Tag: Azure DevOps

Azure CLI の深刻な脆弱性 CVE-2023-36052 が FIX：認証情報が漏洩する可能性

Microsoft fixes critical Azure CLI flaw that leaked credentials in logs

2023/11/14 BleepingComputer — Microsoft は、Azure CLI (Command-Line Interface) を介して作成された GitHub Actions／Azure DevOps のログから、攻撃者が認証情報を盗む可能性のある、深刻な脆弱性を修正した。この脆弱性 CVE-2023-36052 は、Palo Alto のセキュリティ研究者である Aviad Hahami により報告されたものである。認証されていない攻撃者が悪用に成功すると、Azure CLI により CI/CD (Continuous Integration and Continuous Deployment (CI/CD) ログに書き込まれた平文のコンテンツ対して、リモートからのアクセスが許されてしまう。

Continue reading “Azure CLI の深刻な脆弱性 CVE-2023-36052 が FIX：認証情報が漏洩する可能性”

Visual Studio Code Marketplace の侵害は容易：悪意のエクステンションの登録方法とは？

VSCode Marketplace can be abused to host malicious extensions

2023/01/06 BleepingComputer — 悪意の Visual Studio Code エクステンションを、VSCode Marketplace に驚くほど簡単にアップロードできることを、そして、この弱点を脅威アクターたちが、すでに悪用している兆候を、研究者たちは発見した。Visual Studio Code (VSC) とは、Microsoft が公開しているソースコード・エディタであり、世界中のプロフェッショナル・ソフトウェア開発者の約 70%が使用しているものだ。Microsoft は、VSCode Marketplace とという名の、IDE 用のエクステンション・マーケットを運営することで、アプリ機能の拡張や、多様なカスタマイズ・オプションをアドオンとして提供している。

Continue reading “Visual Studio Code Marketplace の侵害は容易：悪意のエクステンションの登録方法とは？”

Microsoft が Lapsus$ ハッキングを認める：Bing などのソースコードにアクセス

Microsoft confirms they were hacked by Lapsus$ extortion group

2022/03/22 BleepingComputer — Microsoft は、同社の従業員１名のアカウントが Lapsus$ にハッキングされ、この脅威アクターによる、同社のソースコードの一部へのアクセス／窃取が生じたことを認めた。昨夜、Lapsus$ ランサムウェアは、Microsoft の Azure DevOps サーバーから盗み出した 37GB のソースコードを公開した。このソースコードは、Bing／Cortana／Bing Maps などの、同社の様々なプロジェクトに関わるものである。

Continue reading “Microsoft が Lapsus$ ハッキングを認める：Bing などのソースコードにアクセス”