Google Cloud Platform – IoT OT Security News

Fix Inventory は OSS のクラウド・アセット・インベントリ：断片化されたクラウド環境を統合する

Fix Inventory: Open-source cloud asset inventory tool

2025/03/05 HelpNetSecurity — Fix Inventory は、クラウド・インフラ・アカウントの、コンプライアンスとセキュリティ・リスクを検出するための OSS だ。クラウド・ネイティブ環境向けにゼロから構築されており、AWS／Google Cloud／Azure／DigitalOcean／Hetzner／Kubernetes／GitHub などの、300 を超えるクラウド・サービスを幅広くサポートしている。

GCP Composer の RCE 脆弱性が FIX：依存関係を撹乱させる CloudImposer とは？

Google Fixes GCP Composer Flaw That Could’ve Led to Remote Code Execution

2024/09/16 TheHackerNews — Google Cloud Platform (GCP) Composer に発見された深刻なセキュリティ脆弱性は、サプライチェーン攻撃の手法である “Dependency Confusion” (依存関係かく乱) により、クラウド・サーバ上でのリモート・コード実行を攻撃者に許すものだ。この脆弱性には、 CloudImposer というコードネームが、Tenable Research により付けられている。Tenable のセキュリティ研究者である Liv Matan は、「この脆弱性の悪用に成功した攻撃者は、Google Cloud Composer の各パイプライン・オーケストレーション・ツールにあらかじめインストールされている、内部ソフトウェアの依存関係を乗っ取りが可能になると推測される」と説明している。

lr-utils-lib という悪意の PyPI パッケージ：macOS 開発者から Google Cloud の認証情報を窃取

Targeted PyPi Package Steals Google Cloud Credentials from macOS Devs

2024/07/27 DarkReading — macOS ユーザーの一部から Google Cloud Platform の認証情報を盗み出す、かなり奇妙な悪意の Python コードのパッケージを、研究者たちが発見した。Checkmarx の 7月26日のブログによると、このパッケージ “lr-utils-lib” は、6月初旬の時点で Python Package Index (PyPI) にアップロードされたものだが、セットアップ・ファイルに悪意のコードを隠し持っていた。そのコードは、macOS システム上で実行されていることをチェックし、続いて、システムの IOPlatformUUID をチェックする。この値は、特定の Mac コンピュータを識別するために使用されるものである。

GCP から Google Workspace への横移動と攻撃：Domain-Wide Delegation の深刻なリスク

Exposed: Hidden Risks in Google Workspace’s Domain Delegation

2023/12/01 SecurityOnline — Google Workspace の Domain-Wide Delegation 機能に深刻なリスクが潜んでいることが、Palo Alto Networks の Unit 42 研究者たちより明らかにされた。この発見は、Google Cloud Platform (GCP) から Google Workspace ドメイン・データを悪用する可能性に光を当てるものだ。進化を続けるクラウド・コンピューティングの領域において、各種のサービスで見過ごされがちな、複雑な脆弱性を浮き彫りにするものである。

AWS 環境の 62% が Zenbleed 脆弱性の影響を受ける：修正を急ぐ AMD

Wiz Says 62% of AWS Environments Exposed to Zenbleed Exploitation

2023/07/26 SecurityWeek — AWS 環境の 62% パーセントが、新たに文書化された AMD Zen 2 プロセッサの、Zenbleed 情報漏洩脆弱性にさらされている可能性があると、クラウド・セキュリティ企業 Wiz の研究者たちが報告している。7月23日 (水) に投稿されたリサーチ・ノートにおいて、AWS 環境の 60％以上が Zen 2 CPU を搭載した EC2 インスタンスを実行しているため、use-after-free メモリ破損バグの影響を受ける可能性があると、Wiz は算出している。

Uber が主張する機密情報へのアクセスの証拠は無い：しかし無事だという証拠も無い

Uber Claims No Sensitive Data Exposed in Latest Breach… But There’s More to This

2022/09/17 TheHackerNews — Uber が更新した情報だが、木曜日の遅くに発覚した社内コンピューター・システムの侵害により、ユーザーの個人情報が漏えいしたという証拠は無いと述べている。同社は、「我々は、このインシデントが、機密性の高いユーザーデータへのアクセスに関連しているという証拠はないと捉えている。Uber／Uber Eats／Uber Freight／Uber Driver アプリを含む、当社の全サービスは稼働している」と説明している。

クラウドの調査：38% のユーザーがデータ流出に気付けないという現状

1 in 3 organizations don’t know if their public cloud data was exfiltrated

2022/08/31 HelpNetSecurity — Laminar が発表したのは、2022年7月の AWS re:Inforce と、2022年8月の Black Hat で実施した “2022 Security Professional Insight Survey” の調査結果である。この調査により、データ漏洩のリスクを低減するためにセキュリテ・ィチームが積極的に取り組みたいと考える、組織における防御のギャップが明らかになった。この調査には、リーダー職とライン職の両方から、合計415名のセキュリティ専門家が参加した。

Google 警告：GCP の不適切な管理がもたらす暗号通貨マイニングなどの手口

Hackers Using Compromised Google Cloud Accounts to Mine Cryptocurrency

2021/11/29 TheHackerNews — Google Cloud Platform (GCP) の不適切なセキュリティ管理を悪用することで、侵害されたシステムへの暗号通貨マイニング・ソフトウェアのダウンロードや、インフラを悪用したランサムウェアのインストール、フィッシング・キャンペーンの実施、YouTube トラフィック／視聴回数の操作などが横行している。

Google Cloud Platform のバグ報奨金：３回で $10,000 の内訳とは？

Researcher Awarded $10,000 for Google Cloud Platform Vulnerability

2021/11/24 SecurityWeek — セキュリティ研究者の David Schütz は、Google Cloud Project の脆弱性を報告し、その後に、公開された修正プログラムのバイパスを報告したことで、Google から $10,000 以上のバグ報奨金を受け取ったと述べている。３月に Schütz は、Google Cloud Platform (GCP) の内部プロジェクトである、”cxl-services” のアクセス・トークンを、URL 許可リスト・バイパスを利用して漏洩できることを発見した。

Microsoft のマルチ・クラウド・セキュリティ戦略：Azure Preview に AWS も統合

Microsoft Expands Security to AWS in Multicloud Push

2021/11/03 DarkReading — 今日、Microsoft は Ignite 2021 カンファレンスを開催し、エンタープライズ・のクラウド保護について、特にマルチクラウド環境への対応に重点を置く、クラウド・セキュリティに関する発表を行った。同社は、Microsoft Defender for Cloud (旧称：Azure Security Center および Azure Defender) と呼ばれるスイート製品の中で AWS に対しても、ネイティブな Cloud Security Posture Management (CSPM) およびワークロード保護機能を拡張していく。

Microsoft Azure の OMIGOD 脆弱性はログ収集エージェントが原因？

Critical Flaws Discovered in Azure App That Microsoft Secretly Installed on Linux VMs

2021/09/15 TheHackerNews — Microsoft は、９月の Patch Tuesday アップデートにおいて、Azure クラウド標的にした脆弱化されたシステムのリモート操作や、特権昇格などを引き起こす恐れのある４つのセキュリティ陥に対処した。これらの脆弱性は、Wiz の研究者が OMIGOD と総称しているものであり、多くのAzure サービスに自動的に導入されている Open Management Infrastructure という、あまり知られていないソフトウェア・エージェントに影響を与える。