GE Historian の脆弱性: ICS を標的とするスパイ活動や破壊活動にいたる恐れ

Hackers Can Exploit GE Historian Vulnerabilities for ICS Espionage, Disruption

2023/01/18 SecurityWeek — GE の Proficy Historian 製品で発見された脆弱性は、諜報活動のために悪用するハッカーにより、産業環境に被害や混乱を生じる可能性があるという。2023年1月17日に、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、これらの脆弱性について連邦政府組織に通知し、この欠陥を発見した産業用サイバー・セキュリティ企業である Claroty も、詳細な内容をブログで発表した。

Continue reading “GE Historian の脆弱性: ICS を標的とするスパイ活動や破壊活動にいたる恐れ”

CISA KEV 警告 23/01/17:CentOS CWP の深刻な脆弱性 CVE-2022-44877 を追加

Exploited Control Web Panel Flaw Added to CISA ‘Must-Patch’ List

2023/01/18 SecurityWeek — 米国の Cybersecurity and Infrastructure Security Agency (CISA)  は、広く使われている CentOS Control Web Panel の深刻な脆弱性 CVE-2022-44877 を、KEV(Known Exploited Vulnerabilities)カタログに追加し、連邦機関に対して2月初旬までに修正するよう指示している。

Continue reading “CISA KEV 警告 23/01/17:CentOS CWP の深刻な脆弱性 CVE-2022-44877 を追加”

Cuba ランサムウェアも Exchange 侵害に参戦:Microsoft が警告する OWASSRF 欠陥とは?

Microsoft: Cuba ransomware hacking Exchange servers via OWASSRF flaw

2023/01/12 BleepingComputer — Microsoft によると、Cuba ランサムウェア/ギャングも、Exchange サーバに存在する深刻なサーバ・サイド・リクエスト・フォージェリ (SSRF) の脆弱性を悪用して、Play ランサムウェア攻撃と同様に侵害を繰り返しているようだ。 先日には、この脆弱性 CVE-2022-41080 を悪用する Play ランサムウェアが、 OWASSRF ゼロデイと呼ばれる攻撃により、ProxyNotShell URL リライト緩和策をバイパスした後に、Rackspace ネットワーク上のパッチ未適用の Microsoft Exchange サーバを侵害している。

Continue reading “Cuba ランサムウェアも Exchange 侵害に参戦:Microsoft が警告する OWASSRF 欠陥とは?”

CISA KEB 警告 23/01/10:Microsoft Exchange の脆弱性 CVE-2022-41080 などを追加

CISA orders agencies to patch Exchange bug abused by ransomware gang

2023/01/10 BleepingComputer — 今日に、米国の CISA (Cybersecurity and Infrastructure Security Agency)  は、Known Exploited Vulnerabilities (KEV) カタログに、2つのセキュリティ脆弱性を追加した。1つ目は、Microsoft Exchange の権限昇格の脆弱性 CVE-2022-41080 であり、別の脆弱性 ProxyNotShell CVE-2022-41082 と連鎖してリモート・コードが実行される可能性がある。先週に、テキサス州に拠点を置くクラウド・コンピューティング・プロバイダーである Rackspace は、Play ランサムウェアが CVE-2022-41082 をゼロデイとして悪用し、Microsoft の ProxyNotShell URL 書き換え緩和策をバイパスして、感染させた Exchange Server 内で権限昇格を行ったことが確認されている。

Continue reading “CISA KEB 警告 23/01/10:Microsoft Exchange の脆弱性 CVE-2022-41080 などを追加”

Zoho ManageEngine の深刻な脆弱性 CVE-2022-47523 が FIX:直ちにパッチ適用を!

Zoho urges admins to patch critical ManageEngine bug immediately

2023/01/04 BleepingComputer — ビジネスソフト・プロバイダーである Zoho は、複数の ManageEngine 製品に影響を及ぼす深刻なセキュリティ脆弱性を修正するよう、顧客に促している。月曜日に Zoho は、「深刻なセキュリティ脆弱性が検出された」と記した、セキュリティ・アドバイザリを公開した。この脆弱性 CVE-2022-47523 は、SQL インジェクションの脆弱性であり、同社の Password Manager Pro secure vault/PAM360 privileged access management software/Access Manager Plus privileged session management solution などに存在する。

Continue reading “Zoho ManageEngine の深刻な脆弱性 CVE-2022-47523 が FIX:直ちにパッチ適用を!”

CISA KEV カタログの1年:悪用された脆弱性の半分は Adobe/Apple/Cisco/Microsoft

Adobe, Apple, Cisco, Microsoft Flaws Make Up Half of KEV Catalog

2022/12/30 DarkReading — 2021年11月に、米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのが、活発に悪用されている脆弱性を、連邦政府機関や重要インフラ組織が特定/是正するための Known Exploited Vulnerabilities (KEV) カタログである。Grey Noise が発表した GreyNoise Mass Exploits Report によると、CISA は 2022年1月〜11月末に 58回の更新を行い、548件の新たな脆弱性をカタログに追加している。2021年11月/12月に追加された約300件の脆弱性を含めると、このカタログが始まってからの1年間で、CISA は約850件の脆弱性をリストアップしたことになる。

Continue reading “CISA KEV カタログの1年:悪用された脆弱性の半分は Adobe/Apple/Cisco/Microsoft”

CISA KEV 警告 22/12/29:JasperReports の古い脆弱性2件を追加

CISA Warns of Active exploitation of JasperReports Vulnerabilities

2022/12/30 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発な悪用の証拠があるとして、TIBCO Software の JasperReports 製品に影響を及ぼす、2つのセキュリティ欠陥を Known Exploited Vulnerabilities (KEV) カタログに追加した。それらの脆弱性 CVE-2018-5430 (CVSS:7.7) および CVE-2018-18809 (CVSS:9.9) は、TIBCOにより 2018年4月と 2019年3月に対処されている。

Continue reading “CISA KEV 警告 22/12/29:JasperReports の古い脆弱性2件を追加”

CISA KEV 警告 22/12/14:Veeam Backup and Replication などの脆弱性を追加

CISA adds Veeam Backup and Replication bugs to Known Exploited Vulnerabilities Catalog

2022/12/16 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Veeam Backup & Replication に影響をおよぼす2つの脆弱性 CVE-2022-26500/CVE-2022-26501 (CVSS : 9.8) を、Known Exploited Vulnerabilities Catalog に追加した。BOD (Binding Operational Directive) 22-01 に従い、この脆弱性を悪用する攻撃からネットワークを守るために、各 FCEB 機関は指定された期限までに対処する必要がある。民間組織においても、このカタログを確認してインフラの脆弱性に対処することを、専門家たちは推奨している。

Continue reading “CISA KEV 警告 22/12/14:Veeam Backup and Replication などの脆弱性を追加”

CISA KEV 警告 22/12/02:Google Chrome の深刻な脆弱性 CVE-2022-4262

CISA orders agencies to patch exploited Google Chrome bug by Dec 26th

2022/12/05 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃での悪用が確認されているバグのリストに、新たな脆弱性を追加した。この脆弱性 CVE-2022-4262 は、Google Chrome for Windows/Mac/Linux に存在するものであり、12月2日にゼロデイバグとしてパッチが適用されたものだ。そのセキュリティ・アドバイザリで Google は、「脆弱性 CVE-2022-4262 が、野放し状態で悪用されているという報告を確認している」と述べている。

Continue reading “CISA KEV 警告 22/12/02:Google Chrome の深刻な脆弱性 CVE-2022-4262”

SBOM 要件の延期を米議会に提出:防衛産業の団体が4つの理由を詳述

Industry Coalition Urges Congress to Hold off on SBOMs Requirements for Defense Contractors

2022/12/02 infoSecurity — サイバー・セキュリティ業界団体の連合は米国議会に対して、防衛請負業者に対する Software Bill of Materials (SBOM) 要件を延期するよう求める、公開書簡を発表した。この書簡は、National Defense Authorization Act for Fiscal Year 2023 の第 4543条に関するものであり、米国防総省が請負業者に対して SBOM 要件を定めるよう求めるものだ。

Continue reading “SBOM 要件の延期を米議会に提出:防衛産業の団体が4つの理由を詳述”

CISA Strategic Plan 2023-25:防御から回復力へと大きく舵を切る米連邦政府

CISA’s Strategic Plan Is Ushering in a New Cybersecurity Era

2022/11/30 DarkReading — 連邦政府が改めて示しているのは、サイバー・セキュリティに対する従来のアプローチは、すなわち予防と境界防御のみを前提としたアプローチは、失敗に終わっているという認識である。この2年間だけでも、76% の組織がランサムウェアの攻撃を受け、66% が少なくとも1回のソフトウェア・サプライ・チェーン攻撃を経験している。いまの米国において、サイバー・セキュリティのベストプラクティスを刷新する連邦機関である Cybersecurity and Infrastructure Security Agency (CISA) は、今日のダイナミックな脅威の状況に耐えるための、抜本的な変革が必要であることを強調している。 

Continue reading “CISA Strategic Plan 2023-25:防御から回復力へと大きく舵を切る米連邦政府”

Log4Shell の発見から1年:残存率は 2.5% にまで減ったが 再発率は 29%

A year later, Log4Shell still lingers

2022/11/30 HelpNetSecurity — 2022年10月1日時点で、72% の組織が Log4Shell の脆弱性に対して依然として脆弱であることが、5億回以上のテストから収集したデータを基にした、Tenable の最新のテレメトリ調査により明らかになった。2021年12月に Log4Shell が発見された当時、世界中の組織は、そのリスクの調査に奔走していた。

Continue reading “Log4Shell の発見から1年:残存率は 2.5% にまで減ったが 再発率は 29%”

CISA KEV 警告 22/11/28:Oracle Fusion Middleware の深刻な脆弱性を追加

CISA Warns of Actively Exploited Critical Oracle Fusion Middleware Vulnerability

2022/11/29 TheHackerNews — 11月28日 (月) に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発な悪用の証拠があるとして、Oracle Fusion Middleware に影響する脆弱性を KEV (Known Exploited Vulnerabilities) カタログに追加した。この脆弱性 CVE-2021-35587 の CVSS スコアは 9.8 であり、Oracle Access Manager (OAM) のバージョン 11.1.2.3.0/12.2.1.3.0/12.2.1.4.0 に影響を及ぼしている。

Continue reading “CISA KEV 警告 22/11/28:Oracle Fusion Middleware の深刻な脆弱性を追加”

EU 議会のサイトが DDoS でダウン:親ロシア派の Anonymous Russia が攻撃を主張

Pro-Russian hacktivists take down EU Parliament site in DDoS attack

2022/11/23 BleepingComputer — 親ロシア派のハッカー集団 Killnet の一部である、Anonymous Russia が主張する DDoS 攻撃を受けて、欧州議会の Web サイトがダウンした。欧州議会議長は、このインシデントについて、「この攻撃に対抗するために、議会の IT 専門家がシステムを保護している」と述べている。Director General for Communication/Spokesperson である Jaume Dauch は、Web サイトがダウンした後に、この障害は進行中の DDoS 攻撃によるものだと指摘している。

Continue reading “EU 議会のサイトが DDoS でダウン:親ロシア派の Anonymous Russia が攻撃を主張”

CISA のインフラ回復計画のフレームワーク IRPF:地域社会を守るために

CISA Updates Infrastructure Resilience Planning Framework

2022/11/23 SecurityWeek — 今週に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Infrastructure Resilience Planning Framework (IRPF) に対して、新しいツールとガイダンスを追加することを発表した。2021年に初版がリリースされた IRPF (PDF) は、進化する脅威に直面する SLTT (State/Local/Tribal/Territorial) 団体を対象とし、重要インフラの安全性と回復力を計画に含めようとするものだ。なお、IRPF は、あらゆる組織の回復力を改善する計画に、利用することが可能である。

Continue reading “CISA のインフラ回復計画のフレームワーク IRPF:地域社会を守るために”

CISA/NSA/ODNI のサプライチェーン・ガイダンス:最終章の Customer 編を発行

CISA, NSA, ODNI Publish Software Supply Chain Guidelines For Customers

2022/11/18 InfoSecurity — 11月17日に米国の US Cybersecurity and Infrastructure Security Agency (CISA) は、ソフトウェア・サプライチェーンの安全確保に関する3部作の最終章を発表した。2022年8月の Developer 向けのガイダンスと、2022年10月の Supplier 向けのガイダンスに続くものであり、調達/展開の段階におけるソフトウェアの完全性と安全性を確保するための、Customer 向けの推奨事項を示している。このドキュメントは、National Security Agency (NSA) と Office of the Director of National Intelligence (ODNI) の協力のもと発行されている。

Continue reading “CISA/NSA/ODNI のサプライチェーン・ガイダンス:最終章の Customer 編を発行”

FBI/CISA/HHS 共同警告:ランサムウェア Hive の被害額が約 $100M に到達

Hive Ransomware Has Made $100m to Date

2022/11/18 InfoSecurity — 昨日に FBI/CISA/HHS (Health and Human Services) が発表した共同警告によると、ランサムウェア亜種 Hive は、これまでに 1,300以上のグローバル企業から約 $100 million の利益を得ているという。この推定利益は、2021年6月に Hive が発見されてから、約15カ月の間に発生したものだ。被害組織は、政府/通信/主要な製造業/IT企業 など多岐にわたるが、特に医療機関へ攻撃が集中しているようだ。

Continue reading “FBI/CISA/HHS 共同警告:ランサムウェア Hive の被害額が約 $100M に到達”

CISA が SSVC を公開:パッチの優先順位とディシジョン・ツリー・モデル

CISA Releases Decision Tree Model to Help Companies Prioritize Vulnerability Patching

2022/11/11 SecurityWeek — 11月10日に米国の CISA (Cybersecurity and Infrastructure Security Agency) は、脆弱性パッチの優先順位を付ける組織が、ディシジョン・ツリー・モデルを用いる際に役立つ SSVC (Stakeholder-Specific Vulnerability Categorization) ガイドを公開した。SSVC システムは、CISA とカーネギーメロン大学の Software Engineering Institute (SEI) が 2019年に作成したものだ。翌年である 2022年に CISA は、政府機関や重要インフラ組織に関連するセキュリティ欠陥に対して、独自にカスタマイズした SSVC デジション・ツリーを作成している。

Continue reading “CISA が SSVC を公開:パッチの優先順位とディシジョン・ツリー・モデル”

CISA の MFA ガイダンス:Number Matching 実装でフィッシングに対抗

CISA Urges Organizations to Implement Phishing-Resistant MFA

2022/11/02 SecurityWeek — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、フィッシングに耐性のある Multi Factor Authentication (MFA) と MFA 対応アプリの番号照合を導入することで、組織におけるフィッシング脅威などからの保護に関するガイダンスを発表した。MFA とは、漏洩したログイン情報を悪用する攻撃者からの、ネットワークやシステムへの不正アクセスを困難にするセキュリティ・コントロールのことであり、ユーザーによる本人確認を実施するために、2つ以上の異なる認証手段の組み合わせを要求するものだ。

Continue reading “CISA の MFA ガイダンス:Number Matching 実装でフィッシングに対抗”

Cisco AnyConnect の脆弱性 CVE-2020-3433 などの悪用を検出:CISA KEV リストにも追加

Cisco warns admins to patch AnyConnect flaw exploited in attacks

2022/10/25 BleepingComputer — 今日に Cisco は、Cisco AnyConnect Secure Mobility Client for Windows に存在する、2つの脆弱性が悪用されているとして、顧客に警告を発した。AnyConnect Secure Mobility Clientは、企業のエンドポイントへの安全なアクセスを簡素化し、SSL (Secure Sockets Layer) と IPsec IKEv2 を通じて、あらゆるロケーションからの安全な VPN 接続を提供するものである。

Continue reading “Cisco AnyConnect の脆弱性 CVE-2020-3433 などの悪用を検出:CISA KEV リストにも追加”

CISA KEV 警告 22/10/20:Linux Kernel の脆弱性 CVE-2021-3493 を悪用リストに追加

CISA adds Linux kernel flaw CVE-2021-3493 to its Known Exploited Vulnerabilities Catalog

2022/10/21 SecurityAffairs — 今週に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Linuxカーネル の脆弱性 CVE-2021-3493 を Known Exploited Vulnerabilities Catalog (KEV) に追加した。拘束力のある運用指令 BOD 22-01 によると、既知の脆弱性を悪用した攻撃からネットワークを守るために、それぞれの FCEB 機関は期限までに、特定された脆弱性に対処しなければならない。

Continue reading “CISA KEV 警告 22/10/20:Linux Kernel の脆弱性 CVE-2021-3493 を悪用リストに追加”

CISA 警告:Advantech/Hitachi の ICS デバイスにおける深刻な脆弱性

CISA Warns of Critical Flaws Affecting Industrial Appliances from Advantech and Hitachi

2022/10/19 TheHackerNews — 18日に米国の CISA は、産業制御システム (ICS)  である Advantech R-SeeNet/Hitachi Energy APM Edge アプライアンスの深刻な脆弱性に関する、2件のアドバイザリを発表した。これらの脆弱性は、R-SeeNet モニタリング・ソリューションの3つの弱点に起因し、悪用に成功した攻撃者は、システム上でのファイル削除/コード実行などが、リモートから可能になるという。

Continue reading “CISA 警告:Advantech/Hitachi の ICS デバイスにおける深刻な脆弱性”

CISA が RedEye をリリース:C2 ログの可視化や Cobalt Strike 追跡などに対応

CISA releases open-source ‘RedEye’ C2 log visualization tool

2022/10/14 BleepingComputer — 米国の Cybersecurity and Infrastructure Security (CISA) は、Command and Control (C2) アクティビティ可視化し報告するオペレーター向けに、オープンソースの分析ツール RedEye を発表した。この RedEye は、レッドチームとブルーチームの双方に対応し、実用的な意思決定につながるデータを、簡単に測定する方法を提供する。

Continue reading “CISA が RedEye をリリース:C2 ログの可視化や Cobalt Strike 追跡などに対応”

NSA/CISA/FBI の共同勧告:Log4j の脆弱性などが中国系ハッカーに悪用されている

RCE on Log4j Among Top CVEs Exploited By Chinese-Backed Hackers

2022/10/07 InfoSecurity — NSA/CISA/FBI が 2022年10月6日に発表したアドバイザリによると、中国の国家に支援された脅威アクターたちが、米国/同盟国のネットワークや企業を標的とし、既知の脆弱性を悪用し続けているとのことだ。同アドバイザリには、「悪質なことに、それらの脅威アクターは、より多くの新しい技術や、適応性のある技術を使用するようになっている。その一部は IT 部門 (電気通信事業者を含む) /防衛産業基盤 (DIB:Defense Industrial Base) 部門/その他の重要インフラ組織などに、大きなリスクをもたらす」と記されている。

Continue reading “NSA/CISA/FBI の共同勧告:Log4j の脆弱性などが中国系ハッカーに悪用されている”

米政府の勧告:中国の国家支援ハッカーが好んで悪用する脆弱性 Top-20 とは?

US govt shares top flaws exploited by Chinese hackers since 2020

2022/10/06 BleepingComputer — 今日、NSA/CISA/FBI は、中華人民共和国 (PRC) の支援を受けるハッカーが、政府や重要インフラのネットワークを標的として悪用する、最も深刻なセキュリティ脆弱性の Top-20 を明らかにした。それらの連邦機関は共同勧告の中で、中国の支援を受けたハッカーが、米国および同盟国のネットワークや技術系企業を標的にしえ、機密ネットワークへのアクセスや知的財産の窃盗を試みていると述べている。

Continue reading “米政府の勧告:中国の国家支援ハッカーが好んで悪用する脆弱性 Top-20 とは?”

CISA から連邦政府への新指令 BOD 23-01:IT 資産の可視化/脆弱性検出を強化

CISA Directive Improves Asset Visibility, Vulnerability Detection on Federal Networks

2022/10/04 InfoSecurity — CISA は、連邦政府のネットワークにおける、IT 資産の可視性/脆弱性検出を改善するための、新たな拘束的運用指令 (BOD:Binding Operational Directive) を発表した。この新指令 BOD 23-01 は、2023年4月3日に発効され、また、連邦民間行政機関 (FCEB) に対して、IT 資産の発見を7日ごとに自動を行うよう求めるものとなる。BOD 23-01 の文書には、「この課題を達成するために、数多くの方法や技術を用いることが可能だが、最低限でカバーすべき範囲は、それぞれの機関が用いる IPv4 空間全体となる」と記されている。

Continue reading “CISA から連邦政府への新指令 BOD 23-01:IT 資産の可視化/脆弱性検出を強化”

CISA KEV 警告 22/09/30:Microsoft Exchange と Atlassian Bitbucket のゼロデイを追加

CISA: Hackers exploit critical Bitbucket Server flaw in attacks

2022/09/30 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、攻撃で悪用されたバグのリストに、Atlassian Bitbucket Server の RCE 脆弱性と、Microsoft Exchange のゼロデイ脆弱性の2件を含む、合計で3件のセキュリティ欠陥を追加したことを発表した。Microsoft によると、CISA の KEV (Known Exploited Vulnerabilities) カタログに追加されたのは、限定的な標的型攻撃で悪用された Microsoft Exchangeの ゼロデイ脆弱性 CVE-2022-41040/CVE-2022-41082 の2件となる。

Continue reading “CISA KEV 警告 22/09/30:Microsoft Exchange と Atlassian Bitbucket のゼロデイを追加”

ISC BIND の深刻な脆弱性 CVE-2022-2906 などが FIX:CISA も警告

ISC fixed high-severity flaws in the BIND DNS software

2022/09/24 SecurityAffairs — この今週に、Internet Systems Consortium (ISC) は、DNS ソフトウェア BIND に存在する、リモートから悪用できる6つの脆弱性に対処する、セキュリティ・パッチを公開した。6件の脆弱性のうち4件は、いずれもサービス妨害 (DoS) の問題で、深刻度は High と判定されている。これらの脆弱性のうち、CVE-2022-2906 ( CVSS:7.5) は、TKEY RR (OpenSSL 3.0.0 + のみ) を介して Diffie-Hellman キー交換を扱うコード内のメモリ・リークの脆弱性である。

Continue reading “ISC BIND の深刻な脆弱性 CVE-2022-2906 などが FIX:CISA も警告”

Sophos Firewall の深刻な脆弱性 CVE-2022-3236 が FIX:積極的な悪用を検知

Sophos warns of a new actively exploited flaw in Firewall product

2022/09/23 SecurityAffairs — Sophos は、同社の Firewall 製品群に存在するコード・インジェクションの脆弱性 CVE-2022-3236 が、悪用されていることを警告している。この脆弱性 CVE-2022-3236 は、Sophos Firewall のユーザーポータルおよび Webadmin に存在し、この脆弱性の悪用に成功した攻撃者に対して、コード実行 (RCE) を許す可能性がある。

Continue reading “Sophos Firewall の深刻な脆弱性 CVE-2022-3236 が FIX:積極的な悪用を検知”

CISA KEV 警告 22/09/22:Zoho ManageEngine 脆弱性 CVE-2022-35405 の活発な悪用

CISA Warns of Hackers Exploiting Recent Zoho ManageEngine Vulnerability

2022/09/23 TheHackerNews — 火曜日に米国 Cybersecurity and Infrastructure Security Agency (CISA) は、最近に公開された Zoho ManageEngine の脆弱性を、活発な悪用の証拠があるとして、Known Exploited Vulnerabilities (KEV) カタログに追加した。CISA は、「Zoho ManageEngine の PAM360/Password Manager Pro/Access Manager Plus には、リモートコードを実行にいたる、特定されていない脆弱性が存在する」と述べている。

Continue reading “CISA KEV 警告 22/09/22:Zoho ManageEngine 脆弱性 CVE-2022-35405 の活発な悪用”

Adobe Magento 2 の深刻な脆弱性 CVE-2022-24086:大規模な攻撃が発生

Critical Magento vulnerability targeted in new surge of attacks

2022/09/22 BleepingComputer — Magento 2 に存在する脆弱性 CVE-2022-24086 を狙う、ハッキング行為が急増している。Magento は、Adobe が所有するオープンソースの eコマースプラットフォームであり、全世界の約17万件のオンライン・ショッピング・サイトで利用されている。この脆弱性 CVE-2022-24086 は、2022年2月に発見され、パッチが適用されているが、すでに侵害に成功した脅威アクターにより、野放状態で悪用されている。その当時に、CISA はサイト管理者に対して、提供されたセキュリティ更新プログラムを適用するよう、アラートで促していた。

Continue reading “Adobe Magento 2 の深刻な脆弱性 CVE-2022-24086:大規模な攻撃が発生”

CISA/NSA が Open RAN (Radio Access Network) アーキテクチャの実装ガイダンスを発表

US Agencies Publish Security Guidance on Implementing Open RAN Architecture

2022/09/16 SecurityWeek — CISA (Cybersecurity and Infrastructure Security Agency) と NSA (National Security Agency) が、Open Radio Access Network (RAN) アーキテクチャの実装に関するガイダンスを発表した。このガイダンスは、Open Radio Access Network Security Considerations と題された汎用的な文書であり、現在の知識/推奨/慣行に基づき、さまざまな業界に適用されるはずだ。

Continue reading “CISA/NSA が Open RAN (Radio Access Network) アーキテクチャの実装ガイダンスを発表”

上下水道システムの Kingspan:深刻な脆弱性が発見されたが無視している?

Water Tank Management System Used Worldwide Has Unpatched Security Hole

2022/09/16 SecurityWeek — 世界の組織で使用されている水槽管理システムが、リモートから悪用できる深刻な脆弱性の影響を受けるが、ベンダーはパッチを当てる気がないようだ。この影響を受ける製品は、アイルランドの建材メーカーである Kingspan の Water and Energy Unit が製造したものだ。Kingspan TMS300 CS 水槽管理システムは、水槽のレベル情報画面/Web サーバー/アプリケーション/オンラインポータル/電子メールなどを提供している。有線/無線のマルチタンク・レベル測定/アラーム/インターネット接続/ローカルネットワーク接続などを特徴としている。

Continue reading “上下水道システムの Kingspan:深刻な脆弱性が発見されたが無視している?”

CISA KEV 警告 22/09/15:Trend Micro Apex One 脆弱性や Stuxnet 攻撃に対応

CISA orders agencies to patch vulnerability used in Stuxnet attacks

2022/09/16 BleepingComputer — CISA は、KEV (Known Exploited Vulnerabilities) カタログに6件の脆弱性を追加し、連邦政府機関に対し、ベンダーの指示に従って修正するよう求めている。カタログに追加された6件のセキュリティ脆弱性のうち、2022年になって公表されたものは、Trend Micro の自動脅威検知/対応プラットフォーム Apex One に影響を与える脆弱性の1件のみとなる。

Continue reading “CISA KEV 警告 22/09/15:Trend Micro Apex One 脆弱性や Stuxnet 攻撃に対応”

CISA KEV 警告 22/09/14:​​Windows/iOS の脆弱性が悪用リストに追加

CISA orders agencies to patch Windows, iOS bugs used in attacks

2022/09/14 BleepingComputer — 今日 CISA は、悪用されているセキュリティ脆弱性のリストに、2つの新しい脆弱性を追加した。これには、Windows の権限昇格の脆弱性と、iPhone/Mac に影響を与える任意のコード実行の脆弱性が含まれている。Windows Common Log File System Driver の権限昇格の脆弱性は CVE-2022-37969 として追跡されており、悪用に成功したローカルの攻撃者は、SYSTEM 権限の取得が可能になる。

Continue reading “CISA KEV 警告 22/09/14:​​Windows/iOS の脆弱性が悪用リストに追加”

Trend Micro 警告:Apex One の RCE 脆弱性 CVE-2022-40139 が悪用されている

Trend Micro warns of actively exploited Apex One RCE vulnerability

2022/09/12 BleepingComputer — 今日、セキュリティ・ソフトウェア会社の Trend Micro は、積極的に悪用される Apex One のセキュリティ脆弱性に対して、早急にパッチを適用するよう顧客に警告を発しまた。Apex One は、悪意のツール/マルウェア/脆弱性に対する脅威の自動検出と対処を、企業に提供するエンドポイント・セキュリティ・プラットフォームである。この脆弱性 CVE-2022-40139 の悪用に成功した攻撃者は、パッチが適用されていないソフトウェアを実行しているシステム上で、任意のコードをリモートから実行することが可能になる。

Continue reading “Trend Micro 警告:Apex One の RCE 脆弱性 CVE-2022-40139 が悪用されている”

CISA KEV 警告 22/09/08:Chrome/ D-Link/QNAP などの 12件の脆弱性が追加

CISA orders agencies to patch Chrome, D-Link flaws used in attacks

2022/09/08 BleepingComputer — CISA は、攻撃に悪用されるバグ・リストに、D-Link の2つの深刻な脆弱性と、Google Chrome および QNAP Photo Station ソフトウェアの2つの (パッチ適用済) ゼロデイを含む、全体で 12件のセキュリティ欠陥を追加した。Google Chrome のゼロデイ (CVE-2022-3075) は、9月2日に緊急セキュリティ・アップデートでパッチが適用されたが、野放し状態での悪用を同社が認識したことで、このリストに加えられた。

Continue reading “CISA KEV 警告 22/09/08:Chrome/ D-Link/QNAP などの 12件の脆弱性が追加”

NSA と CISA のガイダンス:サプライチェーン攻撃から組織を守るために

NSA and CISA share tips to secure the software supply chain

2022/09/01 BleepingComputer — 今日、米国の NSA と CISA (Cybersecurity and Infrastructure Security Agency) は、ソフトウェア・サプライチェーンを保護するためのチップスを発表した。この指針は、米国の重要インフラと国家安全保障システムに対する脅威に対処する、官民パートナーシップである Enduring Security Framework (ESF) により、ソフトウェア開発者向けの推奨事例集として作成されたものだ。

Continue reading “NSA と CISA のガイダンス:サプライチェーン攻撃から組織を守るために”

CISA 警告 22/08/25:​​Delta/Apache/Grafana/Apple など 10件が KEV リストに追加

CISA: Vulnerability in ​​Delta Electronics ICS Software Exploited in Attacks

2022/08/26 SecurityWeek — Delta Electronics の産業用オートメーション・ソフトウェアに影響を及ぼす脆弱性が攻撃に悪用されているため、Cybersecurity and Infrastructure Security Agency (CISA) から各組織に対して早急な対処が要求されている。火曜日に CISA は、10件のセキュリティ欠陥を Known Exploited Vulnerabilities Catalog (KEV) に追加し、9月15日までに対処するよう、連邦政府機関に指示した。

Continue reading “CISA 警告 22/08/25:​​Delta/Apache/Grafana/Apple など 10件が KEV リストに追加”

Mozilla Firefox/Thunderbird の深刻な脆弱性が FIX:フィッシングに悪用される可能性

Mozilla Patches High-Severity Vulnerabilities in Firefox, Thunderbird

2022/08/25 SecurityWeek — 今週に Mozilla は、Firefox および Thunderbird に存在する、複数の深刻な脆弱性に対してパッチを適用した。Firefox 104 (Firefox ESR 91.13/102.2) に関しては、XSLT エラー処理に関連するアドレスバー偽装の可能性という深刻な欠陥にパッチが提供された。この脆弱性 CVE-2022-38472 は、フィッシングに悪用される可能性がある。

Continue reading “Mozilla Firefox/Thunderbird の深刻な脆弱性が FIX:フィッシングに悪用される可能性”

CISA 警告 22/08/22:PAN-OS の深刻な脆弱性 CVE-2022-0028 を KEV リストに追加

CISA Warns of Active Exploitation of Palo Alto Networks’ PAN-OS Vulnerability

2022/08/23 TheHackerNews — 月曜日に米国の CISA は、Palo Alto Networks の PAN-OS に影響を与えるセキュリティ上の欠陥を、活発に悪用されている証拠に基づき、悪用脆弱性リスト (KEV:Known Exploited Vulnerabilities Catalog) に追加した。

Continue reading “CISA 警告 22/08/22:PAN-OS の深刻な脆弱性 CVE-2022-0028 を KEV リストに追加”

CISA 警告 22/08/18:SAP などの7つの深刻な脆弱性を悪用リスト KEV に追加

CISA adds 7 vulnerabilities to list of bugs exploited by hackers

2022/08/19 BleepingComputer — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、ハッカーに活発に悪用されているバグのリストに7つの脆弱性を追加した。その内容は、新たな脆弱性として Apple/Microsoft/SAP/Google の4社が公開したものと、Palo Altos Networks の2017年の脆弱性で構成されている。Known Exploited Vulnerabilities Catalog (KEV) は、CISA が共有するリストであり、サイバー攻撃での活発な悪用が判明している脆弱性に対して、連邦政府民間行政機関 (FCEB) がパッチ適用の義務を負うものである。

Continue reading “CISA 警告 22/08/18:SAP などの7つの深刻な脆弱性を悪用リスト KEV に追加”

SAP の深刻な脆弱性 CVE-2022-22536:Black Hat での発表後に活発に悪用される

SAP Vulnerability Exploited in Attacks After Details Disclosed at Hacker Conferences

2022/08/19 SecurityWeek — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は SAP の深刻な脆弱性について、ハッカーカンファレンス Black Hat および Def Con で詳細が公開されてから1週間足らずで、Known Exploited Vulnerabilities Catalog に追加した。木曜日に CISA は、7つの脆弱性をカタログに追加し、9月8日までに対処するよう連邦政府機関に指示した。新たに追加された脆弱性には、野放しでの悪用に関するオフィシャルな報告がないものもあるが、悪用に関する信頼できる情報を得た場合にのみ、CISA は CVE をカタログに追加すると明言している。

Continue reading “SAP の深刻な脆弱性 CVE-2022-22536:Black Hat での発表後に活発に悪用される”

CISA 警告:UnRAR の欠陥と DogWalk を悪用脆弱性リスト KEV に追加

CISA Issues Warning on Active Exploitation of UnRAR Software for Linux Systems

2022/08/09 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、最近に公開された UnRAR ユーティリティのセキュリティ欠陥について、積極的な悪用の証拠が明らかになったとし、6月9日付で Known Exploited Vulnerabilities Catalog に追加した。

Continue reading “CISA 警告:UnRAR の欠陥と DogWalk を悪用脆弱性リスト KEV に追加”

CISA 警告:Zimbra Email の深刻な脆弱性 CVE-2022-27924 を KEV リストに追加

CISA Adds Zimbra Email Vulnerability to its Exploited Vulnerabilities Catalog

2022/08/04 TheHackerNews — 8月4日に、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Eメールソフト Zimbra の最近公開された深刻な脆弱性を、活発に悪用されている証拠があるとして、KEV カタログに追加した。この問題は、CVE-2022-27924 (CVSS:7.5) として追跡されているコマンド・インジェクションの脆弱性で、任意の Memcached コマンドの実行/機密情報の窃取につながる可能性がある。

Continue reading “CISA 警告:Zimbra Email の深刻な脆弱性 CVE-2022-27924 を KEV リストに追加”

CISA 勧告:Atlassian Confluence パスワードハードコード欠陥の積極的な悪用を検知

CISA warns of critical Confluence bug exploited in attacks

2022/07/29 BleepingComputer — CISA は、Atlassian Confluence の深刻な脆弱性 CVE-2022-26138 を、悪用脆弱性リスト (KVE:Known Exploited Vulnerabilities Catalog) に追加した。この脆弱性の悪用に成功したリモート攻撃者は、ハードコードされた認証情報の窃取が可能になる。先週に、オーストラリアのソフトウェア会社である Atlassian が公開したように、パッチ未適用の Questions for Confluence アプリは、8,000台以上のサーバーにインストールされており、ハードコードされた認証情報を持つアカウントを作成している。

Continue reading “CISA 勧告:Atlassian Confluence パスワードハードコード欠陥の積極的な悪用を検知”

Moxa NPort デバイスに脆弱性:重要インフラが攻撃にさられる可能性

Moxa NPort Device Flaws Can Expose Critical Infrastructure to Disruptive Attacks

2022/07/28 SecurityWeek — 世界中で広く使用されている Moxa 製の産業用接続デバイスで、脅威アクターが重大な混乱を引き起こす可能性のある、2つの深刻な脆弱性が発見された。 台湾に拠点を置き、産業用ネットワーク/オートメーション・ソリューションを提供する Moxa は、これらの脆弱性を修正した。

Continue reading “Moxa NPort デバイスに脆弱性:重要インフラが攻撃にさられる可能性”

Drupal Core に複数の脆弱性:任意の PHP コード実行 CVE-2022-25277 などが FIX

Drupal developers fixed a code execution flaw in the popular CMS

2022/07/25 SecurityAffairs — 人気の CMS である Drupal に存在する、複数の脆弱性に対応するセキュリティ・アップデートがリリースされた。これらの脆弱性については、米国 Cybersecurity and Infrastructure Security Agency (CISA) もアドバイザリを発表している。この中で最も深刻なものは、任意の PHP コード実行の脆弱性 CVE-2022-25277 (深刻度:Critical)だ。

Continue reading “Drupal Core に複数の脆弱性:任意の PHP コード実行 CVE-2022-25277 などが FIX”

産業制御システム (ICS) に 681件の脆弱性:2022年上半期のレポート

Hundreds of ICS Vulnerabilities Disclosed in First Half of 2022

2022/07/21 SecurityWeek — 2022年上半期に、米国の CISA (Cybersecurity and Infrastructure Security Agency) が 開示した ICS (industrial control system) 製品の脆弱性が 600件以上にのぼることが、産業用資産・ネットワーク監視企業の SynSaber の分析により判明した。SynSaber は、CISA が開示した脆弱性を 681件とカウントしており、これは 2021年上半期の 637 件を若干上回る。しかし、すべての公表された ICS の脆弱性に対して、CISA がアドバイザリーを発行しているわけではない。そのため、1月〜6月に公開された問題の実数は、より多くなる可能性があると見られている。

Continue reading “産業制御システム (ICS) に 681件の脆弱性:2022年上半期のレポート”

米国 CISA がロンドンに新事務所を開設:国境を越えた協調を強く意識していく

US Cybersecurity Agency CISA to Open London Office

2022/07/19 SecurityWeek — 今日、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、国際的な協力/連携の強化を図るために、英国に事務所を開設すると発表した。今月末にロンドンに開設される、この CISA 初の駐在官事務所は、CISA/米連邦機関/英国政府などの関係者たちにとって、国際的な協力の中心地となることを目的としている。

Continue reading “米国 CISA がロンドンに新事務所を開設:国境を越えた協調を強く意識していく”