CISA KEB 警告 23/01/10:Microsoft Exchange の脆弱性 CVE-2022-41080 などを追加

CISA orders agencies to patch Exchange bug abused by ransomware gang

2023/01/10 BleepingComputer — 今日に、米国の CISA (Cybersecurity and Infrastructure Security Agency)  は、Known Exploited Vulnerabilities (KEV) カタログに、2つのセキュリティ脆弱性を追加した。1つ目は、Microsoft Exchange の権限昇格の脆弱性 CVE-2022-41080 であり、別の脆弱性 ProxyNotShell CVE-2022-41082 と連鎖してリモート・コードが実行される可能性がある。先週に、テキサス州に拠点を置くクラウド・コンピューティング・プロバイダーである Rackspace は、Play ランサムウェアが CVE-2022-41082 をゼロデイとして悪用し、Microsoft の ProxyNotShell URL 書き換え緩和策をバイパスして、感染させた Exchange Server 内で権限昇格を行ったことが確認されている。

Continue reading “CISA KEB 警告 23/01/10:Microsoft Exchange の脆弱性 CVE-2022-41080 などを追加”

CISA KEV 警告 22/12/14:Veeam Backup and Replication などの脆弱性を追加

CISA adds Veeam Backup and Replication bugs to Known Exploited Vulnerabilities Catalog

2022/12/16 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Veeam Backup & Replication に影響をおよぼす2つの脆弱性 CVE-2022-26500/CVE-2022-26501 (CVSS : 9.8) を、Known Exploited Vulnerabilities Catalog に追加した。BOD (Binding Operational Directive) 22-01 に従い、この脆弱性を悪用する攻撃からネットワークを守るために、各 FCEB 機関は指定された期限までに対処する必要がある。民間組織においても、このカタログを確認してインフラの脆弱性に対処することを、専門家たちは推奨している。

Continue reading “CISA KEV 警告 22/12/14:Veeam Backup and Replication などの脆弱性を追加”

CISA から連邦政府への新指令 BOD 23-01:IT 資産の可視化/脆弱性検出を強化

CISA Directive Improves Asset Visibility, Vulnerability Detection on Federal Networks

2022/10/04 InfoSecurity — CISA は、連邦政府のネットワークにおける、IT 資産の可視性/脆弱性検出を改善するための、新たな拘束的運用指令 (BOD:Binding Operational Directive) を発表した。この新指令 BOD 23-01 は、2023年4月3日に発効され、また、連邦民間行政機関 (FCEB) に対して、IT 資産の発見を7日ごとに自動を行うよう求めるものとなる。BOD 23-01 の文書には、「この課題を達成するために、数多くの方法や技術を用いることが可能だが、最低限でカバーすべき範囲は、それぞれの機関が用いる IPv4 空間全体となる」と記されている。

Continue reading “CISA から連邦政府への新指令 BOD 23-01:IT 資産の可視化/脆弱性検出を強化”

CISA KEV 警告 22/09/22:Zoho ManageEngine 脆弱性 CVE-2022-35405 の活発な悪用

CISA Warns of Hackers Exploiting Recent Zoho ManageEngine Vulnerability

2022/09/23 TheHackerNews — 火曜日に米国 Cybersecurity and Infrastructure Security Agency (CISA) は、最近に公開された Zoho ManageEngine の脆弱性を、活発な悪用の証拠があるとして、Known Exploited Vulnerabilities (KEV) カタログに追加した。CISA は、「Zoho ManageEngine の PAM360/Password Manager Pro/Access Manager Plus には、リモートコードを実行にいたる、特定されていない脆弱性が存在する」と述べている。

Continue reading “CISA KEV 警告 22/09/22:Zoho ManageEngine 脆弱性 CVE-2022-35405 の活発な悪用”

CISA 警告 22/08/22:PAN-OS の深刻な脆弱性 CVE-2022-0028 を KEV リストに追加

CISA Warns of Active Exploitation of Palo Alto Networks’ PAN-OS Vulnerability

2022/08/23 TheHackerNews — 月曜日に米国の CISA は、Palo Alto Networks の PAN-OS に影響を与えるセキュリティ上の欠陥を、活発に悪用されている証拠に基づき、悪用脆弱性リスト (KEV:Known Exploited Vulnerabilities Catalog) に追加した。

Continue reading “CISA 警告 22/08/22:PAN-OS の深刻な脆弱性 CVE-2022-0028 を KEV リストに追加”

CISA 警告 22/08/18:SAP などの7つの深刻な脆弱性を悪用リスト KEV に追加

CISA adds 7 vulnerabilities to list of bugs exploited by hackers

2022/08/19 BleepingComputer — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、ハッカーに活発に悪用されているバグのリストに7つの脆弱性を追加した。その内容は、新たな脆弱性として Apple/Microsoft/SAP/Google の4社が公開したものと、Palo Altos Networks の2017年の脆弱性で構成されている。Known Exploited Vulnerabilities Catalog (KEV) は、CISA が共有するリストであり、サイバー攻撃での活発な悪用が判明している脆弱性に対して、連邦政府民間行政機関 (FCEB) がパッチ適用の義務を負うものである。

Continue reading “CISA 警告 22/08/18:SAP などの7つの深刻な脆弱性を悪用リスト KEV に追加”

CISA 勧告:Atlassian Confluence パスワードハードコード欠陥の積極的な悪用を検知

CISA warns of critical Confluence bug exploited in attacks

2022/07/29 BleepingComputer — CISA は、Atlassian Confluence の深刻な脆弱性 CVE-2022-26138 を、悪用脆弱性リスト (KVE:Known Exploited Vulnerabilities Catalog) に追加した。この脆弱性の悪用に成功したリモート攻撃者は、ハードコードされた認証情報の窃取が可能になる。先週に、オーストラリアのソフトウェア会社である Atlassian が公開したように、パッチ未適用の Questions for Confluence アプリは、8,000台以上のサーバーにインストールされており、ハードコードされた認証情報を持つアカウントを作成している。

Continue reading “CISA 勧告:Atlassian Confluence パスワードハードコード欠陥の積極的な悪用を検知”

CISA 勧告と Exchange Online:10月までに Basic 認証から Modern 認証へ切り替えよ

CISA warns orgs to switch to Exchange Online Modern Auth until October

2022/06/29 BleepingComputer — CISA は政府機関/民間企業に対して、クラウドメール・プラットフォームである Microsoft Exchange を、ベーシック認証からモダン認証 (MFA) へと早急に切り替えるよう促している。ベーシック認証 (プロキシ認証) は、アプリがサーバー/エンドポイント/オンラインサービスに認証情報を平文で送信する、HTTP ベースの認証スキームである。

Continue reading “CISA 勧告と Exchange Online:10月までに Basic 認証から Modern 認証へ切り替えよ”

米 国土安全保障省の勧告:VMware の深刻な脆弱性2件に5日間で対応せよ!

DHS orders federal agencies to patch VMware bugs within 5 days

2022/05/18 BleepingComputer — 今日、国土安全保障省のサイバー・セキュリティ部門は、連邦民間行政機関 (FCEB) に対して、VMware 製品を標的とする攻撃のリスクが高まっているとして、5月23日の月曜日までに緊急にアップデートするか、ネットワークから削除するよう命じた。同じく今日、Cybersecurity and Infrastructure Security Agency (CISA) も、VMware の製品群に影響を及ぼす、認証バイパスとローカル権限昇格の脆弱性 CVE-2022-22972/CVE-2022-22973 がパッチ適用されたことを受けて、緊急指令 22-03 を発表した。

Continue reading “米 国土安全保障省の勧告:VMware の深刻な脆弱性2件に5日間で対応せよ!”

CISA 警告 5/10:F5 BIG-IP の深刻な脆弱性 CVE-2022-1388 を KEV リストに追加

CISA tells federal agencies to fix actively exploited F5 BIG-IP bug

2022/05/11 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されるバグのリストに、BIG-IP ネットワーク・デバイスに深刻な影響を与える、脆弱性 CVE-2022-1388 を新たに追加した。BIG-IP ソリューションを使用する F5 の顧客の中には、連邦政府機関/Fortune 500 企業/銀行/サービス・プロバイダ/コンシューマ・ブランド (Microsoft/Oracle/Facebook など) が含まれているが、同社は Fortune 50 のうちの 48社が F5ユーザーだとしている。

Continue reading “CISA 警告 5/10:F5 BIG-IP の深刻な脆弱性 CVE-2022-1388 を KEV リストに追加”

CISA 警告 4/15:VMware や Chrome の脆弱性が悪用リストに追加

CISA orders agencies to fix actively exploited VMware, Chrome bugs

2022/04/15 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、活発に悪用されているバグのリストに、VMware の特権昇格の脆弱性および、Google Chrome のリモートコード実行のゼロデイ脆弱性などの、9件のセキュリティ欠陥を追加したことを発表した。4月6日にパッチが適用された VMwareの脆弱性 CVE-2022-22960 は、サポートスクリプトの不適切なパーミッションにより、脆弱なサーバー上での root への特権昇格を攻撃者に許してしまうものである。

Continue reading “CISA 警告 4/15:VMware や Chrome の脆弱性が悪用リストに追加”

CISA 警告:悪用脆弱性リストに Sophos ファイアウォールを含む8件を追加

CISA orders agencies to patch actively exploited Sophos firewall bug

2022/03/31 BleepingComputer — 木曜日に Cybersecurity and Infrastructure Security Agency (CISA) は、連邦政府民間機関に対して、Sophos のファイアウォールの深刻なバグを含む、現時点で悪用されている8つの脆弱性に対して、3週間以内にパッチを適用するよう命じた。ほぼ1週間前に Sophos 明らかにしたように、脆弱性 CVE-2022-1040 を悪用する攻撃者は、User Portal または Webadmin インターフェイスを介して認証をバイパスし、リモートで任意のコードを実行できる。

Continue reading “CISA 警告:悪用脆弱性リストに Sophos ファイアウォールを含む8件を追加”

CISA 警告:Chrome/Redis などの 32 件の脆弱性を悪用リストに追加

CISA warns orgs to patch actively exploited Chrome, Redis bugs

2022/03/28 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、連邦政府民間機関に対し、野放し状態で積極的に悪用されている Google Chome のゼロデイと、Redis の深刻な脆弱性に対して、3週間以内にパッチするよう命じた。金曜日に公開された Google アドバイザリによると、Chrome のゼロデイ脆弱性 CVE-2022-1096 は、Chrome V8 JavaScript エンジンに存在するタイプ・コンフュージョンであり、脅威者に対して標的デバイス上で任意のコード実行を許す可能性があるとのことだ。

Continue reading “CISA 警告:Chrome/Redis などの 32 件の脆弱性を悪用リストに追加”

CISA 警告:Firefox ゼロデイを含む 11件の脆弱性を悪用リストに追加

CISA: Patch actively exploited Firefox zero-days until March 21st

2022/03/08 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は連邦政府民間機関に対して、いくつかの攻撃で悪用されている、Firefox の深刻な脆弱性について、今後の2週間以内にパッチするよう命じた。この週末に公開された Mozilla のアドバイザリによると、この2つの Use After Free のバグ (CVE-2022-26485/CVE-2022-26486) の悪用に成功した攻撃者は、標的デバイス上でのクラッシュを誘発し、悪意のコードを実行できるという。

Continue reading “CISA 警告:Firefox ゼロデイを含む 11件の脆弱性を悪用リストに追加”

CISA が政府機関にパッチ適用を命令:Windows の深刻な脆弱性 CVE-2022-21882

CISA orders federal agencies to patch actively exploited Windows bug

2022/02/04 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、連邦政府機関にパッチの適用を命じることで、攻撃者による SYSTEM 権限を許してしまう、Windows の脆弱性に対処しようとしている。今日の発表と、2021年11月の拘束力のある業務指令 (BOD 22-01) より、すべての連邦民間行政機関 (FCEB:Federal Civilian Executive Branch Agencies) は、2月18日までの2週間以内に、脆弱性 CVE-2022-21882 に関連する、すべてのシステムへのパッチ適用が求められている。

Continue reading “CISA が政府機関にパッチ適用を命令:Windows の深刻な脆弱性 CVE-2022-21882”

CISA が立ち上げた民間機関向けの脆弱性開示プラットフォームとは?

CISA launches vulnerability disclosure platform for federal agencies

2021/07/30 BleepingComputer — 今日のこと、Cybersecurity and Infrastructure Security Agency (CISA) は、米国連邦民間機関向けに新たな脆弱性開示ポリシー (VDP : vulnerability disclosure policy) プラットフォームの提供を開始した。

Continue reading “CISA が立ち上げた民間機関向けの脆弱性開示プラットフォームとは?”