Apache – Page 3 – IoT OT Security News

CISA KEV 警告 24/09/18：Apache／Microsoft／Oracle の脆弱性を登録

CISA Warns of Actively Exploited Apache, Microsoft, and Oracle Vulnerabilities

2024/09/18 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が、世界中の政府の機関／組織に対して警告を発している。新たに特定された、それらの５つ脆弱性は、悪意の攻撃者により積極的に悪用されているものだ。CISA の KEV カタログに追加された脆弱性は、一般的なソフトウェアに対する悪用が確認されたものであり、パッチが適用されていないシステムに深刻なリスクをもたらす。

Apache OFBiz の RCE 脆弱性 CVE-2024-45195：PoC リリース後の積極的な攻撃を観測

Hackers target Apache OFBiz RCE flaw CVE-2024-45195 after PoC exploit released

2024/09/12 SecurityOnline — Apache OFBiz の脆弱性 CVE-2024-45195 が明らかになった以降において、4,000 の固有サイトを標的とする、25,000 件を超える悪意のあるリクエストが検出されたと、Imperva のレポートが指摘している。これらの攻撃は、主に金融サービス業界 (FSI) とビジネス部門を標的としており、悪意のボットと Go で書かれたカスタムのエクスプロイト・ツールで脆弱なシステムを探った後に、脆弱性を悪用しているとのことだ。この脆弱性の悪用に成功した攻撃者は、マルウェアの展開や機密データの窃取などを達成し、業務を妨害している。

Red Hat の深刻な脆弱性 CVE-2024-7923 が FIX：Pulpcore の認証バイパスに対応

Red Hat Issues Critical Patch for Pulpcore Authentication Bypass Flaw (CVE-2024-7923)

2024/09/06 SecurityOnline — Red Hat Satellite デプロイメントで採用された、コンテンツ管理システム Pulpcore の認証バイパス脆弱性 CVE-2024-7923 に関する、重要なセキュリティ・アドバイザリが発行された。この脆弱性 CVE-2024-7923 (CVSS：9.8) の悪用に成功したユーザーは、権限を必要とせずに管理アクセスを取得できるようになり、システムを完全に侵害する可能性を手にする。

Apache OFBiz の RCE 脆弱性 CVE-2024-45195 が FIX：ただちにパッチを！

Apache OFBiz Update Fixes High-Severity Flaw Leading to Remote Code Execution

2024/09/06 TheHackerNews — OSS の ERP システムである Apache OFBiz に存在することが判明した、新たなセキュリティ上の欠陥が修正された。この脆弱性の悪用に成功した攻撃者は、Linux ／Windows 上で認証を必要としないリモート・コード実行を許される可能性があるという。この脆弱性 CVE-2024-45195 (CVSS：7.5) は、OFBiz のバージョン 18.12.16 未満に影響を及ぼす。

Apache DolphinScheduler の脆弱性 CVE-2024-43202 が FIX：RCE の可能性

CVE-2024-43202: RCE Vulnerability Discovered in Apache DolphinScheduler

2024/08/20 SecurityOnline — Apache DolphinScheduler プロジェクトが発表したのは、リモートコード実行 (RCE) の脆弱性について、ユーザーに警告するための重要なセキュリティ・アドバイザである。データ・オーケストレーションに対する合理的なアプローチで有名な DolphinScheduler に存在する、脆弱性 CVE-2024-43202 の悪用に成功した攻撃者は、標的とするシステム上で任意のコード実行を達成し、このプラットフォームのユーザーに重大なリスクをもたらす可能性を得る。

Apache CloudStack の脆弱性 CVE-2024-42062／42222 が FIX：不正アクセスなどに至る恐れ

Apache CloudStack Releases Critical Patches (CVE-2024-42062 and CVE-2024-42222)

2024/08/07 SecurityOnline — Apache CloudStack が公開した緊急セキュリティ・アドバイザリは、２つの重大な脆弱性 CVE-2024-42062／CVE-2024-42222 に対処するために、直ちにアップデートするようユーザーに呼びかけるものだ。CloudStack のバージョン 4.10.0 〜4.19.1.0 に存在する、これらの脆弱性の悪用に成功した攻撃者は、機密情報への不正アクセスおよび、CloudStack が管理するインフラの完全性を侵害する可能性を手にする。

Apache OFBiz の RCE 脆弱性 CVE-2024-38856：PoC エクスプロイトが提供された

PoC Exploit Released for Apache OFBiz Remote Code Execution Flaw (CVE-2024-38856)

2024/08/07 SecurityOnline — オープンソース ERP システムである Apache OFBiz に存在する、深刻な脆弱性 CVE-2024-38856 (CVSS：9.8) に対する PoC エクスプロイト・コードが、SecureLayer7 の研究者である Zeyad Azimaと Youssef Muhammad により公開された。この脆弱性は、認証を必要としないリモートコード実行の欠陥であり、影響を受けるシステムに深刻な脅威をもたらす。

Apache Linkis の脆弱性 CVE-2024-27181／27182 が FIX：権限昇格などが生じる恐れ

Critical Security Vulnerabilities Discovered in Apache Linkis: Users Urged to Upgrade Immediately

2024/08/05 SecurityOnline — 各種のデータ処理エンジンとアプリケーションを接続するのために、広く使用されている計算ミドルウェア Apache Linkis は、ユーザーを潜在的な攻撃にさらす可能性のある、２つの深刻なセキュリティ脆弱性に対処した。

Apache InLong の脆弱性 CVE-2024-36268 が FIX：リモート・コード・インジェクションの可能性

CVE-2024-36268: Apache InLong Vulnerability Leaves Systems Open to Remote Attacks

2024/08/04 SecurityOnline — Apache InLong プロジェクトは、大規模なデータ・ストリーム処理において広範に利用されるデータ統合フレームワークであるが、その TubeMQ コンポーネントに深刻な脆弱性が発見され、それを伝えるセキュリティ勧告が発表された。このコード・インジェクションの脆弱性 CVE-2024-36268 の悪用に成功した、リモートの攻撃者は、標的とするシステム上で任意のコードを実行する可能性を手にする。

Apache OFBiz の RCE 脆弱性 CVE-2024-38856 が FIX：ただちにパッチを！

CVE-2024-38856: Critical Apache OFBiz Flaw Opens Door to Unauthorized Code Execution

2024/08/04 SecurityOnline — OSS の ERP (enterprise resource planning) プラットフォームとして広く採用されている、Apache OFBiz に存在する脆弱性により、コードが不正に実行される可能性があるとする、緊急のセキュリティ・アドバイザリが出されている。この脆弱性 CVE-2024-38856 は Important に分類されているが、ERP システムは事業運営において重要な役割を担っているため、直ちに対策を講じるよう、セキュリティ専門家たちが組織に警告している。

Apache OFBiz の脆弱性 CVE-2024-32113 が FIX：悪意のスキャンと CISA KEV 登録

Actively Exploited Apache OFBiz Flaw Triggers Urgent Security Alert

2024/07/31 SecurityOnline — Apache OFBiz の脆弱性 CVE-2024-32113 に対するスキャン試行が、この数週間で驚くほど増加していることを、セキュリティ研究者たちが確認している。この欠陥は、パス・トラバーサル問題と説明されており、脆弱なバージョンのソフトウェアを実行しているシステムにおいて、攻撃者に悪意のリモート・コード実行を許す可能性があり、重大なリスクをもたらすとされる。

Apache Superset の脆弱性 CVE-2024-34693 が FIX：PoC エクスプロイトも提供

CVE-2024-34693: Apache Superset Arbitrary File Read Vulnerability, PoC Published

2024/07/28 SecurityOnline — Apache Software Foundation は、Apache Superset に存在する任意ファイル読み取りの脆弱性 CVE-2024-34693 に対処する、セキュリティ更新プログラムをリリースした。この脆弱性は、Apache Superset 内の MariaDB プロトコル実装における不適切な入力検証に起因し、バージョン 3.1.3 未満/4.0.0 に影響を及ぼすものだ。攻撃者は、local_infile パラメータを有効化し、MariaDB 接続を作成することで、この脆弱性の悪用を試行できる。

Apache Pinot の脆弱性 CVE-2024-39676 が FIX：情報漏えいとセキュリティ侵害の恐れ

CVE-2024-39676: Apache Pinot Flaw Exposes Sensitive Data, Urgent Upgrade Needed

2024/07/26 SecurityOnline — リアルタイム分析プラットフォーム Apache Pinot に、深刻なセキュリティ脆弱性 CVE-2024-39676 (深刻度：important) が発見された。この脆弱性の悪用に成功した攻撃者は、権限を必要とせずに機密性の高いシステム情報へのアクセスが可能になり、データ漏洩やセキュリティ侵害につながる恐れが生じる。

Apache CloudStack の脆弱性 CVE-2024-41107 が FIX：不正アクセスの恐れ

CVE-2024-41107: Apache CloudStack Vulnerability Exposes User Accounts to Compromise

2024/07/21 SecurityOnline — Apache Software Foundation が発表したのは、OSS のクラウド・コンピューティング・プラットフォーム Apache CloudStack に存在する、深刻な脆弱性 CVE-2024-41107 に関するセキュリティ・アドバイザリである。この脆弱性は SAML 認証のメカニズムに影響するものであり、その悪用に成功した攻撃者が認証バイパスを許し、ユーザーのアカウントやリソースへの不正アクセスにいたる恐れが生じる。

中国由来の APT41 が復活：世界のロジスティクスやテクノロジーなどの産業を狙っている – Mandiant

Chinese Hacking Group APT41 Infiltrates Global Shipping and Tech Sectors, Mandiant Warns

2024/07/18 SecurityWeek — ヨーロッパとアジアの海運／ロジスティクス／テクノロジー／自動車産業の組織に侵入したとして摘発された、中国政府が支援する多発ハッキング・チーム APT41 によるマルウェア攻撃が、大規模なレベルで復活していることを、Mandiant の研究者たちが指摘している。Mandiant の警告によると、侵入された組織の大部分は英国／イタリア／スペイン／トルコ／タイ／台湾にあるという。これらの組織に侵入した APT41 は、遅くとも 2023年以降において、不正アクセスを長期にわたって維持することに成功しているようだ。

Apache HTTP Server の脆弱性 CVE-2024-40725／40898 が FIX：ただちにパッチを！

CVE-2024-40725 & CVE-2024-40898: Apache HTTP Server Flaws Put Millions of Websites at Risk

2024/07/17 SecurityOnline — Apache Software Foundation が発表したセキュリティ・アドバイザリは、Apache HTTP Server のバージョン 2.4.0 ～ 2.4.61 に影響を及ぼす、２つの深刻な脆弱性 CVE-2024-40725／CVE-2024-40898 に関するものだ。これらの脆弱性は、世界中の Web サーバに重大なリスクをもたらし、ソースコードの漏洩／サーバーサイド・リクエストフォージェリ (SSRF) 攻撃を引き起こす可能性を持つ。

Apache HugeGraph の脆弱性 CVE-2024-27348：悪用の試みが観測されている

Critical Apache HugeGraph Vulnerability Under Attack – Patch ASAP

2024/07/17 TheHackerNews — 最近に公開された Apache HugeGraph-Server の RCE 脆弱性 CVE-2024-27348 (CVSS：9.8) を悪用する、脅威アクターたちの動きが活発化している。この脆弱性は、HugeGraph の Gremlin Traversal Language Interface に存在し、リモート・コマンド実行につながる欠陥だと説明されており、HugeGraph 1.3.0 未満の全てのバージョンに影響を及ぼすものだ。

Apache Airflow の脆弱性 CVE-2024-39877 が FIX：RCE の恐れ

CVE-2024-39877: Apache Airflow Security Update Addresses Code Execution Vulnerability

2024/07/16 SecurityOnline — Apache が公開したのは、Airflow バージョン 2.4.0 ～ 2.9.2 に影響を及ぼす、RCE の脆弱性 CVE-2024-39877 に対処するためのセキュリティ・アップデートである。この脆弱性の悪用に成功した認証済みの DAG (Directed Acyclic Graph) 作成者は、スケジューラ・コンテキスト内での任意のコード実行を可能とし、Airflow 環境のセキュリティと完全性が損なわれる恐れがある。

Apache Linkis の脆弱性３件が FIX：RCE などが発生する恐れ

Security Vulnerabilities in Apache Linkis Expose Systems to Arbitrary File Reading and RCE

2024/07/15 SecurityOnline — アプリケーションとデータエンジンを接続するために使用される、人気の計算ミドルウェア Apache Linkis の DataSource モジュールで発見された、３つの脆弱性に対応するセキュリティ・パッチがリリースされた。これらの脆弱性 CVE-2023-41916／CVE-2023-46801／CVE-2023-49566 の悪用に成功した攻撃者は、任意のファイルの読み取りや、リモート・コード実行に加えて、JNDIインジェクション攻撃を仕掛ける機会を得るという。

PoC の武器化までの時間が短縮：22分後に攻撃に使用されたケースも – Cloudflare

Hackers use PoC exploits in attacks 22 minutes after release

2024/07/13 BleepingComputer — 脅威アクターたちは、利用可能な PoC (proof-of-concept) エクスプロイト・コードを、実際の攻撃で武器化するまでの時間を短縮している。中には、エクスプロイトが公開されてから、22分間で武器化するというケースも発見されている。この動向は、Cloudflare の Application Security report for 2024 で報告されたものだ。同レポートは、2023年5月〜2024年3月までの活動をカバーし、新たな脅威の傾向を浮き彫りにしている。現在、平均で 5,700万件/秒の HTTP リクエストを処理している Cloudflare は、公開された CVE に対するスキャンが、継続して活発化しているのを観測している。そして、コマンド・インジェクションや、利用可能な PoC を武器化しようとする試みが、それに続いているという。

Apache CloudStack の脆弱性 CVE-2024-38346／39864 が FIX：ただちにパッチを！

Critical Security Advisory for Apache CloudStack: CVE-2024-38346 and CVE-2024-39864

2024/07/08 SecurityOnline — Apache が緊急セキュリティ・アドバイザリで公表したのは、人気の OSS クラウド・コンピューティング・プラットフォーム CloudStack に影響を及ぼす、２つの深刻な脆弱性 CVE-2024-38346／CVE-2024-39864 の情報である。仮想化インフラの管理に CloudStack を利用しているユーザーに対して、これらの脆弱性は深刻なリスクをもたらすという。

Apache HTTP Server の脆弱性 CVE-2024-39884 が FIX：情報漏えいの恐れ

Apache HTTP Server Update Patches Critical Source Code Disclosure Flaw (CVE-2024-39884)

2024/07/04 securityonline — 先日に Apache が公表したのは、深刻なソースコード漏洩の脆弱性 CVE-2024-39884 に対処する、Apache HTTP Server 2.4.61 への緊急アップデートの実施である。Apache チームにより “Important” と評価された、この脆弱性の悪用に成功した攻撃者は、サーバに保存された機密情報を漏えさせる可能性を手にする。

Apache HTTP Server の緊急アップデート：ただちにパッチ適用を！

Multiple Vulnerabilities in Apache HTTP Server Demand Immediate Action

2024/07/01 SecurityOnline — Apache Software Foundation が公開した緊急のセキュリティ・アドバイザリにより、人気の Apache HTTP Server に複数の脆弱性が存在することが判明した。これらの脆弱性が悪用されると、サービス拒否 (DoS：denial-of-service) 攻撃／リモート・コード実行／不正アクセスなどが生じ、何百万もの Web サイトがサイバー攻撃にさらされる可能性が生じる。この脆弱性群は、CVE-2024-36387 から CVE-2024-39573 として追跡されており、mod_proxy／mod_rewrite／コア機能などの、Apache HTTP Server の各種コンポーネントに影響を与えるという。

Apache StreamPipes の脆弱性 CVE-2024-29868：IIoT アカウント乗っ取りが生じる？

CVE-2024-29868 in Popular IoT Toolbox StreamPipes Opens Door to Account Takeovers

2024/06/24 SecurityOnline — IIoT (Industrial Internet of Things) データ処理プラットフォームとして広く利用されている、Apache StreamPipes に存在する深刻なセキュリティ脆弱性により、数千人のユーザーがアカウント乗っ取り危険にさらされている。この脆弱性 CVE-2024-29868 は、同プラットフォームにおけるユーザー登録とパスワード回復プロセスで、脆弱な乱数生成器が使用されていることに起因する。

Apache RocketMQ の脆弱性 CVE-2023-33246：Muhstik マルウェアの配布に悪用されている

Muhstik Malware Exploits Apache RocketMQ Flaw: Thousands at Risk

2024/06/06 SecurityOnline — Apache RocketMQ のインストールを標的とする、Muhstik マルウェアのキャンペーンを、Aqua Nautilus のサイバーセキュリティ研究者たちが発見した。この新たな攻撃の波において、攻撃者は RocketMQ バージョン 5.1.0 以下の脆弱性 CVE-2023-33246 を悪用してリモートでコードを実行し、侵害されたシステムに悪名高い Muhstik マルウェアをダウンロードする。

Apache Wicket の脆弱性 CVE-2024-36522 が FIX：重大なリモート・コード実行の恐れ

Apache Wicket Addresses Critical RCE Vulnerability (CVE-2024-36522)

2024/06/04 SecurityOnline — Apache がリリースしたのは、Wicket PMC (Project Management Committee) に存在する、深刻なリモート・コード実行の脆弱性 CVE-2024-36522 に対するセキュリティ・アップデートであり、この広く使われている Java Web アプリケーション・フレームワークの問題が対処された。この脆弱性は、Apache Wicket の初期バージョンで発見された、潜在的な XSLT インジェクションに起因するものだ。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で、任意のコードを実行する可能性を手にする。

Apache HugeGraph の RCE 脆弱性 CVE-2024-27348 が FIX：PoC も提供！

CVE-2024-27348: Apache HugeGraph RCE Vulnerability, PoC Exploit Published

2024/06/04 SecurityOnline — Apache Software Foundation が発表したアドバイザリは、人気のグラフ・データベース HugeGraph に存在する、リモート・コード実行 (RCE) の脆弱性に関するものである。この深刻な脆弱性 CVE-2024-27348 は、Java 8／Java 11 上で実行されている、HugeGraph のバージョン 1.0.0 〜 1.2.1 に影響を及ぼす。

Apache OFBiz の脆弱性 CVE-2024-36104：リモート・コード実行の可能性

Patch Now to Avoid Apache OFBiz Remote Code Execution – CVE-2024-36104

2024/06/03 SecurityOnline — Apache Software Foundation リリースしたのは、エンタープライズ・オートメーション・プラットフォーム Apache OFBiz に存在する、深刻な脆弱性 CVE-2024-36104 に対する重要なセキュリティ・パッチである。この脆弱性の悪用に成功したリモートの攻撃者は、影響を受けたシステム上で任意のコードを実行し、システムを完全に侵害する可能性を手にする。

Apache Log4J2 脆弱性の悪用：Sisense／Snowflake への侵害が金融セクターに波及する？

Critical Apache Log4J2 Flaw Still Threatens Global Finance

2024/06/01 SecurityAffairs — 金融業界に甚大な影響を与える可能性のある深刻なロギング設定の欠陥を、独立系サイバー脅威インテリジェンス・アナリストである Anis Haboubi が警告している。Apache Log4j2 に存在する、脆弱性 CVE-2021-44832 の悪用に成功したリモートの攻撃者は、影響を受けるシステム上で悪意のコードを実行できるという。この脆弱性の CVSS スコアは 6.6 であり、log4j バージョン 2.0-alpha7 〜 2.17.0 に影響を及ぼすが、2.3.2／2.12.4 は含まれない。

CISA KEV 警告 24/05/23 ：Apache Flink の CVE-2020-17519 を追加

CISA Warns of Actively Exploited Apache Flink Security Vulnerability

2024/05/23 TheHackerNews — 5月23日 (木) に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Apache Flink の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。その背景にあるのは、統合ストリーム処理／バッチ処理フレームワークのための、この OSS に影響を及ぼすセキュリティ上の欠陥が、活発に悪用されているという現実である。

Apache OFBiz の脆弱性 CVE-2024-32113：パス・トラバーサルに起因する RCE

CVE-2024-32113 – RCE Vulnerability in Apache OFBiz: Immediate Action Required

2024/05/12 SecurityOnline — 一般的な企業向けソフトウェア・ツール群である Apache OFBiz に、深刻なパス・トラバーサルの脆弱性 CVE-2024-32113 が発見された。この脆弱性の悪用に成功したリモートの攻撃者は、脆弱なバージョンを実行しているシステム上で、悪意のコードを実行する可能性を手にする。Apache OFBiz は、アプリケーション構築のためのフレームワークであり、ERP (enterprise resource planning)／CRM (customer relationship management) ／電子商取引などで使用される。その業界を横断的する視点と柔軟性により、企業にとって人気の選択肢となっている。

Apache ActiveMQ の脆弱性 CVE-2024-32114 が FIX：コンフィグ修正の緩和策も提供

CVE-2024-32114: High-Severity Vulnerability Exposed in Apache ActiveMQ

2024/05/02 SecurityOnline — Apache ActiveMQ は、最も人気のある Open-Source／Multi-Protocol／Java-based のメッセージ・ブローカーとして広く知られており、JavaScript／C／C++／Python／.Net などのプログラミング言語と、多様なクライアントソフトウェアとの間の通信を容易にする。さらに、AMQP のような標準プロトコルをサポートすることで、マルチ・プラットフォーム・アプリケーションを統合する際の、幅広い互換性と柔軟性を確保している。しかしながら、バージョン 6.x で発見された、深刻度の高いセキュリティ脆弱性 CVE-2024-32114 により、同プラットフォームのユーザーに重大なリスクが生じている。

Apache HugeGraph の脆弱性 CVE-2024-27347 などが FIX：直ちにアップデートを！

Multiple Vulnerabilities Patched in Apache HugeGraph – Update Immediately

2024/04/22 SecurityOnline — Apache HugeGraph は、数十億の交点とエッジの処理を行い、堅牢な OLTP (online transaction processing) 機能を持つ、主要な高性能グラフ・データベースとして知られている。その HugeGraph だが、最近になって、ユーザーに重大なリスクをもたらし得る、３つのセキュリティ脆弱性に対処した。これらの脆弱性は、HugeGraph システムの様々なコンポーネントに影響するものであり、悪用されると、SSRF (Server-Side Request Forgery)／ RCE (Remote Command Execution)／認証バイパスなどが生じる恐れがある。

Apache Kafka の脆弱性 CVE-2024-27309 が FIX：ただちにアップデートを！

CVE-2024-27309: Major Apache Kafka Flaw Could Expose Sensitive Data in Popular Enterprises

2024/04/11 SecurityOnline — 人気の OSS イベント・ストリーミング・プラットフォームである Apache Kafka の、一般的なバージョンにおいて深刻な脆弱性 CVE-2024-27309 が発見された。この脆弱性は、Kafka クラスタを ZooKeeper モードから KRaft モードに移行する過程において、機密データへの不正アクセスを許す可能性があり、多数の大規模企業に影響を与えると推測されている。

Apache Zeppelin の脆弱性 CVE-2024-31861：コード・インジェクション攻撃が生じる恐れ

CVE-2024-31861: Apache Zeppelin Vulnerability Opens Door to Code Injection Attacks

2024/04/10 SecurityOnline — 人気のデータ分析ノートブック・ツールである Apache Zeppelin に、新たなセキュリティ脆弱性 CVE-2024-31861 (重要度：Important) が発見された。この脆弱性の悪用に成功した攻撃者は、Zeppelin のシェル・インタプリタを通じて悪意のコードを注入し、機密システムの完全性とセキュリティに影響を与える可能性がある。

Apache CloudStack の脆弱性 CVE-2024-29008 などが FIX：ただちにパッチを！

Apache CloudStack Releases Critical Security Patches – Update Immediately

2024/04/04 SecurityOnline — Apache Software Foundation が発表したのは、人気のクラウド管理プラットフォーム CloudStack 4.18.1.1／4.19.0.1 によりセキュリティ・リリースである。これらのリリースで対処される、３件の脆弱性を悪用する攻撃者は認証を回避し、トラフィックをリダイレクトし、基盤となるインフラの制御を奪う可能性があるという。

Apache HTTP サーバの３つの脆弱性が FIX：ただちにパッチを！

Apache HTTP Server Hit by Triple Vulnerabilities – Users Urged to Update

2024/04/04 SecurityOnline — 広く使用されている Apache HTTP Server に、３つの脆弱性が存在することを、セキュリティ研究者たちが発見した。それらの脆弱性 CVE-2023-38709／CVE-2024-27316／CVE-2024-24795 が開く攻撃のドアから、脅威アクターたちが入り込み、Web サイトのコンテンツ改ざんから、サービス拒否 (DoS) シナリオにいたるまでの、攻撃が仕掛けられる恐れがある。

Apache Pulsar の脆弱性 CVE-2024-29834 が FIX：直ちにアップデートを！

Apache Pulsar Patches Authorization Flaw (CVE-2024-29834) – Update Now to Protect Sensitive Data

2024/04/02 SecurityOnline — OSS メッセージング／ストリーミング・プラットフォームとして人気の Apache Pulsar に存在する、深刻なセキュリティ脆弱性 CVE-2024-29834 にパッチが適用された。この脆弱性の悪用に成功した、権限のない攻撃者は、機密データ・ストリームやシステム・アクセス・ルールなどの変更が可能になるため、組織のデータが危険にさらされる可能性が生じる。

Apache Fineract の脆弱性 CVE-2024-23537 などが FIX：直ちにアップデートを！

Apache Fineract Patches Multiple Flaws, Including Critical Privilege Escalation (CVE-2024-23539)

2024/03/31 SecurityOnline — 金融機関で広く使用されている OSS コア・バンキング・ソリューション Apache Fineract に存在する、３つの脆弱性に対応するセキュリティ・パッチがリリースされた。これらの脆弱性の悪用に成功した攻撃者は、権限の昇格や、悪意のデータベース・クエリ実行を引き起こす可能性がある。

Apache Doris の脆弱性 CVE-2024-27438 が FIX：リモートコード実行の可能性

CVE-2024-27438: Apache Doris Remote Command Execution Vulnerability

2024/03/21 SecurityOnline — Apache Doris 開発チームがリリースしたのは、人気のリアルタイム分析データベース・システムに存在する、２つの脆弱性に対処するセキュリティ・アップデートである。これらのセキュリティ欠陥の１つは Important と評価されており、影響を受けるシステム上で、攻撃者に悪意のコード実行を許す可能性が生じる。

Apache ActiveMQ の脆弱性 CVE-2023-46604 を悪用する攻撃：多様なペイロードを展開

Cybereason Uncovers Widespread Exploitation of Apache ActiveMQ Vulnerability

2024/03/14 SecurityOnline — Apache ActiveMQ メッセージング・サービスに存在する深刻な脆弱性 CVE-2023-46604 を狙う危険な攻撃の波について、Cybereason Security Services が警鐘を鳴らしている。この脆弱性を悪用する複数の脅威アクターが、驚くべきスピードで発生しており、その手口は多様であるため、早急な対策が欠かせないと、新たに発表した脅威分析レポートで、Cybereason は指摘している。

Apache ZooKeeper の情報漏えいの脆弱性 CVE-2024-23944 が FIX：ただちにパッチ適用を！

CVE-2024-23944: Critical Apache ZooKeeper Flaw Exposes Sensitive Data, Patch Immediately

2024/03/14 SecurityOnline — Apache ZooKeeper に、深刻な脆弱性 CVE-2024-23944 が発見された。この脆弱性の悪用に成功した攻撃者は、秘密裏に機密情報の監視が可能となり、設定と管理のためにおいて ZooKeeper に依存しているシステムを、危険にさらす可能性を生み出す。

Apache CXF の脆弱性 CVE-2024-28752 が FIX：SSRF が生じる恐れ

Patch Now! CVE-2024-28752 – SSRF Vulnerability Impacts Apache CXF Users

2034/03/14 SecurityOnline — OSS の Web サービス・フレームワークとして人気の高い Apache CXF だが、ユーザーに対して直ちにアップデートするよう渓谷は発せられている。Apache CXF の 4.0.4／3.6.3／3.5.8 未満のバージョンに、サーバ・サイド・リクエスト・フォージェリ (SSRF) の脆弱性 CVE-2024-28752 が発見されたのだ。この脆弱性は “Important”と評価されており、対処が遅れると深刻な結果が生じると示唆される。

Apache Pulsar の脆弱性 CVE-2024-27135 などが FIX：直ちにアップデートを！

CVE-2024-27135: Apache Pulsar Remote Code Execution Vulnerability

2024/03/13 SecurityOnline — Apache Software Foundation がリリースしたのは、多用途メッセージング／ストリーミング・プラットフォームである、Apache Pulsar に対する緊急パッチである。これらのセキュリティ・アップデートは、潜在的なリモート・コード実行／不正なデータ・アクセス／不適切な認証などの、５つの脆弱性に対処したものとなっている。Apache Pulsar を利用しているユーザーは、深刻なリスクを軽減するために、直ちにパッチをインストールする必要がある。