CISA Adds Recently Discovered Apple Zero-Days To Known Exploited Vulnerabilities Catalog
2023/09/11 SecurityAffairs −−− 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、iMessage ゼロクリック攻撃で悪用される脆弱性 BLASTPASS を、KEV (Known Exploited Vulnerabilities Catalog) カタログに追加した。これらのゼロデイ脆弱性 CVE-2023-41064／CVE-2023-41061 は、Image I/O および Wallet フレームワークに存在し、iPhone に NSO Group の Pegasus スパイウェアをインストールするために悪用されていた。
Continue reading “CISA KEV 警告 23/09/11：Apple のゼロデイ CVE-2023-41064 など”Relying on CVSS alone is risky for vulnerability management
2023/07/31 HelpNetSecurity — Rezilion によると、脆弱性の優先順位付けを CVSS のみに依存する管理の手法は、最善ではないことが判明しているようだ。実際のところ、それぞれの脆弱性のリスクを評価するために、CVSS の深刻度スコアのみに依存することは、脆弱性をランダムに選択して修復することに変わりないという。よりスケーラブルで効果的な優先順位の決定戦略を可能にするためには、さらなるコンテキストが必要となる。このコンテキストには、標的環境の内部的な情報源 (資産に関する重要性／緩和策／到達可能性) だけでなく、外部的な情報源も必要になる。
Continue reading “CVSS と CISA KEV だけに頼らない脆弱性管理：EPSS という新たな指標が登場”Exploit Code Published for Remote Root Flaw in VMware Logging Software
2023/07/10 SecurityWeek — 7月10日 (月) に仮想化技術大手の VMware は、企業向けの VMware Aria Operations for Logs 製品に存在する、認証前のリモート・コード実行の脆弱性対するエクスプロイト・コードが公開されたことを警告した。今年の４月に発表されたクリティカル・レベルのアドバイザリのアップデートで VMware は、脆弱性 CVE-2023-20864 の悪用コードが公開されていることを確認したと述べ、企業のネットワーク管理者に対して利用可能なパッチを適用すべきという、緊急性を強調していた。
Continue reading “VMware Aria Operations for Logs の脆弱性 CVE-2023-20864：PoC エクスプロイトが公開”MITRE Announces Most Dangerous Software Weaknesses
2023/06/30 InfoSecurity — 米国政府が発表したのは、これまでの２年間において、最も一般的であり、影響力の大きかったソフトウェア欠陥のリストである。この CWE Top-25 リストは、Homeland Security Systems Engineering と Development Institute によりアナウンスされたが、Department of Homeland Security と 非営利団体 MITRE がサポートするものである。ソフトウェアの弱点とは、脆弱性につながるエラー／バグ／欠陥などを指すものだ。
Continue reading “MITRE が公開した CWE Top-25 リスト 2023年版：CISA KEV との連携が強化されている”
IoT OT Security News 