Exploited Control Web Panel Flaw Added to CISA ‘Must-Patch’ List
2023/01/18 SecurityWeek — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、広く使われている CentOS Control Web Panel の深刻な脆弱性 CVE-2022-44877 を、KEV（Known Exploited Vulnerabilities）カタログに追加し、連邦機関に対して２月初旬までに修正するよう指示している。
Continue reading “CISA KEV 警告 23/01/17：CentOS CWP の深刻な脆弱性 CVE-2022-44877 を追加”CISA orders agencies to patch Exchange bug abused by ransomware gang
2023/01/10 BleepingComputer — 今日に、米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Known Exploited Vulnerabilities (KEV) カタログに、２つのセキュリティ脆弱性を追加した。１つ目は、Microsoft Exchange の権限昇格の脆弱性 CVE-2022-41080 であり、別の脆弱性 ProxyNotShell CVE-2022-41082 と連鎖してリモート・コードが実行される可能性がある。先週に、テキサス州に拠点を置くクラウド・コンピューティング・プロバイダーである Rackspace は、Play ランサムウェアが CVE-2022-41082 をゼロデイとして悪用し、Microsoft の ProxyNotShell URL 書き換え緩和策をバイパスして、感染させた Exchange Server 内で権限昇格を行ったことが確認されている。
Continue reading “CISA KEB 警告 23/01/10：Microsoft Exchange の脆弱性 CVE-2022-41080 などを追加”Adobe, Apple, Cisco, Microsoft Flaws Make Up Half of KEV Catalog
2022/12/30 DarkReading — 2021年11月に、米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのが、活発に悪用されている脆弱性を、連邦政府機関や重要インフラ組織が特定／是正するための Known Exploited Vulnerabilities (KEV) カタログである。Grey Noise が発表した GreyNoise Mass Exploits Report によると、CISA は 2022年1月〜11月末に 58回の更新を行い、548件の新たな脆弱性をカタログに追加している。2021年11月／12月に追加された約300件の脆弱性を含めると、このカタログが始まってからの１年間で、CISA は約850件の脆弱性をリストアップしたことになる。
Continue reading “CISA KEV カタログの１年：悪用された脆弱性の半分は Adobe／Apple／Cisco／Microsoft”CISA Warns of Active exploitation of JasperReports Vulnerabilities
2022/12/30 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発な悪用の証拠があるとして、TIBCO Software の JasperReports 製品に影響を及ぼす、２つのセキュリティ欠陥を Known Exploited Vulnerabilities (KEV) カタログに追加した。それらの脆弱性 CVE-2018-5430 (CVSS：7.7) および CVE-2018-18809 (CVSS：9.9) は、TIBCOにより 2018年4月と 2019年3月に対処されている。
Continue reading “CISA KEV 警告 22/12/29：JasperReports の古い脆弱性２件を追加”CISA adds Veeam Backup and Replication bugs to Known Exploited Vulnerabilities Catalog
2022/12/16 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Veeam Backup & Replication に影響をおよぼす２つの脆弱性 CVE-2022-26500／CVE-2022-26501 (CVSS : 9.8) を、Known Exploited Vulnerabilities Catalog に追加した。BOD (Binding Operational Directive) 22-01 に従い、この脆弱性を悪用する攻撃からネットワークを守るために、各 FCEB 機関は指定された期限までに対処する必要がある。民間組織においても、このカタログを確認してインフラの脆弱性に対処することを、専門家たちは推奨している。
Continue reading “CISA KEV 警告 22/12/14：Veeam Backup and Replication などの脆弱性を追加”CISA orders agencies to patch exploited Google Chrome bug by Dec 26th
2022/12/05 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃での悪用が確認されているバグのリストに、新たな脆弱性を追加した。この脆弱性 CVE-2022-4262 は、Google Chrome for Windows／Mac／Linux に存在するものであり、12月2日にゼロデイバグとしてパッチが適用されたものだ。そのセキュリティ・アドバイザリで Google は、「脆弱性 CVE-2022-4262 が、野放し状態で悪用されているという報告を確認している」と述べている。
Continue reading “CISA KEV 警告 22/12/02：Google Chrome の深刻な脆弱性 CVE-2022-4262”CISA Warns of Actively Exploited Critical Oracle Fusion Middleware Vulnerability
2022/11/29 TheHackerNews — 11月28日 (月) に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発な悪用の証拠があるとして、Oracle Fusion Middleware に影響する脆弱性を KEV (Known Exploited Vulnerabilities) カタログに追加した。この脆弱性 CVE-2021-35587 の CVSS スコアは 9.8 であり、Oracle Access Manager (OAM) のバージョン 11.1.2.3.0／12.2.1.3.0／12.2.1.4.0 に影響を及ぼしている。
Continue reading “CISA KEV 警告 22/11/28：Oracle Fusion Middleware の深刻な脆弱性を追加”CISA Releases Decision Tree Model to Help Companies Prioritize Vulnerability Patching
2022/11/11 SecurityWeek — 11月10日に米国の CISA (Cybersecurity and Infrastructure Security Agency) は、脆弱性パッチの優先順位を付ける組織が、ディシジョン・ツリー・モデルを用いる際に役立つ SSVC (Stakeholder-Specific Vulnerability Categorization) ガイドを公開した。SSVC システムは、CISA とカーネギーメロン大学の Software Engineering Institute (SEI) が 2019年に作成したものだ。翌年である 2022年に CISA は、政府機関や重要インフラ組織に関連するセキュリティ欠陥に対して、独自にカスタマイズした SSVC デジション・ツリーを作成している。
Continue reading “CISA が SSVC を公開：パッチの優先順位とディシジョン・ツリー・モデル”Cisco warns admins to patch AnyConnect flaw exploited in attacks
2022/10/25 BleepingComputer — 今日に Cisco は、Cisco AnyConnect Secure Mobility Client for Windows に存在する、２つの脆弱性が悪用されているとして、顧客に警告を発した。AnyConnect Secure Mobility Clientは、企業のエンドポイントへの安全なアクセスを簡素化し、SSL (Secure Sockets Layer) と IPsec IKEv2 を通じて、あらゆるロケーションからの安全な VPN 接続を提供するものである。
Continue reading “Cisco AnyConnect の脆弱性 CVE-2020-3433 などの悪用を検出：CISA KEV リストにも追加”CISA adds Linux kernel flaw CVE-2021-3493 to its Known Exploited Vulnerabilities Catalog
2022/10/21 SecurityAffairs — 今週に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Linuxカーネル の脆弱性 CVE-2021-3493 を Known Exploited Vulnerabilities Catalog (KEV) に追加した。拘束力のある運用指令 BOD 22-01 によると、既知の脆弱性を悪用した攻撃からネットワークを守るために、それぞれの FCEB 機関は期限までに、特定された脆弱性に対処しなければならない。
Continue reading “CISA KEV 警告 22/10/20：Linux Kernel の脆弱性 CVE-2021-3493 を悪用リストに追加”CISA Directive Improves Asset Visibility, Vulnerability Detection on Federal Networks
2022/10/04 InfoSecurity — CISA は、連邦政府のネットワークにおける、IT 資産の可視性／脆弱性検出を改善するための、新たな拘束的運用指令 (BOD：Binding Operational Directive) を発表した。この新指令 BOD 23-01 は、2023年4月3日に発効され、また、連邦民間行政機関 (FCEB) に対して、IT 資産の発見を７日ごとに自動を行うよう求めるものとなる。BOD 23-01 の文書には、「この課題を達成するために、数多くの方法や技術を用いることが可能だが、最低限でカバーすべき範囲は、それぞれの機関が用いる IPv4 空間全体となる」と記されている。
Continue reading “CISA から連邦政府への新指令 BOD 23-01：IT 資産の可視化／脆弱性検出を強化”CISA: Hackers exploit critical Bitbucket Server flaw in attacks
2022/09/30 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、攻撃で悪用されたバグのリストに、Atlassian Bitbucket Server の RCE 脆弱性と、Microsoft Exchange のゼロデイ脆弱性の２件を含む、合計で３件のセキュリティ欠陥を追加したことを発表した。Microsoft によると、CISA の KEV (Known Exploited Vulnerabilities) カタログに追加されたのは、限定的な標的型攻撃で悪用された Microsoft Exchangeの ゼロデイ脆弱性 CVE-2022-41040／CVE-2022-41082 の２件となる。
Continue reading “CISA KEV 警告 22/09/30：Microsoft Exchange と Atlassian Bitbucket のゼロデイを追加”Sophos warns of a new actively exploited flaw in Firewall product
2022/09/23 SecurityAffairs — Sophos は、同社の Firewall 製品群に存在するコード・インジェクションの脆弱性 CVE-2022-3236 が、悪用されていることを警告している。この脆弱性 CVE-2022-3236 は、Sophos Firewall のユーザーポータルおよび Webadmin に存在し、この脆弱性の悪用に成功した攻撃者に対して、コード実行 (RCE) を許す可能性がある。
Continue reading “Sophos Firewall の深刻な脆弱性 CVE-2022-3236 が FIX：積極的な悪用を検知”CISA Warns of Hackers Exploiting Recent Zoho ManageEngine Vulnerability
2022/09/23 TheHackerNews — 火曜日に米国 Cybersecurity and Infrastructure Security Agency (CISA) は、最近に公開された Zoho ManageEngine の脆弱性を、活発な悪用の証拠があるとして、Known Exploited Vulnerabilities (KEV) カタログに追加した。CISA は、「Zoho ManageEngine の PAM360／Password Manager Pro／Access Manager Plus には、リモートコードを実行にいたる、特定されていない脆弱性が存在する」と述べている。
Continue reading “CISA KEV 警告 22/09/22：Zoho ManageEngine 脆弱性 CVE-2022-35405 の活発な悪用”CISA orders agencies to patch vulnerability used in Stuxnet attacks
2022/09/16 BleepingComputer — CISA は、KEV (Known Exploited Vulnerabilities) カタログに６件の脆弱性を追加し、連邦政府機関に対し、ベンダーの指示に従って修正するよう求めている。カタログに追加された６件のセキュリティ脆弱性のうち、2022年になって公表されたものは、Trend Micro の自動脅威検知／対応プラットフォーム Apex One に影響を与える脆弱性の１件のみとなる。
Continue reading “CISA KEV 警告 22/09/15：Trend Micro Apex One 脆弱性や Stuxnet 攻撃に対応”Trend Micro warns of actively exploited Apex One RCE vulnerability
2022/09/12 BleepingComputer — 今日、セキュリティ・ソフトウェア会社の Trend Micro は、積極的に悪用される Apex One のセキュリティ脆弱性に対して、早急にパッチを適用するよう顧客に警告を発しまた。Apex One は、悪意のツール／マルウェア／脆弱性に対する脅威の自動検出と対処を、企業に提供するエンドポイント・セキュリティ・プラットフォームである。この脆弱性 CVE-2022-40139 の悪用に成功した攻撃者は、パッチが適用されていないソフトウェアを実行しているシステム上で、任意のコードをリモートから実行することが可能になる。
Continue reading “Trend Micro 警告：Apex One の RCE 脆弱性 CVE-2022-40139 が悪用されている”CISA orders agencies to patch Chrome, D-Link flaws used in attacks
2022/09/08 BleepingComputer — CISA は、攻撃に悪用されるバグ・リストに、D-Link の２つの深刻な脆弱性と、Google Chrome および QNAP Photo Station ソフトウェアの２つの (パッチ適用済) ゼロデイを含む、全体で 12件のセキュリティ欠陥を追加した。Google Chrome のゼロデイ (CVE-2022-3075) は、9月2日に緊急セキュリティ・アップデートでパッチが適用されたが、野放し状態での悪用を同社が認識したことで、このリストに加えられた。
Continue reading “CISA KEV 警告 22/09/08：Chrome／ D-Link／QNAP などの 12件の脆弱性が追加”CISA: Vulnerability in Delta Electronics ICS Software Exploited in Attacks
2022/08/26 SecurityWeek — Delta Electronics の産業用オートメーション・ソフトウェアに影響を及ぼす脆弱性が攻撃に悪用されているため、Cybersecurity and Infrastructure Security Agency (CISA) から各組織に対して早急な対処が要求されている。火曜日に CISA は、10件のセキュリティ欠陥を Known Exploited Vulnerabilities Catalog (KEV) に追加し、9月15日までに対処するよう、連邦政府機関に指示した。
Continue reading “CISA 警告 22/08/25：Delta／Apache／Grafana／Apple など 10件が KEV リストに追加”CISA Warns of Active Exploitation of Palo Alto Networks’ PAN-OS Vulnerability
2022/08/23 TheHackerNews — 月曜日に米国の CISA は、Palo Alto Networks の PAN-OS に影響を与えるセキュリティ上の欠陥を、活発に悪用されている証拠に基づき、悪用脆弱性リスト (KEV：Known Exploited Vulnerabilities Catalog) に追加した。
Continue reading “CISA 警告 22/08/22：PAN-OS の深刻な脆弱性 CVE-2022-0028 を KEV リストに追加”CISA adds 7 vulnerabilities to list of bugs exploited by hackers
2022/08/19 BleepingComputer — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、ハッカーに活発に悪用されているバグのリストに７つの脆弱性を追加した。その内容は、新たな脆弱性として Apple／Microsoft／SAP／Google の４社が公開したものと、Palo Altos Networks の2017年の脆弱性で構成されている。Known Exploited Vulnerabilities Catalog (KEV) は、CISA が共有するリストであり、サイバー攻撃での活発な悪用が判明している脆弱性に対して、連邦政府民間行政機関 (FCEB) がパッチ適用の義務を負うものである。
Continue reading “CISA 警告 22/08/18：SAP などの７つの深刻な脆弱性を悪用リスト KEV に追加”CISA Issues Warning on Active Exploitation of UnRAR Software for Linux Systems
2022/08/09 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、最近に公開された UnRAR ユーティリティのセキュリティ欠陥について、積極的な悪用の証拠が明らかになったとし、6月9日付で Known Exploited Vulnerabilities Catalog に追加した。
Continue reading “CISA 警告：UnRAR の欠陥と DogWalk を悪用脆弱性リスト KEV に追加”CISA warns of critical Confluence bug exploited in attacks
2022/07/29 BleepingComputer — CISA は、Atlassian Confluence の深刻な脆弱性 CVE-2022-26138 を、悪用脆弱性リスト (KVE：Known Exploited Vulnerabilities Catalog) に追加した。この脆弱性の悪用に成功したリモート攻撃者は、ハードコードされた認証情報の窃取が可能になる。先週に、オーストラリアのソフトウェア会社である Atlassian が公開したように、パッチ未適用の Questions for Confluence アプリは、8,000台以上のサーバーにインストールされており、ハードコードされた認証情報を持つアカウントを作成している。
Continue reading “CISA 勧告：Atlassian Confluence パスワードハードコード欠陥の積極的な悪用を検知”Mitre shared 2022 CWE Top 25 most dangerous software weaknesses
2022/06/29 SecurityAffairs — MITRE が、2022年版の CWE Top-25 をリリースした。2022年において、最も危険な弱点 Top-25 を集めたリストは、組織が内部インフラを評価し、その攻撃対象領域を特定するのに役立てられる。組織のインフラ内に、これらの脆弱性が存在すると、潜在的に広範な攻撃にさらされる可能性がある。
Continue reading “MITRE が 2022年版 CWE Top-25 をリリース：NVD と CISA のデータを活用”CISA warns of hackers exploiting PwnKit Linux vulnerability
2022/06/29 BleepingComputer — CISA の悪用脆弱性リスト (KVE：Known Exploited Vulnerabilities Catalog) に、 Linux の深刻な脆弱性 CVE-2021-4034 が追加された。この PwnKit と呼ばれる脆弱性は、すべての主要ディストリビューション (Ubuntu／Debian／Fedora／CentOSなど) で使用されている、Polkit の pkexec コンポーネントで発見された。PwnKit とは、デフォルト設定の Linux システムにおいて、その悪用に成功した非特権ユーザーに、完全なルート権限を許してしまうメモリ破壊の脆弱性である。
Continue reading “CISA 警告：Linux の深刻な脆弱性 PwnKit CVE-2021-4034 に直ちにパッチ適用を”Threat Actors Start Exploiting Meeting Owl Pro Vulnerability Days After Disclosure
2022/06/09 SecurityWeek — 今週の初めから、Owl Labs はビデオ会議デバイスに生じた深刻な脆弱性に対処しているが、すでに脅威アクターたちは悪用し始めている。この脆弱性 CVE-2022-31460 (CVSS 7.4) が、脆弱な Owl デバイスに対して悪用されると、自身が接続している Wi-Fi ネットワーク内の、不正なアクセスポイントにされる可能性が生じる。
Continue reading “Meeting Owl Pro の脆弱性 CVE-2022-31460 が FIX：悪用が始まり CISA も対応を表明”Zyxel Issues Patches for 4 New Flaws Affecting AP, API Controller, and Firewall Devices
2022/05/17 TheHackerNews — Zyxel は、Firewall／AP Controller などの製品に影響をおよぼす、４つの脆弱性に対処するパッチをリリースした。それらの脆弱性の悪用に成功した攻撃者に対して、任意の OS コマンドの実行や、選択した情報の窃取を許す恐れがある。
Continue reading “Zyxel Firewall などの４つの脆弱性が FIX：パッチ適用の確認が必要”CISA warns admins to patch actively exploited Spring, Zyxel bugs
2022/05/17 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、活発に悪用されている脆弱性リストに、Spring Cloud Gateway ライブラリのコード・インジェクションの欠陥と、Zyxel Firewall／VPN デバイス・ファームウェアのコマンド・インジェクションの欠陥を追加したことを発表した。
Continue reading “CISA 警告 5/16：Spring／Zyxel の深刻な欠陥を悪用脆弱性リストに追加”CISA tells federal agencies to fix actively exploited F5 BIG-IP bug
2022/05/11 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されるバグのリストに、BIG-IP ネットワーク・デバイスに深刻な影響を与える、脆弱性 CVE-2022-1388 を新たに追加した。BIG-IP ソリューションを使用する F5 の顧客の中には、連邦政府機関／Fortune 500 企業／銀行／サービス・プロバイダ／コンシューマ・ブランド (Microsoft／Oracle／Facebook など) が含まれているが、同社は Fortune 50 のうちの 48社が F5ユーザーだとしている。
Continue reading “CISA 警告 5/10：F5 BIG-IP の深刻な脆弱性 CVE-2022-1388 を KEV リストに追加”Organizations Warned of Attacks Exploiting WSO2 Vulnerability
2022/04/26 SecurityWeek — 企業向けソフトウェア開発ソリューション・プロバイダーである WSO2 の製品だが、その深刻な脆弱性が野放し状態の攻撃にさらされている。WSO2 の Web サイトによると、同社の製品は Fortune 500 などの大手企業で使用されており、そのすべてが危険にさらされる可能性があるという。また、月曜日には Cybersecurity and Infrastructure Security Agency (CISA) も、この脆弱性を Known Exploited Vulnerabilities Catalog に追加し、5月16日までにパッチを適用するよう、それぞれの連邦政府機関に指示している。
Continue reading “WSO2 の RCE 脆弱性：ワイルドな悪用が観察されているので要注意”CISA adds 7 vulnerabilities to list of bugs exploited in attacks
2022/04/25 BleepingComputer — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されている脆弱性のリストに、Microsoft／Linux／Jenkins などの、７件の欠陥を追加したと発表した。その Known Exploited Vulnerabilities Catalog は、サイバー攻撃で活発に悪用されている脆弱性のリストで、連邦政府民間行政機関 (FCEB) に対してパッチ適用が義務付けられているものである。
Continue reading “CISA 警告 4/25：WSO2／Microsoft／Linux／Jenkins などの７つの脆弱性が追加”CISA warns of attackers now exploiting Windows Print Spooler bug
2022/04/19 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されるバグのリストに、Windows Print Spooler におけるローカル権限昇格バグを含む、３つの新たなセキュリティ不具合を追加した。この深刻度 High の脆弱性 CVE-2022-22718 は、Microsoft アドバイザリーによると、すべての Windows バージョンに影響を与えるものであり、February 2022 Patch Tuesday でパッチが適用されている。
Continue reading “CISA 警告 4/19：悪用脆弱性リストに Windows Print Spooler バグなどを追加”CISA orders agencies to fix actively exploited VMware, Chrome bugs
2022/04/15 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、活発に悪用されているバグのリストに、VMware の特権昇格の脆弱性および、Google Chrome のリモートコード実行のゼロデイ脆弱性などの、９件のセキュリティ欠陥を追加したことを発表した。4月6日にパッチが適用された VMwareの脆弱性 CVE-2022-22960 は、サポートスクリプトの不適切なパーミッションにより、脆弱なサーバー上での root への特権昇格を攻撃者に許してしまうものである。
Continue reading “CISA 警告 4/15：VMware や Chrome の脆弱性が悪用リストに追加”
IoT OT Security News 