Firefox – IoT OT Security News

Mozilla Firefox 149.0 をリリース：Web 脅威対策とプライバシー機能を大幅に強化

Mozilla Releases Firefox 149.0 With Free Built‑In VPN Offering 50 GB Monthly Data

2026/03/25 gbhackers — Mozilla は Firefox 149.0 をリリース・チャネルで公開し、ブラウザにおけるプライバシー／セキュリティ機能を大幅に強化した。このアップデートの最大の特徴は、パブリック・ネットワーク利用時にユーザーを保護し、機密性の高いブラウジングを安全に維持するために設計された、ビルトイン VPN の無料での統合である。

Claude AI が発見した Firefox の脆弱性 22 件：2 週間にわたる Mozilla との共同検証の成果とは？

Claude AI Uncovers 22 Firefox Vulnerabilities in Two Weeks

2026/03/06 CyberSecurityNews — 人工知能モデルは単純なコード補助ツールから、自律型の高度な脆弱性研究者へと急速に進化している。最近の Anthropic Claude Opus 4.6 は、厳しく監査されてきたはずのオープンソース・プロジェクトにおいて、500 件を超えるゼロデイ脆弱性を発見した。その一環として、2026年2月の 2 週間をかけて Mozilla と Anthropic が共同で実施した検証では、Firefox に存在していた 22 件のセキュリティ欠陥が Claude Opus 4.6 により特定されている。Mozilla は、そのうち 14 件を高深刻度と分類したが、この件数は、2025年に修正された Firefox の高深刻度脆弱性の約 20% に相当する。

Mozilla Firefox 148 がリリース：Sanitizer API の搭載による XSS 対策の強化

Firefox 148 Unveils New Sanitizer API to Mitigate XSS Attacks in Web Applications

2026/02/26 gbhackers — Firefox が公開したのは、Cross-Site Scripting (XSS) 攻撃から Web アプリケーションを保護するための主要なアップデートである。Firefox 148 のリリースに伴い、Mozilla は標準化された新たな Sanitizer API を導入し、セキュリティ・ツールを標準でビルトインする最初のブラウザとなった。この新機能により、Web 開発者は未信頼のコードが Web ページへ挿入される前に、安全対策とクリーン・アップの実行が可能になる。

Mozilla Firefox の脆弱性 CVE-2026-2447 が FIX：動画処理を介して任意のコード実行

Firefox v147.0.3 Released with Critical Fix for Heap Buffer Overflow Vulnerability

2026/02/17 gbhackers — Mozilla が公開したのは、libvpx ライブラリに存在する深刻なヒープバッファ・オーバーフローの脆弱性 CVE-2026-2447 に対処する緊急セキュリティ・アップデートである。Firefox 147.0.4 は 2026年2月16日に発表され、Firefox ESR 140.7.1／115.32.1 向けの修正パッチも同時に提供された。この脆弱性は、セキュリティ研究者 jayjayjazz により発見されたものである。

Firefox が導入するプライバシー強化策：カスタマイズ可能な AI Kill Switch とは？

Firefox Will Give Users an AI Kill Switch for Better Privacy

2026/02/07 hackread — ほぼすべての、私たちが訪れる Web サイトに AI が組み込まれつつあるが、この変化を歓迎しないユーザーも少なくない。身近にあるデジタル・アシスタントを便利だと感じる一方で、データ共有への懸念を抱くユーザーや、絶え間ないポップアップに疲弊するユーザーもいる。Mozilla は、こうした傾向に注目し、ユーザー主導の環境を取り戻すことを目的とする大規模なアップデートを発表した。

Firefox エクステンションにデータ収集の透明性要件を導入：すべての新規アドオンに開示義務

Mozilla Wants All New Firefox Extensions to Disclose Data Collection Policies

2025/10/28 CyberSecurityNews — Mozilla が公表したのは、Firefox エクステンションに対して透明性の要件を導入することである。それにより、2025年11月3日以降に Firefox エコシステムにエクステンションを提供する開発者はインストール前に、そのコア設定ファイルに組み込まれた標準化フレームワークを通じて、ユーザーに対するデータ収集の方法を開示することが義務付けられる。そこでは、対象となるソフトウェアによる、個人データの収集／送信についても宣言する必要が生じる。

Mozilla 製品における複数の脆弱性が FIX：RCE／DoS／Spoofing などの可能性

High-Severity Mozilla Flaws Allow Remote Code Execution

2025/08/21 gbhackers — Mozilla がリリースした Firefox 142 は、影響を受けるシステムにおいて、リモート攻撃者に対して任意のコード実行などを許す、複数の深刻な脆弱性に対処するためのものである。2025年8月19日に公開された、Mozilla Foundation Security Advisory 2025-64 で解説されるのは、深刻なリモート・コード実行 (RCE)／サービス拒否 (DoS)／スプーフィング攻撃につながる恐れのある、９件の脆弱性に関する情報である。

Firefox の悪意のエクステンション８件：OAuth Token／Password を盗んでユーザーを監視

8 New Malicious Firefox Extensions Steal OAuth Tokens, Passwords and Spy on Users

2025/07/07 CyberSecurityNews — OAuth トークン／パスワードの窃取を積極的に行い、欺瞞的手法によりユーザーを監視する、８件の悪意の Firefox エクステンションで構成される高度なネットワークを、Socket Threat Research Team のセキュリティ研究者たちが発見した。この発見で明らかにされたのは、人気のゲーム・タイトルやユーティリティ・アプリの悪用を通じて、Firefox エコシステム全体のユーザー・セキュリティを侵害する、組織的なキャンペーンの存在である。

Firefox 140 がリリース：深刻な脆弱性 CVE-2025-6424／6436 の FIX と最新機能の提供

Firefox 140 Launches with Critical Code Execution Bug Fix – Update Now

2025/06/26 gbhackers — Mozilla が Firefox 140 を正式にリリースした。そこに取り込まれたセキュリティ・アップデートには、深刻なコード実行の脆弱性に対する修正などが含まれる。ユーザーに対して強く推奨されるのは、Firefox を最新の 140 へと速やかにアップデートし、これらの脆弱性を悪用する、潜在的な攻撃から保護することである。

Chrome／Firefox の深刻な脆弱性４件が FIX：情報漏洩／リモート・コード実行などの恐れ

Chrome, Firefox Updates Resolve High-Severity Memory Bugs

2025/06/11 SecurityWeek — 6月10日 (火) にリリースされた Chrome 137 と Firefox 139 のアップデートでは、それぞれ２件ずつ、合計で４件の、深刻度の高いメモリ・バグが修正されている。Chrome のアップデートでは、Media における解放後メモリ使用の脆弱性 CVE-2025-5958 と、V8 JavaScript エンジンのタイプ・コンヒュージョンの脆弱性 CVE-2025-5959 が修正されている。どちらも、外部の研究者により報告されたものである。

Mozilla Firefox 139.0.1 がリリース：NVIDIA GPU における描画異常を修正

Mozilla releases Firefox 139.0.1 update to fix artifacts on Nvidia GPUs

2025/05/29 BleepingComputer — Mozilla が公表した Firefox 139.0.1 を緊急アップデートは、NVIDIA GPU を搭載した PC 環境において、グラフィックのアーティファクトが発生する不具合に対応するものだ。この不具合は、5月27日にリリースされた Firefox 139 において発生しており、Web 閲覧中の描画異常が報告されていた。

Mozilla Firefox のゼロデイ脆弱性 CVE-2025-4918／4919 が FIX：Pwn2Own Berlin 2025 で公表

Mozilla fixes Firefox zero-days exploited at hacking contest

2025/05/19 BleepingComputer — Mozilla が公表したのは、先日に開催された Pwn2Own Berlin 2025 ハッキング・コンテストで実証された、Firefox の２件のゼロデイ脆弱性に対処するための、緊急セキュリティ・アップデートのリリースである。これらの修正の対象には、Firefox の Desktop／Android および、２つの Extended Support Releases (ESR) が含まれる。これらの脆弱性が報告された、5月17日 (土) の Pwn2Own から、わずか数時間後に修正版はリリースされている。

Firefox の脆弱性 CVE-2025-3608 が FIX：競合状態によるメモリ破壊のリスク

Firefox Fixes High-Severity Vulnerability Causing Memory Corruption via Race Condition

2025/04/16 gbhackers — Mozilla が発表したのは、攻撃者に対してメモリ破損の悪用を許す可能性のある、深刻度の高いセキュリティ脆弱性を修正する Firefox 137.0.2 のリリースである。この修正は、Mozilla Foundation セキュリティ・アドバイザリ 2025-25 に記載されているように、Mozillaファジング・チームによる、脆弱性の発見と報告を受けて行われたものである。

Firefox のサンドボックス・エスケープの脆弱性 CVE-2025-2857 が FIX：Chrome の問題に類似？

Mozilla warns Windows users of critical Firefox sandbox escape flaw

2025/03/27 BleepingComputer — Mozilla がリリースした Firefox 136.0.4 は、Windows システム上の Web ブラウザのサンドボックスにおいて、攻撃者にエスケープを許す深刻なセキュリティ欠陥を修正するものだ。Mozilla 開発者の Andrew McCreight は、「この脆弱性 CVE-2025-2857 は、誤ったハンドルによるサンドボックス・エスケープの可能性を示すものだ」と説明している。

Firefox ユーザーに警告：3月14日に期限切れになるルート証明書という問題について

WARNING: Expiring Root Certificate May Disable Firefox Add-Ons, Security Features, and DRM Playback

2025/03/13 TheHackerNews — Mozilla はユーザーに対して、ルート証明書の期限切れによる、アドオン使用での問題の発生を回避するための、最新バージョンによる Firefox インスタンスのアップデートを呼びかけている。Mozilla は、「Firefox などの Mozilla プロジェクトにおいて、署名済みコンテンツとアドオンの検証に使用されるルート証明書が、2025年3月14日に期限切れになる」と述べている。

Firefox における Manifest V2 のサポート継続：Chrome とは異なる道を進んでいく

Firefox continues Manifest V2 support as Chrome disables MV2 ad-blockers

2025/02/25 BleepingComputer — Mozilla の新たな約束は、Manifest V3 と並行した Manifest V2 エクステンションのサポートの継続であり、ブラウザ上での自由な選択をユーザーに提供するものである。

ValleyRAT マルウェアの新種を検出：感染ベクターは偽の Chrome ダウンロード

New ValleyRAT Malware Variant Spreading via Fake Chrome Downloads

2025/02/04 HackRead — ValleyRAT マルウェアの新しいバージョンが、Morphisec Threat Lab のサイバーセキュリティ研究者たちにより発見された。ValleyRAT は、悪名高い Silver Fox APT グループに関連する多段階のマルウェアであり、フィッシング・メール／インスタント・メッセージ／侵害済み Web サイトなどの、さまざまなチャネルを通じて配布されている。

Windows Task Scheduler のゼロデイ CVE-2024-49039：PoC の公開と RomCom による悪用

Zero-Day Exploit Code Released for Windows Task Scheduler Flaw (CVE-2024-49039), Actively Exploited by RomCom Group

2024/12/02 SecurityOnline — Windows タスク・スケジューラに存在する、ゼロデイ脆弱性 CVE-2024-49039 (CVSS：8.8) に対する PoC エクスプロイト・コードが公開され、攻撃の増加が懸念されている。この脆弱性の悪用に成功した攻撃者は、特権を昇格させ、より高い整合性レベルでコードを実行することが可能になる。

Google は Chrome 事業を売却すべきだ：米司法省が唱える反トラスト訴訟とは？

DOJ Proposes Breaking Up Google: Calls for Sale of Chrome Browser

2024/11/21 HackRead — Google に対する反トラスト訴訟において DOJ は、Chromeブラウザの売却および、検索処理の制限、そして、独占を制限するための事業再編などの、厳しい提案を行っている。米国司法省 (DOJ) は、Google に対する反トラスト訴訟の一環として、同社の事業構造とインターネットにおける役割を完全に変えると思われる、きわめて大きな変革を提案している。

CISA KEV 警告 24/10/15：Windows／Firefox／SolarWinds の脆弱性を登録

CISA Warns Actively Exploited Vulnerabilities, Including Windows Kernel Flaw and Firefox Zero-Day

2024/10/15 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発したのは、Microsoft Windows／Mozilla Firefox／SolarWinds Web Help Desk などに影響を及ぼし、現在も悪用されている３件の脆弱性についての緊急警告である。これらの脆弱性について、CISA は Known Exploited Vulnerabilities (KEV) に登録したことで、直ちにパッチを適用することの重要性が強調されることになった。

Mozilla Firefox ゼロデイ脆弱性 CVE-2024-9680 が FIX：積極的な悪用を観測

Mozilla fixes Firefox zero-day actively exploited in attacks

2024/10/09 BleepingComputer — Mozilla が公表したのは、現時点で攻撃に悪用されている、Firefox の深刻な use-after-free の脆弱性に対処するための、緊急セキュリティ・アップデートのリリースである。この脆弱性 CVE-2024-9680 は、Animations タイムラインにおける use-after-free に起因するものであり、ESET の研究者 Damien Schaeffer により発見されている。このタイプの欠陥は、解放されたメモリがプログラムにより使用される前に発生し、メモリ領域への悪意のデータの注入とコード実行を、攻撃者に許すものである。

Firefox における静かな変更：プライバシーの懸念から Adjust を削除

Firefox Klar’s Quiet Change: Adjust Removed Amidst Privacy Concerns

2024/08/26 SecurityOnline — Firefox／Firefox Klar (Firefox Focus) の Android／iOS 版から、Adjust との統合を削除したと Mozilla が公表した。Adjust SDK とは、マーケティング・キャンペーンの効果を測定するために用いられ、広告の展開後に Firefox がインストールされたかどうかを、Mozilla が判断するのに役立ってきた。そして、分析用のデータは、ドイツの Adjust サーバから収集されていた。

Web ブラウザの脆弱性 0.0.0.0 Day：18年前から MacOS／Linux に影響を与えていた？

0.0.0.0 Day: 18-Year-Old Browser Vulnerability Impacts MacOS and Linux Devices

2024/08/08 TheHackerNews — 悪意の Web サイトが全ての主要な Web ブラウザに影響を与える、新しい脆弱性 “0.0.0.0 Day” が、サイバーセキュリティ研究者たちにより発見された。この脆弱性には、ローカル・ネットワークへの侵入に悪用さえる可能性のあるという。Oligo Security の研究者である Avi Lumelsky は、この脆弱性について、「ブラウザがネットワーク・リクエストを処理する方法における、根本的な欠陥を露呈している。この脆弱性の悪用に成功した攻撃者は、ローカル・デバイス上で実行されている、機密性の高いサービスにアクセスする可能性を得る」と述べている。

Okta Browser Plugin の脆弱性 CVE-2024-0981 が FIX：XSS の恐れ

Okta Patches Cross-Site Scripting Flaw (CVE-2024-0981) in Browser Plugin

2024/07/22 SecurityOnline — 先日に Okta が公開したのは、同社のブラウザ・プラグインに存在する、深刻度の高い XSS の脆弱性 CVE-2024-0981 に対するパッチである。この脆弱性は、Chrome／Edge／Firefox／Safari 用の、Okta Browser Plugin バージョン 6.5.0 ～ 6.31.0 に影響を及ぼし、攻撃者に対して機密情報の取得を許す可能性が生じる。

Google の発表：Chrome サードパーティ・クッキー排除の撤回と言訳とは？

Google rolls back decision to kill third-party cookies in Chrome

2024/07/22 BleepingComputer — Google が発表したのは、Chrome のサードパーティ・クッキーを廃止する計画を撤回し、その代わりとして、これらのクッキーの使用方法をユーザーが制限できる、新たなブラウザ・エクスペリエンスを導入するという方針である。サードパーティー・クッキーとは、訪問中の Web サイト以外からユーザーの Web ブラウザに保存されるデータを指し、通常は、トラッキング・スクリプトや広告によりドロップされるものだ。これらのクッキーによって、同じサードパーティ・ドメインからのコードを利用する、他のサイトからのユーザー追跡も可能になるため、広告主はユーザーの閲覧習慣や興味を知ることができる。

Fabasoft PDF.js ライブラリの脆弱性 CVE-2024-4367 が FIX：PoC エクスプロイトが提供

Fabasoft Tackles PDF.js Vulnerability (CVE-2024-4367), Safeguarding eGovernment and Enterprise Search Solutions

2024/07/13 SecurityOnline — Fabasoft が発表したのは、人気の PDF.js ライブラリに存在する、深刻度の高い脆弱性 CVE-2024-4367 に対処するセキュリティ・アドバイザリである。Codean Labs により発見された、この脆弱性の悪用に成功した攻撃者は、悪意の PDF ファイルをユーザーが開いたときに、その Web ブラウザ内で任意の JavaScript コードを実行する可能性を得る。

YubiKey Manager の脆弱性 CVE-2024-31498 が FIX：管理者権限がブラウザに継承される危険性

YubiKey Manager Flaw (CVE-2024-31498): Patch Now To Prevent Admin Privilege Escalation on Windows

2024/04/04 SecurityOnline — Yubico が公開したのは、GUI ソフトウェア YubiKey Manager に存在する脆弱性に対する、セキュリティ・アドバイザリおよびパッチ (バージョン 1.2.6) である。この脆弱性 CVE-2024-31498 (CVSS：7.7) を、特定の条件下で悪用する攻撃者は、Windowsシステム上で昇格した特権を悪用する可能性を持つ。

Google が数十億件のデータ破棄に合意：Chrome を介した不誠実な情報収集が結審

Google Agreed To Erase Billions Of Browser Records To Settle A Class Action Lawsuit

2024/04/02 SecurityAffairs — Google は、利用者からの集団訴訟に対して、”Incognito Mode” で収集された数十億件のユーザー閲覧行動などの、データを削除することに合意した。この、法律事務所 Boies Schiller Flexner が 2020年に起こした集団訴訟は、Google が Chrome ユーザーに Incognito Mode ではオンライン活動が追跡されないと欺き、同社がユーザーの知らないうちに、あるいは明示的な同意なしに、ユーザーの閲覧データを収集していたとしている。

Google Chrome のゼロデイ CVE-2024-2887／2886 が FIX：Pwn2Own 2024 で悪用が証明された

Google fixes Chrome zero-days exploited at Pwn2Own 2024

2024/03/27 BleepingComputer — 3月26日 (火) に Google は、Chrome Web ブラウザに存在する７件のセキュリティ脆弱性を修正した。そのうちの２件は、Pwn2Own Vancouver 2024 ハッキング大会で悪用が証明されたゼロデイ脆弱性である。１つ目の脆弱性 CVE-2024-2887 は、WebAssembly (Wasm) オープン・スタンダードにおける深刻度の高いタイプ・コンヒュージョンの脆弱性である。Pwn2Own の初日に Manfred Paul は、細工した HTML ページを用いて、Chrome／Edge をターゲットにする、ダブルタップによるリモートコード実行 (RCE) エクスプロイトの一部として、この脆弱性をデモした。

Mozilla Firefox の２つのゼロデイが FIX：Pwn2Own Vancouver 2024 の成果だ！

Mozilla fixes two Firefox zero-day bugs exploited at Pwn2Own

2024/03/22 BleepingComputer — ハッキング・コンテスト Pwn2Own Vancouver 2024 で悪用が実証された、Firefox Web ブラウザに存在する２つのゼロデイ脆弱性に対するセキュリティ・アップデートが、Mozilla からリリースされた。１つ目の脆弱性 CVE-2024-29944 は、境界外 (OOB) 書き込みに起因する、リモート・コード実行につながるものだ。２つ目の脆弱性 CVE-2024-29943 は、危険な関数の利用から、Mozilla Firefox のサンドボックス・エスケープにつながるものだ。この脆弱性を証明した Manfred Paul (@_manfp) は、賞金 $100,000 と、Master of Pwn 10 ポイントを獲得した。

Firefox／Thunderbird の６件の脆弱性が FIX：今すぐアップデートを！

CVE-2024-2615: Update Firefox Now! Zero-Click Attacks Possible

2024/03/19 SecurityOnline ‐‐‐ Mozilla は、Firefox (Firefox 124／Firefox ESR 115.9) と Thunderbird (115.9) の、緊急セキュリティ・アップデートをリリースした。今回のアップデートで修正されたのは、深刻なリモート・コード実行の脆弱性のほか、システムのサンドボックス・エスケープ／システムのクラッシュ／データの窃取／設定の操作などを、攻撃者にゆるす可能性がある、危険性の高い複数の脆弱性だ。

Chrome サードパーティ Cookie の段階的な廃止が始まる：あなたはテストの対象？

Check if you’re in Google Chrome’s third-party cookie phaseout test

2024/02/03 BleepingComputer — Google Chrome のサードパーティ Cookie の、段階的な廃止のテストが開始された。このテストは、ユーザーの約１％にあたる、約 3,000万人を対象に実施されるという。この記事では、自分がテストの対象に該当するかどうかを、確認する方法を紹介する。サードパーティ Cookie とは、ターゲット広告のために、さまざまな Web サイトでのユーザーの閲覧習慣を追跡するものだが、Google の Privacy Sandbox API へと、徐々に置き換えられている。Privacy Sandbox API とは、ユーザーのプライバシーを損なうことなく、ユーザーの興味に基づき、パーソナライズされた広告表示を行うことを目的としている。

Enterprise Browser Buyer’s Guide：企業にとって重要な視点を提供する

The Definitive Enterprise Browser Buyer’s Guide

2024/01/02 TheHackerNews — 現代の企業環境において、Web ブラウザは重要な役割を担っている。したがって、その管理／保護の方法の再評価が必要であると、セキュリティ関係者たちは認識し始めている。Web に起因するリスクは、エンドポイント／ネットワーク／クラウドなどの各ソリューションの、パッチワークのようなもので対処されてきたが、それらのソリューションが個別に提供する部分的な保護では、もはや不十分であることが明らかだ。

Firefox 121 のリリースで 13件の脆弱性を FIX：リモートコード実行にいたる可能性

Mozilla Patches Firefox Vulnerability Allowing Remote Code Execution, Sandbox Escape

2023/12/20 SecurityWeek — 12月19日 (火) に Mozilla は、Firefox と Thunderbirdのセキュリティアップデートを発表した。Firefox 121 では、18件の脆弱性に対するパッチがリリースされている。その脆弱性リストのトップは CVE-2023-6856 であり、ブラウザ内でインタラクティブなグラフィックスをレンダリングするための、JavaScript API である WebGL におけるヒープバッファ・オーバーフローのバグだとされている。

Google Chrome ゼロデイ脆弱性 CVE-2023-7024 が FIX：WebRTC フレームワークの欠陥

Google fixes 8th Chrome zero-day exploited in attacks this year

2023/12/20 BleepingComputer — Google Chrome のゼロデイ脆弱性を修正するための、緊急アップデートが公開された。Google は、「脆弱性 CVE-2023-7024 が、野放し状態で悪用されていることを認識している」と述べている。このゼロデイバグが Google に報告された翌日に、世界中の Stable Desktop チャンネル・ユーザー向けに修正版が提供された。Windows 版の 120.0.6099.129/130 と、Mac／Linux 版の120.0.6099.129 が、パッチ適用済のバージョンである。

Chrome Privacy Sandbox の新機能 Tracking Protection：2024年1月からテストが開始

Google’s New Tracking Protection in Chrome Blocks Third-Party Cookies

2023/12/15 TheHackerNews — Google が 12月14日に発表したのは、Web ブラウザのサードパーティ・クッキーレス対策の一環としての、新たな機能である “Tracking Protection” のテストの開始である。このテストは、Chrome ユーザーの１％を対象にして、2024年1月4日から開始される予定だという。

Chrome／Edge／Firefox の偽アップデート：狡猾な手口で誘う ClearFake マルウェア

Researchers warn of increased malware delivery via fake browser updates

2023/10/17 HelpNetSecurity — 最近になって文書化された ClearFake は、侵害した WordPress サイトを利用して、悪意の偽 Web ブラウザ・アップデートをプッシュするものである。この活動は、SocGholish のマルウェア配信キャンペーンを操る、脅威グループにより運営されている可能性が高いと、Sekoia の研究者たちは結論づけている。

Amazon が Passkeys をサポート開始：パスワードレス・ログインの選択肢として

Amazon adds passkey support as new passwordless login option

2023/10/17 BleepingComputer — Amazon が静かに追加したのは、顧客向けの新しいパスワードレス・ログインの選択肢としての Passkeys のサポートであり、それにより、情報を盗み出すマルウェアやフィッシングに対する保護が強化されることになった。Passkeys とは、携帯電話／コンピューター／USBセキュリティキーなどのデバイスにリンクされた、生体認証や暗証番号を使った Web サイトへのログインを可能にするデジタル認証情報のことだ。

Microsoft が libwebp／libvpx の脆弱性に対応：Edge／Teams などを緊急アップデート

Microsoft Edge, Teams get fixes for zero-days in open-source libraries

2023/10/03 BleepingComputer — Microsoft は、Edge／Teams／Skype 向けの緊急セキュリティ更新プログラムをリリースし、それらの３製品で使用されている OSS ライブラリに存在する、２件ゼロデイ脆弱性を修正した。１つ目の脆弱性 CVE-2023-4863 は、WebP コード・ライブラリ (libwebp) のヒープバッファ・オーバーフローに起因するものであり、悪用されるとクラッシュや任意のコード実行にいたる恐れがある。２つ目の脆弱性 CVE-2023-5217 は、libvpx ビデオコーデック・ライブラリの VP8 エンコーディング機能に存在するヒープバッファ・オーバーフローに起因するものであり、悪用されるとアプリ・クラッシュや任意のコード実行にいたる。

Firefox／Thunderbird のゼロデイ脆弱性 CVE-2023-4863 が FIX：WebP ライブラリの問題

Mozilla patches Firefox, Thunderbird against zero-day exploited in attacks

2023/09/12 BleepingComputer — 今日、Mozilla は、Firefox と Thunderbird に影響を及ぼし、野放し状態で悪用されている深刻なゼロデイ脆弱性を修正するために、緊急セキュリティ・アップデートをリリースした。この脆弱性 CVE-2023-4863 は、WebP コード・ライブラリ (libwebp) のヒープバッファ・オーバーフローに起因するものであり、その影響はクラッシュから任意のコード実行にまで及ぶという。

OfficeNote アプリを装う XLoader：野放し状態で macOS ユーザーを攻撃中

Bogus OfficeNote app delivers XLoader macOS malware

2023/08/23 HelpNetSecurity — 既知のマルウェアである XLoader の macOS 対応の亜種が、”OfficeNote” アプリを装いながら配信されている。SentinelOne の研究者たちは、「XLoader マルウェアのサンプルは、７月を通じて VirusTotal に投稿され続けており、野放し状態で広範に配布されていることが示される」と述べている。2015年から活動している XLoader は Malware-as-a-Service 型の情報スティーラー／ボットネットであり、2021年に Java で書かれた macOS 亜種が登場した。

Google が提案する WEI API：大反対する Vivaldi／Brave／Firefox などの言い分は？

Browser developers push back on Google’s “web DRM” WEI API

2023/07/29 BleepingComputer — Google が Chrome に対して、WEI (Web Environment Integrity) API を導入するという計画は、ユーザーの自由を制限し、オープン Web の基本原則を損なうものだと、インターネット・ソフトウェア開発者から激しい反発を受けている。Vivaldi／Brave／Firefox の従業員たちは、この Google が提案する標準に対して強い反対の姿勢を示しており、Web サイトの DRM (デジタル著作権管理) とまで言う人もいる。

Exchange サーバを C2 サーバとして悪用：Turla の DeliveryCheck マルウェアに注意

Microsoft: Hackers turn Exchange servers into malware control centers

3023/07/19 BleepingComputer — Microsoft と Ukraine CERT (CERT-UA) は、ロシア政府に支援されたハッキング・グループ Turla による新たな攻撃について警告している。この新たな “DeliveryCheck” マルウェアは、バックドアを用いて防衛産業と Microsoft Exchange サーバを標的としている。Turla (別名 Secret Blizzard／KRYPTON／UAC-0003) とは、ロシア連邦保安庁 (FSB) につながる、高度持続的脅威行為者 (APT) だと考えられている。このサイバー・スパイは、Operation MEDUSA という名の国際的な法執行活動により破壊された、サイバー・スパイ・マルウェア・ボットネット Snake を含め、長年にわたる欧米への攻撃に関与してきた。

RedEnergy という Stealer-as-a-Ransomware：ブラジルとフィリピンのインフラを攻撃している

RedEnergy Stealer-as-a-Ransomware Threat Targeting Energy and Telecom Sectors

2023/07/05 TheHackerNews — RedEnergy と名付けられた高度なランサムウェアの脅威が、ブラジルとフィリピンの公共／電力／石油／ガス／テレコム／機械などの部門を標的として、LinkedIn のページを介した野放し状態での攻撃を行っていることが発見された。Zscaler の研究者である Shatak Jain と Gurkirat Singh は、「このマルウェアは各種のブラウザから情報を盗み出す能力を持ち、機密データの流出を可能にすると同時に、ランサムウェア活動を実行するための、さまざまなモジュールを組み込んでいる」と、最近の分析結果を説明している。研究者たちは、被害者に最大限の損害を与えることを目的として、データ窃盗と暗号化を組み合わせていると指摘している。

Brave Browser の新機能：ローカル・リソース制限でプライバシー保護を強化

Brave Browser boosts privacy with new local resources restrictions

2023/06/28 BleepingComputer — Brave の開発チームは、そのプライバシー重視のブラウザに対して、新しい制限コントロールを近々導入すると発表した。この新機能により、ローカル・ネットワーク・リソースにアクセスできるサイトの期間を、ユーザーが設定できるようになる。ローカルにホストされたリソースには、ユーザーのデバイス上において、Web プログラムが使用する画像やファイルが含まれる。その他のローカル・リソースには、NAS インスタンス／ローカルにホストされたサーバ／共有ネットワーク・プリンター・ファイル／共有ネットワーク・デバイス／共有コンピューター・データなどがある。

Google の Passkey：すべてのアカウントで安全なパスワードレス・サインインを実現

Google adds passkeys support for passwordless sign-in on all accounts

2023/05/03 BleepingComputer — Google は、すべてのサービスとプラットフォームにおいて、Passkey for Google Accounts のサポートを展開している。それにより、ユーザーはログイン時に、パスワードの入力や、2-Step Verification (2SV) に頼ること無く、Google アカウントにサインインできるようになる。Google の Product Managers である Christiaan Brand と Sriram Karra は、「私たちは、すべての主要なプラットフォームで、Google アカウント全体に対する Passkey のサポートを開始した。これにより、ユーザーは Google サービス全体で Passkey を活用し、パスワード不要のサインイン・エクスペリエンスを実現できるようになった」と述べている。

hVNC は高スティルス性のマルウェア：ロシアの犯罪グループ Lobshot が API を介して悪用

New ‘Lobshot’ hVNC Malware Used by Russian Cybercriminals

2023/05/01 SecurityWeek — ロシアのサイバー犯罪グループ TA505 が、最近の攻撃で新たな hVNC (Hidden Virtual Network Computing) マルウェアを使用していると、脅威情報会社 Elastic が報告している。この、Lobshot と呼ばれるマルウェアは、不正検知エンジンを回避し、感染させたマシンに対して、攻撃者によるステルス・アクセスを可能にする。その攻撃は、Google 広告や偽サイトのネットワークを悪用して、ユーザーを騙すところから始まる。そして、バックドアを含む正規のインストーラをダウンロードさせる、マルバタイジングにより配布されていく。

ViperSoftX 情報スティーラー：KeePass／1Password も標的にする最凶のマルウェアとは？

ViperSoftX info-stealing malware now targets password managers

2023/04/28 BleepingComputer — 情報窃取型マルウェア ViperSoftX の新バージョンが発見され、パスワード・マネージャーである KeePass や 1Password などに狙いを定めるという、より幅広いターゲットにアプローチしていることが判明した。Trend Micro の研究者たちからの報告によると、ViperSoftX は以前よりも多数の暗号通貨ウォレットをターゲットにして、Chrome 以外のブラウザにも感染が可能となり、さらには、パスワード・マネージャーもターゲットにし始めているようだ。さらに言うなら、この情報窃取型マルウェアの最新バージョンは、コード暗号化を強化し、セキュリティ・ソフトウェアによる検出を回避する機能を備えている。

CatB ランサムウェアの検出回避テクニック：DLL 検索順序ハイジャックとは？

Researchers Shed Light on CatB Ransomware’s Evasion Techniques

2023/03/20 TheHackerNews — CatB ランサムウェアのオペレーターは、検出を回避してペイロードを起動するために、DLL 検索順序ハイジャックと呼ばれる攻撃手法を使用していると確認されている。2022年末に出現した CatB99／Baxtoy とも呼ばれる CatB だが、Pandora という別のランサムウェア株の “進化形または直接的なリブランド” だと言われるのは、コード・レベルの類似性に関する分析が進んだ結果である。Pandora を使用してきたのは、Bronze Starlight (別名 DEV-0401／Emperor Dragonfly) だとされている。中国に拠点を置く、この脅威アクターは、真の目的を隠すために、短命のランサムウェア・ファミリーを採用することで知られている。