JFrog – IoT OT Security News

IntelBroker による Cisco のデータ侵害：2.9GB のデータがダークウェブに流出

Hackers Leak Partial Cisco Data from 4.5TB of Exposed Records

2024/12/17 HackRead — 2024年12月16日に、ハッカー・グループである IntelBroker は、サイバー犯罪フォーラム Breach Forums において、Cisco のデータ 2.9GB を流出させた。IntelBroker の主張によると、それらのデータは、彼らが 2024年10月に Cisco から盗み出したデータの一部であるという。

Prometheus に認証情報／API キー流出の可能性：30万以上のインスタンスが公開されている

Over 300K Prometheus Instances Exposed: Credentials and API Keys Leaking Online

2024/12/12 TheHackerNews — OSS イベント監視ソリューションである、Prometheus をホスティングしている数千のサーバが、情報漏洩／サービス拒否 (DoS) 攻撃／リモート・コード実行 (RCE) 攻撃などのリスクにさらされていると、研究者たちが警告している。Aqua Security の研究者である Yakir Kadkoda と Assaf Morag は、「Prometheus Server／Exporter では、認証の欠落が多発するため、認証情報や API キーなどの機密情報が、攻撃者により容易に収集されてしまう」と、The Hacker News に共有されたレポートで述べている。

Wget の脆弱性 CVE-2024-10524 が FIX：短縮 URL による SSRF 攻撃の可能性

Wget Vulnerability (CVE-2024-10524) Opens Door to SSRF Attacks

2024/11/19 SecurityOnline — Wget に存在する脆弱性 CVE-2024-10524 を悪用する攻撃者は、内部サーバまたは制限されたサーバへ向けて、想定外のリクエスト送信を可能にする。インターネットからファイルをダウンロードするために広く使用される、このコマンド・ライン・ツールの脆弱性は、JFrog のセキュリティ研究者 Goni Golan により報告されたものだ。

ML Toolkit 群で発見された複数の脆弱性：サーバ乗っ取りや特権昇格にいたる恐れ

Security Flaws in Popular ML Toolkits Enable Server Hijacks, Privilege Escalation

20224/11/11 TheHackerNews — 機械学習 (ML) に関連する、15種類のオープンソース・プロジェクトにまたがる、およそ 20件のセキュリティ脆弱性が発見された。ソフトウェア・サプライチェーン・セキュリティ企業の JFrog は、先週に発表した分析の結果において、サーバ側／クライアント側で新たな脆弱性が発見されたと述べている。

IntelBroker によるデータ窃取の主張：Cisco の DevHub ポータルがオフラインに

Cisco takes DevHub portal offline after hacker publishes stolen data

2024/10/18 BleepingComputer — Cisco の発表は、DevHub ポータルのオフラインに関するものであり、同社の “非公開” のデータを脅威アクターが流出させたという報告を受けてのものである。しかし Cisco は、自社のシステムが侵害された証拠はないと主張している。Cisco のインシデント・レポートには、「問題のデータは、パブリックな DevHub 環境に存在するものであると判明した。DevHub とは、Cisco のリソース・センターであり、必要に応じてソフトウェア・コードやスクリプトなどを利用できるようにし、コミュニティをサポートするものだ」と記されている。

PyPI の Revival Hijack 攻撃：パッケージ再登録のギャップを狙う脅威が判明

Researchers Find Over 22,000 Removed PyPI Packages at Risk of Revival Hijack

2024/09/04 TheHackerNews — Python Package Index (PyPI) レジストリを標的とする、新たなサプライチェーン攻撃手法が、下流組織への侵入手段として悪用されていると、ソフトウェア・サプライチェーン・セキュリティ企業 JFrog が指摘している。この Revival Hijack と命名された攻撃手法により、既存の PyPI パッケージ 2万2000個に乗っ取りの可能性が生じ、さらに、数十万の悪意のパッケージのダウンロードへといたる恐れがあるとしている。なお、それらの脆弱なパッケージとは、ダウンロード数が10万回を超えているものであり、また、６か月以上にわたってアクティブになっているものである。

MLOps 群に存在する 20件以上の脆弱性：サプライチェーン攻撃の可能性を検証する – JFrog

Researchers Identify Over 20 Supply Chain Vulnerabilities in MLOps Platforms

2024/08/26 TheHackerNews — MLOps プラットフォーム群をターゲットに悪用される可能性のある 20以上の脆弱性が、サイバー・セキュリティ研究者たちにより発見された。それが警告するのは、機械学習 (ML：machine learning) ソフトウェアのサプライチェーンにおける、セキュリティ・リスクの存在である。これらの脆弱性は、固有の欠陥と実装ベースの欠陥が含まれるが、任意のコード実行から悪意のデータセットのロードにいたるまでの、深刻な結果をもたらす可能性が生じている。

JFrog Artifactory の脆弱性 CVE-2024-6915 (CVSS 9.3) が FIX：キャッシュ・ポイズニングの恐れ

CVE-2024-6915 (CVSS 9.3): JFrog Artifactory Flaw Exposes Software Supply Chains to Cache Poisoning

2024/08/05 SecurityOnline — ソフトウェア・アーティファクト管理ソリューションを提供する JFrog が発表したのは、同社の Artifactory プラットフォームに存在する深刻な脆弱性に対するセキュリティ・アドバイザリである。この脆弱性 CVE-2024-6915 (CVSS 9.3) は、JFrog Artifactory の複数バージョンに影響を及ぼし、攻撃に成功した攻撃者に対して、アーティファクト・キャッシュの汚染を許してしまう。その結果として、それらのリポジトリからデプロイされたソフトウェアの完全性が損なわれる可能性が生じる。

Docker Hub ユーザーを標的にした３つのキャンペーン：2021年から展開されていたことが判明

Millions of Docker repos found pushing malware, phishing sites

2024/04/30 BleepingComputer — Docker Hub ユーザーを標的として、2021年初めから展開されている３つの大規模なキャンペーンにより、マルウェアやフィッシング・サイトをプッシュする、数百万のリポジトリが設置されていたことが判明した。Docker Hub がホストする 1,500 万件のリポジトリのうちの約 20%に、スパムからマルウェアやフィッシング・サイトなどにいたる、悪意のコンテンツが含まれていたことが、JFrog のセキュリティ研究者たちにより発見された。

XZ Utils for Linux に仕込まれた悪意のコード：RCE を引き起こすという調査結果

Malicious Code in XZ Utils for Linux Systems Enables Remote Code Execution

2024/04/02 TheHackerNews — 主要 Linux ディストリビューションで広範に使用されている、OSS ライブラリ XZ Utils に挿入された悪意のコードは、リモートからのコード実行も可能であることが、新たな分析により明らかになった。脆弱性 CVE-2024-3094 (CVSS：10.0) を悪用する大胆なサプライチェーン侵害は、Microsoft のエンジニアであり、PostgreSQL の開発者でもある Andres Freund が、先週に警告したものである。このデータ圧縮ユーティリティにバックドアが存在するため、リモートの攻撃者がセキュア・シェル認証を回避し、影響を受けたシステムへの完全なアクセスを提供することが明らかになっている。

800 以上の NPM パッケージで不一致を検出：そのうちの 18件は Manifest Confusion を悪用

Over 800 npm Packages Found with Discrepancies, 18 Exploitable to ‘Manifest Confusion’

2024/03/21 TheHackerNews — npm レジストリに存在する、800 以上のパッケージのレジストリ・エントリに不一致であることが、サイバーセキュリティ企業 JFrog の新たな調査により判明した。不一致があったエントリのうちの 18 件は、 “Manifest Confusion” と呼ばれる手法を悪用していたという。JFrog によると、開発者を騙して悪意のコードを実行させるために、この問題が脅威アクターに悪用される可能性があるという。

JFrog Artifactory の複数の脆弱性が FIX：サプライチェーン保護のための迅速な行動とは？

JFrog Artifactory Vulnerabilities: Patch Now to Protect Your Software Supply Chain

2023/03/07 SecurityOnline — 数多くの開発チームが重要とするツール JFrog Artifactory に、いくつかのセキュリティ脆弱性が存在することが、最近になって判明した。これらの欠陥の深刻度は様々であり、それぞれのソフトウェア開発パイプラインを危険にさらす可能性がある。このリスクを理解し、システムを保護するためには、迅速な行動が重要となる。

PyPI に新たな悪意のパッケージ： Windows デバイス上に WhiteSnake マルウェアを展開

Malicious PyPI Packages Slip WhiteSnake InfoStealer Malware onto Windows Machines

2024/01/29 TheHackerNews — Python Package Index (PyPI) レポジトリ上で発見されたのは、WhiteSnake Stealer という情報窃取型マルウェアを、Windows システム上に配布する悪意のパッケージである。それらのマルウェアが埋め込まれたパッケージの名前は、nigpal／figflix／terer／seGMM／fbdebug／sGMM／myGens／NewGends／TestLibs111 である。そして、これらのパッケージをアップロードしているのは “WS “という脅威アクターだと、サイバーセキュリティ研究者たちは述べている。

NuGet に悪意のパッケージ：.NET 開発者に SeroXen RAT を配信している

Malicious NuGet Package Targeting .NET Developers with SeroXen RAT

2023/10/12 TheHackerNews — .NET Framework のための NuGet パッケージ・マネージャーにホストされている悪質なパッケージが、SeroXen RAT というリモート・アクセス型のトロイの木馬を配信していることが判明した。このパッケージは、Pathoschild.Stardew.Mod.Build.Config と名付けられ、Disti というユーザーにより公開されているが、正規のパッケージであるPathoschild.Stardew.ModBuildConfig を装うタイポスクワッティングであると、サプライチェーン・セキュリティ会社 Phylum が、今日のレポートで指摘している。現時点において、正規のパッケージは約79,000ダウンロードを記録しているが、2023年10月6日に公開された悪意の亜種の方は、ダウンロード数を人為的に水増して、100,000 ダウンロードを超えているとされる。

Spring WebFlux の深刻な脆弱性 CVE-2023-34034 が FIX：PoC エクスプロイトも登場

High-Severity Access Control Vulnerability Found in Spring WebFlux

2023/08/09 InfoSecurity — Spring Security の最新バージョンに、新たな脆弱性 CVE-2023-34034 (CVSS：9.8) が見つかった。Spring Security は Java ベースの Spring フレームワークの不可欠なパートであり、強固な認証とアクセス制御に対応している。その幅広いユーザー・ベースにより、このセキュリティ上の脆弱性が悪用されると、壊滅的な結果につながる可能性が生じる。

.NET 開発者がターゲット：NuGet に展開された悪意のパッケージを追跡

Hackers target .NET developers with malicious NuGet packages

2023/03/20 BleepingComputer — タイポスクワッティングにより複数の正規パッケージになりすました暗号通貨ステーラーが、NuGet リポジトリを通じて配信され、.NET 開発者をターゲットに感染し続けている。この継続的なキャンペーンを発見した、JFrog のセキュリティ研究者 Natan Nehorai と Brian Moussalli によると、そのうちの３つは、この１ヶ月の間に 15万回以上もダウンロードされているとのことだ。この膨大なダウンロード数は、システムを侵害された多数の .NET 開発者を示している可能性もありるが、悪意の NuGet パッケージを正当化するために、攻撃者が人為的に操作した結果なのかもしれない。

npm 悪意のライブラリ侵入経路が判明：プレ・リリース・バージョンに要注意

Researchers Find a Way Malicious NPM Libraries Can Evade Vulnerability Detection

2022/11/30 TheHackerNews — サイバー・セキュリティ企業である JFrog の最新調査によると、npm エコシステムを標的とするマルウェアは、npm Command Line Interface (CLI) ツールの “unexpected behavior” を悪用することで。セキュリティ・チェックを回避できることが判明した。

API Token が脅かすソフトウェアの完全性：数千件が Web 上で公開されている

Thousands of Publicly Exposed API Tokens Could Threaten Software Integrity

2022/10/21 InfoSecurity — 機密情報／データ／プライベート・ネットワークなどへのアクセスを脅威アクターに許し、ソフトウェアの完全性を脅かしてしまう数千のアクティブな API Token が、Web 上で公開されていることが発見された。この結果は、JFrog のセキュリティ研究者たちが、同社のセキュリティ・ソリューションの新機能をテストしている際に発見されたものだ。

LofyGang という犯罪グループ：ソフトウェア・サプライチェーン攻撃への大規模な関与が判明

LofyGang Group Linked to Recent Software Supply Chain Attacks

2022/10/07 InfoSecurity — Checkmarx の最新調査により、ソフトウェア・サプライチェーンに対する注目すべきサイバー・インシデントの大半に、１年以上前から活動している攻撃グループ LofyGang が関与していることが判明した。研究者たちは、LofyGang に関連する約 200の悪意のパッケージと数千のインストーラを発見した。これらのパッケージには、いくつかのクラスに分類される悪意のペイロード／一般的なパスワード窃盗ツール／Discord 専用の永続的マルウェアなどが含まれていたという。

悪意の NPM パッケージを量産：サプライチェーン攻撃のための驚異のシステム

A Large-Scale Supply Chain Attack Distributed Over 800 Malicious NPM Packages

2022/03/29 TheHackerNews — RED-LILI と呼ばれる脅威アクターが、約800の悪質なモジュールを公開したが、NPM (Node Package Manager) パッケージ・リポジトリを標的として進行中の、大規模なサプライチェーン攻撃キャンペーンに関与していることが明らかになった。イスラエルのセキュリティ企業である Checkmarx は、「一般的に、攻撃者は匿名の使い捨ての NPM アカウントを使用し、そこから攻撃を開始する。今回の攻撃者は、NPM アカウントの作成プロセスを完全に自動化し、パッケージごとに１つの専用アカウントを開設していたようであり、新しい悪意のパッケージを一括して発見することを難しくしていた」と述べている。

Cassandra NoSQL データベースの深刻な脆弱性 CVE-2021-44521 が FIX

High-Severity Vulnerability Found in Apache Database System Used by Major Firms

2022/02/16 SecurityWeek — 火曜日に JFrog のセキュリティ研究者たちは、Apache Cassandra の最新バージョンに存在する、深刻度の高いリモートコード実行の脆弱性に関する、詳細な技術情報を公開した。Cassandra は、高いスケーラビリティを持つ分散型 NoSQL データベースであり、Netflix／Reddit／Twitter／Cisco／Constant Contact／Digg／Urban Airship／OpenX などの組織や、DevOps 開発者などの間で人気がある。

H2 Database Console に Log4Shell と同じ構造の脆弱性：約 6,800 件のアーティファクトに影響

Log4Shell-like Critical RCE Flaw Discovered in H2 Database Console

2022/01/07 TheHackerNews — H2 データベース・コンソールで発見されたリモートコード実行の脆弱性だが、先月に明らかになった Log4Shell と同じ構造を持つ欠陥であることが、研究者たちにより公表された。JFrog の研究者である Andrey Polkovenko と Shachar Menashe は、「Log4j 以外のコンポーネントで発表された、Log4Shell に似た初めての深刻な問題であり、Log4Shell と同じ根本的な原因であう、JNDI リモートクラス・ローディングを悪用するものだ」と述べている。

Prometheus：保護されていない大量のエンドポイントが発見される

Prometheus endpoint unprotected installs could expose sensitive data

2021/10/18 SecurityAffairs — JFrog の研究者たちが、オープンソースのイベント監視ソリューションである、Prometheus の保護されていない複数のインスタンスを発見し、機密データが漏洩する可能性があることを公表した。Prometheus は、複数のエンドポイントからリアルタイムでメトリクスを取得するソリューションであり、Uber などの大手企業で使用されている。