GitHub – Page 2 – IoT OT Security News

GitHub Enterprise Server の脆弱性 CVE-2024-6800 (CVSS 9.5) などが FIX：直ちにパッチ適用を！

CVE-2024-6800 (CVSS 9.5): Critical GitHub Enterprise Server Flaw Patched, Admin Access at Risk

2024/08/20 SecurityOnline — 先日に GitHub が公表したのは、GitHub Enterprise Server (GHES) に存在する、複数のセキュリティ脆弱性に関するアドバイザリである。それらの脆弱性 CVE-2024-6800／CVE-2024-6337／CVE-2024-7711 については、最新のセキュリティ・パッチにおいて、すでに対処されている。

Windows の深刻な脆弱性 CVE-2024-38063：GitHub 上の偽 PoC エクスプロイトに御用心

Beware of Fake PoC Exploits for 0-Click RCE CVE-2024-38063 on GitHub

2024/08/18 SecurityOnline — Windows システムに影響を及ぼす深刻な脆弱性 CVE-2024-38063 に対して、いくつかの偽の PoC エクスプロイト・コードが公開されていることを、セキュリティ研究者たちが発見している。それらの、GitHub に登場した詐欺エクスプロイトは、誤解を招くだけではなく、マルウェアを配布する手段として悪用されている。Windows 10／11／Server の脆弱性 CVE-2024-38063 は、Kunlun Lab の XiaoWei により発見されたものであり、深刻度は CVSS 値で 9.8 と評価されている。この脆弱性は、整数アンダーフローの欠陥に起因しており、それを悪用する攻撃者により、バッファ・オーバーフローが引き起こされ、任意のコード実行にいたる可能性を持つ。

GitHub の新たな攻撃ベクター：Google／Microsoft／AWS などのプロジェクトをクラック – Unit 42 調査

GitHub Attack Vector Cracks Open Google, Microsoft, AWS Projects

2024/08/14 DarkReading — Google／Microsoft／Amazon Web Services などが所有する、GitHub オープンソース・プロジェクトに影響を与える攻撃ベクターが、Palo Alto Networks の Unit 42 により発見された。Unit 42 の主任研究者である Yaron Avital は、グローバル企業が所有する知名度の高いオープンソース・プロジェクトに対しても、この攻撃は有効であると言う。それらのプロジェクトが侵害されると、何百万もの消費者に影響を及ぶ可能性があると、 8月13日に発表されたブログで、彼は述べている。

暴露された API キーの問題：35％が有効な状態を保持していた – Nightfall 調査

35% of exposed API keys still active, posing major security risks

2024/08/13 HelpNetSecurity — パスワードや API キーなどの機密情報の流出先だが、最も多かったサイトは GitHub のようだ。また、そのペースとしては、従業員 100人あたり毎年 350件近くの暴露にいたっているという。このような実態が、Nightfall AI の調査結果である 2024 State of Secrets Report により明らかにされた。

ServiceNow の脆弱性 CVE-2024-4879：PoC を利用する脅威アクターたちの標的に！

Critical ServiceNow RCE flaws actively exploited to steal credentials

2024/07/25 BleepingComputer — ServiceNow の公開されているエクスプロイトを悪用して連鎖させ、政府機関や民間企業に侵入してデータを盗む攻撃を、脅威アクターたちが展開している。この悪質な活動は Resecurity により報告され、１週間の監視期間を経た結果、政府機関／データセンター／エネルギー／プロバイダー／ソフトウェア開発企業など、複数の被害者が存在することが特定された。2024年7月10日に ServiceNow から、この脆弱性に対するセキュリティ・アップデートがリリースされたが、数万台のシステムが攻撃に対して、潜在的に脆弱な状況を引きずっている。

GitHub 上の 3,000以上の偽アカウントで構成される DaaS：マルウェア配布で成功している

Over 3,000 GitHub accounts used by malware distribution service

2024/07/24 BleepingComputer — Stargazer Goblin として知られる脅威アクターが作成したのは、GitHub 上の 3,000以上の偽アカウントで構成される Distribution-as-a-Service (DaaS) であり、そこから情報スティーラー・マルウェアをプッシュしているという。このマルウェア配信サービスは Stargazers Ghost Network と呼ばれ、GitHub リポジトリと侵害済みの WordPress サイトを利用して、パスワード保護されたアーカイブを配布するが、その中にマルウェアが含まれている。ほとんどのケースにおいて、そこから配布されるマルウェアは、RedLine／Lumma Stealer／Rhadamanthys／RisePro／Atlantida Stealer などのインフォ・スティーラーである。

node-ip の GitHub リポジトリが凍結された：開発者が指摘する CVE 発行フローの問題点とは？

Dev rejects CVE severity, makes his GitHub repo read-only

2024/06/30 BleepingComputer — 人気のオープンソース・プロジェクト node-ip の GitHub リポジトリが、その開発者の手により、先日にアーカイブ (読み取り専用) 状態になってしまった。その背景にあるのは、今年の始めに node-ip に対する CVE が提出されたことで、開発者である Fedor Indutny に対して、インターネット上のユーザーからの脆弱性の指摘が集中したことである。残念なことに、今回のケースは、彼に限った出来事ではない。このところ、オープンソースの開発者たちの間で急増しているには、自分のプロジェクトに対して提出された、議論の余地のある CVE レポートや、十分な確認もなしに提出された全くのインチキ CVE レポートを受け取るケースである。

JetBrains のトークン漏えいの脆弱性 CVE-2024-37051：PoC が公開された

CVE-2024-37051: Critical JetBrains Flaw Exposes GitHub Tokens in IntelliJ IDEs, PoC Published

2024/06/12 SecurityOnline — IDE (IntelliJ integrated development) アプリである、IntelliJ に存在する脆弱性 CVE-2024-37051 (CVSS：9.3) の詳細情報と PoC (Proof-of-Concept) エクスプロイト・コードが公開された。この脆弱性は GitHub のアクセス・トークンを流出させる可能性を持ち、JetBrains GitHub プラグインが有効化されている、バージョン 2023.1 以降の全ての IntelliJ ベースの IDE に影響するものだ。

JetBrains の脆弱性 CVE-2024-37051 が FIX：IDE ユーザーの GitHub アクセストークンが漏洩の恐れ

Users of JetBrains IDEs at risk of GitHub access token compromise (CVE-2024-37051)

2024/06/11 HelpNetSecurity —- GitHub のアクセス・トークン侵害により、JetBrains IDE (integrated development environments) のユーザーが危険に晒される可能性のある、深刻な脆弱性 CVE-2024-37051 が修正された。JetBrains は、各種のプログラミング言語用の、IDE を提供しているベンダーである。

GitHub のノーティフィケーションを介したフィッシング：悪意の oAuth アプリ・プッシュには要注意

Gitloker attacks abuse GitHub notifications to push malicious oAuth apps

2024/06/10 BleepingComputer — フィッシング攻撃を介して GitHub のセキュリティ／リクルート・チームになりすまし、悪意の OAuth アプリを用いてリポジトリを乗っ取り、侵害したリポジトリを消去すると脅すキャンペーンが現在進行中だという。遅くとも 2024年2月以降において、このキャンペーンで標的とされた数十人の開発者が、侵害された GitHub アカウントを用いて、ランダムなリポジトリの課題や、プルリクエストに追加されたスパム・コメントにタグ付けされた後に、”notifications@github.com” から偽の求人や警告のメールを受け取っているようだ。

New York Times のソースコードが盗まれた：GitHub トークンの悪用からリポジトリ侵害にいたる

New York Times source code stolen using exposed GitHub token

2024/06/08 BleepingComputer — The New York Times 内部のソースコードとデータが、同社の GitHub リポジトリから盗まれたのは 2024年1月のことだが、それらが 4chan 掲示板に流出した。New York Times から盗まれた 273GB のデータ含むアーカイブが、匿名のユーザーにより投稿されたの 6月6日 (木) のことであり、最初に発見したのは VX-Underground だった。

PHP の深刻な脆弱性 CVE-2024-4577：PoC エクスプロイトが公開

Researchers Detail Critical PHP Flaw CVE-2024-4577 with PoC Exploit Code

2024/06/07 SecurityOnline — PHP に存在する深刻な脆弱性 CVE-2024-4577 の、技術的詳細と PoC エクスプロイトが、watchTowr のサイバー・セキュリティ研究者たちにより公開された。この、Orange Tsai が発見した脆弱性は、特定の条件下でリモート・コード実行 (RCE) につながる可能性があり、その影響は、Web サーバの迅速なセットアップで広く使用されている、ソフトウェア・パッケージ XAMPP にも及ぶという。

GitHub Enterprise の深刻な脆弱性 CVE-2024-4985 (CVSS：10.0) が FIX：SAML SSO の利用に注意！

Critical GitHub Enterprise Server Flaw Allows Authentication Bypass

2024/05/21 TheHackerNews — GitHub Enterprise Server (GHES) に存在する、きわめて深刻な脆弱性を悪用する攻撃者により、認証保護のバイパスが生じる可能性があるとして、GitHub は修正プログラムを配布している。この脆弱性 CVE-2024-4985 (CVSS：10.0) は、事前の認証を必要とせずに、インスタンスへの不正アクセスを許してしまう可能性を持つものだ。

Git の深刻な脆弱性 CVE-2024-32002 などが FIX：ただちにパッチを！

Git Patches Critical RCE Vulnerabilities – CVE-2024-32002 & CVE-2024-32004

2024/05/15 SecurityOnline — ソフトウェア開発の要である “Git” Project に発生した、リモート・コード実行の脆弱性 CVE-2024-32002／CVE-2024-32004 により、不正なデータ操作にさらされる可能性が生じている。すでに、アップデート版が提供されているため、可能な限り早急に対処してほしい。

node-mysql2 の脆弱性 CVE-2024-21508 などが FIX：PoC も公開！

Critical Vulnerabilities in Popular Database Library Expose Millions of Applications to Attack

2024/04/23 SecurityOnline — 無数の Web アプリケーションとバックエンド・システムの基盤である、JavaScript データベース・ライブラリ node-mysql2 に複数の脆弱性が存在することが、セキュリティ研究者たちにより発見された。これらの脆弱性は、CVE-2024-21508／CVE-2024-21509／CVE-2024-21511 として追跡されており、あらゆる業界の組織に対して、広範な影響を及ぼす可能性がある。

プロジェクト管理ツール Plane の脆弱性 CVE-2024-31461 が FIX：CVSS 値 9.1 の SSRF

CVE-2024-31461: Critical Vulnerability Found in Widely-Used Plane Project Management Software

2024/04/23 SecurityOnline — 世界中の何千もの組織で使用されている、人気のプロジェクト管理ツール Plane に深刻な脆弱性が発見された。この、サーバ・サイド・リクエスト・フォージェリ (SSRF) の脆弱性 CVE-2024-31461 (CVSS：9.1) を悪用する攻撃者は、脆弱なPlane インスタンスを実行しているサーバの制御を奪う可能性を持つ。

GitLab にも GitHub スタイルのコメント悪用の問題：マルウェアのホスティングが容易になる

GitLab affected by GitHub-style CDN flaw allowing malware hosting

2024/04/22 BleepingComputer — 先日に BleepingComputer は、GitHub の欠陥 (あるいは設計上の仕様) を悪用する脅威アクターが、Microsoft のリポジトリに関連付けられた URL を介して、信頼できるファイルを装いながら、マルウェアを配布していることを報告した。この問題は、GitLab に対しても影響を及ぼすものであり、同様の方法で悪用される可能性が生じることが判明した。このマルウェアに関連する活動の大半は、Microsoft GitHub の URL に基づくものだった。しかしこの “欠陥” は、GitHub や GitLab の、あらゆる公開リポジトリで悪用が可能であり、きわめて説得力のあるルアーを、脅威アクターたちは作成できるという。

Linux を標的とする OSS Pupy RAT：充実したポスト・エクスプロイト機能でアジアを狙う

Linux Systems Targeted: Open-Source Pupy RAT Exploited in Attacks Across Asia

2024/04/21 SecurityOnline — Pupy と呼ばれるパワフルな RAT (Remote Access Trojan) が、韓国を含むアジア全域の Linux システムを標的とした攻撃で積極的に武器化されている。AhnLab Security Emergency Response Center (ASEC) のセキュリティ研究者たちが、先日に発見したのは、Pupy の巧妙なオペレーションの存在であり、そこでは Decoy Dog という新たな亜種も用いられているという。

GitHub のコメント機能を悪用：Microsoft のリポジトリ URL 経由でマルウェア配布

GitHub comments abused to push malware via Microsoft repo URLs

2024/04/20 BleepingComputer — GitHub のバグ (あるいは設計上の仕様) を悪用する脅威アクターたちが、Microsoft のリポジトリに関連する URL を使って信頼できるファイルを装い、マルウェアを配布している。先日に発見されたマルウェアの多くは、Microsoft GitHub の URL を中心に活動していた。さらに、この “欠陥” の悪用は、GitHub 上のあらゆる公開リポジトリで応用できるため、きわめて説得力のあるルアーを、脅威アクターたちが作成するという可能性が生じている。

HashiCorp の go-getter ライブラリの脆弱性 CVE-2024-3817 が FIX：ただちにパッチを！

HashiCorp Patches Critical CVE-2024-3817 Vulnerability in go-getter Library

2024/04/17 SecurityOnline — 広く使用されている HashiCorp の go-getter ライブラリに存在する、深刻な脆弱性 CVE-2024-3817 に対する、緊急のセキュリティ・アドバイザリが発表された。この脆弱性の悪用に成功した攻撃者は、Git の操作中に悪意のコードを注入することが可能となり、影響を受けるライブラリを使用しているシステムに危険が生じることになる。

AWS／Google／Azure の CLI ツールの脆弱性：ビルド・ログから認証情報が漏えいする恐れ

AWS, Google, and Azure CLI Tools Could Leak Credentials in Build Logs

2024/04/16 TheHackerNews — Amazon Web Services (AWS) と Google Cloud の CLI (command-line interface) ツールを悪用することで、ビルド・ログに機密情報を漏えいさせ、組織に重大なリスクをもたらすという問題が、新たなサイバーセキュリティ調査で判明した。この脆弱性は、クラウドセキュリティ企業の Orca により、LeakyCLI と命名されている。

XZ Utils バックドア汚染：Rust Crate liblzma-sys 侵害から手口を辿ってみる

2024/04/12 TheHackerNews —XZ Utilsのバックドアに関連する “テストファイル” が、liblzma-sys という名の Rust crate に紛れ込んでいることが、Phylum の新たな調査で明らかになった。この liblzma-sys は、現時点において 21,000回以上もダウンロードされており、XZ Utils データ圧縮ソフトウェアの一部である、基礎ライブラリ liblzma 実装へのバインディングを、Rust 開発者に提供している。問題のバージョンは、0.3.2 である。

GitHub リポジトリ検索の悪用：マルウェア拡散の温床になっている

Threat Actors Game GitHub Search to Spread Malware

2024/04/11 InfoSecurity — 脅威アクターたちは、悪意のコードが隠された GitHub リポジトリを、多大な労力を費やして拡散していると、Checkmarx が警告している。最近に発見されたキャンペーンでは、これらのリポジトリが GitHub の検索結果の上位に表示されるよう設計された、テクニックが展開されていたという。

XZ Utils for Linux に仕込まれた悪意のコード：RCE を引き起こすという調査結果

Malicious Code in XZ Utils for Linux Systems Enables Remote Code Execution

2024/04/02 TheHackerNews — 主要 Linux ディストリビューションで広範に使用されている、OSS ライブラリ XZ Utils に挿入された悪意のコードは、リモートからのコード実行も可能であることが、新たな分析により明らかになった。脆弱性 CVE-2024-3094 (CVSS：10.0) を悪用する大胆なサプライチェーン侵害は、Microsoft のエンジニアであり、PostgreSQL の開発者でもある Andres Freund が、先週に警告したものである。このデータ圧縮ユーティリティにバックドアが存在するため、リモートの攻撃者がセキュア・シェル認証を回避し、影響を受けたシステムへの完全なアクセスを提供することが明らかになっている。

GitHub のサプライチェーン攻撃：Top.gg アカウントを悪用してマルウェアを展開

GitHub Developers Hit in Complex Supply Chain Cyberattack

2024/03/25 DarkReading — 正体不明の脅威グループが、Top.gg の GitHub のメンバーや開発者たちに対して高度なサプライチェーン攻撃を展開し、このコード・エコシステムに悪意のコードを注入していることが明らかになった。攻撃者は、信頼されているソフトウェア開発要素に侵入することで、開発者たちを侵害していく。彼らは、盗んだクッキーで GitHub アカウントを乗っ取り、検証済みのコミットを通じて悪意のコードを投稿し、偽の Python ミラーを確立し、PyPI レジストリに汚染されたパッケージを公開する。

NIST の脆弱性データベースの凍結：その将来に投げかけられる疑問とは？

NIST’s Vuln Database Downshifts, Prompting Questions About Its Future

2024/03/22 DarkReading — 2005年から NVD (National Vulnerability Database) は、世界中のセキュリティ研究者が発見した膨大な CVE (Common Vulnerabilities and Exposures) に関する、詳細情報を掲載してきた。しかし、この政府が後援する、重要かつ不可欠なデータベースが、2024年2月以降においては、ほぼ無意味なツールと化している。

GitHub Advanced Security の新機能がリリース：AI を活用した脆弱性のパッチ適用支援

GitHub Launches AI-Powered Autofix Tool to Assist Devs in Patching Security Flaws

2024/03/21 TheHackerNews — 3月20日に GitHub が発表したのは、Advanced Security の全顧客を対象に、コードスキャン自動修正と呼ばれる機能を、パブリック・ベータ版として公開することである。GitHub の Pierre Tempel と Eric Tooley によると、「GitHub Copilot と CodeQL を搭載したコードスキャン自動修正機能は、JavaScript／TypeScript／Java／Python のアラート・タイプの 90％以上をカバーし、見つかった脆弱性の３分の２以上を、ほとんど編集せずに修正できるコード案を提供する」という。

“gitgub” というマルウェア・キャンペーン：GitHub ユーザーにRisePro インフォ・スティーラーを配布

“Gitgub” Malware Campaign Targets Github Users With Risepro Info-Stealer

2024/03/17 SecurityAffairs — RisePro インフォ・スティーラーを配信するように設計され、クラック済みのソフトウェアをホストする、少なくとも 13 の GitHub リポジトリを、G-Data の研究者たちが発見した。専門家たちが気づいたのは、このキャンペーンの運営者が、”gitgub” という名称を用いていたことだ。悪意の GitHub リポジトリに関する Arstechnica の情報を得て、研究者たちは調査を開始した。彼らは、このキャンペーンに関与しているリポジトリを特定するために、脅威ハンティング・ツールを作成した。その結果として判明したのは、すべてのリポジトリが同じダウンロード・リンクにつながるという、新たに作成されたリポジトリの存在である。

Kubernetes の RCE 脆弱性 CVE-2023-5528 が FIX：Windows ノードの乗っ取りにいたる？

Patch Now: Kubernetes RCE Flaw Allows Full Takeover of Windows Nodes

2024/03/14 DarkReading — 広く使用されている Kubernetes コンテナ管理システムの脆弱性により、Windows エンドポイント上の System 権限で、リモートの攻撃者からのコード実行が可能となり、Kubernetes クラスター内の全ての Windows ノードが、完全に乗っ取られる危険性が生じている。この不具合は Akamai のセキュリティ研究者 Tomer Peled が発見したものであり、CVE-2023-5528 (CVSS：7.2) として追跡されている。この脆弱性の悪用方法は、クラスタ上のポッド間でのデータ共有をサポートする Kubernetes ボリュームの操作と、ポッド・ライフサイクル外でのデータの永続的な保存にあると、3月13日に公開したブログで Tomer Peled は説明している。

2023年の GitHub：全体で 1200万件のシークレットが漏えいしてしまった

Over 12 million auth secrets and keys leaked on GitHub in 2023

2024/03/11 BleepingComputer — 2023年に GitHub ユーザーが、誤って公開してしまった認証や機密のシークレットは 1280万件に達し、それらは 300万以上の公開リポジトリ上に存在している。GitGuardian のサイバー・セキュリティ専門家たちによると、シークレットを暴露してしまった人々に　180万通の無料メール・アラートを送ったが、連絡を受けた人たちのうち、誤りを修正するために迅速に行動したのは、僅か 1.8% に過ぎなかったという。

GitHub パブリック・リポジトリのプッシュ保護機能：デフォルトでオンになった

GitHub push protection now on by default for public repositories

2024/03/04 HelpNetSecurity — GitHub のプッシュ保護機能が、すべての公開リポジトリでデフォルトで有効になった。このセキュリティ機能は、API キーやトークンなどの機密情報が、誤ってオンラインに流出することの防止を目的としている。Microsoft の子会社である GitHub は、「この機能により、公開リポジトリへのプッシュでサポートされている機密情報が検出された場合に、その情報はコミットから削除される。あるいはオプション機能として、その機密情報が安全だと判断された場合には、ブロックを回避する」と述べている。

Microsoft Outlook の脆弱性 CVE-2024-21413：PoC エクスプロイトが GitHub で公開

PoC Exploit Released for Microsoft Outlook RCE Flaw – CVE-2024-21413

2024/02/16 SecurityOnline — 今週にパッチが公開された、Microsoft Outlook の深刻な脆弱性 CVE-2024-21413 に対する PoC エクスプロイト・コードが公開され、最新バージョンへのアップデートが喫緊の課題となっている。Check Point の脆弱性研究者である Haifei Li により発見された、Microsoft Outlook のリモートコード実行 (RCE) の脆弱性 CVE-2024-21413 (CVSS：9.8) は、脆弱なエディションを用いて悪意のリンクを含む電子メールを開くと誘発されるものである。

GitHub Enterprise の複数の脆弱性が FIX：ただちにパッチを！

Critical Vulnerabilities Uncovered in GitHub Enterprise Server – Patch Immediately!

2024/02/14 SecurityOnline — 進化し続けるデジタルセキュリティの中で、GitHub Enterprise Server (GHES) はエンタープライズ・レベルのコード管理とコラボレーションの基盤として登場した。この GHES は、GitHub のセルフホスト・バージョンとして、組織に対してリポジトリと開発プロセスを管理する能力を提供する。しかし、最近になって、複数の深刻度の高い脆弱性が公表され、その悪用に成功した攻撃者が、機密性の高いシステムに不正にアクセスする可能性が生じている。したがって、リスクを軽減するための、早急な対策が求められる。

Chrome のゼロデイ脆弱性 CVE-2022-4262：詳細な情報と PoC エクスプロイトが公開された

Google Chrome Zero-Day PoC Code Released

2024/02/11 SecurityOnline — Google Chrome に影響を及ぼすゼロデイ脆弱性 CVE-2022-4262 (CVSS 8.8) の、PoC (Proof-of-Concept) エクスプロイト・コードと技術的詳細が公開された。この脆弱性の核心は、Chrome ブラウザを動かす重要なコンポーネントである、Chrome V8 JavaScript エンジンにある。この深刻度の高い、タイプ・コンフュージョンの脆弱性は、Google TAG (Threat Analysis Group) の Clement Lecigne により明らかにされた。タイプ・コンフュージョンの脆弱性とは、ソフトウェアが渡されたオブジェクト・タイプを検証できない場合に発生し、予測不可能な動作を引き起こすものだ。

Android の権限昇格の脆弱性 CVE-2023-45779：少なくとも７つの OEM に影響する

Exploit released for Android local elevation flaw impacting 7 OEMs

2024/01/31 BleepingComputer — 少なくとも７つの Android OEM (Original Equipment Manufacturer) に影響を与える、Google Android のローカル権限昇格の脆弱性の PoC エクスプロイトが、GitHub で公開された。ただし、このエクスプロイトはローカル・アクセスを必要とするため、公開されたとしても、利用できるのは研究者くらいだろう。この脆弱性 CVE-2023-45779 は、2023年9月上旬に Meta の Red Team X により発見され、2023年12月の Android のセキュリティ・アップデートで対処されたものである。

NPM に悪意のパッケージ：開発者を騙して盗んだ SSH Key を GitHub に隠して保存

Malicious NPM Packages Exfiltrate Hundreds of Developer SSH Keys via GitHub

2024/01/23 TheHackerNews — npm パッケージ・レジストリで発見された２つの悪意のパッケージは、開発者システムにインストールされた後に、Base64 暗号化された SSH キーを盗み出し、GitHub に保存するものだったと判明した。2024年1月初旬に公開された、warbeast2000 と kodiak2k という名のモジュールは、npm のメンテナンスにより削除されるまでに、それぞれ 412回と 1,281回のダウンロードを記録している。また、最新のダウンロードは 2024年1月21日に行われているという。

TensorFlow CI/CD のミスコンフィグへの対応：サプライチェーン攻撃の要因になり得る

TensorFlow CI/CD Flaw Exposed Supply Chain to Poisoning Attacks

2024/01/18 TheHackerNews — オープンソースの機械学習フレームワーク TensorFlow で発見された CI/CD (integration and continuous delivery ) のミスコンフィグが、サプライチェーン攻撃の組織化のために悪用された可能性があるという。今週のレポートで Praetorian の研究者である Adnan Khan と John Stawinski は、「このミスコンフィグを悪用する攻撃者が、悪意のプルリクエストを通じて TensorFlow のビルド・エージェントを侵害し、GitHub／PyPi 上の TensorFlow リリースのサプライチェーンを侵害した可能性がある」と述べている。

GitHub の脆弱性 CVE-2024-0200 が FIX：漏洩キーのローテーションにも対応

GitHub rotates keys to mitigate impact of credential-exposing flaw

2024/01/16 BleepingComputer — GitHub がローテーションしたキーは、2023年12月に発生した脆弱性へのパッチ適用により、公開されてしまう可能性があるものだ。この脆弱性の悪用に成功した攻撃者は、環境変数を介して運用中のコンテナ内の認証情報にアクセスできたという。この、不適切なリフレクションの脆弱性 CVE-2024-0200 が悪用されると、パッチ未適用のサーバ上で、リモート・コード実行にいたる可能性がある。

GitHub 2023 調査：リポジトリを悪用するサイバー攻撃の増加 – Recorded Future

Security Experts Urge IT to Lock Down GitHub Services

2024/01/15 InfoSecurity — GitHub サービスを悪用して秘密裏にサイバー攻撃を仕掛けるケースが増えていると、脅威インテリジェンス企業である Recorded Future が警告している。同社は、企業の IT チームに対して、対策を講じるよう呼びかけている。Recorded Future の最新レポート “Flying Under the Radar: Abusing GitHub for Malicious Infrastructure” では、脅威アクターに最もよく悪用される GitHub サービスが列挙されている。

Phemedrone スティーラー：Windows の脆弱性 CVE-2023-36025 を悪用している

Phemedrone Stealer: Exploiting CVE-2023-36025 for Defense Evasion

2024/01/14 SecurityOnline — 先日の Trend Micro のサイバー・セキュリティ研究者たちの発見により、サイバー脅威の世界における懸念すべき展開が明らかになった。脆弱性 CVE-2023-36025 の積極的な悪用が確認され、Phemedrone Stealer として呼ばれる未知のマルウェアの亜種が増殖していることが判明したのだ。

ファイル共有のベスト・プラクティス：SaaS の公開リンクが攻撃対象になる理由とは？

Why Public Links Expose Your SaaS Attack Surface

2024/01/09 TheHackerNews — SaaS の強力なセールスポイントとなっているのは、アプリケーション間における連携機能である。Microsoft／Github／Miro などは、ユーザーのパフォーマンスを高めるものとして、各々のソフトウェア・アプリケーションの連携性の高さを訴求している。ファイル／リポジトリ／掲示板などへのリンク URL は、どこでも、誰とでも、共有できる。それにより、地域や部署を越えて分散している従業員間の連携が促進され、より強力なキャンペーンやプロジェクトを生み出すためのチームワークが後押しされる。

iOS／macOS の脆弱性 CVE-2023-41974：PoC エクスプロイトが登場

$70K Bounty for Revealing CVE-2023-41974 Flaw, PoC Published

2024/01/03 SecurityOnline — iOS／macOS の脆弱性 CVE-2023-41974 の PoC (Proof-of-concept) エクスプロイト・コードが公開された。この脆弱性は、Apple OS のカーネルにおける、解放済みメモリの使用の深刻な問題を明らかにしている。この脆弱性が悪用されると、カーネル特権で任意のコードを実行するための自由なアクセスを、アプリケーションに与える可能性があるという。

GitHub の2FA 義務化：2024年1月19日から正式スタート

GitHub warns users to enable 2FA before upcoming deadline

2023/12/26 BleepingComputer — GitHub アカウントにおいて、２要素認証 (2FA) が有効化されていない場合には、同サイトでの機能が制限されると警告されている。クリスマス・イブに GitHub ユーザーに送られたメールには、 GitHub.com でコードをコントリビュートしている全ユーザーは、2024年1月19日までに 2FA を有効化する必要があると記されている。

GitHub の gists／commits 機能：マルウェアのホストに悪用されている

Unsung GitHub Features Anchor Novel Hacker C2 Infrastructure

2023/12/19 DarkReading — ある GitHub アカウントが、このサイトの２つのユニークな機能を悪用して、ステージ２のマルウェアをホストしていることを、研究者たちが発見した。この、パブリックなサービスが、不正行為の拠点としてハッカーに再利用されることが、最近になって増えてきている。ハッカーたちは、コード・リポジトリやファイル共有サービスにマルウェアを格納し、メッセージング・アプリから Command and Control (C2) を実行することに加えて、SaaS (Software-as-a-Service) プラットフォームを悪用することで、想像もつかないような手口で悪事を働くことがある。

SharePoint の脆弱性 CVE-2023-29357／CVE-2023-24955：連鎖の PoC が発表された

PoC Released for SharePoint Pre-Auth RCE Chain (CVE-2023-29357 & CVE-2023-24955)

2023/12/16 SecurityOnline — Microsoft SharePoint Server の２つの脆弱性を研究する、STAR Labs の研究者 Nguyễn Tiến Giang (Jang) の詳細な調査結果が注目を集めている。2023年3月にバンクーバーで開催された Pwn2Own コンテストでは、劇的なデモンストレーションが行われていた。Jang が公開したのは、Microsoft SharePoint Server における２つの脆弱性 CVE-2023-29357／CVE-2023-24955 を連鎖させるエクスプロイト・チェーンである。

Hugging Face／GitHub で API トークンが流出：AI を活用する企業が危険にさらされる

Major Organizations Using ‘Hugging Face’ AI Tools Put at Risk by Leaked API Tokens

2023/12/05 SecurityWeek — Hugging Face／GitHub などのコード・リポジトリに、誤って公開されている 1,600以上の有効な Hugging Face API トークンを、AI サイバー・セキュリティ・スタートアップである Lasso が発見した。トークンなどの機密情報が流出し悪用されると、きわめて高いリスクにいたることから、コードホスティング・プラットフォームやセキュリティ研究者たちかは、以前から注視し続けている。LLM (Large Language Models) を統合する開発者や企業は、Hugging Face API トークンにより、Hugging Face リポジトリの管理を可能にする。

Zimbra の脆弱性 CVE-2023-37580：ゼロデイの隙間で侵害が発生

Zimbra Zero-Day Exploited to Hack Government Emails

2023/11/16 SecurityWeek — 11月16日 (木) に Google の TAG (Threat Analysis Group) が明らかにしたのは、2023年の初頭に Zimbra Collaboration Suite のゼロデイ脆弱性が悪用され、数カ国の政府組織から電子メールデータが盗まれたことである。この脆弱性 CVE-2023-37580 の存在は、７月中旬に Zimbra が、同社の電子メール・サーバー・ソリューションの顧客に通知した際に判明している。

Azure CLI の深刻な脆弱性 CVE-2023-36052 が FIX：認証情報が漏洩する可能性

Microsoft fixes critical Azure CLI flaw that leaked credentials in logs

2023/11/14 BleepingComputer — Microsoft は、Azure CLI (Command-Line Interface) を介して作成された GitHub Actions／Azure DevOps のログから、攻撃者が認証情報を盗む可能性のある、深刻な脆弱性を修正した。この脆弱性 CVE-2023-36052 は、Palo Alto のセキュリティ研究者である Aviad Hahami により報告されたものである。認証されていない攻撃者が悪用に成功すると、Azure CLI により CI/CD (Continuous Integration and Continuous Deployment (CI/CD) ログに書き込まれた平文のコンテンツ対して、リモートからのアクセスが許されてしまう。

PyPI パッケージに漏れ出したシークレット情報：何千ものハードコードされた認証情報が存在

PyPI Packages Found to Expose Thousands of Secrets

2023/11/14 SecurityWeek — PyP Iパッケージにコミットされた Python コードを分析した結果において、何千ものハードコードされた認証情報が存在することが明らかになったと、コード・セキュリティ企業の GitGuardian が警告している。GitGuardian はセキュリティ研究者の Tom Forbes と共同で、約3,000の PyPI パッケージの中にある 4,000件ほどのユニークなシークレットを発見し、このうちの 760件以上が有効であると判明したとしている。

OSS における脆弱性の情報開示：悪用を防ぐための工夫をメンテナたちに伝えたい

Open-source vulnerability disclosure: Exploitable weak spots

2023/11/09 HelpNetSecurity — オープンソース・プロジェクトの脆弱性開示プロセスの欠陥が攻撃者に悪用され、パッチが提供される前に攻撃を仕掛けるために必要な、情報を収集される可能性があると、Aqua Security の研究者たちが懸念している。”0.5-Day” の脆弱性は、メンテナには知られており、その情報は GitHub や NVD (National Vulnerability Database) に公開されているが、公式な修正プログラムが存在しない状況を指す。”0.75-Day” の脆弱性は、公式な修正プログラムは存在しているが、CVE 番号や CPE 識別子は存在しない状態を指す。したがって、脆弱性スキャンツールによる脆弱なコンポーネントの検出が不可能であり、パッチ適用の必要性に、セキュリティ・チームは気が付かない。