SBN New Log4j 1.x CVEs, and critical Chainsaw Vulnerability — What to Do?
2022/01/21 SecurityBoulevard — 今週になって、Apache は Log4j 1.x のバージョンに影響を与える、３つの脆弱性を公開した。Log4j 1.x は 2015年8月の時点で、いずれにしても end-of-life の製品であり、推奨されるアドバイスは、安全な log4j 2.x への移行である。しかし、これらの CVE 開示の中には、以下に分析する深刻な Apache Chainsaw の脆弱性が埋もれている。
Continue reading “Apache Log4j 1.x の３つの脆弱性が公開：Chainsaw と JDBC Appender に注意”Microsoft: SolarWinds fixes Serv-U bug exploited for Log4j attacks
2022/01/19 BleepingComputer — Microsoft が発見した Serv-U の脆弱性に対して、SolarWinds がパッチを適用した。この脆弱性は、脅威アクターが Log4j 攻撃を、ネットワーク上の内部デバイスに伝播させるために積極的に利用するものだ。Microsoft によると、Log4j 攻撃の監視中に、この脆弱性を発見したとのことだ。このバグは、Microsoft のセキュリティ研究者である Jonathan Bar Or が発見した不適切な入力検証の脆弱性であり、攻撃者により作成されたクエリが、無節操にネットワーク上に送信されることになる。
Continue reading “Microsoft が発見した新たな SolarWinds Serv-U バグが FIX：Log4j 攻撃を伝搬する？”U.S. Government, Tech Giants Discuss Open Source Software Security
2022/01/14 SecurityWeek — 2020年1月13日にホワイトハウス・サミットが開催され、米国の政府と大手ハイテク企業の代表者がオープンソース・ソフトウェアのセキュリティについて話し合った。広く利用されている Log4j ロギング・ユーティリティーに影響を与える脆弱性が、公開／悪用されたことで、オープンソースとソフトウェア・サプライチェーンのセキュリティの重要性が、あらためて浮き彫りになっている。ホワイトハウス・サミットの目的は、オープンソース・ソフトウェアのセキュリティを向上させ、オープンソース・コミュニティを効果的にサポートする方法を特定することだった。
Continue reading “ホワイトハウス OSS セキュリティ・サミット：各ベンダーの声明を集めてみた”SEC, FTC Issue Warning on Log4j Vulnerabilities
2022/01/14 SecurityBoulevard — 米国連邦取引委員会 (Federal Trade Commission : FTC) および米国証券取引委員会 (Securities and Exchange Commission : SEC) は、Log4j の脆弱性がもたらすリスクに対処していない企業に警告を発している。特に FTC は、消費者向けの製品やサービスに含まれる、様々なシステム・アクティビティを記録するために使用されている、ユビキタス・ソフトウェアである Log4j のセキュリティ脆弱性を修正するよう企業に警告している。
Continue reading “SEC と FTC の Log4j 脆弱性をめぐる警告：金融分野での悪用に備える米政府”White House reminds tech giants open source is a national security issue
2022/01/14 BleepingComputer — Log4J の脆弱性による重要インフラへの脅威を受けて、ホワイトハウスは政府機関や民間企業に対して、オープンソース・ソフトウェアとサプライチェーンの安全確保に向けて、リソースを結集し努力するよう養成した。そのためのサミットが開催され、「オープンソース・ソフトウェアのセキュリティ上の欠陥や脆弱性の防止」「セキュリティ上の欠陥の発見と修正のプロセスの改善」「修正プログラムの提供と展開に要する時間の短縮」という、３つのテーマが取り上げられた。
Continue reading “ホワイトハウスの念押し：ハイテク大手のオープンソースが国家安全保障の問題”TellYouThePass ransomware returns as a cross-platform Golang threat
2022/01/12 BleepingComputer — TellYouThePass ランサムウェアは、Golang でコンパイルされたマルウェアとして再登場し、多様なオペレーティング・システムにおいて、特に macOS と Linux を標的にすることが容易になった。このマルウェアは、先月に Log4Shell エクスプロイトと組み合わせることで、脆弱なマシンを狙うために使用されたことで注目されている。今回、Crowdstrike が発表したレポートは、Windows 以外のプラットフォーム向けのコンパイルを容易にする、コードレベルの変更による復活に注目している。
Continue reading “TellYouThePass ランサムウェアが復活：Golang によるクロス・プラットフォームと Log4Shell”Oxeye Tool Can Counter Log4j Obfuscation Attacks
2022/01/12 SecurityBoulevard — 今日、Oxeye は、Ox4Shell と名付けられた、オープンソースの対難読化ツールを発表した。それにより、サイバーセキュリティ・チームは、脆弱性 Log4Shell を利用しようとする、隠れたペイロードをより簡単に発見できるようになる。多くの企業の IT 部門は、Java アプリケーションからログデータを収集するために広く使用されている、Log4j で発見された一連のゼロデイ脆弱性に悩まされている。Oxeye の CTO である Ron Vider は Ox4Shell について、脆弱性 Log4jShell を悪用するペイロードを隠すために、多くのサイバー犯罪者が用いる難読化戦術に対抗するために設計されていると述べている。
Continue reading “Oxeye の Ox4Shell は Log4Shell の難読化に対抗するためのツールだ”Night Sky ransomware uses Log4j bug to hack VMware Horizon servers
2022/01/11 BleepingComputer — ランサムウェア Night Sky が、Log4j ロギング・ライブラリに存在する深刻な脆弱性 CVE-2021-44228 (Log4Shell) を悪用し、VMware Horizon システムへのアクセスを開始した。このランサムウェアは、正規の企業を装ったドメインから、Web 上に公開されている脆弱なマシンを標的としており、その中にはテクノロジーやサイバー・セキュリティ分野の企業も含まれている。
Continue reading “Night Sky ランサムウェアによる Log4j バグの悪用：VMware Horizon のハッキングが開始された”State hackers use new PowerShell backdoor in Log4j attacks
2022/01/11 BleepingComputer — イランの国家支援グループ APT35 (Charming Kitten／Phosphorus) に属すると思われるハッカーが、Log4Shell 攻撃により新たな PowerShell バックドアを投下していることが確認されている。このモジュール型ペイロードは、C2 通信を処理し、システムの列挙を行い、最終的には追加モジュールの受信／復号化／ロードを行うことが可能とされる。Log4Shell は、12月に公開された Apache Log4j の深刻なリモートコード実行の脆弱性 CVE-2021-44228 を悪用するものである。
Continue reading “イランの国家支援ハッカーが Log4j 攻撃により新規の PowerShell バックドアを投下”CISA Unaware of Any Significant Log4j Breaches in U.S.
2022/01/11 SecurityWeek — 米国の Cybersecurity and Infrastructure Security Agency (CISA) だが、先日に公開された Log4j の脆弱性に関連した深刻な侵害について、現在のところ検知していないと述べている。月曜日に行われたメディアへのブリーフィングで、CISA の Director である Jen Easterly と、Executive Assistant Director for Cybersecurity である Eric Goldstein は、深刻なインシデントは検知していないと述べている。これは、数多くの組織が迅速に対応した結果だと思われる。
Continue reading “CISA の Log4j ブリーフィング：現時点で深刻な被害を受けた連邦政府機関は無い”Extremely Critical Log4J Vulnerability Leaves Much of the Internet at Risk
2022/01/10 TheHackerNews — Apache Software Foundation は、広く利用されている Java ベース・ロギング・ライブラリ Log4j に存在する、悪意のコード実行と脆弱なシステムの乗っ取りを許す、ゼロデイ脆弱性の修正プログラムを公開した。この問題は、CVE-2021-44228 として追跡され、Log4Shell または LogJam というニックネームで呼ばれている。具体的に言うと、このオープンソース・ユーティリティを使用する全てのアプリケーションにおいて、認証を必要とせずにリモートコードが実行されるというものであり、Log4j Ver 2.0-beta9〜2.14.1 に影響する。このバグの深刻度は、CVSS 値 10.0 となっているで。
Continue reading “Log4j の脆弱性は極めて深刻：多くの問題をインターネット上に残した”NHS Warns of Hackers Targeting Log4j Flaws in VMware Horizon
2022/01/07 TheHackerNews — 英国の国民保健サービス (National Health Service：NHS) のデジタル・セキュリティ・チームは、パッチが適用されていない VMware Horizon サーバーに存在するLog4j の脆弱性 (Log4Shell) を利用して、悪意の Web シェルを投下し、侵害したネットワーク上に持続的に存続して、次の攻撃をねらうという未知の脅威行為に対して警鐘を鳴らした。
Continue reading “英国民保健サービス NHS の VMware Horizon が Log4Shell に狙われている”Log4Shell-like Critical RCE Flaw Discovered in H2 Database Console
2022/01/07 TheHackerNews — H2 データベース・コンソールで発見されたリモートコード実行の脆弱性だが、先月に明らかになった Log4Shell と同じ構造を持つ欠陥であることが、研究者たちにより公表された。JFrog の研究者である Andrey Polkovenko と Shachar Menashe は、「Log4j 以外のコンポーネントで発表された、Log4Shell に似た初めての深刻な問題であり、Log4Shell と同じ根本的な原因であう、JNDI リモートクラス・ローディングを悪用するものだ」と述べている。
Continue reading “H2 Database Console に Log4Shell と同じ構造の脆弱性：約 6,800 件のアーティファクトに影響”Microsoft Warns of Continued Attacks Exploiting Apache Log4j Vulnerabilities
2022/01/04 TheHackerNews — Microsoft は、オープンソースのロギング・フレームワーク Log4j に存在する脆弱性の悪用により、システムにマルウェアを展開しようとする試みが、国家支援ハッカーやコモディティ攻撃者により継続されていると警告している。Microsoft Threat Intelligence Center (MSTIC) は、今週の初めに発表したガイダンスの改訂版で、「12月の最後の数週間、攻撃の試みとテストが高水準で推移している。既存の攻撃者の多くが、コインマイナーからハンズオン・キーボード攻撃にいたるまで、一連の Log4j 脆弱性の悪用を、既存のマルウェア・キットや戦術に追加していることが確認されている」と述べている。
Continue reading “Microsoft 警告：Log4j 脆弱性を悪用する攻撃ベクターは広がっていく”FTC warns companies to secure consumer data from Log4J attacks
2022/01/04 BleepingComputer — 今日、米国連邦取引委員会 (FTC : Federal Trade Commission) は、継続して止まない Log4J 攻撃から、顧客データの保護を怠る米国企業を追及すると警告した。FTC は、「Log4j および、今後の類似する脆弱性の結果として生じる、消費者データの流出を止めるための合理的な措置を講じない企業を、法的権限をフルに活用して追及する意向だ」と述べている。
Continue reading “FTC 警告：Log4J 攻撃から顧客データを保護しない企業に法的措置？”Log4j Highlights Need for Better Handle on Software Dependencies
2022/01/04 DarkReading — 新しい年を迎えたが、サイバー・セキュリティ業界は、またしてもソフトウェア・サプライチェーン・セキュリティの悪夢がもたらす、長期化が予測される問題に直面している。アプリケーション・セキュリティのゼロデイ問題が多発した１年の最後に生じた、Log4j の脆弱性 (Log4Shell) の問題は、2021年のテーマに沿ったブックエンドのようなもので、SolaWinds がスタートさせた年を、同じようなかたちで締め括る。
Continue reading “Log4j が明らかにしたもの：ソフトウェアの依存関係と SBoM のすすめ”AppSec and Software Community Respond to Log4j
2021/12/30 SecurityBoulevard — アプリケーション・セキュリティとオープンソース・ソフトウェアのコミュニティは、Java Log4j の脆弱性の問題に立ち向かい、ソフトウェアへのパッチ適用／情報の共有／緩和策やツールの提供などを行っている。まだ危機を脱したわけではないが、彼らのこれまでの行動には感銘を受けた。
Continue reading “Log4j 問題の 5W1H：現状の正確な認識と将来へ向けたステップ”Chinese APT Hackers Used Log4Shell Exploit to Target Academic Institution
2021/12/30 The Hacker News — 中国を拠点とする新たな標的型侵入攻撃者である Aquatic Panda は、Apache Log4j ロギング・ライブラリの深刻な欠陥をアクセス・ベクターとして利用し、ターゲット・システム内での偵察や資格情報の収集などの、持続性のある攻撃のための準備を行っていることが観察されている。
Continue reading “中国の APT ハッカーたちが Log4Shell を使って大規模な学術機関を攻撃”Log4j 2.17.1 out now, fixes new remote code execution bug
2021/12/28 BleepingComputer — Apache は、Log4j 2.17.0 における、新たなリモートコード実行 (RCE) 脆弱性 CVE-2021-44832 をに対して、新バージョン 2.17.1 をリリースし、この問題を修正した。今日までは、2.17.0 が Log4j の最新バージョンであり、アップグレードする対象として、最も安全であると考えられていたが、アドバイザリは進化している。
Continue reading “Apache から Log4j 2.17.1 がリリース：新たなリモートコード実行 CVE-2021-44832 に対応”Experts monitor ongoing attacks using exploits for Log4j library flaws
2021/12/27 SecurityAffairs — DrWeb の研究者たちは、Apache Log4j ライブラリの脆弱性 (CVE-2021-44228／CVE-2021-45046／CVE-2021-4104／CVE-2021-42550) を悪用した攻撃を監視し、また、防御策を講じる必要性を警告している。これらの脆弱性を悪用することで、脅威アクターによるターゲット・システム上での、任意のコード実行／サービス妨害 (Denial of Service)／機密情報の開示などを許してしまう。
Continue reading “Log4j ライブラリの脆弱性悪用：専門家たちが仕掛けたハニーポットからの情報”Log4j: A CISO’s Practical Advice
2021/12/24 DarkReading — あなたは、おそらく、Log4j の脆弱性について、信頼できる技術的分析をたくさん読んでいることだろう。しかし、そのような分析は、この記事にはない。その代わりに、CISO の役割に費やしてきた私の数十年からの視点と、CISO／CIO 仲間との会話から得られた視点を提供したい。
Continue reading “Log4j 問題に関する CISO の実践的なアドバイス：対処法の繰り返しで良いのか？”Arctic Wolf Script Can Discover Log4Shell Vulnerabilities
2021/12/23 SecurityBoulevard — 今週のこと、マネージド・セキュリティ・サービスを提供している Arctic Wolf は、スキャン・ツールによる Log4Shell 脆弱性の発見を支援するスクリプトを公開した。Arctic Wolf の Field CTO である Ian McShane によると、同社は Log4Shell Deep Scan スクリプトを使用して、ネストされた JAR／WAR／EAR ファイル内の CVE-2021-45046／CVE-2021-44228 の脆弱性を検出している。
Continue reading “Arctic Wolf の Log4Shell Deep Scan スクリプト：入れ子になっている Log4j を探査”4-Year-Old Bug in Azure App Service Exposed Hundreds of Source Code Repositories
202/12/22 TheHackerNews — Microsoft の Azure App Service におけるセキュリティ上の欠陥により、2017年9月から少なくとも４年間に渡り、Java／Node／PHP／Python／Ruby で書かれた、顧客アプリケーションのソースコードが公開されていたことが明らかになった。
Continue reading “Azure App Service の深刻な問題：４年間にわたり PHP／Ruby／Python／Node のソースが漏洩”New Log4j Attack Vector Discovered
2021/12/21 DarkReading — 12月9日に公開された Log4j のリモートコード実行 (RCE) の脆弱性だが、それを狙う攻撃への対応を進めている企業は、いくつかの新たな検討事項を念頭に置いている。Blumira のセキュリティ研究者たちは、内部およびローカルに公開された Log4j アプリケーションに対して、JavaScript による WebSocket 接続を介した、RCE の脆弱性がトリガーされる可能性があることを発見した。
Continue reading “Log4j の新たな攻撃ベクター WebSocket と３つの脆弱性に関する整理”WhiteSource Open Source Tool Can Discover Log4j Vulnerabilities
2021/12/20 SecurityBoulevard — WhiteSource は、Log4j ロギング・ソフトウェアの脆弱なインスタンスを検出するための、オープンソース・ツールを公開した。最近になって公開された Log4j の欠陥は、サイバー犯罪者が Java アプリケーションを介して、リモートコード実行 (RCE) 攻撃を仕掛けることを許してしまう。
Continue reading “WhiteSource の OSS Tool：Log4j 脆弱性の発見を容易にする”Intruders leverage Log4j flaw to breach Belgian Defense Department
2021/12/20 CyberScoop — ベルギー国防省 (Belgian Defense Ministry) のコンピュータ・ネットワークの一部が、Apache Log4j の脆弱性を悪用するサイバー攻撃を受け、木曜日から停止していると、同国の政府関係者が発表した。Olivier Séverin 報道官は VRT ニュースの取材に対して、「この週末は、すべてチームを動員して問題をコントロールし、活動を継続し、パートナーに警告を発している。最優先事項は、ネットワークの運用を継続することであり、引き続き状況を監視していく」と述べている。
Continue reading “Log4j 脆弱性を悪用する侵入者：ベルギー国防総省のネットワークを侵害”CISA Issues Emergency Directive on Log4j
2021/12/20 SecurityBoulevard — 人気の Java ベースのロギング・ライブラリ Log4j に存在する、一連の脆弱性への警戒レベルを高めるために、Cybersecurity and Infrastructure Security Agency (CISA) が緊急指令を発出した。この脆弱性は、2021年12月9日に公開された、複数の脅威アクターたちにより活発に悪用されている。
Continue reading “CISA の Log4j 緊急指令：さまざまな報告義務は意図どおりに機能するのか？”Google Finds 35,863 Java Packages Using Defective Log4j
2021/12/20 SecurityWeek — コンピュータ・セキュリティ業界は、Log4j のセキュリティ問題が散見される、長くて険しい道のりに気を引き締めている。専門家たちは、ソフトウェアの依存関係にパッチを当てる作業が上手くいかないと、世界的な緩和策が遅れてしまうと警告している。今週に、Google のオープンソース・チームが、Maven Central にある 35,863個のJava パッケージが、欠陥のある Log4j ライブラリ。バージョンを使用していると報告したことで、この危機の規模と影響が明らかになった。(編集部注：Maven Centralは最大かつ最重要な Java パッケージ・リポジトリ)
Continue reading “Google 調査：Log4j の影響を受ける Java Packages は 35,863 種類”Log4Shell Vulnerability Risks for OT Environments — and How You Can Better Protect Against Them
2021/12/19 SecurityIntelligence — Log4Shell の脆弱性を知らない (対応していない) IT 担当者はいない、と言っても過言ではないだろう。オペレーショナル・テクノロジー (OT) の分野も例外ではないが、この脆弱性が OT テクノロジーにおよぼす影響については、まだ完全には解明されていない。今月の初めに公開された、この脆弱性については、最新のパッチ情報を含め、ココで詳細を確認できる。IT 業界は、ネットワークを強化して不正侵入を防ごうとしているが、OT 環境では更に集中的なアプローチが必要になるかもしれない。
Continue reading “OT 環境での Log4Shell リスク：防御のための最適な手段を探る”Apache releases the third patch to address a new Log4j flaw
2021/12/18 SecurityAffairs — 専門家たちが、Log4j ライブラリ上の公開された２つ目の脆弱性 CVE-2021-45046 の悪用を警告する一方で、３つ目のセキュリティ脆弱性も話題になっている。ここでは、Log4j の脆弱性の時系列を整理する。１つ目の脆弱性 CVE-2021-44228 (Log4Shell) は、先週に中国のセキュリティ研究者 p0rz9 が PoC エクスプロイトを公開したことで話題になったものだ。
Continue reading “Apache Log4j の３度目のパッチ：Lookup による制御不能な再帰に対応”New Local Attack Vector Expands the Attack Surface of Log4j Vulnerability
2021/12/18 TheHackerNews — サイバー・セキュリティ研究者たちが、JavaScript による WebSocket 接続を介して、ローカル・サーバー上の Log4Shell 脆弱性を悪用するという、まったく新しい攻撃ベクターを発見した。
Continue reading “Log4j 脆弱性：WebSocket を介した新たな攻撃ベクターと参入ランサムウェア”TellYouThePass ransomware revived in Linux, Windows Log4j attacks
2021/12/17 BleepingComputer — 攻撃者たちが復活させたのは、TellYouThePass と呼ばれる、以前から存在しているアクティブではないランサムウェアであり、Apache Log4j ライブラリの深刻なリモートコード実行の脆弱性を標的とし、Windows および Linux デバイスへの攻撃のためにディプロイされている。KnowSec 404 Team の Heige は月曜日の Twitter で、Log4Shell と名付けられた脆弱性 CVE-2021-44228 を悪用するランサムウェアが、古い Windows システム上にドロップされたことを確認した後に、一連の攻撃を報告した。
Continue reading “TellYouThePass ランサムウェアが復活：Log4Shell で Linux／Windows への攻撃を準備”Conti ransomware uses Log4j bug to hack VMware vCenter servers
2021/12/17 BleepingComputer — Conti のランサムウェアは、深刻な脆弱性である Log4Shell を利用して、組織内の VMware vCenter Server インスタンスに素早くアクセスし、仮想マシンを暗号化している。Conti は、この新しい攻撃手法の具体化に時間をかけることなく、Log4j の脆弱性を武器にした、最初の一線級のランサムウェア・ギャングとなった。
Continue reading “Conti と Log4Shell：大物ランサムウェアは VMware vCenter に狙いを定める”Russian Cyberspy Groups Start Exploiting Log4Shell Vulnerability
2021/12/17 SecurityWeek — 先日に公開された、Log4Shell の脆弱性を狙う国家のリストにロシアが追加されたが、すでに複数のロシアン・サイバースパイ・グループが悪用を試みている。この、CVE-2021-44228／Log4Shell／LogJam として追跡されている、Log4j の脆弱性の悪用は 12月初旬に始まっている。最初の攻撃報告では、暗号通貨マイナー／DDoS マルウェア／ランサムウェア／悪意のプログラムの配信などの、利益を追求するサイバー犯罪者に関連する活動が報告されていた。
Continue reading “ロシアのスパイグループが Log4Shell の悪用を開始：APT28／Turla／Ursnif などによる探索を検知”Log4Shell – The API Security Challenge
2021/12/16 SecurityBoulevard — 先週に発生した Log4Shell CVE-2021-44228 の脆弱性は、現代のアプリケーションや、相互に接続されたサービス、そして普及した API が、いかにしてセキュリティに大きな課題を引き起こすかを示す顕著な例である。長年にわたり、API の脆弱性を調査してきたセキュリティ・リサーチャーとしては、これは、どのようにして物事が上手くいかなくなるかを示す好例だと言いたい。私は最近、この新たな脅威に対する、私の理解を共有するために、このエクスプロイトの詳細を説明するウェビナーに参加した。
Continue reading “Log4Shell という API セキュリティの課題：ユーザー入力／JNDI／LDAP が生み出すモンスター”Log4j attackers switch to injecting Monero miners via RMI
2021/12/16 BleepingComputer — Apache Log4j の脆弱性を悪用する一部の脅威アクターたちは、LDAP コールバック URL から RMI への切り替えを図り、また、成功の可能性を最大限に高めるために、１つのリクエストで双方を使用しているようだ。この移行は、進行中の攻撃における顕著な変化であり、すべての潜在的な攻撃ベクターを、防御者が保護しようとする際に注意する必要が生じる。
Continue reading “Log4j の攻撃手法が LDAP から RMI へ：現時点では Monero マイナーが使用”Nation-state hackers aim to exploit Log4j software flaw, Microsoft warns
2021/12/15 CyberScoop — 火曜日に、Microsoft の Threat Intelligence Team が発表したところによると、中国／北朝鮮／イラン／トルコの政府に関連するハッカーたちが、Apache Log4j の脆弱性を利用する方法を模索しているとのことだ。この脆弱性を利用して、米国の連邦政府機関を標的した例はないが、依然として攻撃を警戒していると、Cybersecurity and Infrastructure Security Agency (CISA) が述べている。
Continue reading “Microsoft 警告：国家に支援されたハッカーたちが Log4j 悪用を開始”Hackers Begin Exploiting Second Log4j Vulnerability as a Third Flaw Emerges
2021/12/15 TheHackerNews — 水曜日に、Web インフラ企業である Cloudflare は、幅広く利用されている Log4j ロギング・ユーティリティーの２つ目のバグを悪用しする脅威が存在することを明らかにした。パッチを適用していないシステムに対して、多様なマルウェアによる攻撃が続いているため、顧客は最新バージョンのインストールを迅速に行う必要がある。
Continue reading “Log4j の２つ目の脆弱性 CVE-2021-45046 が悪用されている：３つ目の脆弱性も浮上”Attackers Target Log4J to Drop Ransomware, Web Shells, Backdoors
2021/12/15 DarkReading — 新たに公開された Log4j の脆弱性を利用して、ランサムウェア／リモートアクセス型トロイの木馬／Web シェルなどを、脆弱なシステム上に展開しようとするアクティビティが、少なくとも１つの国家機関を含む脅威アクターたちにより行われている。その一方で、複数のユーザー組織が、このログツールの脆弱性を含むバージョンをダウンロードし続けている。
Continue reading “Log4J と攻撃者たち：IT／IoT／OT を狙うランサムウェア・ギャングから国家支援ハッカーまで”CISA probes scope, potential fallout of Log4j vulnerability
2021/12/14 CyberScoop — この火曜日に、米政府のサイバー担当トップが語ったところによると、Cybersecurity and Infrastructure Security Agency (CISA) では、Apache Log4j の脆弱性を悪用したハッカーによる連邦政府機関への危害を確認していないが、この脆弱性を原因とする広範な攻撃を依然として恐れているという。
Continue reading “CISA の Log4j 対策：Log4Shell による被害の範囲と深刻さを把握したい”US CISA orders federal agencies to fix Log4Shell by December 24th
2021/12/14 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、連邦政府の各組織に対して 2021年12月24日までに、Log4j ライブラリに存在する深刻な脆弱性 Log4Shell に対処するよう命じた。この命令は、脆弱性 Log4Shell を悪用する脅威アクターによるたちが、政府システムを攻撃することを防ぐことを目的としている。
Continue reading “米国 CISA から連邦政府各組織へ：Log4Shell への対応を 12月24日までに完了せよ”40% of Corporate Networks Targeted by Attackers Seeking to Exploit Log4j
2021/12/14 DarkReading — Log4j の脆弱性が、インターネット・セキュリティにとって最大の脅威の１つであるという初期の懸念は、週末に爆発的に増加した脆弱性の悪用と悪用活動により早急に確認されており、企業が行うべき修復作業の膨大さが明らかになっている。
Continue reading “Log4j の悪用：企業ネットワークの 40% が攻撃者の標的になり得る”Researchers release ‘vaccine’ for critical Log4Shell vulnerability
2021/12/10 BleepingComputer — サイバー・セキュリティ企業 Cybereason の研究者たちは、インターネット上で猛威を振るっている、Apache Log4j に存在するコード実行脆弱性 Log4Shell を、リモートから緩和させるワクチンを発表した。Apache Log4j とは、Webサーバーのアクセスログや、アプリケーションのログを分析するための、Java ベースのロギング・プラットフォームである。このソフトウェアは、エンタープライズおよび eコマース・プラットフォームなどで多用され、本日未明にパッチ版が配布された Minecraft などのゲームでも利用されている。
Continue reading “Apache Log4Shell 脆弱性：Cybereason がワクチン Logout4Shell を発表”OWASP ModSecurity Core Rule Set sandbox launched to help security researchers test new CVEs
2021/12/10 DailySwig — OWASP ModSecurity Core Rule Set に対してペイロード・テストを行うセキュリティ研究者たちが、プロジェクト・メンテナがリリースした新しいサンドボックスを使えるようになったという朗報である。この Core Rule Set (CRS) とは、ModSecurity および、互換性のある Web Application Firewalls (WAF) で使用するための、一般的な攻撃検知ルールのセットである。その目的は、OWASP Top Ten を含む広範な攻撃から、Webアプリケーションを保護することにある。
Continue reading “OWASP ModSecurity Core Rule Set サンドボックスが登場：新たな CVE の研究が効率化される”New zero-day exploit for Log4j Java library is an enterprise nightmare
2021/12/10 BleepingComputer — ユビキタスな Java ベースのロギング・ライブラリである Apache Log4j の、深刻なゼロデイ脆弱性の PoC エクスプロイトがオンラインで共有されたことで、ホーム／エンタープライズ・ユーザーが、リモートコード実行の攻撃にさらされる可能性が生じている。
Continue reading “Log4j Java library の深刻なゼロデイ脆弱性 CVE-2021-44228 に対処するには？”Microsoft, Google OAuth flaws can be abused in phishing attacks
2021/12/09 BleepingComputer — 研究者たちが発見したのは、脆弱な OAuth 2.0 実装に対して URL リダイレクト攻撃を仕掛けるという、これまで知られていなかった一連の手法である。これらの攻撃により、フィッシグ検知やメール・セキュリティの回避が生じると同時に、フィッシング URL が正当であるかのような錯覚により、被害者を増やすことにつながる。Proofpoint が検出したキャンペーンは、Outlook Web Access／PayPal／Microsoft 365／Google Workspace を対象としている。
Continue reading “OAuth の欠陥とフィッシング：Microsoft／Google／PayPal もリダイレクトの対象だ”Grafana fixes zero-day vulnerability after exploits spread over Twitter
2021/12/07 BleepingComputer — 今日、オープンソースの分析／可視化ソリューションを提供する Grafana は、ローカル・ファイルへのリモート・アクセスを許してしまう、深刻度の高いゼロデイ脆弱性を修正する緊急アップデートを行った。この問題の詳細は、今週の初めに公開が始まっており、Grafana Labs は影響を受けるVersion 8.0.0-beta1〜8.3.0 のアップデートを提供した。
Continue reading “Grafana のゼロデイ脆弱性 CVE-2021-43798 の PoC が Twitter で拡散”Searching for Bugs in Open Source Code
2021/11/30 SecurityBoulevard — まずは、迷信の払拭から始めよう。オープンソース・ソフトウェアが、クローズドソース・ソフトウェアよりも、安全性が低いということはない。しかし、オープンソースのプログラムに脆弱性が発見されると、クローズドソースで発見された脆弱性よりも、はるかに容易に武器化し、悪用される傾向にある。これが、現実だ。
Continue reading “オープンソースからバグを取り除く：重要なのは報奨金とエコシステムだ”Hackers Using Compromised Google Cloud Accounts to Mine Cryptocurrency
2021/11/29 TheHackerNews — Google Cloud Platform (GCP) の不適切なセキュリティ管理を悪用することで、侵害されたシステムへの暗号通貨マイニング・ソフトウェアのダウンロードや、インフラを悪用したランサムウェアのインストール、フィッシング・キャンペーンの実施、YouTube トラフィック／視聴回数の操作などが横行している。
Continue reading “Google 警告：GCP の不適切な管理がもたらす暗号通貨マイニングなどの手口”Red Teams and the Value of Open Source PoC Exploits
2021/11/10 SecurityBoulevard — レッド・チームとは、優れたサイバー・セキュリティを構成するうえで必要な要素である。(ISC)2 Security Congressで講演した、セキュリティ研究者の Richard Tychansky は、レッド・チームは攻撃的なセキュリティであると説明している。レッド・チームのプロセスにおいては、いくつかの段階的なステップを踏む必要があると、彼は言う。
Continue reading “レッドチームが必要な理由：PoC エクスプロイトが重要な理由”
You must be logged in to post a comment.