Cyber Attack – Page 20 – IoT OT Security News

CISA KEV 警告 24/05/23 ：Apache Flink の CVE-2020-17519 を追加

CISA Warns of Actively Exploited Apache Flink Security Vulnerability

2024/05/23 TheHackerNews — 5月23日 (木) に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Apache Flink の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。その背景にあるのは、統合ストリーム処理／バッチ処理フレームワークのための、この OSS に影響を及ぼすセキュリティ上の欠陥が、活発に悪用されているという現実である。

VMware ESXi の脆弱性を悪用したランサムウェア攻撃が深刻化している – Sygnia

Ransomware Attacks Exploit VMware ESXi Vulnerabilities in Alarming Pattern

2024/05/23 TheHackerNews — VMware ESXi インフラを標的とするランサムウェア攻撃は、展開されたファイル暗号化マルウェアに関係なく、確立されたパターンに従って実行されている。サイバー・セキュリティ企業 Sygnia のレポートには、「ユーザー組織において、IT インフラの中核的なコンポーネントである仮想化プラットフォームは、ミスコンフィグや脆弱性が生じることが多い。そのため、脅威アクターにとって格好の、きわめて効果的なターゲットになっている」と記されている。

MS Exchange Server の脆弱性を悪用：キーロガーを配信する攻撃を確認

MS Exchange Server Flaws Exploited to Deploy Keylogger in Targeted Attacks

2024/05/22 TheHackerNews — Microsoft Exchange Server の既知の脆弱性を悪用する未知の脅威アクターが、アフリカと中東の企業を標的とした攻撃で、キーロガー型マルウェアを展開している。ロシアのサイバーセキュリティ企業 Positive Technologies によると、政府機関／銀行／IT 企業、教育機関などの、30件以上の被害者が確認されているという。なお、最初の被害は、2021年にさかのぼる。

Fortinet FortiSIEM の深刻な脆弱性 CVE-2023-34992 が FIX：PoC エクスプロイトも提供！

Unauthenticated RCE Flaw in Fortinet FortiSIEM: Researchers Publishes PoC for CVE-2023-34992

2024/05/21 SecurityOnline — FortiSIEM は SIEM (Security Information and Event Management) ソリューションであり、ログの収集／相関付け／自動応答／修復を提供するものだ。また FortiSIEMは、スタンドアロン／エンタープライズ・アプライアンスから、MSP (Managed Service Providers) 向けのスケールアウト・ソリューションにいたるまでの、さまざまなレベルをサポートしている。

2023 脆弱性調査：ネットワーク・セキュリティ製品の 60％以上の欠陥がゼロデイで悪用 – Rapid7

Over 60% of Network Security Appliance Flaws Exploited as Zero Days

2024/05/21 InfoSecurity — ネットワーク／セキュリティ・アプライアンスにおいて、2023年に発見された脆弱性の 60％以上が、ゼロデイとして悪用されていたことが、Rapid7 の最新レポートにより明らかになった。このレポートのデータが裏付けているのは、脆弱性に対してパッチがリリースされる以前に、攻撃者たちが悪用を開始しているケースの多さである。研究者たちによると、2023年において、N-day 脆弱性から発生したインシデント(47％) よりも、ゼロデイ脆弱性から発生した大規模な侵害 (53％) の方が僅かに多かったという。この 53 %という割合は、2022年は 43％であったが、その前年の2021年レベル (52％) に戻ったことを示している。

Fluent Bit ログ管理に深刻な脆弱性 CVE-2024-4323：DoS 攻撃のための PoC が提供される

Experts Warn Of A Flaw In Fluent Bit Utility That Is Used By Major Cloud Platforms And Firms

2024/05/21 SecurityAffairs — 主要クラウド・プラットフォームで使用されている、Fluent Bit ユーティリティに深刻な脆弱性が存在することを、Tenable の研究者たちが発見した。オープンソースとして提供される Fluent Bit は、ログを取り扱うための軽量かつ高性能なプロセッサ／フォワーダである。このユーティリティは、各種のソースから各種のディスティネーションへと、ログなどの多様なデータを収集／処理／転送するように設計されている。Fluent Bit は Fluentd エコシステムの一部であり、リソース効率に最適化されているため、IoT デバイス／エッジ・コンピューティング／コンテナ化されたアプリケーションなどの、リソースが限定されている環境に適している。

PDF.js の深刻な RCE 脆弱性 CVE-2024-4367：PoC エクスプロイトが提供

Researchers Detail Code Execution Vulnerability in Popular PDF Viewer, PDF.js

2024/05/21 SecurityOnline — Mozilla が管理する JavaScript ベースの PDF ビュワーとして広く利用されている PDF.js に、深刻度の高い脆弱性 CVE-2024-4367 が存在することが発見されている。そして、この CVE-2024-4367 に対する、技術的詳細と PoC エクスプロイト・コードが、Codean Labs のセキュリティ研究者たちにより公開された。この脆弱性の悪用に成功した攻撃者は、悪意の PDF ファイルが開かれた際に、任意の JavaScript コードを実行できる。この欠陥は、Firefox バージョン 126 未満を実行している全 Firefox ユーザーと、プレビュー機能に PDF.js を利用する、数多くの Web／Electron ベース・アプリに影響を及ぼす。

Chrome の深刻な脆弱性 CVE-2024-4947：PoC エクスプロイトが提供された

PoC Exploit Published for Chrome 0-day CVE-2024-4947 Vulnerability

2024/05/19 SecurityOnline — 先日にパッチが適用された Google Chrome のゼロデイ脆弱性 CVE-2024-4947 に対して、PoC エクスプロイト・コードの存在が表面化した。したがって、ユーザーにとって重要なことは、このブラウザを最新バージョンにアップデートすることである。先週に Google は、Chrome の緊急セキュリティ・アップデートを発表し、野放し状態で活発に悪用されている深刻なゼロデイ脆弱性に対してパッチを適用した。この深刻度の高い脆弱性は、Chrome の V8 JavaScript エンジンのタイプ・コンフュージョンに起因するものであり、Kaspersky の研究者 Vasily Berdnikov と Boris Larin により発見された。

Git の深刻な脆弱性 CVE-2024-32002：RCE を証明する PoC が登場

Critical Git Vulnerability CVE-2024-32002: Researcher Unveils RCE Exploit with PoC

2024/05/19 SecurityOnline — Git に存在する、深刻なリモートコード実行 (RCE) 脆弱性 CVE-2024-32002 (CVSS：9.1) に関する、技術的詳細と PoC エクスプロイトを、セキュリティ研究者であるAmar Murali が発表した。この脆弱性は、ルーチン “git clone” の操作中に悪用される可能性があり、影響を受けるシステムの制御を、攻撃者に奪われる可能性が生じている。

Grav CMS の脆弱性 CVE-2024-34082 が FIX：PoC も提供されている

CVE-2024-34082: Grav CMS Vulnerability Opens Door to Account Takeovers

2024/05/19 SecurityOnline — 人気の OSS CMS (Content Management System) である Grav は、速度と柔軟性で人気を博している。その Grav に、アカウント乗っ取りや機密ファイルへの不正アクセスを引き起こす深刻な脆弱性が存在し、Web サイトを危険にさらしていることが判明した。

CISA KEV 警告 24/05/16：Chrome および D-Link の脆弱性が積極的に悪用されている

CISA warns of hackers exploiting Chrome, EoL D-Link bugs

2024/05/19 BleepingComputer — 米国の Cybersecurity & Infrastructure Security Agency (CISA) は、３件のセキュリティ脆弱性を既知の脆弱性 (KEV：Known Exploited Vulnerabilities) カタログに追加した。脆弱性が KEV カタログに追加される背景としては、それらの脆弱性を悪用する脅威アクターたちが、連邦政府機関や企業に対して攻撃を仕掛けているという状況にあり、セキュリティ更新や緩和措置の適用が急がれるべきという警告となっている。なお、米国の連邦政府機関は 6月6日までに、これらの脆弱性の影響を受けるデバイスの交換や、攻撃リスクを低減／排除する防御策を導入する必要がある。

Zabbix の深刻な SQLi の脆弱性 CVE-2024-22120 (CVSS 9.1) が FIX：PoC も提供

CVE-2024-22120 (CVSS 9.1): Zabbix SQLi Vulnerability Exposes IT Infrastructure to Attack

2024/05/17 SecurityOnline — Zabbix は IT インフラ監視ツールとして人気のオープンソースであるが、深刻な脆弱性 CVE-2024-22120 (CVSS：9.1) が発見された。このタイミング・ベースの SQL インジェクションの脆弱性は、影響を受ける Zabbix バージョンを実行しているシステム上で、攻撃者に特権昇格やリモート・コード実行 (RCE) を許すことで、深刻なリスクの可能性が生じる。

Log4j の大規模かつ継続的なキャンペーン：XMRig などの多様なマルウェアを配信

Log4j Campaign Exploited to Deploy XMRig Cryptominer

2023/05/17 SecurityOnline — 大規模かつ継続的な悪名高い Log4j キャンペーンの活動を、Uptycs Threat Research Team が発見した。当初はハニーポット・コレクション内で検出されたが、このダイナミックなキャンペーンの複雑さを解明するために、Uptycs が詳細な分析を直ちに開始した。

Google Chrome の深刻な脆弱性 CVE-2024-4947 が FIX：悪用を確認

Google fixes third actively exploited Chrome zero-day in a week

2024/05/15 BleepingComputer — Google Chrome のセキュリティ・アップデートが緊急リリースされ、この１週間で攻撃で悪用された３つ目のゼロデイ脆弱性への対処が完了した。5月15日 (水) 公開されたセキュリティ・アドバイザリで Google は、「脆弱性 CVE-2024-4947 が悪用されていることを認識している」と述べている。同社は、Mac／Windows 用の 125.0.6422.60／.61 と、Linux 用の 125.0.6422.60のリリースにより、このゼロデイ欠陥を修正した。新バージョンは、今後の数週間をかけて、Stable Desktop チャンネルに登録されている全ユーザーに配布される。

GitHub とマルウェア群：共通のインフラから AMOS／Vidar／Lumma／Octo などで侵害

Threat Actors Abuse GitHub to Distribute Multiple Information Stealers

2024/05/15 SecurityWeek — 5月13日 (火) に脅威インテリジェンス企業 Recorded Future は、正規の GitHub プロフィールを悪用して情報窃取マルウェアを配布する、悪質なキャンペーンに対して警鐘を鳴らした。このキャンペーンの一環として、Commonwealth of Independent States (CIS) で活動するロシア語圏の脅威アクターたちが、1Password／Bartender 5／Pixelmator Proなどの正規アプリケーションを装いながら、Atomic macOS Stealer (AMOS)／Vidar／Lumma／Octo などのマルウェアを配布している。

Black Basta の戦術：ソーシャル・エンジニアリングで Windows Quick Assist を侵害

Windows Quick Assist abused in Black Basta ransomware attacks

2024/05/15 BleepingComputer — 金銭的な動機に基づくサイバー犯罪者たちが、ソーシャル・エンジニアリング攻撃で Windows Quick Assist 機能を悪用し、被害者のネットワーク上に Black Basta ランサムウェアのペイロードを展開している。Microsoft は、遅くとも 2024年4月中旬から、このキャンペーンを調査している。同社の観察によると、脅威グループ (Storm-1811) は、さまざまな電子メール配信サービスにアドレスを登録した後に、標的に対する大量の電子メール配信を行うことで攻撃を開始する。

Ebury ボットネットの脅威：14年をかけて 40万台の Linux サーバを侵害

Ebury Botnet Malware Compromises 400,000 Linux Servers Over Past 14 Years

2024/05/15 TheHackerNews — Eburyと呼ばれるボットネット・マルウェアは、2009年以降において 40万台の Linux サーバを危険にさらしており、そのうち10万台以上が、2023年の時点でも危険な状況にあると推定されている。この調査結果は、スロバキアのサイバーセキュリティ企業 ESET によるものである。同社は、このマルウェアについて、金銭的な利益を目的とした最も高度なサーバ・サイド・マルウェア・キャンペーンの１つだとしている。

D-Link EXO AX4800 の RCE 脆弱性：ゼロデイで PoC が登場

PoC exploit released for RCE zero-day in D-Link EXO AX4800 routers

2024/05/14 BleepingComputer — D-Link EXO AX4800 (DIR-X4860) ルーターに存在する脆弱性により、リモートからの認証されていないコマンドが実行され、HNAP ポートにアクセス可能な攻撃者に、デバイスを完全に乗っ取られる可能性が生じている。D-Link DIR-X4860 ルーターは、最大で 4800 Mbps の速度に対応する高性能 Wi-Fi 6 ルーターであり、OFDMA／MU-MIMO／BSS Coloring などの高度な機能により、効率を高めて干渉を低減するという製品である。とりわけカナダでは、このデバイスは人気を誇っている。D-Link の Web サイトによると、この製品は世界市場で販売されており、同社も積極的にサポートしている。

IEEE 802.11 の脆弱性 CVE-2023-52424：SSID Confusion Attack が成立する？

CVE-2023-52424: New WiFi Flaw Leaves All Devices Vulnerable to ‘SSID Confusion’ Attacks

2024/05/14 SecurityOnline — 先日に発見された WiFi スタンダードにおける脆弱性により、攻撃者がユーザーを欺き、安全ではないネットワークに接続させるという、深刻なセキュリティ・リスクが明らかになった。脆弱性 CVE-2023-52424 を悪用する、SSID Confusion Attack と名付けられた攻撃手法は、セキュリティ研究者である Mathy Vanhoef と Top10VPN が共同で発見したものだ。この発見は、ソウルで開催される WiSec ’24 カンファレンスで発表される予定である。

NIST NVD の混乱が止まらない：新規の CVE 追加が一時的に停止していた

NIST Confusion Continues as Cyber Pros Complain CVE Uploads Stalled

2024/05/14 InfoSecurity — 脆弱性データベースとして、世界で最も信頼されている米国の NVD (National Vulnerability Database) だが、この数ヶ月において最大の危機を迎えており、それに比例してソフトウェア脆弱性の悪用が増加している。2024年2月中旬から、米国の NIST (National Institute of Standards and Technology) が運営する NVD は、脆弱性情報の更新を遅延させてきた。そして 5月9日以降においては、新しい脆弱性の表示を停止していると、ソフトウェア・セキュリティの専門家たちが Infosecurity に語っている。

Microsoft が FIX した脆弱性 CVE-2024-30051：QakBot のマルウェア配信で悪用

Microsoft fixes Windows zero-day exploited in QakBot malware attacks

2024/05/14 BleepingComputer — Microsoft が修正したゼロデイ脆弱性は、影響を受ける Windows システム上で、 QakBot などのマルウェア・ペイロードを配信する攻撃で、悪用される可能性のあるものだ。この特権昇格の脆弱性 CVE-2024-30051 は、DWM (Desktop Window Manager) コア・ライブラリのヒープバッファ・オーバーフローが起因するものであり、悪用に成功した攻撃者に、SYSTEM 権限の取得を許すものである。

Microsoft 2024-05 月例アップデート：３件のゼロデイと 61件の脆弱性に対応

Microsoft May 2024 Patch Tuesday fixes 3 zero-days, 61 flaws

2024/05/14 BleepingComputer — 今日は、Microsoft の May 2024 Patch Tuesday の日だ。全体で 61件の脆弱性が修正されたが、そのうちの３件は、活発な悪用または、すでに公開済みの、ゼロデイ脆弱性に対するセキュリティ更新となっている。今月の Patch Tuesday における Critical な脆弱性は、Microsoft SharePoint Server のリモート・コード実行のみとなっている。

Linksys EA7500 ルーターの RCE 脆弱性 CVE-2023-46012：パッチ未適用で PoC が公開

CVE-2023-46012 in Linksys EA7500 Routers Allows Remote Takeover, No Patch, Poc Released

2024/05/13 SecurityOnline — Linksys EA7500 ルーターに存在する深刻な脆弱性により、攻撃者に root 権限でリモート・コード実行を許す可能性が生じることが、サイバーセキュリティ研究者たちにり明らかにされた。この脆弱性 CVE-2023-46012 (CVSS：9.8) は深刻度が高く、影響を受けるルーターのユーザーに対して、重大なリスクをもたらす可能性がある。

LockBit Black の大規模キャンペーン：Phorpiex ボットネットから大量のフィッシング・メール

Botnet sent millions of emails in LockBit Black ransomware campaign

2024/05/13 BleepingComputer — 2024年4月以降において、大規模な LockBit Black ランサムウェア・キャンペーンを実施するために、Phorpiex ボットネットを介して数百万通のフィッシング・メールが送信されているという。5月10日 (金) に、ニュージャージー州の Cybersecurity and Communications Integration Cell (NJCCIC) が警告したように、この攻撃者が使用しているのは、起動すると受信者のシステムを暗号化する LockBit Black ペイロードを展開するための、実行ファイルを取り込んだ ZIP 添付ファイルである。

CISA／FBI／HHS／MS-ISAC の共同警告：Black Basta が 500以上の組織を攻撃している

Black Basta Ransomware Hit Over 500 Organizations

2924/05/13 SecurityWeek — Black Basta ランサムウェア・グループが、世界 500以上の組織を攻撃して、その中には北米／欧州／豪州などの重要なインフラ事業体が含まれると、米国政府が警告している。2022年4月に初めて確認された Black Basta は、RaaS (ransomware-as-a-service) を用いて活動している。彼らのビジネス・モデルは、自身のアフィリエイトたちに対して、標的へのサイバー攻撃とマルウェア展開を実行させ、支払われた身代金の一部を得るという仕組みである。

Cacti の脆弱性 CVE-2024-25641 などが FIX：PoC もリリース！

Cacti Network Monitoring Software Patched for Critical Security Flaws (CVE-2024-25641)

2024/05/13 SecurityOnline — ネットワーク監視ツールとして広く利用されている Cacti がリリースしたのは、深刻なリモート・コード実行 (RCE：Remote Code Execution) などの脆弱性に対処する、クリティカルなセキュリティ・アップデートである。修正された脆弱性のうち、最も深刻度が高い CVE-2024-25641 (CVSS：9.1) は、テンプレートのインポート権限を持つ認証済みの攻撃者に対して、影響を受ける Web サーバ上での任意の PHP コード実行を許す可能性のあるものだ。

Microsoft Edge のゼロデイ CVE-2024-4671 などが FIX：野放し状態での悪用を観測

Microsoft Edge Zero-Day Vulnerability Patched: Urgent Update Needed

2024/05/13 SecurityOnline — すべての Microsoft Edge ユーザーに対して、サイバー・セキュリティ専門家たちが呼びかけているのは、5月10日にリリースされた最新のセキュリティ更新プログラムを、直ちにインストールすることだ。この重要な更新プログラムが対処しているのは、野放し状態で悪用されている、ゼロデイ欠陥 CVE-2024-4671 などの、複数の脆弱性である。

MITRE が公表する EMB3D：組み込み系デバイスのための脅威モデリング・フレームワーク

MITRE Unveils EMB3D: A Threat-Modeling Framework for Embedded Devices

2024/05/13 TheHackerNews — MITRE Corporation が正式に公開したのは、重要インフラ環境で使用される組込み機器メーカー向けの、EMB3D と呼ばれる新たな脅威モデリング・フレームワークである。この非営利の組織は、「今回のモデルは、組込み機器に対するサイバー脅威について、これまでに培われた知識ベースを提供し、この脅威を軽減するために必要なセキュリティ・メカニズムの共通の理解を提供する」と述べている。

攻撃対象の拡大／ID ベースの攻撃／AI の新たな利用がテーマ – RSA Con 2024

RSAC: Experts Highlight Novel Cyber Threats and Tactics

2024/05/10 InfoSecurity — サイバー犯罪者や脅威アクターたちが、ツールの性能を向上させるにつれて、洗練された新たな攻撃手法が出現している。防御者たちにとっては、この進化を常に把握することが不可欠となる。Proofpoint の Senior Manager of Threat Research である Daniel Blackford は、「攻撃者たちは大きな成功を収め、多くの資金を手にし、活動範囲を拡大している」と説明している。

Oracle VM VirtualBox の脆弱性 CVE-2024-21115：記述詳細が公表 – Pwn2Own

Technical Details Released for CVE-2024-21115 Vulnerability Reported in VM VirtualBox

2024/05/10 SecurityOnline — Oracle における仮想化で、広く使われている Oracle VM VirtualBox で発見された、深刻なセキュリティ脆弱性 CVE-2024-21115 について、技術的な詳細が明らかになった。この脆弱性が悪用されると、VirtualBox 環境の完全な乗っ取りにつながる可能性が生じる。

Dell API への侵害：4900万人分の顧客情報が容易に流出してしまった

Dell API abused to steal 49 million customer records in data breach

2024/05/10 BleepingComputer — 先日に発生した Dell におけるデータ流出の背後にいる脅威アクターは、自身で作った偽の会社からアクセスした Partner Portal API を介して、4900万人分の顧客情報をスクレイピングしたことを明らかにした。昨日に BleepingComputer が報じたのは、データ侵害により個人データが盗まれたことを警告する通知を、Dell が顧客に送り始めたことだ。このインシデントで流出したデータには、保証情報／サービスタグ／顧客名／設置場所／顧客番号／注文番号などが含まれていたという。

中小企業がサーバー脅威に直面する理由：いくつかのギャップが確認された – LastPass

Why SMBs are facing significant security, business risks

2024/05/09 HelpNetSecurity — LastPass が提起している問題は、サイバー・セキュリティに対して中小企業のリーダーたちが、より多くの時間／注意／予算を費やしていると報告する一方で、人的な要因により阻害が生じる現状についてのものである。LastPassによると、それらの要因／ポリシー／テクノロジーのギャップが、中小企業に対して悪影響を及ぼす結果として、財務的な損失につながる可能性があるという。

Mobile Banking マルウェアが 32% の急増：サイバー犯罪者にとって金銭は魅力的 – Kaspersky

Mobile Banking Malware Surges 32%

2023/05/09 InfoSecurity — Kaspersky 最新年次レポート “Financial Threats Report for 2023” のデータによると、世界のモバイル・バンキング向けマルウェアは、2022年と比べて 32% も増加している。この、5月6日に発表されたレポートが指摘するのは、Android ユーザーを狙う攻撃が急増し、アフガニスタン／トルクメニスタン／タジキスタンでは、バンキング型トロイの木馬に遭遇する割合が最も高くなっている点だ。特筆すべきは、モバイル・バンキングを狙うマルウェア攻撃ではトルコがトップであり、約３％のユーザーが感染しているという。

Zscaler をハッキングしたと主張する IntelBroker：$20,000 相当の暗号通貨でデータを販売

Zscaler Investigates Hacking Claims After Data Offered for Sale

2024/05/09 SecurityWeek — 5月8日 (水) にサイバー・セキュリティ大手 Zscaler は、同社のシステムへのアクセス権を、悪名高いハッカーが販売すると言い出したことを受けて調査を開始した。そのハッカーである IntelBroker は、人気のサイバー犯罪フォーラムで、「最大手のサイバー・セキュリティ企業へのアクセスを販売する」と発表している。この投稿には、標的である企業の名前は記されていないが、フォーラムのシャウト・ボックスで Zscaler であることが確認されている。

Google Chrome ゼロデイ脆弱性 CVE-2024-4671 が FIX：悪用が確認されている

Google Rushes to Patch Chrome Zero-Day Exploit: CVE-2024-4671

2024/05/09 SecurityOnline — Google が発表したのは、すでに Chrome で悪用が確認されている、深刻な脆弱性に対処する緊急のセキュリティ・アップデートである。その脆弱性 CVE-2024-4671 、Chrome ブラウザの Visuals コンポーネント内に存在する、use after free のバグに起因する。

F5 BIG-IP の脆弱性 CVE-2024-21793：アップデートと PoC が提供された

New BIG-IP Next Central Manager bugs allow device takeover

2024/05/08 BleepingComputer — F5 の BIG-IP Next Central Manager に存在する、２件の脆弱性が修正された。この脆弱性の悪用に成功した攻撃者は、管理者権限を取得し、管理対象資産に不正な隠しアカウントを作成できるという。管理者は Next Central Manager を使用することによって、統合管理ユーザー・インターフェイスを介して、オンプレミス／クラウドの BIG-IP Next インスタンス／サービスを制御できるようになる。

TunnelVision という新たな VPN トンネル侵害：DHCP サーバのオプションを悪用する手法とは？

New ‘TunnelVision’ Technique Leaks Traffic From Any VPN System

2024/05/08 SecurityWeek — DHCP のビルトイン機能を悪用して VPN トンネルを強制的に外すという、新たな VPN バイパス・テクニックを用いる脅威アクターは、被害者のトラフィックを盗み見ることが可能になると、ペンテスト会社 Leviathan Security Group が警告している。この TunnelVision と呼ばれるテクニックは、送信するネットワーク・トラフィックをコンピュータが決定するために用いる、一連のルールである Route Table 操作に依存するものだ。それにより攻撃者は、DHCP サーバを侵害することなく、この手法を使用できるという。

WordPress Litespeed Cache Plugin の脆弱性 CVE-2023-40000：積極的な悪用を観測

Litespeed Cache WordPress Plugin Actively Exploited In The Wild

2024/05/08 SecurityAffairs — WordPress 用 LiteSpeed Cache プラグインの深刻な脆弱性を、脅威アクターたちが積極的に悪用していると、WPScan の研究者たちが報告している。LiteSpeed Cache for WordPress (LSCWP) は、オールインワンのサイト高速化プラグインであり、独自のサーバ・レベル・キャッシュと最適化のための機能を備えている。そして、このプラグインは、500万以上のアクティブなインストール数を誇っている。

Mirai ボットネットが Ivanti を悪用：脆弱性 CVE-2023-46805／21887 の連鎖に要注意

Mirai Botnet Exploits Ivanti Vulnerabilities (CVE-2023-46805 & CVE-2024-21887)

2024/05/07 SecurityOnline — Ivanti Connect Secure (ICS) および Ivanti Policy Secure Gateway を標的とする攻撃の、きわめて危険なエスカレーションを、Juniper Threat Labs のセキュリティ研究者たちが発見した。この２つの脆弱性 CVE-2023-46805 (認証バイパス)／CVE-2024-21887 (リモートコード実行) を武器化する攻撃者たちは、悪名高い Mirai ボットネット・マルウェアを拡散している。この強力な組み合わせは、広範なネットワークにおける侵害と混乱への扉を開く。

MITRE への侵害：中国由来の APT UNC5221 の侵害の手法とマルウェアを分析する

MITRE Attributes The Recent Attack To China-Linked UNC5221

2024/05/07 SecurityAffairs — MITRE が共有したのは、先日の攻撃に関連する攻撃者／マルウェア／タイムラインなどの、ハッキングの詳細情報である。2024年4月に MITRE は、同社の研究／試作ネットワークの１つに、セキュリティ侵害があったことを公表した。同組織のセキュリティ・チームは直ちに調査を開始し、脅威行アクターをログアウトさせ、サードパーティのフォレンジック・インシデント対応チームと社内の専門家を協力させ、独自の分析を実施した。

Log4J の脆弱性 CVE-2021-44228：依然として悪用トラフィックは最大級 – Cato

#RSAC: Log4J Still Among Top Exploited Vulnerabilities, Cato Finds

2024/05/07 InfoSecurity — Log4J の脆弱性 CVE-2021-44228 だが、発見から３年が経過した現在においても、最も悪用されるエクスプロイトの１つであることが、クラウド・セキュリティ・プロバイダーである Cato Networks の観測から判明している。Cato Cyber Threat Research Labs (CTRL) は、RSA Conference 2024 の会期中の 5月6日に、SASE Threat Report for Q1 2024 レポートを発表した。

Oracle WebLogic Server の脆弱性 CVE-2024-21006：PoC エクスプロイトが提供される

PoC Releases for CVE-2024-21006: Hackers Can Take Over Oracle WebLogic Server

2024/05/06 SecurityOnline — Oracle WebLogic Server の深刻な脆弱性 CVE-2024-21006 (CVSS：7.5) に対して、技術的な詳細と PoC コードが公開され、リモートの攻撃者による侵害の可能性が高まっている。この脆弱性の悪用に成功した攻撃者は、機密データへの不正アクセスや、Oracle WebLogic Server を完全に制御する可能性を手にする。

Outlook の脆弱性 CVE-2023-23397 と APT28：チェコとドイツに対するスパイ行為が発覚

Microsoft Outlook Flaw Exploited by Russia’s APT28 to Hack Czech, German Entities

2024/05/04 TheHackerNews — 5月3日 (金) にチェコとドイツの両国は、ロシアに支援される脅威アクター APT28 により実施された、長期的なサイバースパイ・キャンペーンの標的であったことを明らかにし、EU／NATO／英国／米国から非難を浴びた。チェコ共和国の外務省 (MFA) は声明の中で、2023年初頭に明るみに出た Microsoft Outlook の脆弱性を悪用する攻撃により、同国内の無名の団体が被害を受けたと述べている。MFA は、「政治団体／国家機関／重要インフラを標的とするサイバー攻撃は、国家安全保障に対する脅威であるだけではなく、我々の自由な社会が基盤としている民主主義のプロセスを混乱させるものだ」と述べている。

Microsoft Graph API ：C2 インフラ構築のための悪用が増加している

Microsoft Graph API Emerges as a Top Attacker Tool to Plot Data Theft

2024/05/02 DarkReading — 国家によるスパイ活動において増加しているのは、C2 (command-and-control) サーバをホストするために、Microsoft のネイティブ・サービスを利用するケースである。近ごろ、多くのグループが、独自のインフラを構築し維持するよりも、Microsoft のサービスを利用した方が経済的／効果的であるということに気づき始めている。独自のインフラを構築／維持する必要がないため、コストや手間が省けるだけではなく、正規のサービスを利用することで、攻撃者の悪意の行動を巧妙に、正規のネットワーク・トラフィックに紛れ込ませることが可能になる。

aiohttp の DoS 脆弱性 CVE-2024-30251 が FIX：ただちにアップデートを！

CVE-2024-30251: Denial of Service Vulnerability in aiohttp Threatens Web Services

2024/05/02 SecurityOnline — Python アプリケーションにおいて、非同期 HTTP リクエスト処理を可能にする、人気の OSS ライブラリ aiohttp で、深刻な DoS の脆弱性 CVE-2024-30251 (CVSS：7.5) が発見された。この脆弱性の悪用に成功した攻撃者は、単一の不正な POST リクエストを送信することで、Web サービスを麻痺させることを可能にする。この脆弱性は、高性能な Web アプリケーション開発のために aiohttp に依存している、テクノロジー企業／Web 開発者／バックエンド・エンジニア／データ・サイエンティストたちにとって、重大な懸念事項となるだろう。

Jitsi Meet の脆弱性 CVE-2024-33530 が FIX：攻撃者に通話が傍受されるおそれ

CVE-2024-33530: Jitsi Meet Flaw Leaks Meeting Passwords, Exposing Calls to Intruders

2024/05/02 SecurityOnline — 人気の OSS ビデオ会議プラットフォーム Jitsi Meet に、深刻な脆弱性が存在することが、Insinuator のセキュリティ研究者である Florian Port により発見された。この脆弱性 CVE-2024-33530 の悪用に成功した攻撃者は、権限なしで会議のパスワードを取得し、セキュリティを回避してプライベートな会議への参加が可能になる。

CISA／FBI の共同警告：パス・トラバーサル脆弱性の出荷前の修正をベンダーに要請

CISA urges software devs to weed out path traversal vulnerabilities

2024/05/02 BleepingComputer — 5月2日 (木) にCISA と FBI が公開した共同勧告は、ソフトウェア会社に対して、自社製品をリリース前に見直し、パス・トラバーサルの脆弱性を修正するよう求めるものだ。ディレクトリ・トラバーサルとも呼ばれる、パス・トラバーサル脆弱性の悪用に成功した攻撃者は、重要なファイルの作成／上書きを行い、認証などのセキュリティ・メカニズムをバイパスし、コード実行を引き起こす可能性を持つ。さらに、脅威アクターに対して、機密データへのアクセスを許してしまう可能性もある。もし、認証情報が盗まれた場合には、その後の、標的システムへの侵入において、既存アカウントへのブルートフォース (総当り) 攻撃に悪用されるケースもある。

Dropbox Sign のデータ侵害：ユーザー情報への不正アクセスが発生

Dropbox Discloses Breach of Digital Signature Service Affecting All Users

2024/05/02 TheHackerNews — 4月24日に Dropbox が明らかにしたのは、Dropbox Sign (旧 HelloSign) が正体不明の脅威アクターにより侵害され、電子署名製品の全ユーザーに関連するＥメール／ユーザー名／一般的なアカウント設定などが不正アクセスを受けたことだ。同社は、米国証券取引委員会 (SEC) に提出した書類の中で、4月24日に不正アクセスに気づいたと述べている。なお、Dropbox は、2019年1月に HelloSign の買収計画を発表していた。

2024 Q1 のランサムウェア活動調査：LockBit／Black Basta／Play がトップに – ReliaQuest

LockBit, Black Basta, Play Dominate Ransomware in Q1 2024

2024/05/01 InfoSecurity — 2024 Q1 に最も活発に動き回ったランサムウェア・グループは、LockBit／Black Basta／Play であることが確認された。その中でも特筆すべきは、Black Basta の活動が 41％も増加したという点だ。このデータは、サイバーセキュリティ企業 ReliaQuest の最新レポートによるものだ。同レポートは、調査の対象期間中である２月に、LockBit が法執行機関によるテイクダウンを受け、大きく後退したことにも触れている。

CISA KEV 警告 24/05/01：GitLab の脆弱性 CVE-2023-7028 を KEV に追加

CISA says GitLab account takeover bug is actively exploited in attacks

2024/05/01 BleepingComputer — 5月1日に CISA は、 GitLab の脆弱性 CVE-2023-7028 (CVSS：10.0) を KEV (Known Exploited Vulnerabilities) カタログに追加した。この脆弱性を積極的に悪用する攻撃者たちにより、パスワード・リセットとアカウントの乗っ取りが生じると、同組織は警告している。GitLab は、専有コードや API キーを含む機密データをホストしているため、アカウントが乗っ取りが生じると、深刻な事態に陥る可能性がある。この脆弱性の悪用に成功した攻撃者は、CI/CD (Continuous Integration/Continuous Deployment) 環境に悪意のコードを挿入し、リポジトリを侵害するサプライチェーン攻撃を実行する可能性がある。