Google Postpones Third-Party Cookie Deprecation Amid U.K. Regulatory Scrutiny
2024/04/25 TheHackerNews — Privacy Sandbox イニシアチブをめぐって発生している、英国の規制当局との未解決の懸念に対処している Google だが、Chrome の サードパーティ・トラッキング・クッキー廃止計画を再びプッシュし始めた。Google は、英国の CMA (Competition and Markets Authority) と緊密に協力しており、年内に合意を達成したいと述べている。
Continue reading “Google のサードパーティー Cookie 廃止：英国当局との調整のために再延期？”Google Patches Critical Chrome Vulnerability
2024/04/24 SecurityWeek — 4月22日 (月) に Google が発表したのは、深刻な４件の脆弱性を含むセキュリティホールを修正する、Chrome 124 へのアップデートである。その中で、最も深刻な脆弱性である CVE-2024-4058 は、ANGLE グラフィックス・レイヤー・エンジンに存在する、タイプ・コンヒュージョンのバグだと説明されている。この脆弱性は、リモートからの悪用と、限られたユーザー操作による任意のコード実行、サンドボックス・エスケープの可能性を生じるため、深刻度 Critical と評価されている。
Continue reading “Google Chrome の複数の脆弱性が FIX：CVE-2024-4058 は Critical の評価”AWS, Google, and Azure CLI Tools Could Leak Credentials in Build Logs
2024/04/16 TheHackerNews — Amazon Web Services (AWS) と Google Cloud の CLI (command-line interface) ツールを悪用することで、ビルド・ログに機密情報を漏えいさせ、組織に重大なリスクをもたらすという問題が、新たなサイバーセキュリティ調査で判明した。この脆弱性は、クラウドセキュリティ企業の Orca により、LeakyCLI と命名されている。
Continue reading “AWS／Google／Azure の CLI ツールの脆弱性：ビルド・ログから認証情報が漏えいする恐れ”Microsoft fixes two Windows zero-days exploited in malware attacks
2024/04/09 BleepingComputer — Microsoft は April 2024 Patch Tuesday において、積極的に悪用されるゼロデイ脆弱性２件を修正した。１つ目の脆弱性 CVE-2024-26234 は、プロキシ・ドライバのなりすましを許す欠陥だと説明されている。2023年12月に Sophos X-Ops により発見され、有効な Microsoft Hardware Publisher 証明書を使用して署名された悪意のドライバを追跡するために、同社の Team Lead である Christopher Budd により報告されたものだ。
Continue reading “Microsoft Windows における２件のゼロデイ：Sophos と ZDI と Google が発見”New Google Workspace feature prevents sensitive security changes if two admins don’t approve them
2024/04/09 HelpNetSecurity — Google が 4月9日に発表したのは、複数の特権管理者アカウントを持つ Google Workspace ユーザー向けに、マルチ・パーティによる承認を導入するというものだ。Google Workspace (旧 G Suite) は、企業向けにデザインされたクラウドベースの生産性とコラボレーションのためのツール／サービスである。この、オプションとして提供されるマルチ・パーティ承認機能は、2023年8月に Google Workspace チームが発表した、新たなセキュリティ機能のうちの一つである。
Continue reading “Google Workspace の新機能：マルチ・パーティによる承認でセキュリティ設定保護を強化”Google Chrome Adds V8 Sandbox – A New Defense Against Browser Attacks
2024/04/08 TheHackerNews — Google が発表したのは、Chrome におけるメモリ破壊問題に対処するために、この Web ブラウザで V8 Sandbox という名の機能をサポートすることだ。V8 Security Technical Lead である Samuel GroB によると、このサンドボックスにより、V8 におけるメモリ破損のホスト・プロセス内での拡大が防止されるとのことだ。Google は V8 Sandbox について、JavaScript と WebAssembly エンジンのための、軽量化されたプロセス内サンドボックスだと説明しており、一般的な V8 の脆弱性を軽減するように設計したと言っている。
Continue reading “Google が Chrome に搭載する V8 Sandbox：Web ブラウザのメモリ破損に対する最適解とは？”Google Patches Chrome Flaw That Earned Hackers $42,500 at Pwn2Own
2024/04/03 SecurityWeek — 4月2日 (火) に Google は、2024年3月に開催された Pwn2Own ハッキング・コンテストで証明された、新たなゼロデイ脆弱性を解決する Chrome アップデートを発表した。この、深刻度の高い脆弱性 CVE-2024-3159 は、V8 JavaScript および WebAssembly エンジンに存在する、境界外メモリ・アクセスの問題に起因すると説明されている。
Continue reading “Chrome と Pwn2Own：３つ目の深刻な脆弱性 CVE-2024-3159 が FIX：報奨金は $42,500”Google Agreed To Erase Billions Of Browser Records To Settle A Class Action Lawsuit
2024/04/02 SecurityAffairs — Google は、利用者からの集団訴訟に対して、”Incognito Mode” で収集された数十億件のユーザー閲覧行動などの、データを削除することに合意した。この、法律事務所 Boies Schiller Flexner が 2020年に起こした集団訴訟は、Google が Chrome ユーザーに Incognito Mode ではオンライン活動が追跡されないと欺き、同社がユーザーの知らないうちに、あるいは明示的な同意なしに、ユーザーの閲覧データを収集していたとしている。
Continue reading “Google が数十億件のデータ破棄に合意：Chrome を介した不誠実な情報収集が結審”Google now blocks spoofed emails for better phishing protection
2024/04/01 BleepingComputer — Google が開始したメールの自動的なブロックとは、スパム／フィッシング攻撃に対する防御を、新しいガイドラインの要求に応じて強化するものである。それにより、大量送信者により送信される欺瞞的なメッセージは、フルイにかけられることになる。現時点において Google は、Gmail アカウントに対して 5,000通を超えるメッセージを送信するドメインに対して、SPF/DKIM と DMARC メール認証を設定するよう求めている。この制限は、2023年10月に発表されたものである。
Continue reading “Gmail におけるスパム／フィッシング対策の強化：メール送信事業者は注意が必要”CVE-2024-0333: Chrome Flaw Could Have Let Attackers Sneak in Malicious Extensions
2024/03/28 SecurityOnline — Google Chrome の深刻な脆弱性 CVE-2024-0333 に関する技術的詳細が、この脆弱性の発見者であるセキュリティ研究者 Malcolm Stagg により公開された。この脆弱性を Stagg が発見したのは、Google Chrome における Elevation Service の悪用方法について調査を実施している最中であったという。
Continue reading “Chrome の権限昇格の脆弱性 CVE-2024-0333：技術詳細が公開”Google fixes Chrome zero-days exploited at Pwn2Own 2024
2024/03/27 BleepingComputer — 3月26日 (火) に Google は、Chrome Web ブラウザに存在する７件のセキュリティ脆弱性を修正した。そのうちの２件は、Pwn2Own Vancouver 2024 ハッキング大会で悪用が証明されたゼロデイ脆弱性である。１つ目の脆弱性 CVE-2024-2887 は、WebAssembly (Wasm) オープン・スタンダードにおける深刻度の高いタイプ・コンヒュージョンの脆弱性である。Pwn2Own の初日に Manfred Paul は、細工した HTML ページを用いて、Chrome／Edge をターゲットにする、ダブルタップによるリモートコード実行 (RCE) エクスプロイトの一部として、この脆弱性をデモした。
Continue reading “Google Chrome のゼロデイ CVE-2024-2887／2886 が FIX：Pwn2Own 2024 で悪用が証明された”Zero-Day Vulnerabilities Surged by Over 50% Annually, Says Google
2024/03/27 InfoSecurity — Google が検出したゼロデイ脆弱性の量は、2022年から2023年にかけて 50％ 以上も増加し、サードパーティ製コンポーネントのバグが増加しているとのことだ。Google TAG (Threat Analysis Group) と Mandiant の研究者で構成される調査チームは、2023年を振り返る “We’re All in this Together” で調査の結果を明らかにしている。2023年に発見されたゼロデイ脆弱性は合計で 97件であり、2021年の106件に僅かに及ばなかった。
Continue reading “Google のゼロデイ調査：2022／2023 の比較で50％ 以上も増加”Apple Patches Code Execution Vulnerability in iOS, macOS
2024/03/26 SecurityWeek — Apple がリリースしたのは、任意のコード実行の脆弱性を解決するための、iOS／macOS デバイス向けのセキュリティ・アップデートである。この脆弱性 CVE-2024-1580 は、境界外書き込みにつながる整数オーバーフローと説明されており、iOS／macOS の CoreMedia および WebRTC コンポーネントに影響を与えるものであり、画像処理中にトリガーされる可能性があるという。
Continue reading “Apple の RCE 脆弱性 CVE-2024-1580 が FIX：iOS／macOS での悪用を証明する PoC もリリース”NIST’s Vuln Database Downshifts, Prompting Questions About Its Future
2024/03/22 DarkReading — 2005年から NVD (National Vulnerability Database) は、世界中のセキュリティ研究者が発見した膨大な CVE (Common Vulnerabilities and Exposures) に関する、詳細情報を掲載してきた。しかし、この政府が後援する、重要かつ不可欠なデータベースが、2024年2月以降においては、ほぼ無意味なツールと化している。
Continue reading “NIST の脆弱性データベースの凍結：その将来に投げかけられる疑問とは？”Misconfigured Firebase instances leaked 19 million plaintext passwords
2024/03/19 BleepingComputer — データベース／クラウド／アプリ開発などをホスティングする、Google のプラットフォーム Firebase のミスコンフィグにより、1,900 万件あまりの平文のパスワードがインターネット上に流出していたことが、３人のサイバー・セキュリティ研究者たちの調査により明らかになった。研究者たちが 500 万件以上のドメインをスキャンしたところ、セキュリティ・ルールが有効化されていない組織の、あるいは、間違って設定されている組織の Web サイトが、916 件も発見されたとのことだ。さらに、電子メール／名前／パスワード／電話番号／銀行明細を含む請求情報などの個人情報が、1億2500万件以上も公開されていることも判明した。
Continue reading “Firebase インスタンスのミスコンフィグ：平文パスワード 1900 万件が流出”Hackers exploit Windows SmartScreen flaw to drop DarkGate malware
2024/03/14 BleepingComputer — DarkGate マルウェアによる新たな攻撃の波は、現時点では修正済みの Windows Defender SmartScreen の脆弱性を悪用し、セキュリティ・チェックを回避して、偽のソフトウェア・インストーラーを自動的にインストールするものだ。SmartScreen は Windows のセキュリティ機能であり、ユーザーがインターネットからダウンロードした不審なファイルなどの、実行が試みられる際に警告を表示する。しかし、Windows Defender SmartScreen の脆弱性 CVE-2024-21412 を悪用する、特別に細工されたダウンロード・ファイルにより、これらのセキュリティ警告の回避が可能になる。
Continue reading “Windows SmartScreen の脆弱性を悪用する DarkGate マルウェア：検出回避の戦術を解明”Canva Uncovers Critical Font Vulnerabilities, Exposes Cybersecurity Risks
2024/03/10 SecurityOnline — 人気のグラフィック・デザイン・プラットフォームである Canva が発表したのは、デジタル・フォントに関するセキュリティ調査の結果である。この調査により、フォントの処理／操作に使用されている FontTool／FontForge に、新たな３つの脆弱性があることが明らかになった。これらの脆弱性が浮き彫りにするのは、フォントに関連する見過ごされがちなセキュリティ・リスクと、厳重な予防措置の必要性である。
Continue reading “Canva が FontTool／FontForge の３つの脆弱性を発見：フォントに潜むリスクとは？”How to Find and Fix Risky Sharing in Google Drive
2024/03/06 TheHackerNews — Google Workspace の管理者なら誰でも、Google Drive 上で緩く共有された機密情報が、あっという間に乱雑な状態になることを知っている。それは、誰のせいでもない。組織の内外でのリアルタイム・コラボレーションを実現するための、生産性向上スイートとして設計されている以上、避けられないことなのだ。
Continue reading “Google Drive 上での機密データ管理：緩い共有がもたらす危険性を排除するには？”New Google Chrome feature blocks attacks against home networks
2024/02/17 BleepingComputer — Google Chrome の新機能のテストが始まった。その機能というのは、悪意の Web サイトがユーザーのブラウザを経由して、内部プライベート・ネットワーク上のデバイスやサービスを攻撃するのを防ぐためのものだ。簡単に言うと Google は、インターネット上の悪質な Web サイトを訪問したユーザーの、自宅やコンピュータ上のデバイスが、攻撃されることを防ごうと計画しているのだ。一般的に、これらのデバイスは、インターネットにはダイレクトに接続されておらず、ルーターにより保護されているため、安全だと考えられている。
Continue reading “Google Chrome の新機能のテストが開始：プライベート・ネットワークへの攻撃をブロック”Google Open Sources Magika: AI-Powered File Identification Tool
2024/02/17 TheHackerNews — Google は、人工知能 (AI) を搭載したファイル識別ツールである Magika をオープンソース化することを発表した。同社は、「Magika は、従来のファイル識別方法を凌駕するものであり、VBA／JavaScript／Powershell などの、従来は識別が困難であったが潜在的に問題のあるコンテンツに対して、全体として 30％の精度向上と、最大で 95％の高精度を提供する」と述べている。
Continue reading “Google Magika がオープンソース化：AI でファイルの安全性を識別”Gmail & Yahoo DMARC rollout: When cyber compliance gives a competitive edge
2024/02/16 HelpNetSecurity — サイバー・セキュリティの本質は、単なる防御だけにあるのではなく、信頼と信用を通じてビジネスを可能にすることにある。Gmail や Yahoo がメール認証の厳格化に踏み切る中、DMARC コンプライアンスに積極的に取り組む組織は、セキュリティ態勢を強化するだけではなく、大きなアドバンテージを得るだろう。このように、DMARC コンプライアンスは、単に標準を満たすだけではなく、混迷するデジタル市場において大きなチャンスをつかむ可能性をもたらす。
Continue reading “Gmail／Yahoo の DMARC が始まった：セキュリティの優位性をビジネスの優位性に”Google Chrome Zero-Day PoC Code Released
2024/02/11 SecurityOnline — Google Chrome に影響を及ぼすゼロデイ脆弱性 CVE-2022-4262 (CVSS 8.8) の、PoC (Proof-of-Concept) エクスプロイト・コードと技術的詳細が公開された。この脆弱性の核心は、Chrome ブラウザを動かす重要なコンポーネントである、Chrome V8 JavaScript エンジンにある。この深刻度の高い、タイプ・コンフュージョンの脆弱性は、Google TAG (Threat Analysis Group) の Clement Lecigne により明らかにされた。タイプ・コンフュージョンの脆弱性とは、ソフトウェアが渡されたオブジェクト・タイプを検証できない場合に発生し、予測不可能な動作を引き起こすものだ。
Continue reading “Chrome のゼロデイ脆弱性 CVE-2022-4262：詳細な情報と PoC エクスプロイトが公開された”CISA warns of a patched Chrome flaw now exploited in attacks
2024/02/07 SecurityOnline — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、広く使用されている Google Chrome Web ブラウザに存在し、積極的に悪用されるセキュリティ脆弱性に関して警告を発した。この脆弱性 CVE-2023-4762 の悪用に成功した攻撃者は、リモートから任意のコード実行を可能にし、ユーザーに深刻なリスクをもたらす。その影響として甚大な被害が予測されるため、個人および組織のユーザーは緊急の対応を迫られている。
Continue reading “CISA KEV 警告 24/02/06：Google Chrome の脆弱性 CVE-2023-4762 の悪用を確認”Check if you’re in Google Chrome’s third-party cookie phaseout test
2024/02/03 BleepingComputer — Google Chrome のサードパーティ Cookie の、段階的な廃止のテストが開始された。このテストは、ユーザーの約１％にあたる、約 3,000万人を対象に実施されるという。この記事では、自分がテストの対象に該当するかどうかを、確認する方法を紹介する。サードパーティ Cookie とは、ターゲット広告のために、さまざまな Web サイトでのユーザーの閲覧習慣を追跡するものだが、Google の Privacy Sandbox API へと、徐々に置き換えられている。Privacy Sandbox API とは、ユーザーのプライバシーを損なうことなく、ユーザーの興味に基づき、パーソナライズされた広告表示を行うことを目的としている。
Continue reading “Chrome サードパーティ Cookie の段階的な廃止が始まる：あなたはテストの対象？”Exploit released for Android local elevation flaw impacting 7 OEMs
2024/01/31 BleepingComputer — 少なくとも７つの Android OEM (Original Equipment Manufacturer) に影響を与える、Google Android のローカル権限昇格の脆弱性 の PoC エクスプロイトが、GitHub で公開された。ただし、このエクスプロイトはローカル・アクセスを必要とするため、公開されたとしても、利用できるのは研究者くらいだろう。この脆弱性 CVE-2023-45779 は、2023年9月上旬に Meta の Red Team X により発見され、2023年12月の Android のセキュリティ・アップデートで対処されたものである。
Continue reading “Android の権限昇格の脆弱性 CVE-2023-45779：少なくとも７つの OEM に影響する”CVE-2024-22860 & CVE-2024-22862: Critical FFmpeg Remote Code Execution Flaws
2024/01/29 SecurityOnline — マルチメディア・ファイル処理のための、人気のオープンソース・プロジェクト FFmpeg に、３つの脆弱性が発見された。これらの脆弱性は Google の OSS-Fuzz サービスを通じて発見されたものであり、そのうちの２つ (CVE-2024-22860／CVE-2024-22862) は特に深刻なものである。
Continue reading “FFmpeg の深刻な脆弱性 CVE-2024-22860／CVE-2024-22862 などが FIX：直ちにアップデートを！”Malicious Ads on Google Target Chinese Users with Fake Messaging Apps
2024/01/26 TheHackerNews — Google Ads で展開されている、Telegram などのメッセージング・アプリの不正広告キャンペーンにより、中国語圏のユーザーが狙われているという。1月25日のレポートで Malwarebytes の Jerome Segura は、「この脅威アクターは、Google の広告主アカウントを使用して悪意の広告を作成し、無防備なユーザーを RAT (Remote Administration Trojan) のダウンロード・ページに誘導している。この種の RAT は、攻撃者による被害者マシンの完全なコントロールを達成し、追加のマルウェアをドロップする能力を与える」と述べている。
Continue reading “FakeAPP という不正広告キャンペーン：偽の Google Ads で Line ユーザーも標的に！”Google Kubernetes Misconfig Lets Any Gmail Account Control Your Clusters
2024/01/24 TheHackerNews — Google Kubernetes Engine (GKE) に影響を与える脆弱性が、ybersecurity の研究者たちにより発見された。この脆弱性は、クラウド・セキュリティ企業 Orca によりコードネーム Sys:All と命名されており、現存する 250,000 ものアクティブな GKE クラスタに影響を与える可能性があると推定される。
Continue reading “GKE ミスコンフィグと脆弱性： 250,000 もの Kubernetes クラスタに影響”Experts Reveal Details and PoC on Chrome CVE-2024-0517 RCE Flaw
2024/01/21 SecurityOnline — 先日にパッチが適用された Google Chrome のセキュリティ脆弱性 CVE-2024-0517 に関する、技術的な詳細と PoC が公開された。この脆弱性 CVE-2024-0517 は、Chrome の JavaScript エンジンである V8 の境界外書き込みの欠陥に起因するものであり、Qrious Secure のセキュリティ研究者 Toan (suto) Pham に発見された後の 2024年1月に、Google によりパッチが適用されている。
Continue reading “Google Chrome の脆弱性 CVE-2024-0517：PoC エクスプロイトが公開”CISA pushes federal agencies to patch Citrix RCE within a week
2024/01/17 BleepingComputer — 2024年1月17日に CISA は、最近パッチが適用された Citrix NetScaler および Google Chrome のゼロデイ攻撃３件を、Known Exploited Vulnerabilities (KEV) カタログに追加した。CISA は、これらの脆弱性が攻撃で積極的に悪用されているとして、米連邦政府機関に対して、システムの安全性を確保するよう命じており、Citrix の RCE 脆弱性に関しては、１週間以内にパッチを適用するよう求めている。同機関は、このような脆弱性はサイバー攻撃者にとっての常套手段であり、連邦政府企業にとって重大なリスクであると述べている。
Continue reading “CISA KEV 警告 24/01/17：Citrix Netscaler／Google Chrome の脆弱性が追加”Google fixes first actively exploited Chrome zero-day of 2024
2024/01/16 BleepingComputer — Google は、2024年に入ってから初めて悪用された、Chrome のゼロデイ脆弱性 CVE-2024-0519 を修正するセキュリティ・アップデートをリリースした。同社は 2024年1月16日に公開したセキュリティ・アドバイザリで、「CVE-2024-0519 が、野放し状態で悪用されているという報告を受けている」と述べている。
Continue reading “Google Chrome ゼロデイ脆弱性 CVE-2024-0519 が FIX：野放し状態で悪用されている”Google: Malware abusing API is standard token theft, not an API issue
2024/01/06 BleepingComputer — Google は、先日に発見されたマルウェアの報告を軽視している。このマルウェアは、Google Chrome の文書化されていない API を悪用して、以前に盗まれた認証クッキーの有効期限が切れた際に新しい認証クッキーを生成するものだ。2023年11月下旬に、BleepingComputer は、攻撃で盗まれた期限切れの Google 認証クッキーを復元する２つの情報窃盗マルウェア・オペレーション Lumma／Rhadamanthys について報告をしている。これらのクッキーは、感染したユーザーの Google アカウントへの不正アクセスのために、脅威アクターに悪用される可能性がある。
Continue reading “Google API を介したトークン窃取：OAuth MultiLogin 問題は軽視されている？”CISA Warns of Active Exploitation of Chromium and Spreadsheet::ParseExcel
2024/01/02 SecurityOnline — 米国 CISA (Cybersecurity and Infrastructure Security Agency) は、サイバー脅威との継続的な戦いを強調する、重大な警告を発した。同庁は、2024年1月2日に２つの深刻な脆弱性を KEV (Known Exploited Vulnerabilities：既知の脆弱性) カタログに追加し、ユーザーと連邦政府機関に早急な対策の必要性を警告している。
Continue reading “CISA KEV 警告 24/01/02：Google Chromium／Spreadsheet::ParseExcel の２件の脆弱性を追加”Google Groups is ending support for Usenet to combat spam
2024/01/02 BleepingComputer — Google が先日に公式に発表したのは、Google Groups プラットフォームにおける、 Usenet グループのサポート終了だ。このサポートの終了は、2024年2月22日に実施され、それ以降においてユーザーは、Google Groups で新しい Usenet コンテンツの投稿／購読／閲覧ができなくなる。ただし、2月22日以前に投稿された、過去の Usenet コンテンツは、引き続き Google Groups で閲覧／検索できるという。
Continue reading “Google Groups が Usenet のサポート終了を発表：蔓延するスパム対策のため”Malware abuses Google OAuth endpoint to ‘revive’ cookies, hijack accounts
2023/12/29 BleepingComputer — 複数の情報窃取型マルウェア・ファミリーが、情報が文書化されていない MultiLogin という、Google OAuth エンドポイントを悪用していることが判明した。このエンドポイントを悪用することで、たとえアカウントのパスワードがリセットされた後でも、期限切れの認証クッキーを復元して、ユーザーのアカウントにログインすることが可能になる。セッション・クッキーとは、認証情報を含む特殊なブラウザ・クッキーであり、認証情報を入力することなく、Web サイトやサービスに自動的にログインできるようにするものだ。この種のクッキーは有効期間が限られているため、脅威アクターがクッキーを盗んだとしても、アカウントへのログインのために無期限に使用することはできないのが通常である。
Continue reading “OAuth エンドポイント MultiLogin：Google 認証クッキー復元の PoC もリリース”Google Chrome adds background scans for compromised passwords
2023/12/24 BleepingComputer — Google Chrome の Safety Check 機能は、Web ブラウザに保存されたパスワードの漏洩の有無をチェックために、バックグラウンドで動作するという。また、危険と判断されたエクステンション (Chrome Web ストアから削除されたもの) を使用している場合には、デスクトップ・ユーザーに警告を発する。Chrome の最新バージョンを使用していて、セーフ・ブラウジングが有効化されている場合には、Google のブラック・リストにある Web サイトをブロックする。
Continue reading “Google Chrome 安全性が向上：脆弱なパスワードなどを教えてくれる”Fake VPN Chrome extensions force-installed 1.5 million times
2023/12/22 BleepingComputer — VPN (Virtual Private Networks) を装う悪意の Chrome エクステンションが、150万回もダウンロードされていることが判明した。この悪意のエクステンションは、ブラウザ・ハイジャッカー／キャッシュバック・ハックツール／データ・スティーラーとしての、３つの機能を有しているという。この悪質なエクステンションを発見した ReasonLabs によると、それらのエクステンションは、Grand Theft Auto／Assassins Creed／The Sims 4 などの、人気ビデオゲームの海賊版に隠されたインストーラーを介して、多数のサイトから拡散しているという。
Continue reading “悪意の VPN Chrome エクステンション：すでに 150万回インストールされている”Google fixes 8th Chrome zero-day exploited in attacks this year
2023/12/20 BleepingComputer — Google Chrome のゼロデイ脆弱性を修正するための、緊急アップデートが公開された。Google は、「脆弱性 CVE-2023-7024 が、野放し状態で悪用されていることを認識している」と述べている。このゼロデイバグが Google に報告された翌日に、世界中の Stable Desktop チャンネル・ユーザー向けに修正版が提供された。Windows 版の 120.0.6099.129/130 と、Mac／Linux 版の120.0.6099.129 が、パッチ適用済のバージョンである。
Continue reading “Google Chrome ゼロデイ脆弱性 CVE-2023-7024 が FIX：WebRTC フレームワークの欠陥”Google’s New Tracking Protection in Chrome Blocks Third-Party Cookies
2023/12/15 TheHackerNews — Google が 12月14日に発表したのは、Web ブラウザのサードパーティ・クッキーレス対策の一環としての、新たな機能である “Tracking Protection” のテストの開始である。このテストは、Chrome ユーザーの１％を対象にして、2024年1月4日から開始される予定だという。
Continue reading “Chrome Privacy Sandbox の新機能 Tracking Protection：2024年1月からテストが開始”Google Chrome’s new cache change could boost performance
2023/12/02 BleepingComputer — Google Chrome の Back/Forward Cache (BFCache) 動作に、大きな変更が加えられた。それにより、ブラウザのキャッシュにページを保存を、Web マスターが行わないように指定した場合であっても、Web ページはキャッシュに保存されるようになる。
Continue reading “Google Chrome におけるキャッシュの役割：その再定義により何が変わるのか？”Exposed: Hidden Risks in Google Workspace’s Domain Delegation
2023/12/01 SecurityOnline — Google Workspace の Domain-Wide Delegation 機能に深刻なリスクが潜んでいることが、Palo Alto Networks の Unit 42 研究者たちより明らかにされた。この発見は、Google Cloud Platform (GCP) から Google Workspace ドメイン・データを悪用する可能性に光を当てるものだ。進化を続けるクラウド・コンピューティングの領域において、各種のサービスで見過ごされがちな、複雑な脆弱性を浮き彫りにするものである。
Continue reading “GCP から Google Workspace への横移動と攻撃：Domain-Wide Delegation の深刻なリスク”Google Unveils RETVec – Gmail’s New Defense Against Spam and Malicious Emails
2023/11/30 TheHackerNews — Google が公開したのは、RETVec (Resilient and Efficient Text Vectorizer の略) と呼ばれる新たな多言語テキスト・ベクタライザーである。それにより、Gmail 内のスパムや悪意のメールなどの、有害と推定されるコンテンツの検出が推進される。GitHub 上のプロジェクト説明には、RETVec は、挿入／削除／タイプミス／ホモグリフ／ LEET 置換などなどの、文字レベルでの悪意の操作に対して、回復力を持つように訓練されている。RETVec モデルは、すべての UTF-8 文字と単語を効率的に変換するための、新たな文字エンコーダー上で学習される」と記されている。
Continue reading “Google が公表した RETVec：Gmail からスパムや敵対行為を取り除くベクタラーザーとは？”AI Boosts Malware Detection Rates by 70%
2023/11/29 InfoSecurity — 脅威インテリジェンス共有プラットフォーム VirusTotal が発表したのは、マルウェア分析を強化するサイバー防御者たちが、AI を活用する方法を示す新たな調査結果である。VirusTotal が、この調査を通じて明らかにしたのは、AI が悪意のコードの解析に対して極めて有効であり、従来の手法と比較して 70% も多くの、悪意のスクリプトを特定する能力を持っていることだ。
Continue reading “VirusTotal における AI の活用：マルウェア検出が 70% も向上している”Google Chrome emergency update fixes 5th zero-day exploited in 2023
2023/11/29 BleepingComputer — Google Chrome の緊急セキュリティ・アップデートがリリースされ、今年で５件目となるゼロデイ脆弱性の悪用への対処が行われた。今日のセキュリティ・アドバイザリで Google は、この脆弱性 CVE-2023-6345 に対するエクスプロイトの存在を認めている。Google は、「脆弱性 CVE-2023-6345 が、野放し状態で悪用されていることを認識している」と述べている。
Continue reading “Google Chrome のゼロデイ脆弱性 CVE-2023-6345 が FIX：野放し状態で悪用されている”How passkeys are reshaping user security and convenience
2023/11/28 HelpNetSecurity — この Help Net Security のインタビューは、1Password の Head of Passwordless である Anna Pobletts が、Passkeys の導入と 2024年のその加速について語ったものだ。この傾向は、特にフィンテックや銀行などの規制の厳しいサービスにおいて顕著になっており、それらのユーザーはシンプルで馴染みのあるサインイン体験を求めている。Anna Pobletts は、パスワードレス認証がヘルプデスクや IT リソースの負担を軽減する方法と、ビジネスの加速／増収などの、より差し迫った問題に対して、時間とエネルギーを注ぐための方法についても述べている。
Continue reading “Passkeys の導入が拡大：2024年はイケイケで さらに加速？”Google confirms plans to phase out third-party cookies
2023/11/18 BleepingComputer — Google におけるサードパーティ・クッキーは、プライバシー・サンドボックス施策の主要な要素であり、それを段階的に廃止いていく計画が、正式に発表された。この段階的なアプローチは、2024年の序盤にユーザーの１%を対照したテスト期間から始まり、2024 Q3 にはより広範な段階的廃止に移行するという。
Continue reading “Google とサードパーティ・クッキー：段階的な廃止計画を公式に発表”Google Adds Passkey Support to New Titan Security Key
2023/11/16 SecurityWeek — 今週に Google は、Passkeys サポートを追加した、Titan セキュリティ・キーの新バージョンを発表した。Titan セキュリティ・キーは、フィッシングに強い二要素認証デバイスであり、連動するアプリケーションの数も増えている。Google の新たな Titan セキュリティ・キーは、NFC 機能を備えた USB-A／USB-C のモデルであり、従来からのモデルを置き換えるものとなる。
Continue reading “Google の Titan セキュリティ・キー：Passkeys 対応モデルを $30 で！”Zimbra Zero-Day Exploited to Hack Government Emails
2023/11/16 SecurityWeek — 11月16日 (木) に Google の TAG (Threat Analysis Group) が明らかにしたのは、2023年の初頭に Zimbra Collaboration Suite のゼロデイ脆弱性が悪用され、数カ国の政府組織から電子メールデータが盗まれたことである。この脆弱性 CVE-2023-37580 の存在は、７月中旬に Zimbra が、同社の電子メール・サーバー・ソリューションの顧客に通知した際に判明している。
Continue reading “Zimbra の脆弱性 CVE-2023-37580：ゼロデイの隙間で侵害が発生”BlackCat Ransomware Gang Targets Businesses Via Google Ads
2023/11/15 InfoSecurity — 悪名高い ALPHV／BlackCat ランサムウェアが、Google 広告を利用してマルウェアを配布していることが確認された。eSentire の Threat Response Unit (TRU) によると、このグループは $100M 規模の MGM Resorts の情報流出や、乳がん患者の機密画像流出事件を引き起こし、さらに攻撃手法をマルバタイジングに拡大しているという。
Continue reading “ALPHV／BlackCat ランサムウェア：マルウェアの配布に Google 広告を悪用”Google Warns How Hackers Could Abuse Calendar Service as a Covert C2 Channel
2023/11/06 TheHackerNews — Google Calendar サービスを悪用して、Command and Control (C2) インフラをホストする PoC エクスプロイトを、複数の脅威アクターが共有していることを、Google 自身が警告している。この、Google Calendar RAT (GCR) と呼ばれるツールは、Gmail アカウントを介して、C2 サーバとして Google Calendar Events を悪用するものだ。そして、2023年6月に GitHub に公開さてから、脅威アクターたちの間で共有されているという。
Continue reading “Google Calendar の悪用が露見：イベント記述を介して C2 通信が行われる”
IoT OT Security News 
You must be logged in to post a comment.