Vendors Actively Bypass Security Patch for Year-Old Magento Vulnerability
2023/01/18 SecurityWeek — Adobe Commerce／Magento ストアのメール・テンプレートに存在する、深刻な脆弱性 CVE-2022-24086 に対して、2022年2月に Adobe が公開したセキュリティ・パッチが、適用されていないケースが多いと、eコマース・セキュリティ企業である Sansec が警告している。この脆弱性 CVE-2022-24086 (CVSS: 9.8) は、チェックアウト・プロセスにおける不適切な入力検証のバグだと説明されている。このバグの悪用に成功した攻撃者に対して、任意のコード実行を許す可能性があり、また、パッチが提供されてから１週間ほどで、実環境での悪用も確認されている。
Continue reading “Magento の１年前の脆弱性 CVE-2022-24086：対策の混乱による積極的な悪用が止まらない”Adobe, Apple, Cisco, Microsoft Flaws Make Up Half of KEV Catalog
2022/12/30 DarkReading — 2021年11月に、米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのが、活発に悪用されている脆弱性を、連邦政府機関や重要インフラ組織が特定／是正するための Known Exploited Vulnerabilities (KEV) カタログである。Grey Noise が発表した GreyNoise Mass Exploits Report によると、CISA は 2022年1月〜11月末に 58回の更新を行い、548件の新たな脆弱性をカタログに追加している。2021年11月／12月に追加された約300件の脆弱性を含めると、このカタログが始まってからの１年間で、CISA は約850件の脆弱性をリストアップしたことになる。
Continue reading “CISA KEV カタログの１年：悪用された脆弱性の半分は Adobe／Apple／Cisco／Microsoft”Magento stores targeted in massive surge of TrojanOrders attacks
2022/11/16 BleepingComputer — Magento 2 を用いる Web サイトを標的とした、TrojanOrders 攻撃が急増している。脆弱性を悪用して脆弱なサーバを侵害する、少なくとも７つのハッキング・グループが背後にいるとされている。Web サイト・セキュリティ会社である Sansec は、Magento 2 Web サイトの約 40％が、この攻撃の標的になっていると述べている。さらに、感染させたサイトの制御をめぐって、ハッキング・グループが互いに争っていると警告している。
Continue reading “Magento と TrojanOrders 攻撃：脆弱性 CVE-2022-24086 未パッチ・サイトが標的”Multiple Vulnerabilities Reported in Checkmk IT Infrastructure Monitoring Software
2022/11/02 TheHackerNews — モニタリング・ソフトウェアである Checkmk IT Infrastructure に存在する、複数の脆弱性が報告された。これらの脆弱性により、認証されていないリモートの攻撃者が、連鎖的に影響を受けるサーバを完全に乗っ取る可能性が生じている。SonarSource の研究者である Stefan Schiller は、「これらの脆弱性を連鎖させることで、Checkmk 2.1.0p10 以下のサーバ上でのコード実行が、未認証のリモート攻撃者に許されてしまう」と、技術分析で述べている。
Continue reading “Checkmk に複数の脆弱性：IT インフラ監視ソフトウェアに乗っ取りの可能性”Critical Magento vulnerability targeted in new surge of attacks
2022/09/22 BleepingComputer — Magento 2 に存在する脆弱性 CVE-2022-24086 を狙う、ハッキング行為が急増している。Magento は、Adobe が所有するオープンソースの eコマースプラットフォームであり、全世界の約17万件のオンライン・ショッピング・サイトで利用されている。この脆弱性 CVE-2022-24086 は、2022年2月に発見され、パッチが適用されているが、すでに侵害に成功した脅威アクターにより、野放状態で悪用されている。その当時に、CISA はサイト管理者に対して、提供されたセキュリティ更新プログラムを適用するよう、アラートで促していた。
Continue reading “Adobe Magento 2 の深刻な脆弱性 CVE-2022-24086：大規模な攻撃が発生”Escanor Malware delivered in Weaponized Microsoft Office Documents
2022/08/22 SecurityAffairs — ロサンゼルスを拠点にして Fortune 500 を保護する、グローバル・サイバー・セキュリティ企業である Resecurity は、新しいRAT (Remote Administration Tool) である Escanor が、ダークウェブや Telegram などで宣伝されていることを確認している。この攻撃者は、Android／PC ベースの RAT に加えて、HVNC (HiddenVNC)／Exploit Builder を提供し、Microsoft Office／Adobe PDF ドキュメントを兵器化することで、悪意のコードを配信している。
Continue reading “Microsoft Office／Adobe PDF ドキュメントの兵器化：Escanor RAT は機能満載”4 Steps Financial Industry Can Take to Cope With Their Growing Attack Surface
2022/07/26 TheHackerNews — 金融サービス業界は、常にテクノロジー導入の最前線にあるが、2020年のパンデミックにより、モバイルバンキング・アプリ／チャットベースの顧客サービスなどの、デジタルツールの普及が加速した。Adobe の 2022 FIS Trends Report によると、調査対象となった金融サービス／保険会社の半数以上が、2020年上半期のデジタル／モバイルビジター数が著しく増加したという。
Continue reading “金融サービスとサイバー攻撃：拡大する攻撃対象を保護する４つのステップとは？”Adobe Acrobat may block antivirus tools from monitoring PDF files
2022/06/21 BleepingComputer — セキュリティ研究者たちは、Adobe Acrobat がアンチウィルス・ソフトウェアをブロックし、PDF ファイルをオープンする際の、セキュリティ的な可視化を拒否していることを発見し、ユーザーにリスクを生じさせることを明らかにした。Adobe の製品は、30 種類のセキュリティ製品のコンポーネントの、プロセスへのロードの有無をチェックしており、また、それらをブロックすることで、悪意のアクティビティ監視を本質的に拒否している。
Continue reading “Adobe Acrobat の問題：アンチ・ウィルス製品による PDF ファイル・モニタリングをブロック？”Adobe Plugs 46 Security Flaws on Patch Tuesday
2022/06/15 SecurityWeek — Adobe のセキュリティ対策チームは、企業向けの各種ソフトウェア製品に存在する、少なくとも 46件の脆弱性に対応する大量のパッチをリリースした。スケジュールされている Patch Tuesday の一環として、６月の Adobe は、Windows／macOS のユーザーを攻撃にさらす可能性のある、深刻なコード実行の脆弱性について警告している。
Continue reading “Adobe の Patch Tuesday ６月：46件のセキュリティ脆弱性が修正された”CISA warns organizations to patch 95 actively exploited bugs
2022/03/04 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発に悪用されているセキュリティ欠陥のリストに 95件の脆弱性を追加したが、この件数は、昨年に Binding Operational Directive (BOD) を発行してから最多のものとなる。その中には、20年近く前から認識されているバグもあるが、同庁は、「連邦政府の企業にとって重大なリスクをもたらす」と指摘している。
Continue reading “CISA 警告：悪用脆弱性カタログに新旧あわせて 95 件が追加された”Emergency Magento update fixes zero-day bug exploited in attacks
2022/02/14 BleepingComputer — Adobe は、深刻な脆弱性 CVE-2022-24086 を修正し、Adobe Commerce と Magento Open Source に対して緊急アップデートを提供した。この脆弱性について、現時点では技術的な詳細は公表されていないが、この脆弱性を悪用する際に認証は必要されないと、Adobe は強調し、深刻度を示す CVSS 値は 9.8 だと評価している。
Continue reading “Adobe Magento の深刻な脆弱性 CVE-2022-24086 が FIX：RCE の可能性”Google Project Zero: Vendors are now quicker at fixing zero-days
2022/02/11 BleepingComputer — Google の Project Zero は、2021年において同チームが報告したゼロデイ脆弱性について、それぞれの組織が対応に要した時間の短縮示すレポートを発表した。この Project Zero が報告したデータによると、ソフトウェア・ベンダーがセキュリティ修正プログラムの発行に要した平均期間は、2017年の 80日から、2021年は 52日に短縮された。さらに、大半のベンダーが、業界標準の期限である90日と、２週間の猶予期間内に、欠陥に対処した。
Continue reading “Google Project Zero レポート：各ベンダーのゼロデイ対応と時間軸”Wave of MageCart attacks target hundreds of outdated Magento sites
2022/02/09 BleepingComputer — Sansec のアナリストたちは、Magento 1 プラットフォームを使用している 500以上のeコマース・ストアへの大量侵入の原因を突き止め、それら全ての eコマース・ストアに対して、ある１つのドメインからクレジットカード・スキマーがロードされていることを明らかにした。Sansec によると、先月末の同じ日に、同社のクローラーが 374件の感染を発見し、すべてが同一のマルウェアを使用していたことから、この攻撃が明らかになった。
Continue reading “マージカートの波が Magento 1 サイトを襲撃：500以上の eコマースに大量侵入”Emotet now spreads via fake Adobe Windows App Installer packages
2021/12/01 BleepingComputer — 現在、マルウェア Emotet は、Adobe PDF ソフトウェアを装う、悪意の Windows App Installer パッケージを介して配布されている。Emotet は、フィッシング・メールや悪意の添付ファイルを介して拡散する、悪名高いマルウェアである。インストールされると、他のスパム・キャンペーンのために被害者のメールを盗み、TrickBot や Qbot などのマルウェアを展開して、ランサムウェア攻撃などへつなげる。
Continue reading “Emotet が偽の Adobe インストーラーを介して広まり始めている”CISA shares a catalog of 306 actively exploited vulnerabilities
2021/11/04 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されている 306件の脆弱性のカタログを公開し、それぞれの連邦政府機関に対して、一定の期限内に対処するよう命じる運用指令を発出した。この指令は、連邦政府の情報システムに存在する、すべてのソフトウェアおよびハードウェアを対象としており、そこには、連邦政府の施設内で管理されているもの、および、連邦政府に代わって第三者がホストされているものがある。
Continue reading “CISA が 306件の脆弱性カタログを発行：政府およびインフラに対する悪用を阻止する”Cring Ransomware Gang Exploits 11-Year-Old ColdFusion Bug
2021/09/21 TheHackerNews — 11年前のバージョンでパッチが適用されていない、Adobe ColdFusion 9 が稼働しているサーバーに、正体不明の脅威アクターが侵入し、数分でリモート操作を行い、ハッキングから 79時間後には、ターゲットのネットワーク上にファイル暗号化ランサムウェア Cling を展開した。
Continue reading “Adobe ColdFusion 9 の 11年前のバグにより Cring ランサムウェアが投下された”Authentication Bypass in Adobe Experience Manager Impacts Large Organizations
2021/06/29 SecurityWeek — Adobe Experience Manager (AEM) は、Web サイトやモバイル・アプリの構築に用いられる CMS (content management solution) であると同時に、開発者によるコンテンツやアセットの管理にも活用される。Detectify Crowdsource Community の研究者である Ai Ho と Bao Bui が、この製品に認証バイパスの脆弱性があることを発見した。
Continue reading “Adobe Experience Manager の認証バイパスの脆弱性が大手企業に影響をおよぼしている”
IoT OT Security News 