には、国際的なブランドも含まれているようだ。

Apache Linkis の脆弱性３件が FIX：RCE などが発生する恐れ

Security Vulnerabilities in Apache Linkis Expose Systems to Arbitrary File Reading and RCE

2024/07/15 SecurityOnline — アプリケーションとデータエンジンを接続するために使用される、人気の計算ミドルウェア Apache Linkis の DataSource モジュールで発見された、３つの脆弱性に対応するセキュリティ・パッチがリリースされた。これらの脆弱性 CVE-2023-41916／CVE-2023-46801／CVE-2023-49566 の悪用に成功した攻撃者は、任意のファイルの読み取りや、リモート・コード実行に加えて、JNDIインジェクション攻撃を仕掛ける機会を得るという。

AT&T で発生したデータ侵害：Snowflake データベースからデータが漏えいが原因

AT&T Breach Linked to American Hacker, Telecom Giant Paid $370k Ransom: Reports

2024/07/15 SecurityWeek — 先日に公表された、AT&T で発生したデータ流出は、トルコ在住のアメリカ人ハッカーが関与するものであり、盗まれた情報を確実に削除するために、同社は多額の身代金を支払ったようだ。7月12日に AT&T が公表したのは、同社における、ほぼ全てのワイヤレス顧客に影響が及ぶ、データ漏えいに見舞われたことである。同社によると、ハッキングによりデータが流出したのは、2022年5月1日〜2022年10月31日と、2023年1月2日移行の期間であり、その内容は顧客の call／text のログだという。データの流出元は、AT&T のサードパーティである、Snowflake のクラウド・プラットフォームだとのことだ。

OpenSSH で２番目のバグを発見：Windows への “regreSSHion” の影響は無いと Microsoft が公表

Microsoft Says Windows Not Impacted by regreSSHion as Second OpenSSH Bug Is Found

2024/07/15 SecurityWeek — 先日に報告された、OpenSSH における 2つ目の RCE 脆弱性は、注目を集めている１つ目の脆弱性 “regreSSHion” CVE-2024-6387 の分析中に見つかったものだ。この問題は、Openwall の創設者である、Alexander Peslyak (別名：Solar Designer) により発見されている。なお、Qualys の研究者により発見された “regreSSHion” の脆弱性は、公開された時点において、数百万台の OpenSSH サーバに影響を与える可能性があると考えられていた。

CISA KEV 警告 24/07/15：GeoServer の脆弱性 CVE-2024-36401 を登録：PoC も提供

CVE-2024-36401 (CVSS 9.8): Critical GeoServer Flaw Under Active Attack, PoC Available

2024/07/15 SecurityOnline — 7月15日に米国の CISA (Cybersecurity and Infrastructure Security Agency) は、地理空間データ用のオープンソース・ソフトウェア・サーバとして人気の OSGeo GeoServer GeoTools に存在する、脆弱性 CVE-2024-36401 を KEV カタログに追加した。この脆弱性は、脅威アクターたちにより積極的に悪用されており、GeoServerを使用している組織にとって、早急なパッチ適用が最優先事項となっている。

Cellopoint SEG の脆弱性 CVE-2024-6744 (CVSS 9.8) が FIX：直ちにアップデートを！

CVE-2024-6744: Cellopoint Secure Email Gateway Flaw Exposes Organizations to Critical Risk

2024/07/15 SecurityOnline — 台湾の TWCERT/CC (Computer Emergency Response Team/Coordination Center) は、配信前のメール保護ソリューションとして人気を博している、Cellopoint SEG (Secure Email Gateway) に存在する深刻なセキュリティ脆弱性に関するアドバイザリを公開した。この脆弱性は CVE-2024-6744 として追跡され、CVSS：9.8 というスコアが割り当てられている。

DarkGate マルウェア：Samba と Excel を介して配布されている – Unit 42

Dark Gate Malware Campaign Uses Samba File Shares

2024/07/15 SecurityAffairs — 2024年3月〜4月に展開された、DarkGate マルウェア・キャンペーンに関するレポートを、Palo Alto Networks Unit 42 の研究者たちが公開した。このキャンペーンで用いられた手法は、公開されている SMB ファイル共有から、Microsoft Excel ファイルを介して、悪意のソフトウェア・パッケージをダウンロードさせるというものだった。Unit 42 の研究者たちによると、脅威アクターはマルウェアを配布するために、正規のツールやサービスを巧妙に悪用していたという。

SonicWall SMA100 の２つの脆弱性が FIX：すでに PoC が提供されている！

Critical Vulnerabilities Patched in SonicWall SMA100, PoC Published

2024/07/14 SecurityOnline — SSD Secure Disclosure による最近の脆弱性分析で、SonicWall SMA100 シリーズに２つのセキュリティ欠陥が報告された。SSD Labs Korea の SeongJoon Cho により発見された、これらの脆弱性は、認証前の蓄積型 XSS (Cross-Site Scripting) と、認証後のリモート・コマンド・インジェクションに分類されている。これらの脆弱性の悪用に成功した未認証の攻撃者は、任意のコマンドを実行する可能性を得るため、ユーザーに重大な影響が生じる。

Supermicro マザーボードの脆弱性 CVE-2024-36435 が FIX：RCE の恐れ

Supermicro Motherboards Vulnerable to Critical RCE Flaw (CVE-2024-36435)

2024/07/14 SecurityOnline — Supermicro Computer が公表したのは、同社の製品群を RCE 攻撃にさらす可能性がある、深刻な脆弱性 CVE-2024-36435 に関するアドバイザリである。この脆弱性は、特定の Supermicro マザーボード BMC (Baseboard Management Controller) Web サーバー・コンポーネント内に存在するものであり、NVIDIA の攻撃的セキュリティ研究チームのAlexander Tereshkin により発見されている。

PHP の脆弱性 CVE-2024-4577：Mitel 製品群にも影響が及び始めた

Mitel Issues Critical Security Advisory for PHP Argument Injection Vulnerability

2024/07/14 SecurityOnline — ビジネス・コミュニケーションを提供する Mitel が、２つのセキュリティ・アドバイザリ (OBSO-2407-01／24-0018) を公開した。それらは、PHP スクリプト・エンジンの深刻な脆弱性が、Mitel 製品群にも影響を及ぼすと警告するものである。この PHP の脆弱性は、CVE-2024-4577 (CVSS 9.8) として特定されており、Windows システム上で Apache／PHP-CGI を使用しているケースにおける、PHP 8.1.29 未満／8.2.20 未満／8.3.8 未満に影響を及ぼすものである。

PoC の武器化までの時間が短縮：22分後に攻撃に使用されたケースも – Cloudflare

Hackers use PoC exploits in attacks 22 minutes after release

2024/07/13 BleepingComputer — 脅威アクターたちは、利用可能な PoC (proof-of-concept) エクスプロイト・コードを、実際の攻撃で武器化するまでの時間を短縮している。中には、エクスプロイトが公開されてから、22分間で武器化するというケースも発見されている。この動向は、Cloudflare の Application Security report for 2024 で報告されたものだ。同レポートは、2023年5月〜2024年3月までの活動をカバーし、新たな脅威の傾向を浮き彫りにしている。現在、平均で 5,700万件/秒の HTTP リクエストを処理している Cloudflare は、公開された CVE に対するスキャンが、継続して活発化しているのを観測している。そして、コマンド・インジェクションや、利用可能な PoC を武器化しようとする試みが、それに続いているという。

Fabasoft PDF.js ライブラリの脆弱性 CVE-2024-4367 が FIX：PoC エクスプロイトが提供

Fabasoft Tackles PDF.js Vulnerability (CVE-2024-4367), Safeguarding eGovernment and Enterprise Search Solutions

2024/07/13 SecurityOnline — Fabasoft が発表したのは、人気の PDF.js ライブラリに存在する、深刻度の高い脆弱性 CVE-2024-4367 に対処するセキュリティ・アドバイザリである。Codean Labs により発見された、この脆弱性の悪用に成功した攻撃者は、悪意の PDF ファイルをユーザーが開いたときに、その Web ブラウザ内で任意の JavaScript コードを実行する可能性を得る。

AT&T 侵害の現状：Snowflake からダウンロードしたデータの販売を呼びかける脅威アクターたち

Hackers Downloaded Call Logs from Cloud Platform in AT&T Breach

2024/07/12 InfoSecurity — 通信大手の AT&T が明らかにしたのは、脅威アクターにより、顧客データが不正にダウンロードされたことだ。サードパーティのクラウド・プラットフォーム上の AT&T のワークスペースから、ハッカーがデータを不正ダウンロードしたことを、7月12日に発表した声明で同社は認めている。米証券取引委員会 (SEC) への提出書類によると、同社は 2024年4月19日の時点で、通話ログが不正にアクセス／コピーされたことを初めて知ったようだ。

Akira ランサムウェア攻撃：２時間強で LATAM Airline からのデータ窃取を完了

Akira Ransomware: Lightning-Fast Data Exfiltration in 2-ish Hours

2024/07/12 DarkReading — Akira ランサムウェアの攻撃者は、わずか２時間強で被害者のデータを盗み出せるようになった。つまり、サイバー犯罪者が最初のアクセスから情報流出までに要する平均時間に、大きな変化がもたらされている。この動向は、BlackBerry Threat Research and Intelligence Team の発表で明かされたものだ。同チームは 7月11日に、6月に発生した LATAM Airline への Akira ランサムウェア攻撃に関するブログを公開した。BlackBerry の攻撃分析によると、Akira は Secure Shell (SSH)プロトコルを使用して、パッチが適用されていない Veeam バックアップ・サーバーを介したイニシャル・アクセスを獲得し、翌日に Akira ランサムウェアを展開する前に、重要な情報の窃取に成功したという。

Juniper Junos OS Evolved の脆弱性：root への権限昇格の恐れ

Juniper Junos OS Evolved Vulnerabilities Enable Root-Level Compromise

2024/07/12 SecurityOnline — Juniper Networks が公開したのは、同社の Junos OS Evolved で発見された５つの脆弱性に対応するパッチだ。CVE-2024-39520 ～ 39524にまとめられた、これらの脆弱性の悪用に成功した攻撃者は、影響を受けるシステムの乗っ取りが可能となるため、重大なリスクがもたらされる。

Netgear WiFi 6 ルーター製品群の脆弱性が FIX：認証バイパスと XSS の恐れ

Netgear warns users to patch auth bypass, XSS router flaws

2024/07/12 BleepingComputer — Netgear がユーザーに公表したのは、WiFi 6 ルーターの複数モデルにおける XSS／認証バイパスの脆弱性を修正する、最新ファームウェアへの更新に関する情報である。この XSS の脆弱性 (PSV-2023-0122：バージョン 1.0.0.72 のファームウェアで修正済み) は、XR1000 Nighthawk ゲーミング・ルーターに影響を与えるものだ。

TPRM (Third Party Risk Management) フレームワーク：なにから考える？どのように構築する？

How to design a third-party risk management framework

2024/07/12 HelpNetSecurity — ほとんどの組織において、ルーター／サーバー／ファイアウォール／エンドポイントなどの保護に重点が置かれているが、たとえば、サードパーティ・ネットワークのような見慣れない起点を、組織を攻撃するためにハッカーが悪用するケースもある。ただし、強力な TPRM (Third Party Risk Management) フレームワークを用いれば、企業によるパートナーのリスク・プロファイルが把握され、ビジネスの保護が可能になる。効果的なサードパーティ・リスク管理のフレームワークがあれば、ベンダーのリスクや脆弱性により、組織のビジネスの保護が保証される。それは、資産を保護し、規制へのコンプライアンスを確保し、組織の評判を守るものだ。

AT&T モバイルの大半の call／text ログが盗まれる：2022年に発生していた Snowflake 攻撃とは？

Hackers stole call, text records of “nearly all” of AT&T’s cellular customers

2024/07/12 HelpNetSecurity — 盗まれた Snowflake アカウントの認証情報を悪用するハッカーが、2022年5月〜2022年10月において、ほぼ全ての AT&T 携帯の話顧客の通話とメールのログを、盗み出していることが確認された。その一方で AT&T は、「この盗まれたとされるデータには、通話およびメールの内容や、社会保障番号、生年月日といった、個人を特定できる情報は含まれていない。また、通話やメールのタイムスタンプなどの、利用明細に記載される典型的な情報も含まれていない」と述べている。

Exim Mail Server の深刻な脆弱性 CVE-2024-39929 が FIX：悪意の添付ファイルを通過させる

Critical Exim Mail Server Vulnerability Exposes Millions to Malicious Attachments

2024/07/12 TheHackerNews — Exim Mail Server でｓが公表したのは、悪意の添付ファイルを標的のユーザーの受信トレイに配信することを可能にする、メール転送エージェントに存在する深刻なセキュリティ上の問題である。この脆弱性 CVE-2024-39929 の CVSS スコアは 9.1 だが、すでにバージョン 4.98 で対処されている。

D-Link DIR-823x の脆弱性 CVE-2024-39202：パッチ未適用で PoC が登場

CVE-2024-39202: RCE Flaw Found in D-Link DIR-823X Firmware, Patch in Development

2024/07/11 SecurityOnline — D-Link DIR-823X AX3000 デュアルバンド・ギガビット無線ルーターに、脆弱性 CVE-2024-39202 が発見され、ユーザーに重大なリスクをもたらすことが判明した。この脆弱性は、2024年7月7日に、サードパーティのセキュリティ研究者 Adesh Kolte から D-Link に報告されたものだ。

CISA が要請する OS コマンド・インジェクション脆弱性の排除とは？ – Security by Design

CISA Urges Software Makers to Eliminate OS Command Injection Vulnerabilities

2024/07/11 InfoSecurity — 米国政府からソフトウェア・メーカーへの要請は、OS コマンド・インジェクションの脆弱性の解消に取り組むべきというものだ。この、Cybersecurity and Infrastructure Security Agency (CISA) とFBI の警告は、ネットワーク・エッジ・デバイスの OS コマンド・インジェクションの欠陥を悪用してユーザーを危険にさらすという、2024年に注目された複数の脅威アクターたちのキャンペーンを受けたものである。

Citrix NetScaler の深刻な脆弱性 regreSSHion CVE-2024-6387 が FIX：RCE の恐れ

Cloud Software Group Confirms CVE-2024-6387 Exposure in NetScaler

2024/07/11 SecurityOnline — Cloud Software Group が発表したセキュリティ・アドバイザリは、広く使われている Citrix NetScaler に影響を及ぼす、OpenSSH の重大な脆弱性 CVE-2024-6387 に関するものだ。この “regreSSHion” と呼ばれる脆弱性の悪用に成功した未認証の攻撃者は、影響を受けるシステム上で root 権限による任意のコード実行を達成する可能性を持つ。

ServiceNow に複数の深刻な脆弱性：RCE およびデータ侵害の恐れ

ServiceNow Security Alert: Critical Vulnerabilities Expose Businesses to RCE and Data Breaches

2024/07/11 SecurityOnline — ServiceNow が公表したのは、世界中の組織に深刻な影響を及ぼす可能性のある、３つの深刻な脆弱性だ。これらの脆弱性 CVE-2024-4879／CVE-2024-5217／CVE-2024-5178 は、Now プラットフォームの各種バージョンに影響を及ぼすが、その中には、Washington D.C.／Vancouver／Utah などのリリースも含まれる。

PHP の脆弱性 CVE-2024-4577：脅威アクターたちが悪用してマルウェアを配布 – Akamai

Multiple Threat Actors Exploit PHP Flaw Cve-2024-4577 To Deliver Malware

2024/07/11 SecurityAffairs — PHP の脆弱性 CVE-2024-4577 を悪用する脅威アクターたちが、Gh0st RAT／RedTail cryptominers／XMRig などの多様なマルウェア・ファミリーを配信していると、Akamai の Security Intelligence Response Team (SIRT) が警告している。Akamai は、「新たな CVE-2024-4577 を迅速に悪用した脅威アクターたちは、脆弱性情報の公開から悪用までの時間が、短縮されているという傾向を維持している。Akamai のハニーポット・ネットワークでは、この PHP の欠陥を標的とする悪用の試みが、公開から 24時間以内に確認されている」と述べている。

Webmin の脆弱性 CVE-2024-36451 (CVSS 8.8) が FIX：セッション・ハイジャックに至る

CVE-2024-36451 (CVSS 8.8): Webmin Vulnerability Allows Session Hijacking

2024/07/10 SecurityOnline — Webmin と Usermin は、世界中で数百万人が使用している人気の Web ベース・システム管理ツールであるが、複数のセキュリティ脆弱性が存在することが、日本の JVN により明らかにされた。これらの脆弱性の悪用に成功した攻撃者は、任意のスクリプト実行や、コンソール・セッショでｓンの乗っ取り、不正な操作の実行などの可能性を手にする。

最近になって公表された lighttpd の脆弱性 CVE-2018-25103：直ちにアップデートを！

Vulnerability in lighttpd Web Server Exposes Sensitive Data: Urgent Patch Required

2024/07/10 SecurityOnline — カーネギーメロン大学 CERT/CC (Coordination Center) が公開したのは、lighttpd 1.4.50 以下における use-after-free の脆弱性に関する情報である。この脆弱性の悪用に成功したリモートの未認証の攻撃者は、細工した HTTP リクエストを悪用することを可能となり、Web サーバのクラッシュや機密データ漏洩を引き起こす可能性を手にする。2018年の時点において lighttpd プロジェクトは、この脆弱性を修正している。しかし、最近まで CVE が採番していなかったことで、数多くの実装にパッチが適用されておらず、未だセキュリティ・リスクが残存している。