Bug Bounty – IoT OT Security News

Toyota Customer 360 の深刻な脆弱性が FIX：開発用／本番用 API の錯綜が原因

Vulnerability in Toyota Management Platform Provided Access to Customer Data

2023/03/07 SecurityWeek — Toyota Customer 360 という CRM (Customer Relationship Management) プラットフォームに、深刻な脆弱性が存在していたことが判明した。この脆弱性を発見したセキュリティ研究者によると、メキシコの顧客の個人情報にアクセスが可能だったという。この Web アプリケーションは、組織全体として顧客データを集約しており、個人情報／購入履歴／サービス内容などの、全ての顧客情報を一元的に把握するためのものだ。

Google の OSS-Fuzz 脆弱性特定プログラムが延長：すでに $600K 報酬が支払われた

Google Shells Out $600,000 for OSS-Fuzz Project Integrations

2023/02/02 SecurityWeek — 今週に Google は、OSS-Fuzz 報酬プログラムの延長を発表した。このイニシアチブは、OSS-Fuzz 上にプロジェクトを統合するコントリビューターに対して、報酬を与えることを目的としている。2016年に開始された OSS-Fuzz は、継続的なファジングを通じてオープンソース・ソフトウェアの脆弱性を特定し、共通のソフトウェア・インフラの安全性を高めることを目標としている。

Facebook／Instagram の 2FA バイパスが FIX：バグ報奨金は $27,000

Researcher received a $27,000 bounty for 2FA bypass bug in Facebook and Instagram

2023/01/30 SecurityAffairs — Instagram／Facebook に影響を与える２要素認証 (2FA) バイパスの脆弱性を報告したことで、研究者の Gtm Manoz は $27,000 のバグバウンティを得た。この脆弱性は、電話番号／メールアドレスの確認のために、親会社である Meta が使用しているコンポーネントに存在する。Mänôz は、このソフトウェアがレート制限の保護メカニズムを実装していないことに気づいた。そして、Meta Accounts Center を使用して、ターゲット・ユーザーの認証済み Facebook 携帯電話番号を確認することで、Facebook の２要素認証を回避した。

米国防総省のバグバウンティ Hack the Pentagon：４年に一度の大会が開催

US to Launch Third Iteration of ‘Hack the Pentagon’ Bug Bounty Program

2023/01/16 InfoSecurity — 米国国防総省 (DoD : Department of Defense) は、2016年に初めて行われた “Hack the Pentagon” バグバウンティ・プログラムの第３弾を、近々に開催すると発表した。Sam.Gov Web サイトの専用ページによると、この構想では、サイバー・セキュリティ研究者たちが、政府の Facility Related Controls System (FRCS) ネットワークの脆弱性を発見していくことになる。

Synology の深刻な脆弱性 CVE-2022-43931 が FIX：CVSS 10 の RCE

Synology fixes multiple critical vulnerabilities in its routers

2023/01/03 SecurityAffairs — 2022年12月に、台湾の NAS メーカーである Synology は、２つの新しい重要アドバイザリを公開した。最初のアドバイザリは、同社が対処した最も重要なものであり、脆弱性 CVE-2022-43931 (CVSS : 10) として追跡されている、境界外書き込みの深刻な問題だ。この脆弱性は、Ver 1.4.3-0534／1.4.4-0635 以前の、Synology VPN Plus Server の Remote Desktop Functionality に存在している。この脆弱性の悪用に成功したリモートの攻撃者は、不特定のベクター経由で任意のコマンドを実行できる。

Pwn2Own Toronto 2022：63件のゼロデイが発見され $1M 近い報奨金が支払われた

Researchers Find 63 Zero-Day Bugs at Latest Pwn2Own

2022/12/12 InfoSecurity — 先日の Pwn2Own コンテストの参加者は、さまざまな製品に存在する数多くのゼロデイ脆弱性を発見し、デジタル世界の安全性を高めるために貢献した。このコンテストは、Trend Micro の Zero Day Initiative (ZDI) により運営されており、ベンダーに依存しない世界最大のバグバウンティ・プログラムとなっている。

Netgear Nighthawk の脆弱性が FIX：Pwn2Own 用のエクスプロイトを無効化

Netgear Neutralizes Pwn2Own Exploits With Last-Minute Nighthawk Router Patches

2022/12/06 SecurityWeek — 先週に Netgear がリリースしたホット・フィックスにより、Nighthawk RAX30 (AX2400) ルータの誤設定により、ローカル・ネットワークのサービスへの無制限なアクセスを、リモートの攻撃者に許してしまう脆弱性が対処された。Nighthawk RAX30 の WAN インターフェースが、デフォルトで IPv6 を有効にしているにもかかわらず、IPv4 トラフィックに適用されるアクセス制限が、IPv6 トラフィックに適用されないことに、この脆弱性は起因する。

MyOpenVDP で脆弱性を通知：OSS で実現する Vulnerability Disclosure Policy とは？

MyOpenVDP: Open-source web application to securely disclose vulnerabilities

2022/10/26 HelpNetSecurity — MyOpenVDP とは、誰もが自分の脆弱性開示ポリシー (VDP : Vulnerability Disclosure Policy) をホストできるようにするための、オープンソース・ソリューションのことである。この、YesWeHack により開発された Web アプリケーションは、GitHub 上で公開されている。

Chrome 106 の深刻な脆弱性６件が FIX：なかなか止まらない use-after-free 欠陥

Chrome 106 Update Patches Several High-Severity Vulnerabilities

2022/10/12 SecurityWeek — 火曜日に Google は、Chrome の最新アップデートを提供し、４つの use-after-free のバグを含む、６つの深刻度の高い脆弱性にパッチを適用したと発表した。新たに解決された脆弱性は、すべて外部の研究者により発見されたものであり、Google は報告者たちに $38,000 のバグバウンティ報奨金を手渡した。

Uber で生じたデータ侵害：Lapsus$ によるソーシャル・エンジニアリングが侵入経路？

Uber links breach to Lapsus$ group, blames contractor for hack

2022/09/19 BleepingComputer — 先週にサイバー攻撃に遭った Uber だか、その背後にいるハッカーについて、Microsoft／Cisco／NVIDIA／Samsung／Okta などの著名ハイテク企業を侵害したとされる、Lapsus$ グループに関連すると考えているようだ。この攻撃者は、盗み出した Uber EXT 契約者の認証情報を用いて、その契約者たちに 2FA ログインを要求し、誰かが受け入れるまで、MFA 疲れ攻撃を行ったと、同社は述べている。

Google がバグバウンティを刷新：オープンソース・プロジェクトも取り込んでいく

A new Google bug bounty program now covers Open Source projects

2022/08/30 SecurityAffairs — Google は、同社のプロジェクトをカバーしてきた Open Source Software Vulnerability Rewards Program (OSS VRP) の一環として、新たなバグバウンティ・プログラムを開始した。このプログラムでは、Google のプロジェクトに存在する脆弱性に対して、最大 $31,337 〜最低 $100 の報酬額が支払われるという。

Google の Titan M Chip で発見された深刻な脆弱性：研究者たちに $75,000 の報奨金

Critical Vulnerability in Google’s Titan M Chip Earns Researchers $75,000

2022/08/16 SecurityWeek — Quarkslab のセキュリティ研究者は、今年の初めに発見した Google の Titan M Chip における、深刻な脆弱性についての詳細情報を公開した。2018年に発表された Titan M は、Pixel デバイスにセキュリティ保護の強化を提供するために設計された、セキュアブートなどを保証する SoC (system-on-a-chip) である。この新たな脆弱性 CVE-2022-20233 は、Android の 2022年6月のセキュリティ・パッチの一部として対処されたが、深刻な権限昇格のバグだと、Google は説明していた。

Microsoft の脆弱性情報戦略：ゼロデイを防ぎながらノイズを増やさない方法とは？

Microsoft: We Don’t Want to Zero-Day Our Customers

2022/08/12 DarkReading — BLACK HAT USA — Microsoft のセキュリティ担当幹部は、同社の脆弱性開示ポリシーについて、セキュリティ・チームが十分な情報に基づき、パッチ適用を決定するために必要なものであり、また、パッチを素早くリバース・エンジニアリングして悪用する、脅威アクターからの攻撃を受けるリスクはないと述べた。

バグバウンティ・プログラム市場の需要と供給：誰もが幸せになれない現状を考える

Why Bug-Bounty Programs Are Failing Everyone

2022/07/30 DarkReading — Black Hat USA の講演で Katie Moussouris は、バグバウンティ・プログラムが目標を達成できない理由と、セキュリティ上の成果としてバウンティを活用するために、それに続くステップで必要となるものを説明することになる。

LockBit 3.0 が導入したバグバウンティ：情報の内容に応じて $1000〜 $1 million が支払われる

LockBit 3.0 introduces the first ransomware bug bounty program

2022/06/27 BleepingComputer — ランサムウェア・オペレーターである LockBit は、新たに LockBit 3.0 をリリースし、ランサムウェアとしては初めてのバグバウンティ・プログラムを導入し、新たな強奪戦術と Zcash 暗号通貨の支払いオプションについてもリークした。このランサムウェアは 2019年に立ち上げられた後に、最も多発するランサムウェアに成長し、2022年5月には全ランサムウェア攻撃の 40% を占めるまでに至った。

Pwn2Own Vancouver ハッキングコンテスト：Mozilla 製品群の２つのゼロデイ脆弱性が FIX

Mozilla fixes Firefox, Thunderbird zero-days exploited at Pwn2Own

2022/05/24 BleepingComputer — Pwn2Own Vancouver 2022 ハッキングコンテストで悪用が証明されたゼロデイ脆弱性に対応するために、Mozilla は複数の製品に対してセキュリティ・アップデートを公開した。具体的には、Firefox／Firefox ESR／Firefox for Android／Thunderbird の脆弱なバージョンを実行している、モバイル／デスクトップ端末で悪用に成功した攻撃者に対して、JavaScript コード実行を許してしまうという、２つの深刻な脆弱性が存在する。

Pwn2Own Vancouver 2022 ハッキング・コンテスト：Windows 11／Telsa Model 3 などが陥落

Windows 11 hacked again at Pwn2Own, Telsa Model 3 also falls

2022/05/20 BleepingComputer — Pwn2Own Vancouver 2022 ハッキング大会の２日目、出場者たちは再び Microsoft Windows 11 をハッキングし、また、Tesla Model 3 のインフォテインメント・システムにゼロデイを適用するデモを実演した。この日にデモを行った一番手は @Synacktiv チームであり、Tesla Model 3 のインフォテインメント・システムをターゲットにしながら、２つのユニークなバグ (Double-Free & OOBW) と、サンドボックス脱出のデモに成功し、$75,000 の報酬を獲得した。

Pwn2Own Miami 2022 のテーマは ICS：各種の悪用証明に $400,000 の賞金

ICS Exploits Earn Hackers $400,000 at Pwn2Own Miami 2022

2022/04/21 SecurityWeek — Industrial Control Systems (ICS) にフォーカスするハッキング・コンテスト Pwn2Own Miami 2022 が終了し、悪用を証明した出場者たちは総額で $400,000 の賞金を獲得した。この、Trend Micro の Zero Day Initiative (ZDI) が主催するコンテストでは、OPC UA Server／Control Server／Human Machine Interface／Data Gateway の各カテゴリにおいて、11人の出場者が悪用を実演した。

Intel の Software／Firmware がアップデート：18 件の深刻な脆弱性が FIX

Intel Software and Firmware Updates Patch 18 High-Severity Vulnerabilities

2022/02/17 SecurityWeek — 先週に Intel は、22件のセキュリティ勧告を発表し、そのうち７件の深刻度は High となっている。これらのアドバイザリには、18件の深刻度 High の脆弱性が記載されており、そのほとんどが特権の拡大に悪用される可能性を持つ。また、情報漏えいやサービス拒否 (DoS) を引き起こす可能性も生じるという。ただし、これらの脆弱性を悪用するには、対象となるデバイスへのローカル・アクセスが必要となる。

VMware が６つの深刻な脆弱性を FIX：中国の Tianfu Cup が発見に貢献

VMware Issues Security Patches for High-Severity Flaws Affecting Multiple Products

2022/02/16 TheHackerNews — 火曜日に VMware は、ESXi／Workstation／Fusion／Cloud Foundation／NSX Data Center for vSphere に影響をおよぼす、複数の深刻度の高い脆弱性に対してパッチを適用した。これらの脆弱性を悪用すると、任意のコード実行や、サービス拒否 (DoS) などが生じる可能性がある。

Google のバグ報奨金プログラム：2021年は $8.7 M で前年比 30% 増の支払い額

Google Paid Record $8.7 Million to Bug Hunters in 2021

2022/02/12 DarkReading — バグバウンティ・プログラムは、外部のセキュリティ研究者と協力して、製品のセキュリティの脆弱性を特定／修正する意欲の表れであり、また、テクノロジーを標的とする潜在的な攻撃への対抗の表れでもある。Google のプラットフォームである Android／Chrome／Play は、悪意の攻撃者が標的とする、脆弱性の多い環境であり続けている。昨年に Google は、自社のテクノロジーに存在する何千もの脆弱性を発見／報告した、62カ国の 696人のバグハンターに対して過去最高額となる $8.7 million の報奨金を支払った。

Cloudflare の有償パブリック・バグバウンティ・プログラムが開始された

Cloudflare launches a paid public bug bounty program

2022/02/01 BleepingComputer — Web インフラ／Webサイトのセキュリティに特化したプロバイダーである Cloudflare は、新たな公開バグバウンティ・プログラムの開始を発表した。Cloudflare の Product Security Engineer である Rushil Shah は、「本日、Cloudflare は有償パブリック・バグバウンティ・プログラムを開始する。私たちは、バグバウンティが全てのセキュリティ・チームにおける、ツール・ボックスの重要な一部であると信じており、ここ数年、プライベート・バグバウンティ・プログラムの改善と拡大に努めてきた」と述べている。

Microsoft Outlook のゼロデイ／ゼロクリック RCE 脆弱性の報奨金は $400,000

Microsoft Outlook RCE zero-day exploits now selling for $400,000

2022/01/28 BleepingComputer — Exploit Brokerである Zerodium は、Microsoft Outlook メール・クライアントにおけるリモートコード実行 (RCE) を可能にする、ゼロデイ脆弱性に対する報酬を $400,000 に引き上げることを発表した。同社は、この新たな報酬額は永続的なものではないと短いツイートで述べているが、提出の終了日はまだ公表されていない。

HackerOne のバグバウンティ・プログラム：そこから見えてくる５つの論点

5 Things New with Bug Bounty Programs

2022/01/07 SecurityIntelligence — 2021年9月29日に HackerOne は、Internet Bug Bounty (IBB) プログラムの最新版を発表した。この取り組みにより、2013年から2021年の間に生じている、オープンソース・ソフトウェアに存在する、1,000件以上の脆弱性を発見するよう調整がなされた。HackerOne の最新バージョンは、既存のバグバウンティから得られる防御力を蓄積し、脆弱性管理ライフサイクルに貢献する利害関係者を表彰する方法で報奨金を分割していく。さらに、脆弱性提出フローの統合により、参加する研究者のエクスペリエンスを向上させ、プログラムの範囲をさらに拡大することを目的としている。

Google Chrome 97：１件の Critical と 10件の High などの脆弱性を修正

Chrome 97 Patches 37 Vulnerabilities

2022/01/05 Security Week — 今週に Google は、外部の研究者から報告された 24件の脆弱性を含む、合計で 37件のセキュリティ修正を施した Chrome 97 を、Stable Channel でリリースした。外部から報告された 24件のセキュリティ上の欠陥のうち、深刻度 Critical は 1件、High は 10件、Medium は 10件、Low は 3件となっている。脆弱性の種類としては、use-after-free が 7件で、不適切な実装が 8件などになっている。

Uber が無視する脆弱性：Uber.com からの偽メールに警戒が必要

Uber ignores vulnerability that lets you send any email from Uber.com

2022/01/02 BleepingComputer — Uber の電子メール・システムの脆弱性により、誰もが Uber に代わって電子メールを送信できることが判明した。この欠陥を発見した研究者は、脅威アクターによる脆弱性の悪用で、2016年のデータ流出で情報が流出した、5700万人の Uber ユーザー／ドライバーに偽メールを送ることができると警告している。Uber は、この欠陥を認識しているようだが、今のところ修正していない。

Log4j 脆弱性とバグ報奨金：大衆のパワーが事態を明確にしてきた

Bug bounty platforms handling thousands of Log4j vulnerability reports

2021/12/22 DailySwig — 世界のソフトウェア・エコシステムに衝撃を与え続けている、Apache Log4j のバグに関連する脆弱性報告が、バグバウンティ・ハンターにより何千件も提出されている。このバグは、オープンソースの Java ロギング・ライブラリ Log4j に存在する、CVSS 値 10 という深刻な欠陥であり、これまでにない数の潜在的な標的に対して、サイバー犯罪者によるリモートコード実行 (RCE) 攻撃を許してしまうものとなる。

米国の国土安全保障省：Hack DHS バグバウンティ・プログラムを Log4j に拡大

‘Hack DHS’ bug bounty program expands to Log4j security flaws

2021/12/22 BleepingComputer — 米国の国土安全保障省 (Department of Homeland Security : DHS) は、Log4j の脆弱性の影響を受けた DHSシステムを追跡してくれるバグバウンティ・ハンターにも、Hack DHS プログラムを開放することを発表した。

Facebook ページの管理者情報が漏れる脆弱性：ネパールの 19歳が発見して報奨金をゲット

Facebook Patches Vulnerability Exposing Page Admin Identity

2021/12/21 SecurityWeek — Facebook は、ページの管理者の身元を明らかにするために、悪用される可能性のある脆弱性について、ネパールの 10代の研究者に $4,750 のバグバウンティ報酬を支払った。このソーシャル・メディア上で、自社ブランドの認知度を高めようとする企業は、この Facebook ページを利用きまるが、ページの管理権限を持つ Facebook の個人アカウントは非公開となっている。

米国の国土安全保障省がバグバウンティを実施：Hack DHS プログラムとは？

The DHS is inviting hackers to break into its systems, but there are rules of engagement

2021/12/16 StateOfSecurity — 米国の国土安全保障省 (DHS : Department of Homeland Security) は、悪意の攻撃から自らを守るために、脆弱性の発見やシステムへの侵入を、セキュリティ研究者に呼びかけている。DHS は、「DHS の特定システム内のサイバー・セキュリティ脆弱性を特定し、同省のサイバー・セキュリティの回復力を高めるために、バグバウンティ・プログラム Hack DHS を開始すると発表している。

オープンソースからバグを取り除く：重要なのは報奨金とエコシステムだ

Searching for Bugs in Open Source Code

2021/11/30 SecurityBoulevard — まずは、迷信の払拭から始めよう。オープンソース・ソフトウェアが、クローズドソース・ソフトウェアよりも、安全性が低いということはない。しかし、オープンソースのプログラムに脆弱性が発見されると、クローズドソースで発見された脆弱性よりも、はるかに容易に武器化し、悪用される傾向にある。これが、現実だ。

Google Cloud Platform のバグ報奨金：３回で $10,000 の内訳とは？

Researcher Awarded $10,000 for Google Cloud Platform Vulnerability

2021/11/24 SecurityWeek — セキュリティ研究者の David Schütz は、Google Cloud Project の脆弱性を報告し、その後に、公開された修正プログラムのバイパスを報告したことで、Google から $10,000 以上のバグ報奨金を受け取ったと述べている。３月に Schütz は、Google Cloud Platform (GCP) の内部プロジェクトである、”cxl-services” のアクセス・トークンを、URL 許可リスト・バイパスを利用して漏洩できることを発見した。

Pwn2Own Austin 2021 が終了：総額で１億円以上の報奨金が支払われた

White hat hackers earn over $1 Million at Pwn2Own Austin 2021

2021/11/06 SecurityAffairs — Trend Micro の Zero Day Initiative が主催するハッキングコンテスト Pwn2Own Austin 2021 が終了し、参加者は 61件のゼロデイ・エクスプロイトを成功させ、合計 $1,081,250 を獲得した。参加者は、Canon／Cisco／HP／NETGEAR／Samsung／Sonos／TP-Link／Western Digital などの、NAS デバイス／携帯電話／プリンター／ルーター／スピーカーなど侵害を証明していった。

ハッキング・コンテスト Pwn2Own：プリンタ部門で Canon／HP が陥落

Printers Hacked for First Time at Pwn2Own

2021/11/03 SecurityWeek — この火曜日に、Zero Day Initiative が主催する 2021年のハッキング・コンテスト Pwn2Own Austin が開幕され、プリンターのハッキングで報酬を獲得する参加者が、このイベント史上初めて登場した。デバイスのハッキングに焦点を当てた Pwn2Own Austin の初日も、ホワイトハット・ハッカーたちは、プリンター／NAS デバイス／ルーター／スマートスピーカーに関するエクスプロイトを実演し、総額で $360,000 以上の賞金を獲得した。

Chrome 95 ゼロデイ脆弱性と中国の Tianfu Cup ハッキング・コンテスト

Chrome 95 Update Patches Exploited Zero-Days, Flaws Disclosed at Tianfu Cup

2021/10/29 SecurityWeek — 木曜日に Google がリリースした Chrome 95 アップデートは、２つの積極的に悪用されているゼロデイ脆弱性と、先日に中国のハッキング・コンテストで公開された欠陥を修正するものだ。積極的に悪用されている脆弱性は、CVE-2021-38000 として追跡されており、Intents への信頼できない入力に対する不十分な検証の問題とされている。また、CVE-2021-38003 は、V8 JavaScript エンジンに影響をおよぼす不適切な実装の問題である。CVE-2021-38000 は９月に発見され、CVE-2021-38003は僅か３日前に確認されたものである。

Tag: Bug Bounty