IoT OT Security News

Apache OFBiz の脆弱性 CVE-2024-36104：リモート・コード実行の可能性

Patch Now to Avoid Apache OFBiz Remote Code Execution – CVE-2024-36104

2024/06/03 SecurityOnline — Apache Software Foundation リリースしたのは、エンタープライズ・オートメーション・プラットフォーム Apache OFBiz に存在する、深刻な脆弱性 CVE-2024-36104 に対する重要なセキュリティ・パッチである。この脆弱性の悪用に成功したリモートの攻撃者は、影響を受けたシステム上で任意のコードを実行し、システムを完全に侵害する可能性を手にする。

CISA KEV 警告 24/06/03：Oracle WebLogic Server の脆弱性 CVE-2020-17519 を追加

CISA Adds Oracle Weblogic Server Flaw To Its Known Exploited Vulnerabilities Catalog

2024/06/03 SecurityAffairs — Oracle WebLogic Server に存在する OS コマンド・インジェクションの脆弱性 CVE-2017-3506 (CVSS：7.4) が、米国 CISA (Cybersecurity and Infrastructure Security Agency) の KEV (Known Exploited Vulnerabilities) カタログに追加された。

Node.js パッケージ node-ip の脆弱性 CVE-2024-29415：SSRF 攻撃が生じる恐れ

CVE-2024-29415: Popular Node.js Package ‘node-ip’ Exposes Millions to Potential SSRF Attacks

2024/06/03 SecurityOnline — 人気の node-ip npm パッケージに、深刻な SSRF (Server-Side Request Forgery) の脆弱性 CVE-2024-29415 が発見された。このパッケージは、シンプルなコマンドライン・ツールを介して、コンピュータの IPv4 アドレスを取得するように設計されており、毎週 1,900 万件以上のダウンロードを誇っている。

WordPress wpDataTables の脆弱性 CVE-2024-3820 が FIX：70,000 件のサイトが危険

CVE-2024-3820 (CVSS 10) in wpDataTables Puts 70,000 WordPress Sites at Risk

2024/06/02 SecurityOnline — 人気の表やグラフ作成ツールである WordPress wpDataTables plugin に、深刻なセキュリティ脆弱性 CVE-2024-3820 (CVSS：10.0) が発見された。この脆弱性の悪用に成功した攻撃者は、プラグインのプレミアム・バージョンに悪意の SQL コードを注入し、WordPress サイト内の機密データに不正アクセスする可能性を手にする。

SkyBridge Router 群の脆弱性 CVE-2024-32850 が FIX：任意のコマンド実行などの恐れ

CVE-2024-32850 (CVSS 9.8): Critical Flaw in SkyBridge Routers Exposes Thousands to Cyberattacks

2024/06/02 SecurityOnline — Seiko Solutions の SkyBridge ルーター群に、深刻な脆弱性 CVE-2024-32850 (CVSS 9.8) が発見された。この脆弱性の悪用に成功した攻撃者は、リモート・コマンドの実行や、管理者権限の不正取得を可能にするため、あらゆる企業や個人へのサイバー攻撃にいたる恐れがある。

Veritas System Recovery の脆弱性 CVE-2024-35204 がFIX：データの損失の恐れ

CVE-2024-35204: Veritas System Recovery Vulnerability Puts Data at Risk

2024/06/02 SecurityOnline — Veritas が発表したのは、Veritas System Recovery のバージョン 23.0 (23.0.2.63015) 以下に存在する、深刻度の高い脆弱性 CVE-2024-35204 (CVSS：8.4) に関する情報である。この脆弱性の悪用に成功した低特権の Windows システム・ユーザーは、ファイル・システム内の保護されたディレクトリなどの任意の場所に、ファイルを作成できるようになる。

Check Point VPN のゼロデイ脆弱性 CVE-2024-24919：PoC エクスプロイトも提供

13,800+ Check Point Gateways Exposed: 0-Day CVE-2024-24919 Flaw Under Attack

2024/06/02 SecurityOnline — インターネット上に露出した Check Point のゲートウェイが 13,800 台以上あり、その大部分が中小企業向けの Quantum Spark Appliance であるという。さらに、それらのうちの、IPSec VPN／Mobile Access ブレードを有効化した Check Point セキュリティ・ゲートウェイに、ゼロデイ脆弱性 CVE-2024-24919 が存在する可能性があることが、Censys の調査により判明している。

Apache Log4J2 脆弱性の悪用：Sisense／Snowflake への侵害が金融セクターに波及する？

Critical Apache Log4J2 Flaw Still Threatens Global Finance

2024/06/01 SecurityAffairs — 金融業界に甚大な影響を与える可能性のある深刻なロギング設定の欠陥を、独立系サイバー脅威インテリジェンス・アナリストである Anis Haboubi が警告している。Apache Log4j2 に存在する、脆弱性 CVE-2021-44832 の悪用に成功したリモートの攻撃者は、影響を受けるシステム上で悪意のコードを実行できるという。この脆弱性の CVSS スコアは 6.6 であり、log4j バージョン 2.0-alpha7 〜 2.17.0 に影響を及ぼすが、2.3.2／2.12.4 は含まれない。

Kaspersky がリリースした Linux マルウェア・スキャナー：LOLBin 検出にも対応している？

Kaspersky releases free tool that scans Linux for known threats

2024/06/01 BleepingComputer — Kaspersky がリリースしたのは、Linux プラットフォーム用の新たなウイルス除去ツール KVRT である。このセキュリティ会社の指摘は、「Linux システムにおいては、脅威に対して本質的に安全であるという誤解があり、また、それを否定する野放し状態での攻撃が証明されている」というものだ。最近の事例としては、XZ Utils バックドアなどが挙げられる。

Google の Manifest V3 移行：広告ブロッカー V2 対応は無効化される

Google Chrome change that weakens ad blockers begins June 3rd

2024/06/01 BleepingComputer — Google は、2024年6月の初旬から Chrome の Manifest V2 エクステンションを段階的に廃止し、広告ブロッカー機能を弱める計画を進めている。同社によると、今回の決定は、コミュニティの進捗状況とフィードバックに基づくものであり、これ以上の遅延は不要であると判断されたとのことだ。

WordPress HTML5 Video Player の脆弱性 CVE-2024-5522 が FIX：ただちにパッチを！

CVE-2024-5522 (CVSS 10): Critical Security Flaw Threatens Thousands of WordPress Sites

2024/05/31 SecurityOnline — 人気の WordPress HTML5 Video Player プラグインに、深刻なセキュリティ脆弱性 CVE-2024-5522 (CVSS：10) が発見された。この脆弱性の悪用に成功した、認証されていない攻撃者は、Web サイトのデータベースへ向けた、SQL インジェクションが可能になるため、機密情報の漏えいが生じ、サイトの完全性が損なわれる可能性がある。この脆弱性は、WPScan のセキュリティ研究者 Mayank Deshmukh により発見／報告された。

Chalubo マルウェア：600,000 台以上の SOHO ルーターを破壊していた – Lumen

Over 600,000 SOHO Routers Were Destroyed By Chalubo Malware In 72 Hours

2024/05/31 SecurityAffairs — Chalubo マルウェアが、2023年10月25日〜10月27日の間にわたって、同じ ISP に属する 600,000 台以上の SOHO (small office/home office) ルーターを破壊していたことが、Lumen の Black Lotus Labs の研究により判明した。Black Lotus Labs は、影響を受けた ISP の名前を挙げていない。しかし Bleeping Computer の推測は、同時期に発生した Windstream の障害に、この攻撃が関連しているというものだ。Chalubo (ChaCha-Lua-bot) は Linux マルウェアであり、IoT デバイスに DDoS 攻撃を仕掛けるためのボットネットとして使用されていた状況を、2018年8月下旬に Sophos Labs が検知していた。

NIST NVD の障害：2024年9月までには軌道に乗ると発表

NIST says NVD will be back on track by September 2024

2024/05/31 HelpNetSecurity — 5月29日に NIST が発表したのは、NVD への CVE の登録を支援する契約を、同機関が無名の企業／団体に依頼したことである。さらに NIST (National Institute of Standards and Technology) は、年度末である 9月30日までに、NVD (National Vulnerability Database) で未解析の状態にある CVE (Common Vulnerabilities and Exposures) の、エンリッチメント化も進める予定であるという。

Snowflake のデータ侵害：Santander／Ticketmaster の侵害と関連している？

Snowflake account hacks linked to Santander, Ticketmaster breaches

2024/05/31 BleepingComputer — 最近に発生した Santander と Ticketmaster への侵害を主張する攻撃者は、クラウド・ストレージ企業 Snowflake の従業員のアカウントをハッキングし、データを盗んだと述べている。しかし Snowflake は、この情報漏洩について、顧客アカウントの安全性が不十分だったことに原因があると主張している。Snowflake クラウド・データ・プラットフォームは、世界の大企業を含む 9,437社の顧客に利用されている。その中には、Adobe／AT&T／Capital One／Doordash／HP／Instacart／JetBlue／Kraft Heinz／Mastercard／Micron／NBC Universal／Nielsen／Novartis／Okta／PepsiCo／Siemens／US Foods／Western Union／Yamaha などが名を連ねている。

D-Link NAS の脆弱性 CVE-2024-3273：EoL デバイスを狙う積極的な攻撃を観測

Hackers Actively Exploiting Critical D-Link NAS Vulnerability: 90,000+ Devices at Risk

2024/05/30 SecurityOnline — D-Link NAS の EOL (end-of-life) デバイス群に、深刻な脆弱性 CVE-2024-3273 が存在することが、サイバーセキュリティ企業 CYFIRMA からの緊急の警告により判明した。この脆弱性の CVSS 基本スコアは 9.8 であり、広範囲での悪用が懸念されている。

TIBCO File Transfer の脆弱性 CVE-2024-4407 が FIX：CVSS 値は 9.0

CVE-2024-4407: TIBCO Managed File Transfer Server Vulnerability Could Lead to System Takeover

2024/05/30 SecurityOnline — TIBCO は、同社の Managed File Transfer Platform Server for UNIX および z/Linux に存在する重大な脆弱性 CVE-2024-4407 に関するセキュリティ・アドバイザリを発表した。この脆弱性の悪用に成功した攻撃者は、認証をバイパスしてルート・アクセスを獲得し、影響を受けるシステムを完全に制御することが可能になる。

NGINX の HTTP/3 実装における脆弱性：CVE-2024-32760 などが FIX

NGINX Releases Security Updates: HTTP/3 Vulnerabilities Patched

2024/05/30 SecurityOnline — 直近のセキュリティ・アドバイザリで、NGINX 開発チームがユーザーに推奨しているのは、最新の Web サーバ・ソフトウェア・リリースへの、早急なアップグレードである。このアップデートは、特に “ngx_http_v3_module” を使用する際のコンフィグレーションに影響を及ぼす、HTTP/3 実装に関連する４つの深刻な脆弱性に対処している。

Logpoint SAML 認証の脆弱性 CVE-2024-36383 がFIX：リモートからのファイル削除の可能性

Logpoint Patches Critical SAML Authentication Flaw (CVE-2024-36383): Remote Attackers Could Delete Files

20224/05/30 SecurityOnline — Logpoint が発表したセキュリティ・アドバイザリは、SAML 認証モジュールに存在する深刻な脆弱性を伝えるものである。この脆弱性 CVE-2024-36383 (CVSS：9.1) の悪用に成功した攻撃者は、SAML Single Sign-On (SSO) URL レスポンスにおける URL インジェクションを介して、任意のファイル削除を実行する可能性を持つ。

D-Link D-View 8 の脆弱性４件が FIX：連鎖による攻撃が懸念される

Multiple Critical Vulnerabilities Discovered in D-Link D-View 8

2024/05/30 SecurityOnline — D-Link のネットワーク監視／管理ソフトウェア D-View 8 に存在する新たに発見された４件の脆弱性について、同社は Zero Day Initiative は共同で重要なセキュリティ・アドバイザリを発表した。これらの脆弱性 CVE-2024-5296／CVE-2024-5297／CVE-2024-5298／CVE-2024-5299 は、深刻度 High から Critical (CVSS：8.8～9.6) と評価されて得おり、攻撃者による認証バイパスと、影響を受けるシステム上でのリモートコード実行を許す可能性があるという。

CISA KEV 警告 24/05/30：Linux Kernel と Check Point の脆弱性が積極的に悪用されている

CISA Warns of Actively Exploited Linux Kernel and Check Point Gateway Vulnerabilities

2024/05/30 SecurityOnline — 今日、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Linux カーネルおよび Check Point の Quantum セキュリティ・ゲートウェイへの、積極的な攻撃で悪用されている２つの脆弱性について、緊急警告を発表した。これらの脆弱性は、CISA の KEV (Known Exploited Vulnerabilities) カタログに追加されたばかりのものであり、脅威アクターからシステムやデータを保護するためには、迅速な対応が極めて重要であることを強調している。

WordPress プラグインを悪用するキャンペーン：スクリプトやバックドアを Web サイトに注入

Critical WordPress Plugin Flaws Exploited to Inject Malicious Scripts and Backdoors

2024/05/30 SecurityWeek — Fastly からの警告によると、３つの WordPress プラグインの脆弱性が悪用され、悪意のスクリプトやバックドアが Web サイトに注入されている。これらの脆弱性には、認証を必要としない蓄積型クロス・サイト・スクリプティング (XSS) 攻撃の実行で、悪用される可能性があるという。具体的に言うと、攻撃者は新しい WordPress 管理者アカウントを作成し、プラグインやテーマのファイルに PHP バックドアを注入し、感染させたターゲットを監視するための、追跡スクリプトを設定できる。

NIST NVD の障害：外部への支援要請と契約締結について発表

NIST Getting Outside Help for National Vulnerability Database

2024/05/30 SecurityWeek — 5月30日に NIST が発表したのは、今後の数カ月以内に NVD (National Vulnerability Database) を軌道に乗せるために、外部の支援を受けることだ。NIST は、4月に発表した情報アップデートにおいて、NVD に提出された解析が必要な脆弱性の、バックログが増加していることを認めていた。そして、この問題の原因は、脆弱性の件数の増加と “省庁間のサポートの変化“ にあると述べていた。

Palo Alto ファイアウォールの脆弱性：RedTail 暗号マイニング・マルウェアによる悪用 – Akamai

RedTail Crypto-Mining Malware Exploiting Palo Alto Networks Firewall Vulnerability

2024/05/30 TheHackerNews — 暗号通貨マイニング・マルウェア RedTail の背後にいる脅威アクターが、Palo Alto Networks のファイアウォールの脆弱性を悪用していることが判明した。Web インフラおよびセキュリティの企業 Akamai の調査により、PAN-OS の脆弱性がツールキットに波及したことで、マルウェアのアップデートが補完され、新しいアンチ解析テクニックが組み込まれたことが判明した。

Spring Cloud の脆弱性 CVE-2024-22263 が FIX：サーバ乗っ取りが生じる恐れ

CVE-2024-22263 Flaw in Spring Cloud Data Flow Could Lead to Server Takeover

2024/05/29 SecurityOnline — Cloud Foundry および Kubernetes 環境において、マイクロ・サービス・ベースのストリーミング／バッチ・データ処理に広く使用されている、Spring Cloud Data Flow フレームワークに脆弱性 CVE-2024-22263 が発見された。この脆弱性は深刻度が高いとされており、攻撃者に、任意のファイル書き込みを許し、深刻なサーバ侵害につながる恐れがある。

PyPI の新たな悪意のパッケージ Pytoileur：巧妙な手口で検知を回避

New PyPI Malware “Pytoileur” Steals Crypto and Evades Detection

2024/05/29 InfoSecurity — Python Package Index (PyPI) 上に、悪意のパッケージ pytoileur が存在していたことが、サイバーセキュリティ研究者たちにより明らかになった。その、Python で書かれた API 管理ツールと謳うパッケージには、トロイの木馬化された Windows バイナリを、ダウンロードしてインストールするコードが仕込まれていた。それらのバイナリは、監視の機能／永続化の確立／暗号通貨の窃取などを可能にするおのであり、ダウンローダーとして機能するパッケージは、Sonatype の自動マルウェア検出システムにより発見された後に、ただちに削除された。

Telerik Report Server の脆弱性 CVE-2024-4358 が FIX：機密情報への不正アクセスの恐れ

CVE-2024-4358: Critical Authentication Bypass Flaw Discovered in Progress Telerik Report Server

2024/05/29 SecurityOnline — 世界中で利用されているレポート管理ソリューション Progress Telerik Report Server に、深刻なな脆弱性 CVE-2024-4358 (CVSS：9.8) が発見された。この脆弱性の悪用に成功した未認証の攻撃者は、認証メカニズムを迂回し、機密性の高いレポート・データやサーバ機能への、不正アクセスを実施する可能性を手にする。

Okta 警告：CORS 機能を狙ったクレデンシャル・スタッフィング攻撃が展開されている

Okta warns of credential stuffing attacks targeting its CORS feature

2024/05/29 BleepingComputer — Okta は、Customer Identity Cloud (CIC) 機能がクレデンシャル・スタッフィング攻撃の標的となり、４月以降において多数の顧客が狙われていると警告している。Okta は ID／Access 管理の大手企業であり、アプリ／Web サイト／デバイスへの安全なアクセスのための、クラウド・ベースのソリューションを提供している。さらに同社は、SSO (single sign-on)／多要素認証 (MFA：multi-factor authentication) ／ユニバーサル・ディレクトリ／API アクセス管理／ライフサイクル管理なども提供している。

Foxit PDF Reader／Editor の脆弱性 CVE-2024-29072 などが FIX：悪用が確認される！

Foxit PDF Reader and Editor Users Urged to Update After Exploited Flaws Revealed

2024/05/28 SecurityOnline — PDF ソリューションを提供する Foxit が、5月26日に公開したセキュリティ・アドバイザリは、Foxit PDF Reader／Foxit PDF Editor に存在する脆弱性が、積極的に悪用されていると警告するものだ。この脆弱性は Windows／macOS の両方のユーザーに影響するものであり、潜在的なサイバー攻撃から保護するための、迅速なアップデートが必要となる。

Citrix Workspace app for Mac の脆弱性 CVE-2024-5027 が FIX：ただちにアップデートを！

Citrix Urges Mac Users to Patch Workspace App Against Privilege Escalation Flaw – CVE-2024-5027

2024/05/28 SecurityOnline — Citrix 製品の開発元である Cloud Software Group が、5月28日に公開したセキュリティ・アドバイザリは、Citrix Workspace app for Mac に深刻な脆弱性 CVE-2024-5027 (CVSS：7.7) が存在するとして、Mac ユーザーに警告するものだ。Mac デバイスへのローカル・アクセス権を持つ攻撃者が、この脆弱性の悪用に成功すると、最高レベルの root ユーザーにまで権限をエスカレートさせ、システムを完全に制御する可能性が生じる。

Google Play の悪意の Android アプリ 90種類：550 万以上もインストールされる

Over 90 malicious Android apps with 5.5M installs found on Google Play

2024/05/28 BleepingComputer — 90種類以上の悪意の Android アプリが、Google Play から 55,000,000 回以上もインストールされ、マルウェアやアドウェアを配信していることが判明した。バンキング型トロイの木馬 Anatsa (別名：Teabot) は、ヨーロッパ／米国／英国／アジアなどの金融機関の、650 種類以上のアプリケーションを標的としている。このトロイの木馬は、人々のｅバンキングの認証情報を盗み出し、不正な取引を実行しようとするものだ。

Fortinet SIEM の RCE 脆弱性 CVE-2024-23108／23109：PoC エクスプロイトが提供

Exploit released for maximum severity Fortinet RCE bug, patch now

2024/05/28 BleepingComputer — 2024年2月にパッチが適用された、Fortinet SIEM (security information and event management) ソリューションの深刻な脆弱性に関する、PoC (proof-of-concept) エクスプロイト・コードが、セキュリティ研究者たちから公開された。この脆弱性 CVE-2024-23108 は、Horizon3 の脆弱性の専門家 Zach Hanley により発見／報告されたコマンド・インジェクションの脆弱性であり、悪用に成功した攻撃者に対して、認証を必要としないリモート・コマンド実行を、 root として許すものである。

WordPress Dessky Snippets Plugin：クレジットカード情報の窃取に悪用されている – Sucuri

WordPress Plugin Exploited to Steal Credit Card Data from E-commerce Sites

2024/05/28 TheHackerNews — WordPress の Code Snippet という、あまり知られていないプラグインを悪用して、標的サイトに悪意の PHP コードを挿入することで、クレジットカード情報を窃取するという攻撃が発生している。このキャンペーンは、2024年5月11日に Sucuri により発見されたものであり、ユーザーによるカスタム PHP コードの追加を可能にする、Dessky Snippets という WordPress プラグインを悪用するものだ。なお、このプラグインは、200 件以上インストールされている。

TP-Link Archer C5400X の RCE 脆弱性 CVE-2024-5035 が FIX：CVSS 値は 10.0

CVE-2024-5035 (CVSS 10) in TP-Link Archer C5400X Routers Exposes Users to Remote Hacking

2024/05/27 SecurityOnline — TP-Link Archer C5400X ルーターに、深刻な脆弱性 CVE-2024-5035 (CVSS：10.0) が存在することが、ONEKEY の研究者による最新のセキュリティ分析により判明した。この脆弱性は、無線周波数テストに使用される rftest バイナリのコマンド・インジェクションおよびバッファ・オーバーフローに起因し、リモート・コード実行 (RCE：remote code execution) につながる可能性がある。

Windows の権限昇格の脆弱性 CVE-2024-26238：技術的詳細が公開された

Researcher Details Windows Elevation of Privilege Vulnerability (CVE-2024-26238)

2024/05/27 SecurityOnline — Microsoft の Windows Update コンポーネント RUXIM (Reusable UX Integration Manager) に存在する、脆弱性 CVE-2024-26238 (CVSS：7.8) に関する詳細が、Synacktiv のセキュリティ研究者 Guillaume Andre により公開された。この脆弱性の悪用に成功した攻撃者は、PLUGScheduler と呼ばれるスケジュールされたタスクを悪用し、Windows システムを完全に制御する可能性を持つことになる。

glibc の深刻な脆弱性 CVE-2024-2961：Poc エクスプロイトが公開

glibc Flaw (CVE-2024-2961) Opens Door to RCE, PoC Exploit Published

2024/05/27 SecurityOnline — GNU C ライブラリ (glibc) のセキュリティ脆弱性 CVE-2024-2961 に関して、技術的な詳細と PoC エクスプロイト・コードが公開された。この脆弱性の CVSS スコアは 8.8 であり、影響を受けるシステムへの潜在的な脅威となることが示されている。

Check Point VPN の脆弱性 CVE-2024-24919：企業ネットワークへの不正アクセスで悪用

Hackers target Check Point VPNs to breach enterprise networks

2024/05/27 BleepingComputer — Check Point のRemote Access VPN デバイスを標的とする、エンタープライズ・ネットワークへの侵害キャンペーンが進行中であることが、同社が 5月27日に公開だけしたアドバイザリで明らかになった。このリモート・アクセス機能は、Check Point の全てのネットワーク・ファイアウォールに組み込まれている。この機能の設定により、VPN クライアントを介して企業ネットワークにアクセスする Client-to-Site VPN として、また、Web ベースでアクセスする SSL VPN ポータルとしての利用が可能となる。

macOS の脆弱性 CVE-2024-27842／40404 の悪用：PoC エクスプロイトが公開された

macOS Under Threat: PoC Exploit for CVE-2024-27842 Allows Kernel-Level Code Execution

2024/05/26 SecurityOnline — macOS の深刻な権限昇格の脆弱性 CVE-2024-27842 に対して、セキュリティ研究者の Wang Tielei により、PoC (proof-of-concept) エクスプロイト・コードが公開された。この脆弱性については、すでに Apple がパッチを適用しているが、PoC コードが公開されたことで、早急なアップデートと警戒の重要性が高まっている。

VuFind ライブラリの脆弱性 CVE-2024-25737／25738 が FIX：CVSS 値は 9.1

VuFind Libraries Face Critical Vulnerabilities – CVE-2024-25737 & CVE-2024-25738

2024/05/26 SecurityOnline — オープンソースの図書館検索プラットフォームとして人気の VuFind は、図書館と利用者の双方を深刻なリスクにさらす可能性のある、２つの重大な脆弱性に対処した緊急のセキュリティ・アドバイザリを発表した。これらの脆弱性は CVE-2024-25737／CVE-2024-25738 (CVSS：9.1) が悪用された場合には、甚大な損害を被る可能性があることを示している。

Google Chrome の脆弱性 CVE-2024-5274 が FIX：脅威度は High

Google Discovers Fourth Zero-Day in Less Than a Month

2024/05/25 DarkReading — Google は、Chrome に存在する深刻度の高いセキュリティ上の脆弱性 CVE-2024-5274 に関するアップデートを公開した。CVE-2024-5274 は、V8 JavaScript／WebAssembly エンジンにおけるタイプ・コンフュージョンの脆弱性であり、その脅威度は High に分類されている。

MITRE が公表した 2024年1月の攻撃：不正な VMS を用いて検知を回避

MITRE December 2023 Attack: Threat Actors Created Rogue VMS To Evade Detection

2024/05/25 SecurityAffairs — MITRE Corporation は、昨年末に発生した攻撃に関するアップデート情報を公開した。MITRE は、研究／試作ネットワークの１つにセキュリティ侵害があったことを、2024年4月に明らかにしている。同組織のセキュリティ・チームは速やかに調査を開始し、脅威アクターをログアウトさせ、サードパーティの DFIR (Forensics and Incident Response) チームに依頼し、社内の専門家たちと共同で独自の分析を実施した。

GitLab の深刻な脆弱性 CVE-2024-4835 が FIX：アカウント乗っ取りの可能性

High-severity GitLab flaw lets attackers take over accounts

2024/05/24 BleepingComputer — GitLab が発表したのは、未認証の脅威アクターからのクロス・サイト・スクリプティング (XSS) 攻撃により、ユーザー・アカウントの乗っ取りにいたる可能性のある、深刻度の高い脆弱性へのパッチ適用である。この脆弱性 CVE-2024-4835 は、VS コード・エディタ (Web IDE) における XSS の欠陥であり、悪意を持って細工されたページを介して、制限された情報の窃取を、脅威アクターたちに許すものである。この攻撃は、認証を必要としない脆弱性の悪用により開始するが、その前提としてユーザーとの対話が必要であるため、攻撃の複雑さは高いものとなる。

GNOME RDP の脆弱性 CVE-2024-5148 がFIX：セッションへのアクセスにいたる恐れ

CVE-2024-5148: GNOME Remote Desktop Vulnerability Exposes Sensitive Information

2024/05/24 SecurityOnline — GNOME Remote Desktop バージョン 46.0／46.1 に存在する深刻な脆弱性 CVE-2024-5148 により、機密情報が暴露され、リモート・デスクトップ・セッションへの不正アクセスを許す可能性があることを、セキュリティ研究者 Matthias Gerstner が発見した。

NIST NVD の障害：悪用された CVE のメタデータは依然として欠落 – VulnCheck

NVD Leaves Exploited Vulnerabilities Unchecked

2024/05/23 InfoSecurity — 最近に悪用が確認されたソフトウェアの脆弱性の大半が、米国の NVD (National Vulnerability Database) の解析が不十分であることが、VulnCheck の最新のレポートで明らかになった。ソフトウェア・セキュリティ・プロバイダーである VulnCheck は、5月23日に公開したレポートで、2月12日以降に登録された KEV (known exploited vulnerabilities) 59件のうち 30件を、依然として NVD チームが分析していないことを明らかにした。つまり、KEV における重要なメタデータの、50.8％が欠落していることになる。

Qlik Sense の脆弱性 CVE-2024-36077 が FIX：RCE の可能性も！

CVE-2024-36077: Remote Code Execution Threatens Qlik Sense Users

2024/05/23 SecurityOnline — データ分析の分野で著名な Qlik が発表したのは、同社の Qlik Sense Enterprise for Windows プラットフォームに存在する、脆弱性 CVE-2024-36077 (CVSS：8.8) に関するセキュリティ・アドバイザリである。この脆弱性の悪用に成功した攻撃者は、影響を受けるサーバ上で特権を昇格させ、任意のコード実行を引き起こし、データの完全性と機密性に重大な脅威をもたらす可能性を手にする。

Sonatype Nexus Repository の脆弱性 CVE-2024-4956 が FIX：パス・トラバーサル発生の恐れ

Software Supply Chains Threatened: Nexus Repository CVE-2024-4956 Flaw Exposed

2023/05/23 SecurityOnline — ソフトウェア・サプライチェーン管理ソリューションを提供する Sonatype が発表したのは、広く使用されているアーティファクト・リポジトリ・マネージャー Nexus Repository に存在する、深刻な脆弱性 CVE-2024-4956 に関するセキュリティ・アドバイザリである。この脆弱性は、パス・トラバーサル欠陥として分類され、機密性の高いシステム・ファイルに、認証を必要とせずにアクセスする攻撃者が、それらをダウンロードするという可能性が生じる。結果として、機密データを暴露され、ソフトウェア開発パイプライン・セキュリティの破棄へといたるものである。