Auth0 が JsonWebToken の脆弱性を FIX:22,000 以上プロジェクトに影響か?

Auth0 fixes RCE flaw in JsonWebToken library used by 22,000 projects

2023/01/09 BleepingComputer — Auth0 が修正したリモートコード実行の脆弱性は、22,000 以上プロジェクトで使用され、NPM からは毎月 3600 万回以上もダウンロードされている、人気のオープンソース・ライブラリ JsonWebToken に存在するものだ。このライブラリは、Microsoft/Twilio/Salesforce/Intuit/Box/IBM/Docusign/Slack/SAP などのオープンソース・プロジェクトでも使用されている。

Continue reading “Auth0 が JsonWebToken の脆弱性を FIX:22,000 以上プロジェクトに影響か?”

WAF に JSON を投げ込む攻撃手法:バイパスが可能になるという Claroty の調査

Researchers Detail New Attack Method to Bypass Popular Web Application Firewalls

2022/12/10 TheHackerNews — さまざまなベンダーの Web Application Firewalls (WAF) を回避したシステムへの侵入により、企業や顧客の機密情報へのアクセスを、脅威アクターに許す可能性のある、新たな攻撃方法が発見された。WAF は重要な防衛線であり、Web アプリケーションとの間で HTTP (S) トラフィックをフィルタリング/監視/ブロックし、CSRF/XSS/SQL インジェクション/ファイル・インクルードなどの攻撃からシステムを保護するものだ。

Continue reading “WAF に JSON を投げ込む攻撃手法:バイパスが可能になるという Claroty の調査”

Aurora インフォ・スティーラー:サイバー犯罪者の間で採用が増加している

Aurora infostealer malware increasingly adopted by cybergangs

2022/11/21 BleepingComputer — サイバー犯罪者たちが、Go ベースの新たなインフォ・スティーラー Aurora を用いて、ブラウザや暗号通貨アプリからの機密情報の窃取/ディスクからのデータ流出/追加ペイロードのロードなどを行う傾向が強まっている。サイバー・セキュリティ企業の SEKOIA によると、少なくとも7つの著名なサイバー・ギャングたちのアクティビティが目立っており、Aurora だけを単独で使用するケースと、他の情報窃盗マルウェア・ファミリー RedLine/Raccoon と併用するケースが観察されている。

Continue reading “Aurora インフォ・スティーラー:サイバー犯罪者の間で採用が増加している”

Microsoft Defender for IoT の深刻な脆弱性:PoC エクスプロイトが公開

Critical Vulnerabilities Found in Microsoft Defender for IoT

2022/03/29 SecurityWeek — 継続的な NDR (Network Detection and Respons) 機能を備えた Defender for IoT は、さまざまな IoT/OT/ICS デバイスをサポートし、オンプレミスとクラウドの双方へのデプロイメントが可能である。その Defender for IoT における、2つの深刻な脆弱性 CVE-2021-42311/CVE-2021-42313 は CVSS 値 が 10 であり、2021年12月の Microsoft Patch Tuesday で対処されている。どちらも SQL インジェクションの脆弱性であり、リモートの攻撃者による認証なしの悪用が可能となり、任意のコード実行を許すことになる。トークン検証プロセスに存在する CVE-2021-42313 は、UUID パラメータのサニタイズの欠如に起因すると SentinelLabs は説明している。

Continue reading “Microsoft Defender for IoT の深刻な脆弱性:PoC エクスプロイトが公開”

Magnat マルウェア:バックドア/パスワード侵害を仕掛ける悪意の Chrome エクステンション

Magnat malvertising campaigns spreads malicious Chrome extensions, backdoors and info stealers

2021/12/06 SecurityAffairs — Talos の研究者たちが発見したのは、新しいバックドアと文書化されていない悪意の Google Chrome エクステンションを、ユーザーを騙してダウンロードさせるために、人気のアプリやゲームの偽インストーラー使用する、一連のマルバタイジング・キャンペーンである。

Continue reading “Magnat マルウェア:バックドア/パスワード侵害を仕掛ける悪意の Chrome エクステンション”

Google TensorFlow から YAML が脱落:深刻な RCE 脆弱性が原因

Google’s TensorFlow drops YAML support due to code execution flaw

2021/09/05 BleepingComputer — Google が開発した Python ベースの機械学習/人工知能プロジェクトである TensorFlow は、深刻ななコード実行の脆弱性に対処するため、YAML のサポートを終了した。YAML (Yet Another Markup Language) は、コンフィグレーション・ファイルや転送中のデータを扱い、人間が読める形にシリアライズする言語であり、開発者にとって便利な選択肢である。

Continue reading “Google TensorFlow から YAML が脱落:深刻な RCE 脆弱性が原因”