Microsoft Says Windows Update Zero-Day Being Exploited to Undo Security Fixes
2024/09/10 SecurityWeek — 9月10日 (火) に Microsoft は、Windows Update の深刻な脆弱性の悪用について公表し、Windows の特定のバージョンにおいて、セキュリティ修正がロールバックされていると警告した。この積極的な悪用が観測されている脆弱性 CVE-2024-43491 の、CVSS スコアは 9.8 であり、Critical と評価されている。現時点において Microsoft は、公開された悪用に関する情報や、感染の兆候の検出に有効な IOC (indicators of compromise) などのデータを公開していない。同社によると、この問題は匿名で報告されたという。
Continue reading “Windows Downdate の脆弱性 CVE-2024-43491 が FIX：すでに悪用が観測されている”Experts Uncover Severe AWS Flaws Leading to RCE, Data Theft, and Full-Service Takeovers
2024/08/09 TheHackerNews — Amazon Web Services (AWS) 製品群に複数の重大な脆弱性が存在することが、サイバー・セキュリティ研究者たちにより発見された。クラウド・セキュリティ企業の Aqua は、「2024年2月の時点で、６つの AWS サービスに深刻な脆弱性が発見された。これらの脆弱性が悪用されると、リモート・コード実行／フルサービス・ユーザーの乗っ取り (攻撃者が管理アクセスを獲得する可能性)／AI モジュールの操作／機密データの漏えい／データ流出／DoS 攻撃などにつながる可能性がある」と、The Hacker Newsと共有した詳細なレポートで述べている。
Continue reading “AWS 製品の脆弱性 Bucket Monopoly：Shadow Resource という攻撃ベクターを許してしまう”Critical Vulnerability in Windows Hello for Business Discovered by Researcher
2024/07/24 SecurityOnline — Microsoft の Windows Hello for Business (WHfB) 認証システムに存在する深刻な脆弱性を、研究者である Yehuda Smirnov が発見した。これまで、無敵と考えられていたバイオメトリック・セキュリティの信頼性に対して、彼の発見は疑問を投げかけるものだ。WHfB とは、2016年の時点で Windows 10 の商用／企業バージョンに導入されたものであり、フィッシング攻撃に対する防波堤として設計されている。このシステムは、コンピュータの TPM (Trusted Platform Module) に埋め込まれた暗号キーを採用し、生体認証または暗証番号により起動するものだ。しかし、Accenture の倫理的ハッカーで構成される Red Team の一員である Yehuda Smirnov が、認証要求のパラメーターを変更することで、この防御の回避が可能になることを発見した。
Continue reading “Windows Hello for Business に脆弱性：導入方法の弱点を突く PoC が公開”Microsoft Researcher to Unveil 4 OpenVPN Zero-Day Vulnerabilities at Black Hat USA 2024
2024/05/02 SecurityOnline — 2024年8月上旬に開催される Black Hat USA 2024 Conference において、OpenVPN に存在する一連の深刻なゼロデイ脆弱性に関するプレゼンテーションが、Microsoft の Senior Security Researcher である Vladimir Tokarev から行われる予定だ。OpenVPN は、全世界で何百万ものエンドポイントに使用されている、世界有数の VPN ソリューションである。コードネーム “OVPNX” と命名された、これらの脆弱性は、Windows／iOS／macOS／Android／BSD などの広範なプラットフォームのセキュリティ・リスクを露呈し、世界中の何千もの企業に影響を与える可能性がある。
Continue reading “OpenVPN のゼロデイ脆弱性：Black Hat 2024 で悪用チェーンなどが公開予定”Zoom ZTP & AudioCodes Phones Flaws Uncovered, Exposing Users to Eavesdropping
2023/08/12 TheHackerNews — AudioCodes の Desk Phones と、Zoom の Zero Touch Provisioning (ZTP) 機能に存在する、複数のセキュリティ脆弱性が発見された。8月11日 (金) の分析結果で、SySS のセキュリティ研究者 Moritz Abrell は、「AudioCodes Ltd. の Desk Phones と、Zoom の Zero Touch Provisioning 機能で発見された脆弱性だが、その悪用に成功した外部の攻撃者は、デバイスの完全なリモートコントロールを得ることができる」と述べている。
Continue reading “Zoom ZTP と AudioCodes に深刻な脆弱性：スケーラブルな悪用が可能なため注意が必要”#BHUSA: Only 22% of Firms Have Mature Threat Intelligence Programs
2023/08/10 InfoSecurity — サイバーセキュリティ・ソリューション・プロバイダー OPSWAT の、最新レポートが発表された。このレポートによると、脅威インテリジェンス・プログラムが十分な企業は 22％に過ぎないという。8月9日にラスベガスで開催された Black Hat USA で、この調査結果が同社から発表された。マルウェアの検出と対応を専門とする、従業員 50人以上の組織の IT専門家 300人以上を対象に、この初調査は実施されたという。
Continue reading “十分な脅威インテリジェンス・プログラムを導入している企業は僅か 22％ – OPSWAT 調査”Decoy Dog Malware Upgraded to Include New Features
2023/07/25 InfoSecurity — 今日に発表された Infoblox の脅威レポートにより、Decoy Dog という RAT ツールキットの最新情報が公開された。この Decoy Dog は、2023年4月に発見・公開されたものであるが、DNS を Command and Control (C2) に使用するという特徴を持ち、以前に考えられていたよりも巧妙なことが判明しており、現在進行中の国家によるサイバー攻撃で使用されている疑いがある。そのツールキットを Infoblox を公開した後に、背後で操る脅威アクターは迅速に対応し、侵害したデバイスへのアクセスを維持するためにシステムを適応させている。
Continue reading “Decoy Dog マルウェア：DNS を悪用する APT たちが好むツールキットとは？”Industrial Cellular Routers at Risk: 11 New Vulnerabilities Expose OT Networks
2023/05/15 TheHackerNews — 産業用セルラー・ルーターを提供する３社のクラウド管理プラットフォームに、OT ネットワークを外部からの攻撃に晒す可能性がある、複数のセキュリティ脆弱性が存在することが判明した。先週に開催された Black Hat Asia 2023 カンファレンスで、イスラエルの産業用サイバー・セキュリティ企業 OTORIO により、この調査結果が発表された。同社は、「全体で 11件の脆弱性は、リモートでコードを実行し、数十万台のデバイスと OT ネットワークを完全に制御できる。場合によっては、クラウドを使用するような、コンフィグレーションが施されていないデバイスも対象になる」と述べている。
Continue reading “産業用 ワイヤレス・ルーターに深刻な脆弱性：Sierra／Teltonika／InHand の問題とは？”Internet AppSec Remains Abysmal & Requires Sustained Action in 2023
2022/12/27 DarkReading — 防御可能なインターネットを構築できるのか？ 2023年におけるインターネットとクラウド・アプリケーションのセキュリティを向上させるために、より良い対策を講じる必要があると、専門家たちは指摘している。2022年の初めには、多くのアプリケーションで広く使われている、Log4j ライブラリというコンポーネントに存在する深刻な脆弱性が発見され、それを緩和するために企業が奔走したのは有名な話である。
Continue reading “2023年以降の Internet AppSec：依然として脆弱であり継続的な対策が必要”SOC Turns to Homegrown Machine Learning to Catch Cyber-Intruders
2022/12/03 DarkReading — フランスの銀行に所属する情報セキュリティ・チームが、ログデータを学習させた自社開発の機械学習モデルを用いて、ルールベースのセキュリティ・アプライアンスでは捕捉できなかった。３種類の新しいデータ流出パターンを検出できることを発見した。
Continue reading “Black Hat 2022：自社育成の Machine Learning で SOC の手法を転換”Cookies for MFA Bypass Gain Traction Among Cyberattackers
2022/11/12 DarkReading — 最近の Lapsus$ マルウェア・グループは、侵害したシステムのアクセスを取得する際に、パスワードを探し出すだけではなく、デバイスやブラウザを正当なものとして認証するために使用される、Cookie セッション・トークンも検索している。このようなイニシャル・アクセスに関する傾向は、クラウド・サービスやオンプレミス・アプリケーションへのアクセスに攻撃者が使用するパスワードやクッキーが、犯罪者の予備軍から購入されるという状況を浮き彫りにしている。
Continue reading “Cookie 窃取と MFA バイパス：この組み合わせがサーバー攻撃を加速させる”High Severity Vulnerabilities Found in HP Enterprise Devices
2022/09/12 InfoSecurity — Binarly のセキュリティ・リサーチ・チームは、同社が１年の間に発見した、ファームウェアにおける深刻度の高い６つの脆弱性を公開した。Black Hat 2022 カンファレンスで初めて取り上げられた一連の脆弱性は、HP EliteBook デバイスに影響を与えるものであり、Common Vulnerability Scoring System (CVSS) スコアは 7.5〜8.2 となっている。
Continue reading “HP Enterprise デバイスの６つの深刻な脆弱性が未対応：Binarly 警告”1 in 3 organizations don’t know if their public cloud data was exfiltrated
2022/08/31 HelpNetSecurity — Laminar が発表したのは、2022年7月の AWS re:Inforce と、2022年8月の Black Hat で実施した “2022 Security Professional Insight Survey” の調査結果である。この調査により、データ漏洩のリスクを低減するためにセキュリテ・ィチームが積極的に取り組みたいと考える、組織における防御のギャップが明らかになった。この調査には、リーダー職とライン職の両方から、合計415名のセキュリティ専門家が参加した。
Continue reading “クラウドの調査：38% のユーザーがデータ流出に気付けないという現状”CISA adds 7 vulnerabilities to list of bugs exploited by hackers
2022/08/19 BleepingComputer — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、ハッカーに活発に悪用されているバグのリストに７つの脆弱性を追加した。その内容は、新たな脆弱性として Apple／Microsoft／SAP／Google の４社が公開したものと、Palo Altos Networks の2017年の脆弱性で構成されている。Known Exploited Vulnerabilities Catalog (KEV) は、CISA が共有するリストであり、サイバー攻撃での活発な悪用が判明している脆弱性に対して、連邦政府民間行政機関 (FCEB) がパッチ適用の義務を負うものである。
Continue reading “CISA 警告 22/08/18：SAP などの７つの深刻な脆弱性を悪用リスト KEV に追加”SAP Vulnerability Exploited in Attacks After Details Disclosed at Hacker Conferences
2022/08/19 SecurityWeek — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は SAP の深刻な脆弱性について、ハッカーカンファレンス Black Hat および Def Con で詳細が公開されてから１週間足らずで、Known Exploited Vulnerabilities Catalog に追加した。木曜日に CISA は、７つの脆弱性をカタログに追加し、9月8日までに対処するよう連邦政府機関に指示した。新たに追加された脆弱性には、野放しでの悪用に関するオフィシャルな報告がないものもあるが、悪用に関する信頼できる情報を得た場合にのみ、CISA は CVE をカタログに追加すると明言している。
Continue reading “SAP の深刻な脆弱性 CVE-2022-22536：Black Hat での発表後に活発に悪用される”Critical Vulnerability in Google’s Titan M Chip Earns Researchers $75,000
2022/08/16 SecurityWeek — Quarkslab のセキュリティ研究者は、今年の初めに発見した Google の Titan M Chip における、深刻な脆弱性についての詳細情報を公開した。2018年に発表された Titan M は、Pixel デバイスにセキュリティ保護の強化を提供するために設計された、セキュアブートなどを保証する SoC (system-on-a-chip) である。この新たな脆弱性 CVE-2022-20233 は、Android の 2022年6月のセキュリティ・パッチの一部として対処されたが、深刻な権限昇格のバグだと、Google は説明していた。
Continue reading “Google の Titan M Chip で発見された深刻な脆弱性：研究者たちに $75,000 の報奨金”RTLS systems vulnerable to MiTM attacks, location manipulation
2022/08/16 BleepingComputer — セキュリティ研究者たちが、UWB (Ultra-Wideband) の RTLS (Real-Time Locating Systems) に影響を与える複数の脆弱性を発見した。この脆弱性の悪用に成功した脅威アクターは、中間者攻撃を行い、タグの地理位置データを操作できるという。 RTLS 技術の用途は、産業環境／公共交通機関／ヘルスケア／スマートシティなどに広がっている。その主な役割は、追跡タグ／信号受信アンカー／中央処理システムを使用した、ジオ・フェンシング・ゾーンの定義により、安全を支援することにある。
Continue reading “産業用位置情報システム RTLS に深刻な脆弱性：Black Hat で中間者攻撃が証明される”Security Researchers Dig Deep Into Siemens Software Controllers
2022/08/12 SecurityWeek — LAS VEGAS – BLACK HAT 2022 — イスラエルの Technion Research 大学の研究者チームは、Siemens のソフトウェア・コントローラの分析を行っており、セキュリティ上の問題を徐々に発見し始めている。研究者たちは、Siemens の PLC (programmable logic controller) を、つまり SoftPLC を分析している。SIMATIC S7-1500 ソフトウェア・コントローラは、ET200SP オープン・コントローラ上で動作し、PLC のセキュリティと産業用 PC の柔軟性を兼ね備えていると言われるものだ。
Continue reading “Siemens ソフトウェア・コントローラの問題点：Black Hat で研究者が指定する欠陥とは？”New Cross-Industry Group Launches Open Cybersecurity Framework
2022/08/12 DarkReading — BLACK HAT USA – LAS VEGAS — Amazon Web Services (AWS) と Splunk は、各種の監視システムにおけるセキュリティ・アラートの標準化を推進するために、18種類のシステムおよびセキュリティ・ベンダーによる、業界としての取り組みを主導していく。その目的は、セキュリティ・チームのためにあり、セキュリティ・データを迅速に取り込み分析するための、ベンダーにとらわれない簡素化された分類法を提供することにある。
Continue reading “OCFS でセキュリティ・アラートを正規化：AWS と Splunk が Black Hat で発表”Why Bug-Bounty Programs Are Failing Everyone
2022/07/30 DarkReading — Black Hat USA の講演で Katie Moussouris は、バグバウンティ・プログラムが目標を達成できない理由と、セキュリティ上の成果としてバウンティを活用するために、それに続くステップで必要となるものを説明することになる。
Continue reading “バグバウンティ・プログラム市場の需要と供給：誰もが幸せになれない現状を考える”Poisoned CCleaner search results spread information-stealing malware
2022/06/08 BleepingComputer — Windows 最適化プログラム CCleaner Pro を検索すると、その海賊版の広告が表示され、騙されてインストールすると、パスワード／クレジットカード／暗号化ウォレットなどを盗み出すマルウェアを取り込むことになる。この新しいマルウェア配布キャンペーンは、Avast のアナリストが発見したものであり、FakeCrack と名付けられている。Avast の顧客テレメトリー・データによると、平均して１万件ほどの感染未遂が、日々検出されているとのことだ。これらの被害者の多くは、フランス／ブラジル／インドネシア／インドに在住している。
Continue reading “CCleaner Pro の海賊版を装うマルウェア：Google 検索に現れる怪しい広告に御用心”Transforming SQL Queries Bypasses WAF Security
2022/05/13 DarkReading — BLACK HAT ASIA 2022 – ある大学研究者のチームが基本的な機械学習を用いて、一般的な WAF には悪意のものとして検出されずに、攻撃者のペイロードを配信するパターンを特定したと、シンガポールで開催中の Black Hat Asia で発表した。中国浙江大学の研究者は、一般的な SQL を用いて、Web アプリケーションのデータベースを標的とした、インジェクション攻撃を変換する一般的な方法に着手した。
Continue reading “BLACK HAT ASIA 2022 での発表：SQL クエリーの変換により WAF バイパスが可能になる”IoT Protocol Used by NASA, Siemens and Volkswagen Can Be Exploited by Hackers
2021/11/15 SecurityWeek — Data Distribution Service (DDS) と名の、広く使用されているプロトコルに、脅威アクターが様々な目的で悪用できる脆弱性が存在すると、研究者たちが明らかにした。この DDS は、標準化団体である Object Management Group (OMG) が維持管理している、データ接続のためのミドルウェア・プロトコルおよび API 規格であり、ビジネスに不可欠な IoT システムに最適だとされている。
Continue reading “NASA／Siemens／Volkswagen などが採用する IoT Protocol のハッキングは可能だ”ChaosDB: Researchers Share Technical Details of Azure Flaw
2021/11/11 DarkReading — Black Hat Europe 2021：London：今日、Microsoft Azure Cosmos DB データベース・ソリューションに深刻な脆弱性を発見した研究者は、その欠陥の全範囲と、これまで未開示だった調査の詳細を明らかにした。それは、当初に公表されたよりも、はるかに広範におよぶものであることが判明した。
Continue reading “Black Hat Europe：Microsoft Azure Cosmos DB はカオスだという話”Researcher Details Vulnerabilities Found in AWS API Gateway
2021/11/10 DarkReading — Black Hat Europe 2021：London：Web 研究者の Daniel Thatcher は、文字と文字の間にスペースを入れ、ランダムな文字を数個入れるだけで、Amazon API Gateway に送信される HTTP ヘッダーを変更できた。AWS API Gateway は、開発者が Web 環境で API を記述／管理／保護するためのマネージド・サービスとして人気を得ている。
Continue reading “Black Hat Europe：AWS API Gateway を回避する脆弱性が公開された”Black Hat Europe: Laws and regulations need to change to secure world’s digital infrastructure
2021/11/10 DailySwig — 11月10日に開催された Black Hat Europe においては、民主的な制度や価値観に対する侵食を食い止めるためには、デジタル兵器に対する規制を強化し、サイバー・セキュリティの経済学を再考する必要があるとの意見が出された。スタンフォード大学 Cyber Policy Center の International Policy Director である Marietje Schaake は、現在のデジタル・インフラの運用方法が、民主主義の原則を侵食し、サイバー攻撃に対して脆弱になっていると警告した。
Continue reading “Black Hat Europe：世界のデジタルインフラを保護するには法改正が不可欠だ”Free Tool Scans Web Servers for Vulnerability to HTTP Header-Smuggling Attacks
2021/11/02 DarkReading — エンド・サーバーに悪意のコードを忍び込ませるために、HTTP/HTTPS ヘッダーを悪用する手口をテストし、特定するための方法を、ある研究者が作成した。Intruder の Researcher and Penetration Tester である Daniel Thatcher は、来週にロンドンで開催される Black Hat Europe で、いわゆる HTTP ヘッダー・スマグリングについて、新しい研究成果を発表する。また、Web サーバーをテストするための無料ツールも発表し、この Web 攻撃と弱点の明らかにする予定だ。
Continue reading “Web Server のスキャン・ツールが登場：HTTP Header-Smuggling 攻撃を止めろ”Getting Application Security Back on the Rails
2021/08/09 StateOfSecurity — 米国の National Institute of Standards and Technology (NIST) は Interagency Report 7695 において、アプリケーションを「コンピュータを用いてデータを収集／保存／処理／表示するためのシステム」と定義している。この広範な用語には、エンタープライズ・アプリケーションと、コンシューマ・アプリケーション、さらにはモバイル・アプリも含まれる。セキュリティは、これらすべてのタイプのアプリケーションで重要だが、その焦点は必ずしも同じではない。以下、その理由を見ていこう。
Continue reading “アプリケーションのセキュリティを基本路線に引き戻すには”Researchers Call for ‘CVE’ Approach for Cloud Vulnerabilities
2021/08/07 DarkReading — Black Hat USA 2021 – Las Vegas – これまでの１年間において、クラウド・サービスのセキュリティ上の欠陥や弱点を、徹底的に調査してきた２人の研究者が、Amazon Web Services (AWS) アカウント間の隔離が破られるという、新たな問題を明らかにした。クラウド・セキュリティ企業である Wiz.io の Ami Luttwak と Shir Tamari によると、このようなアカウントをまたぐクラウド・サービスの脆弱性は、AWS 以外にも広く存在する可能性があるという。今回の調査では、クラウド・サービスの利用者にとって、自分が利用しているクラウドのインスタンスが、他の利用者のインスタンスから、必ずしも隔離されているわけではないという、厳しい現実が示唆された。
Continue reading “Black Hat 2021：クラウドの脆弱性にも CVE アプローチが必要なのか？”Microsoft Exchange servers scanned for ProxyShell vulnerability, Patch Now
2021/08/07 BleepingComputer — Black Hat カンファレンスで技術的な詳細が公開されたことで、脅威アクターたちは Microsoft Exchange ProxyShell のリモートコード実行の脆弱性を積極的にスキャンするようになった。これらの脆弱性を調べる前に、どのように公開されたかを理解することが重要だ。ProxyShell は、３つの脆弱性の総称であり、それぞれの脆弱性が連鎖すると、Microsoft Exchange サーバー上で認証を必要とせずにリモートコードが実行される。これらの脆弱性の連鎖は、IIS の Port 443 で実行される Microsoft Exchange の Client Access Service (CAS) を介してリモートから悪用される。
Continue reading “Black Hat 2021：Microsoft Exchange ProxyShell 脆弱性への悪意のスキャン”2021/08/06 DailySwig — Black Hat USA 2021 において、ハッキング・マエストロである Orange Tsai は、Microsoft Exchange の脆弱性に関する待望の技術情報を公開した。2021年1月に Tsai が発見した認証前のリモートコード実行 (RCE : remote code execution) の欠陥は、Microsoft Exchange 史上で最も深刻な脆弱性かもしれないと、彼はリモート講演で語っていた。この欠陥は、３月にパッチが適用されたが、悪用されると世界の何十万ものエンタープライズ・メッセージング・サーバーがハッキングされるという、きわめて深刻なゼロデイ欠陥の１つだった。このバグを深く掘り下げた後に Tsai は、ProxyLogon は単一のバグではなく、研究者が新しい脆弱性を発見するために役立つ、まったく新しい攻撃対象領域であることに気づいた。
Continue reading “Black Hat 2021：Microsoft Exchange 問題の新たな観点”Incident Responders Explore Microsoft 365 Attacks in the Wild
2021/08/06 DarkReading — BLACK HAT 2021 – Microsoft 365 は、サイバー犯罪者にとってホットなターゲットであり、セーフガードを回避して企業データにアクセスする新たな方法が、常に模索されている。そして、防御側がゲームを強化すると、攻撃側も同じことを行う。
Continue reading “Black Hat 2021：Microsoft 365 への攻撃がワイルドになる可能性について”Black Hat Keynote: Mobile Platforms ‘Actively Obstructing’ Zero-Day Malware Hunters
2021/08/04 SecurityWeek — 著名なセキュリティ専門家である Matt Tait は、水曜日に開催された Black Hat アニュアル・カンファレンスの冒頭で、急増するモバイル端末のゼロデイ攻撃やサプライチェーン攻撃に対処するため、プラットフォーム・ベンダーに対して、大幅な技術変更を要求した。Google Project Zero や、英国情報機関 GCHQ ににも、研究者として所属していた経験を持つ Tait は、現在進行中のゼロデイ攻撃に対応するために、モバイル・プラットフォームはデバイス上での観察能力 (on-device observability) の向上を、早急に実現する必要があると述べた。
Continue reading “Black Hat キーノート：モバイル上のゼロデイ・マルウェア駆逐が必須”2021/05/07 DailySwig — 想像してほしいのは、子供に持たせたスマート・ウォッチの位置情報が、テニスの練習場から海の真ん中に、突然切り替わったときの親の恐怖である。これは、英国の情報セキュリティ企業 Pen Test Partners の Ken Munro が、Have I Been Pwned の作成者である Troy Hunt と、彼の娘の協力を得てシミュレーションしたシナリオだ。
Continue reading “Black Hat Asia：ますます難しくなるセキュリティの選択”2021/04/16 PortSwigger — Research Threats Project は、セキュリティ上に欠陥を抱えるソフトウェアについて、それを発見した研究者と、責任を持つべき組織との間に発生した、歴史的な訴訟を詳述するものである。このプロジェクトは、セキュリティ研究者であり「脆弱性の歴史家」でもある Jericho が、2009年に立ち上げた Errata というプロジェクトで確立した、リストに集められたデータをもとに構築されている。
Continue reading “脆弱性における研究者とベンダーのベストな関係とは？”
IoT OT Security News 