Google – Page 6 – IoT OT Security News

Squarespace への侵害：Google Domains から移行したドメインに甚大な被害が

Hackers Exploit Flaw in Squarespace Migration to Hijack Domains

2024/07/16 SecurityWeek — 先週のことだが、Squarespace に登録された複数のドメイン名がハッカーに侵害され、複数の暗号通貨プラットフォームが DNS レコード制御を取り戻すために、奔走する事態となっている。2023年に Squarespace が買収した、Google Domains からの移行ドメインを管理するアカウントに、この 7月9日に始まった侵害の影響は及んでいる。Squarespace は、Google から買収した約 1,000万件のドメイン名のユーザーを移行してきたが、その方式に潜んでいた欠陥を悪用するハッカーにアカウントが乗っ取られ、それらのドメインの DNS レコードが変更されるという事態に陥った。

Google の KVM のゼロデイ脆弱性報奨プログラム kvmCTF が開始：その報酬額は MAX で $250,000

Google now pays $250,000 for KVM zero-day vulnerabilities

2024/07/01 BleepingComputer — Google が立ち上げたのは、KVM (Kernel-based Virtual Machine) ハイパーバイザーのセキュリティ向上のための、新たな脆弱性報奨プログラム (VRP：vulnerability reward program) としての kvmCTF である。この kvmCTF は、2023年10月に発表されたものであり、完全な VM エスケープ・エクスプロイトに対して、$ 250,000 の報奨金が支払われるという。KVM (Kernel-based Virtual Machine) は、17年以上にわたって開発されているオープンソースのハイパーバイザーである。そして、いまでは、コンシューマーや企業における重要なコンポーネントとなり、Android や Google のクラウド・プラットフォームの基盤としても活用されている。

Entrust 認証局は 11月1日より Chrome がブロック：信頼に値しないという Google の判断

Google to Block Entrust Certificates in Chrome Starting November 2024

2024/06/29 TheHackerNews — Google の発表は、Entrust の証明書を使用している Web サイトを、2024年11月1日頃から Chrome でブロックするという方針である。Google Chrome セキュリティ・チームは、「これまでの数年にわたり、一般に公開されたインシデント・レポートにより、Entrust における懸念すべき行動パターンが浮き彫りになっている。具体的に言うと、期待を下回る能力／信頼性／不誠実さにより、公に信頼されるべき認証局の所有者としての、信頼が損なわれている」と述べている。

悪意の Chrome エクステンション TRANSLATEXT：機密データを窃取する北朝鮮 Kimsuky の手口とは？

Kimsuky Using TRANSLATEXT Chrome Extension to Steal Sensitive Data

2024/06/28 TheHackerNews — 北朝鮮の脅威アクター Kimsuky が、機密情報を盗むように設計された、新たな悪意の Google Chrome エクステンションを使用して、情報収集活動を展開している。この活動を 2024年3月初旬に観測した Zscaler ThreatLabz は、このエクステンションのコードネームを TRANSLATEXT とし、電子メールアドレス／ユーザー名／パスワード／クッキー／ブラウザのスクリーン・ショットなどを、収集する機能を持つと指摘している。この標的型キャンペーンは、韓国の学術界を狙うものであり、特に北朝鮮の政治問題に関連するアカウントを標的にしたものだと見られている。

Google Chrome 126 がリリース：CVE-2024-6100 などの深刻な脆弱性に対応

Google Chrome 126 Update Addresses Multiple High-Severity Flaws

2024/06/19 SecurityAffairs — Google は Chrome 126 セキュリティ・アップデートをリリースし、SSD Secure Disclosure の TyphoonPWN 2024で実証された、CVE-2024-6100 などの６件の脆弱性に対処した。韓国のソウルで開催される TyphoonPWN は、攻撃型セキュリティ・カンファレンス TyphoonCon の中のライブ・ハッキング大会である。

Google Chrome の偽エラー・トリックに要注意：巧みな誘導で悪意の PowerShell を実行

Fake Google Chrome errors trick you into running malicious PowerShell scripts

2024/06/17 BleepingComputer — Google Chrome／Microsoft Word／OneDrive のエラーを装い、ユーザーを騙してマルウェアをインストールさせるために、PowerShell の悪質な “修正プログラム” を実行させるという、新たなマルウェア配布キャンペーンが発生している。この新しいキャンペーンは、ClearFake や ClickFix と呼ばれる新しい攻撃クラスターを操る、複数の脅威アクターにより使用されていることが確認されている。また、大量のメールを送信してマルウェアやランサムウェアの感染を引き起こす、スパム配信者 TA571 にも使用されているようだ。

Google の Privacy Sandbox：欧州の非営利団体 noyb から痛烈に批判される

Google’s Privacy Sandbox Accused of User Tracking by Austrian Non-Profit

2024/06/14 TheHackerNews — Google Chrome の Privacy Sandbox において、サードパーティのトラッキング・クッキーを非推奨にする計画だが、新たな問題にぶつかっている。この機能は、依然としてユーザー追跡のために使用できると、オーストリアのプライバシー非営利団体 noyb (none of your business) が指摘しているのだ。

Google の Manifest V3 移行：広告ブロッカー V2 対応は無効化される

Google Chrome change that weakens ad blockers begins June 3rd

2024/06/01 BleepingComputer — Google は、2024年6月の初旬から Chrome の Manifest V2 エクステンションを段階的に廃止し、広告ブロッカー機能を弱める計画を進めている。同社によると、今回の決定は、コミュニティの進捗状況とフィードバックに基づくものであり、これ以上の遅延は不要であると判断されたとのことだ。

Google Play の悪意の Android アプリ 90種類：550 万以上もインストールされる

Over 90 malicious Android apps with 5.5M installs found on Google Play

2024/05/28 BleepingComputer — 90種類以上の悪意の Android アプリが、Google Play から 55,000,000 回以上もインストールされ、マルウェアやアドウェアを配信していることが判明した。バンキング型トロイの木馬 Anatsa (別名：Teabot) は、ヨーロッパ／米国／英国／アジアなどの金融機関の、650 種類以上のアプリケーションを標的としている。このトロイの木馬は、人々のｅバンキングの認証情報を盗み出し、不正な取引を実行しようとするものだ。

Google Chrome の脆弱性 CVE-2024-5274 が FIX：脅威度は High

Google Discovers Fourth Zero-Day in Less Than a Month

2024/05/25 DarkReading — Google は、Chrome に存在する深刻度の高いセキュリティ上の脆弱性 CVE-2024-5274 に関するアップデートを公開した。CVE-2024-5274 は、V8 JavaScript／WebAssembly エンジンにおけるタイプ・コンフュージョンの脆弱性であり、その脅威度は High に分類されている。

Google Chrome の深刻な脆弱性 CVE-2024-4947 が FIX：悪用を確認

Google fixes third actively exploited Chrome zero-day in a week

2024/05/15 BleepingComputer — Google Chrome のセキュリティ・アップデートが緊急リリースされ、この１週間で攻撃で悪用された３つ目のゼロデイ脆弱性への対処が完了した。5月15日 (水) 公開されたセキュリティ・アドバイザリで Google は、「脆弱性 CVE-2024-4947 が悪用されていることを認識している」と述べている。同社は、Mac／Windows 用の 125.0.6422.60／.61 と、Linux 用の 125.0.6422.60のリリースにより、このゼロデイ欠陥を修正した。新バージョンは、今後の数週間をかけて、Stable Desktop チャンネルに登録されている全ユーザーに配布される。

Google Chrome の脆弱性 CVE-2024-4761 が FIX：野放し状態での悪用を確認

CVE-2024-4761: Zero-Day Vulnerability Patched in Google Chrome

2024/05/13 SecurityOnline —Google Chrome に存在する、深刻度の高いゼロデイ脆弱性が対処された。脆弱性 CVE-2024-4761 は、Chrome の JavaScript エンジン V8 で発見された、Out of Bounds Write の欠陥に起因するものだ。この重大なセキュリティ問題は、匿名の研究者により発見／報告され、最新のブラウザが直面する継続的な脅威が浮き彫りにされた。

Google Chrome ゼロデイ脆弱性 CVE-2024-4671 が FIX：悪用が確認されている

Google Rushes to Patch Chrome Zero-Day Exploit: CVE-2024-4671

2024/05/09 SecurityOnline — Google が発表したのは、すでに Chrome で悪用が確認されている、深刻な脆弱性に対処する緊急のセキュリティ・アップデートである。その脆弱性 CVE-2024-4671 、Chrome ブラウザの Visuals コンポーネント内に存在する、use after free のバグに起因する。

Google の最新セキュリティ製品：AI とMandiant のノウハウをプッシュ – RSA Con 2024

Google Debuts New Security Products, Hyping AI and Mandiant Expertise

2024/05/06 SecurityWeek — Mandiant を $5.6 billion で買収した Google だが、それから僅か２年足らずで、野心的なエンタープライズ・セキュリティ戦略を具体化し始めている。具体的に言うと、脅威インテリジェンスとセキュリティ・オペレーションの新製品を発表し、AI の魔法を使って急成長するサイバー・セキュリティ市場への参入を宣言している。

Google と Passkeys：すでに４億以上のアカウントでユーザーを認証している

Google Announces Passkeys Adopted by Over 400 Million Accounts

2024/05/03 TheHackerNews — 5月2日 (木) に Google が発表したのは、４億以上の Google アカウントで Passkeys が使用され、これまでの２年間で 10億回以上もユーザーを認証してきたことだ。Google の VP of Security Engineering である Heather Adkins は、「Passkeys は使いやすく、フィッシングに強く、指紋／顔スキャン／ピンのみに依存するため、パスワードよりも 50％も高速である」と述べている。SMS OTP (one-time passwords) や、アプリベースの OTP といった、従来からの二要素認証の合計数よりも、すでに Passkeys は、Google アカウントの認証において数多く使われていると、同社は指摘している。

Google Play から排除された 228万件のアプリ：プライバシー侵害との 2023年の戦い

Google Says it Blocked 2.28 Million Apps from Google Play Store

2024/04/29 SecurityWeek — 4月29日 (月) に Google が発表したのは、セキュリティのプロセスを改善したことで、2023年の Google Play アプリ・ストアでは、プライバシーを侵害する 228万件のアプリの公開が阻止されたというトピックだ。悪質な Android アプリや脅威アクターたちとの戦いにおいて、優れたセキュリティ機能／更新されたポリシー／高度な機械学習／アプリケーション審査プロセス／開発者のオンボーディング強化への投資などが効果的だったと、同社は述べている。

Google のサードパーティー Cookie 廃止：英国当局との調整のために再延期？

Google Postpones Third-Party Cookie Deprecation Amid U.K. Regulatory Scrutiny

2024/04/25 TheHackerNews — Privacy Sandbox イニシアチブをめぐって発生している、英国の規制当局との未解決の懸念に対処している Google だが、Chrome のサードパーティ・トラッキング・クッキー廃止計画を再びプッシュし始めた。Google は、英国の CMA (Competition and Markets Authority) と緊密に協力しており、年内に合意を達成したいと述べている。

Google Chrome の複数の脆弱性が FIX：CVE-2024-4058 は Critical の評価

Google Patches Critical Chrome Vulnerability

2024/04/24 SecurityWeek — 4月22日 (月) に Google が発表したのは、深刻な４件の脆弱性を含むセキュリティホールを修正する、Chrome 124 へのアップデートである。その中で、最も深刻な脆弱性である CVE-2024-4058 は、ANGLE グラフィックス・レイヤー・エンジンに存在する、タイプ・コンヒュージョンのバグだと説明されている。この脆弱性は、リモートからの悪用と、限られたユーザー操作による任意のコード実行、サンドボックス・エスケープの可能性を生じるため、深刻度 Critical と評価されている。

AWS／Google／Azure の CLI ツールの脆弱性：ビルド・ログから認証情報が漏えいする恐れ

AWS, Google, and Azure CLI Tools Could Leak Credentials in Build Logs

2024/04/16 TheHackerNews — Amazon Web Services (AWS) と Google Cloud の CLI (command-line interface) ツールを悪用することで、ビルド・ログに機密情報を漏えいさせ、組織に重大なリスクをもたらすという問題が、新たなサイバーセキュリティ調査で判明した。この脆弱性は、クラウドセキュリティ企業の Orca により、LeakyCLI と命名されている。

Microsoft Windows における２件のゼロデイ：Sophos と ZDI と Google が発見

Microsoft fixes two Windows zero-days exploited in malware attacks

2024/04/09 BleepingComputer — Microsoft は April 2024 Patch Tuesday において、積極的に悪用されるゼロデイ脆弱性２件を修正した。１つ目の脆弱性 CVE-2024-26234 は、プロキシ・ドライバのなりすましを許す欠陥だと説明されている。2023年12月に Sophos X-Ops により発見され、有効な Microsoft Hardware Publisher 証明書を使用して署名された悪意のドライバを追跡するために、同社の Team Lead である Christopher Budd により報告されたものだ。

Google Workspace の新機能：マルチ・パーティによる承認でセキュリティ設定保護を強化

New Google Workspace feature prevents sensitive security changes if two admins don’t approve them

2024/04/09 HelpNetSecurity — Google が 4月9日に発表したのは、複数の特権管理者アカウントを持つ Google Workspace ユーザー向けに、マルチ・パーティによる承認を導入するというものだ。Google Workspace (旧 G Suite) は、企業向けにデザインされたクラウドベースの生産性とコラボレーションのためのツール／サービスである。この、オプションとして提供されるマルチ・パーティ承認機能は、2023年8月に Google Workspace チームが発表した、新たなセキュリティ機能のうちの一つである。

Google が Chrome に搭載する V8 Sandbox：Web ブラウザのメモリ破損に対する最適解とは？

Google Chrome Adds V8 Sandbox – A New Defense Against Browser Attacks

2024/04/08 TheHackerNews — Google が発表したのは、Chrome におけるメモリ破壊問題に対処するために、この Web ブラウザで V8 Sandbox という名の機能をサポートすることだ。V8 Security Technical Lead である Samuel GroB によると、このサンドボックスにより、V8 におけるメモリ破損のホスト・プロセス内での拡大が防止されるとのことだ。Google は V8 Sandbox について、JavaScript と WebAssembly エンジンのための、軽量化されたプロセス内サンドボックスだと説明しており、一般的な V8 の脆弱性を軽減するように設計したと言っている。

Chrome と Pwn2Own：３つ目の深刻な脆弱性 CVE-2024-3159 が FIX：報奨金は $42,500

Google Patches Chrome Flaw That Earned Hackers $42,500 at Pwn2Own

2024/04/03 SecurityWeek — 4月2日 (火) に Google は、2024年3月に開催された Pwn2Own ハッキング・コンテストで証明された、新たなゼロデイ脆弱性を解決する Chrome アップデートを発表した。この、深刻度の高い脆弱性 CVE-2024-3159 は、V8 JavaScript および WebAssembly エンジンに存在する、境界外メモリ・アクセスの問題に起因すると説明されている。

Google が数十億件のデータ破棄に合意：Chrome を介した不誠実な情報収集が結審

Google Agreed To Erase Billions Of Browser Records To Settle A Class Action Lawsuit

2024/04/02 SecurityAffairs — Google は、利用者からの集団訴訟に対して、”Incognito Mode” で収集された数十億件のユーザー閲覧行動などの、データを削除することに合意した。この、法律事務所 Boies Schiller Flexner が 2020年に起こした集団訴訟は、Google が Chrome ユーザーに Incognito Mode ではオンライン活動が追跡されないと欺き、同社がユーザーの知らないうちに、あるいは明示的な同意なしに、ユーザーの閲覧データを収集していたとしている。

Gmail におけるスパム／フィッシング対策の強化：メール送信事業者は注意が必要

Google now blocks spoofed emails for better phishing protection

2024/04/01 BleepingComputer — Google が開始したメールの自動的なブロックとは、スパム／フィッシング攻撃に対する防御を、新しいガイドラインの要求に応じて強化するものである。それにより、大量送信者により送信される欺瞞的なメッセージは、フルイにかけられることになる。現時点において Google は、Gmail アカウントに対して 5,000通を超えるメッセージを送信するドメインに対して、SPF/DKIM と DMARC メール認証を設定するよう求めている。この制限は、2023年10月に発表されたものである。

Chrome の権限昇格の脆弱性 CVE-2024-0333：技術詳細が公開

CVE-2024-0333: Chrome Flaw Could Have Let Attackers Sneak in Malicious Extensions

2024/03/28 SecurityOnline — Google Chrome の深刻な脆弱性 CVE-2024-0333 に関する技術的詳細が、この脆弱性の発見者であるセキュリティ研究者 Malcolm Stagg により公開された。この脆弱性を Stagg が発見したのは、Google Chrome における Elevation Service の悪用方法について調査を実施している最中であったという。

Google Chrome のゼロデイ CVE-2024-2887／2886 が FIX：Pwn2Own 2024 で悪用が証明された

Google fixes Chrome zero-days exploited at Pwn2Own 2024

2024/03/27 BleepingComputer — 3月26日 (火) に Google は、Chrome Web ブラウザに存在する７件のセキュリティ脆弱性を修正した。そのうちの２件は、Pwn2Own Vancouver 2024 ハッキング大会で悪用が証明されたゼロデイ脆弱性である。１つ目の脆弱性 CVE-2024-2887 は、WebAssembly (Wasm) オープン・スタンダードにおける深刻度の高いタイプ・コンヒュージョンの脆弱性である。Pwn2Own の初日に Manfred Paul は、細工した HTML ページを用いて、Chrome／Edge をターゲットにする、ダブルタップによるリモートコード実行 (RCE) エクスプロイトの一部として、この脆弱性をデモした。

Google のゼロデイ調査：2022／2023 の比較で50％以上も増加

Zero-Day Vulnerabilities Surged by Over 50% Annually, Says Google

2024/03/27 InfoSecurity — Google が検出したゼロデイ脆弱性の量は、2022年から2023年にかけて 50％以上も増加し、サードパーティ製コンポーネントのバグが増加しているとのことだ。Google TAG (Threat Analysis Group) と Mandiant の研究者で構成される調査チームは、2023年を振り返る “We’re All in this Together” で調査の結果を明らかにしている。2023年に発見されたゼロデイ脆弱性は合計で 97件であり、2021年の106件に僅かに及ばなかった。

Apple の RCE 脆弱性 CVE-2024-1580 が FIX：iOS／macOS での悪用を証明する PoC もリリース

Apple Patches Code Execution Vulnerability in iOS, macOS

2024/03/26 SecurityWeek — Apple がリリースしたのは、任意のコード実行の脆弱性を解決するための、iOS／macOS デバイス向けのセキュリティ・アップデートである。この脆弱性 CVE-2024-1580 は、境界外書き込みにつながる整数オーバーフローと説明されており、iOS／macOS の CoreMedia および WebRTC コンポーネントに影響を与えるものであり、画像処理中にトリガーされる可能性があるという。

NIST の脆弱性データベースの凍結：その将来に投げかけられる疑問とは？

NIST’s Vuln Database Downshifts, Prompting Questions About Its Future

2024/03/22 DarkReading — 2005年から NVD (National Vulnerability Database) は、世界中のセキュリティ研究者が発見した膨大な CVE (Common Vulnerabilities and Exposures) に関する、詳細情報を掲載してきた。しかし、この政府が後援する、重要かつ不可欠なデータベースが、2024年2月以降においては、ほぼ無意味なツールと化している。

Firebase インスタンスのミスコンフィグ：平文パスワード 1900 万件が流出

Misconfigured Firebase instances leaked 19 million plaintext passwords

2024/03/19 BleepingComputer — データベース／クラウド／アプリ開発などをホスティングする、Google のプラットフォーム Firebase のミスコンフィグにより、1,900 万件あまりの平文のパスワードがインターネット上に流出していたことが、３人のサイバー・セキュリティ研究者たちの調査により明らかになった。研究者たちが 500 万件以上のドメインをスキャンしたところ、セキュリティ・ルールが有効化されていない組織の、あるいは、間違って設定されている組織の Web サイトが、916 件も発見されたとのことだ。さらに、電子メール／名前／パスワード／電話番号／銀行明細を含む請求情報などの個人情報が、1億2500万件以上も公開されていることも判明した。

Windows SmartScreen の脆弱性を悪用する DarkGate マルウェア：検出回避の戦術を解明

Hackers exploit Windows SmartScreen flaw to drop DarkGate malware

2024/03/14 BleepingComputer — DarkGate マルウェアによる新たな攻撃の波は、現時点では修正済みの Windows Defender SmartScreen の脆弱性を悪用し、セキュリティ・チェックを回避して、偽のソフトウェア・インストーラーを自動的にインストールするものだ。SmartScreen は Windows のセキュリティ機能であり、ユーザーがインターネットからダウンロードした不審なファイルなどの、実行が試みられる際に警告を表示する。しかし、Windows Defender SmartScreen の脆弱性 CVE-2024-21412 を悪用する、特別に細工されたダウンロード・ファイルにより、これらのセキュリティ警告の回避が可能になる。

Canva が FontTool／FontForge の３つの脆弱性を発見：フォントに潜むリスクとは？

Canva Uncovers Critical Font Vulnerabilities, Exposes Cybersecurity Risks

2024/03/10 SecurityOnline — 人気のグラフィック・デザイン・プラットフォームである Canva が発表したのは、デジタル・フォントに関するセキュリティ調査の結果である。この調査により、フォントの処理／操作に使用されている FontTool／FontForge に、新たな３つの脆弱性があることが明らかになった。これらの脆弱性が浮き彫りにするのは、フォントに関連する見過ごされがちなセキュリティ・リスクと、厳重な予防措置の必要性である。

Google Drive 上での機密データ管理：緩い共有がもたらす危険性を排除するには？

How to Find and Fix Risky Sharing in Google Drive

2024/03/06 TheHackerNews — Google Workspace の管理者なら誰でも、Google Drive 上で緩く共有された機密情報が、あっという間に乱雑な状態になることを知っている。それは、誰のせいでもない。組織の内外でのリアルタイム・コラボレーションを実現するための、生産性向上スイートとして設計されている以上、避けられないことなのだ。

Google Chrome の新機能のテストが開始：プライベート・ネットワークへの攻撃をブロック

New Google Chrome feature blocks attacks against home networks

2024/02/17 BleepingComputer — Google Chrome の新機能のテストが始まった。その機能というのは、悪意の Web サイトがユーザーのブラウザを経由して、内部プライベート・ネットワーク上のデバイスやサービスを攻撃するのを防ぐためのものだ。簡単に言うと Google は、インターネット上の悪質な Web サイトを訪問したユーザーの、自宅やコンピュータ上のデバイスが、攻撃されることを防ごうと計画しているのだ。一般的に、これらのデバイスは、インターネットにはダイレクトに接続されておらず、ルーターにより保護されているため、安全だと考えられている。

Google Magika がオープンソース化：AI でファイルの安全性を識別

Google Open Sources Magika: AI-Powered File Identification Tool

2024/02/17 TheHackerNews — Google は、人工知能 (AI) を搭載したファイル識別ツールである Magika をオープンソース化することを発表した。同社は、「Magika は、従来のファイル識別方法を凌駕するものであり、VBA／JavaScript／Powershell などの、従来は識別が困難であったが潜在的に問題のあるコンテンツに対して、全体として 30％の精度向上と、最大で 95％の高精度を提供する」と述べている。

Gmail／Yahoo の DMARC が始まった：セキュリティの優位性をビジネスの優位性に

Gmail & Yahoo DMARC rollout: When cyber compliance gives a competitive edge

2024/02/16 HelpNetSecurity — サイバー・セキュリティの本質は、単なる防御だけにあるのではなく、信頼と信用を通じてビジネスを可能にすることにある。Gmail や Yahoo がメール認証の厳格化に踏み切る中、DMARC コンプライアンスに積極的に取り組む組織は、セキュリティ態勢を強化するだけではなく、大きなアドバンテージを得るだろう。このように、DMARC コンプライアンスは、単に標準を満たすだけではなく、混迷するデジタル市場において大きなチャンスをつかむ可能性をもたらす。

Chrome のゼロデイ脆弱性 CVE-2022-4262：詳細な情報と PoC エクスプロイトが公開された

Google Chrome Zero-Day PoC Code Released

2024/02/11 SecurityOnline — Google Chrome に影響を及ぼすゼロデイ脆弱性 CVE-2022-4262 (CVSS 8.8) の、PoC (Proof-of-Concept) エクスプロイト・コードと技術的詳細が公開された。この脆弱性の核心は、Chrome ブラウザを動かす重要なコンポーネントである、Chrome V8 JavaScript エンジンにある。この深刻度の高い、タイプ・コンフュージョンの脆弱性は、Google TAG (Threat Analysis Group) の Clement Lecigne により明らかにされた。タイプ・コンフュージョンの脆弱性とは、ソフトウェアが渡されたオブジェクト・タイプを検証できない場合に発生し、予測不可能な動作を引き起こすものだ。

CISA KEV 警告 24/02/06：Google Chrome の脆弱性 CVE-2023-4762 の悪用を確認

CISA warns of a patched Chrome flaw now exploited in attacks

2024/02/07 SecurityOnline — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、広く使用されている Google Chrome Web ブラウザに存在し、積極的に悪用されるセキュリティ脆弱性に関して警告を発した。この脆弱性 CVE-2023-4762 の悪用に成功した攻撃者は、リモートから任意のコード実行を可能にし、ユーザーに深刻なリスクをもたらす。その影響として甚大な被害が予測されるため、個人および組織のユーザーは緊急の対応を迫られている。

Chrome サードパーティ Cookie の段階的な廃止が始まる：あなたはテストの対象？

Check if you’re in Google Chrome’s third-party cookie phaseout test

2024/02/03 BleepingComputer — Google Chrome のサードパーティ Cookie の、段階的な廃止のテストが開始された。このテストは、ユーザーの約１％にあたる、約 3,000万人を対象に実施されるという。この記事では、自分がテストの対象に該当するかどうかを、確認する方法を紹介する。サードパーティ Cookie とは、ターゲット広告のために、さまざまな Web サイトでのユーザーの閲覧習慣を追跡するものだが、Google の Privacy Sandbox API へと、徐々に置き換えられている。Privacy Sandbox API とは、ユーザーのプライバシーを損なうことなく、ユーザーの興味に基づき、パーソナライズされた広告表示を行うことを目的としている。

Android の権限昇格の脆弱性 CVE-2023-45779：少なくとも７つの OEM に影響する

Exploit released for Android local elevation flaw impacting 7 OEMs

2024/01/31 BleepingComputer — 少なくとも７つの Android OEM (Original Equipment Manufacturer) に影響を与える、Google Android のローカル権限昇格の脆弱性の PoC エクスプロイトが、GitHub で公開された。ただし、このエクスプロイトはローカル・アクセスを必要とするため、公開されたとしても、利用できるのは研究者くらいだろう。この脆弱性 CVE-2023-45779 は、2023年9月上旬に Meta の Red Team X により発見され、2023年12月の Android のセキュリティ・アップデートで対処されたものである。

FFmpeg の深刻な脆弱性 CVE-2024-22860／CVE-2024-22862 などが FIX：直ちにアップデートを！

CVE-2024-22860 & CVE-2024-22862: Critical FFmpeg Remote Code Execution Flaws

2024/01/29 SecurityOnline — マルチメディア・ファイル処理のための、人気のオープンソース・プロジェクト FFmpeg に、３つの脆弱性が発見された。これらの脆弱性は Google の OSS-Fuzz サービスを通じて発見されたものであり、そのうちの２つ (CVE-2024-22860／CVE-2024-22862) は特に深刻なものである。

FakeAPP という不正広告キャンペーン：偽の Google Ads で Line ユーザーも標的に！

Malicious Ads on Google Target Chinese Users with Fake Messaging Apps

2024/01/26 TheHackerNews — Google Ads で展開されている、Telegram などのメッセージング・アプリの不正広告キャンペーンにより、中国語圏のユーザーが狙われているという。1月25日のレポートで Malwarebytes の Jerome Segura は、「この脅威アクターは、Google の広告主アカウントを使用して悪意の広告を作成し、無防備なユーザーを RAT (Remote Administration Trojan) のダウンロード・ページに誘導している。この種の RAT は、攻撃者による被害者マシンの完全なコントロールを達成し、追加のマルウェアをドロップする能力を与える」と述べている。

GKE ミスコンフィグと脆弱性： 250,000 もの Kubernetes クラスタに影響

Google Kubernetes Misconfig Lets Any Gmail Account Control Your Clusters

2024/01/24 TheHackerNews — Google Kubernetes Engine (GKE) に影響を与える脆弱性が、ybersecurity の研究者たちにより発見された。この脆弱性は、クラウド・セキュリティ企業 Orca によりコードネーム Sys:All と命名されており、現存する 250,000 ものアクティブな GKE クラスタに影響を与える可能性があると推定される。

Google Chrome の脆弱性 CVE-2024-0517：PoC エクスプロイトが公開

Experts Reveal Details and PoC on Chrome CVE-2024-0517 RCE Flaw

2024/01/21 SecurityOnline — 先日にパッチが適用された Google Chrome のセキュリティ脆弱性 CVE-2024-0517 に関する、技術的な詳細と PoC が公開された。この脆弱性 CVE-2024-0517 は、Chrome の JavaScript エンジンである V8 の境界外書き込みの欠陥に起因するものであり、Qrious Secure のセキュリティ研究者 Toan (suto) Pham に発見された後の 2024年1月に、Google によりパッチが適用されている。

CISA KEV 警告 24/01/17：Citrix Netscaler／Google Chrome の脆弱性が追加

CISA pushes federal agencies to patch Citrix RCE within a week

2024/01/17 BleepingComputer — 2024年1月17日に CISA は、最近パッチが適用された Citrix NetScaler および Google Chrome のゼロデイ攻撃３件を、Known Exploited Vulnerabilities (KEV) カタログに追加した。CISA は、これらの脆弱性が攻撃で積極的に悪用されているとして、米連邦政府機関に対して、システムの安全性を確保するよう命じており、Citrix の RCE 脆弱性に関しては、１週間以内にパッチを適用するよう求めている。同機関は、このような脆弱性はサイバー攻撃者にとっての常套手段であり、連邦政府企業にとって重大なリスクであると述べている。

Google Chrome ゼロデイ脆弱性 CVE-2024-0519 が FIX：野放し状態で悪用されている

Google fixes first actively exploited Chrome zero-day of 2024

2024/01/16 BleepingComputer — Google は、2024年に入ってから初めて悪用された、Chrome のゼロデイ脆弱性 CVE-2024-0519 を修正するセキュリティ・アップデートをリリースした。同社は 2024年1月16日に公開したセキュリティ・アドバイザリで、「CVE-2024-0519 が、野放し状態で悪用されているという報告を受けている」と述べている。

Google API を介したトークン窃取：OAuth MultiLogin 問題は軽視されている？

Google: Malware abusing API is standard token theft, not an API issue

2024/01/06 BleepingComputer — Google は、先日に発見されたマルウェアの報告を軽視している。このマルウェアは、Google Chrome の文書化されていない API を悪用して、以前に盗まれた認証クッキーの有効期限が切れた際に新しい認証クッキーを生成するものだ。2023年11月下旬に、BleepingComputer は、攻撃で盗まれた期限切れの Google 認証クッキーを復元する２つの情報窃盗マルウェア・オペレーション Lumma／Rhadamanthys について報告をしている。これらのクッキーは、感染したユーザーの Google アカウントへの不正アクセスのために、脅威アクターに悪用される可能性がある。

CISA KEV 警告 24/01/02：Google Chromium／Spreadsheet::ParseExcel の２件の脆弱性を追加

CISA Warns of Active Exploitation of Chromium and Spreadsheet::ParseExcel

2024/01/02 SecurityOnline — 米国 CISA (Cybersecurity and Infrastructure Security Agency) は、サイバー脅威との継続的な戦いを強調する、重大な警告を発した。同庁は、2024年1月2日に２つの深刻な脆弱性を KEV (Known Exploited Vulnerabilities：既知の脆弱性) カタログに追加し、ユーザーと連邦政府機関に早急な対策の必要性を警告している。

Google Groups が Usenet のサポート終了を発表：蔓延するスパム対策のため

Google Groups is ending support for Usenet to combat spam

2024/01/02 BleepingComputer — Google が先日に公式に発表したのは、Google Groups プラットフォームにおける、 Usenet グループのサポート終了だ。このサポートの終了は、2024年2月22日に実施され、それ以降においてユーザーは、Google Groups で新しい Usenet コンテンツの投稿／購読／閲覧ができなくなる。ただし、2月22日以前に投稿された、過去の Usenet コンテンツは、引き続き Google Groups で閲覧／検索できるという。