Aqua – IoT OT Security News

リポジトリ／レジストリの誤設定で 2.5 億件のアーティファクトが暴露：Fortune 500 企業にもリスク

Researchers Find 250 Million Artifacts Exposed in Misconfigured Registries

2023/04/25 InfoSecurity — Aqua Nautilus の調査により、何千もの誤った設定のアーティファクト・リポジトリと、コンテナ・イメージ・レジストリが発見され、深刻なソフトウェア・サプライチェーン攻撃にユーザー組織がさらされる可能性があることが判明した。セキュリティ・ベンダーである同社の調査により、2億5000 万以上のソフトウェア・アーティファクトと、65,000 以上のコンテナ・イメージが、このような形で公開されている状況が判明した。いくつかの大手グローバル企業が危険にさらされ、そこには Fortune 500 企業も含まれていることも明らかされた。

Kubernetes の RBAC を悪用：暗号マイニングの大規模キャンペーンが始まっている – Aqua

Kubernetes RBAC Exploited in Large-Scale Campaign for Cryptocurrency Mining

2023/04/21 TheHackerNews — この、野放し状態の大規模な攻撃キャンペーンは、Kubernetes (K8s) の Role-Based Access Control (RBAC) を悪用してバックドアを作成し、暗号通貨マイナーを走らせていた。クラウド・セキュリティ会社の Aqua は、「攻撃者は、標的である K8s クラスターのリソースを乗っ取り、ハイジャックするために DaemonSets を展開した。この攻撃を RBAC Buster と名付けた同社は、このキャンペーンの背後にいる脅威アクターにより悪用された、60 件の露出した K8s クラスターを発見した」と、The Hacker News と共有したレポートの中で述べている。

Jenkins の深刻な脆弱性 CVE-2023-27898／CVE-2023-27905 が FIX

Jenkins Security Alert: New Security Flaws Could Allow Code Execution Attacks

2023/03/08 TheHackerNews — Continuous Integration (CI)／Continuous Delivery (CD) を提供するオープンソースの Jenkins で発見された、２つの深刻なセキュリティ脆弱性は、標的システム上でのコード実行にいたる可能性のあるものだ。この脆弱性は CVE-2023-27898／CVE-2023-27905 は、Jenkins のサーバおよび Update Center に影響を及ぼすものであり、クラウド・セキュリティ企業である Aqua は CorePlague と称している。Jenkins 2.319.2 以前の、すべてのバージョンに影響を及ぼし、悪用が可能だとされる。

Travis-CI API からの OAuth トークン流出：GitHub や AWS S3 に影響が生じた理由が判明

Unpatched Travis CI API Bug Exposes Thousands of Secret User Access Tokens

2022/06/14 TheHackerNews — Travis-CI API における未パッチの脆弱性により、数万人のユーザー・トークンが潜在的な攻撃にさらされ、脅威アクターによるクラウド・インフラの侵害／不正なコード変更／サプライチェーン攻撃がなど事実上可能になっている。クラウド・セキュリティ企業である Aqua の研究者たちは、月曜日のレポートの中で「無料ユーザーの 7億 7000万件以上のログが公開され、そこから GitHub／AWS／Docker Hubといった人気のクラウドサービス・プロバイダーに関連する、トークン／機密情報／認証情報などが容易に抽出できる」と述べている。

NPM の深刻なバグ：不正ライブラリを正規のものとして混入する問題が FIX

NPM Bug Allowed Attackers to Distribute Malware as Legitimate Packages

2022/04/26 TheHackerNews — Node.js JavaScript 実行環境における、デフォルト・パッケージ・マネージャである NPM の「論理的欠陥」により、悪意の行為者が不正ライブラリを正規のものとして見せかけ、騙された開発者にインストールさせることが可能であることが判明した。このサプライチェーンの脅威は、クラウド・セキュリティ企業である Aqua の研究者たちにより、Package Planting と名付けられている。2月10日に Aqua から開示され、4月26日には NPM により、問題の根本が修正された。