Mozilla – IoT OT Security News

Google の Passkey：すべてのアカウントで安全なパスワードレス・サインインを実現

Google adds passkeys support for passwordless sign-in on all accounts

2023/05/03 BleepingComputer — Google は、すべてのサービスとプラットフォームにおいて、Passkey for Google Accounts のサポートを展開している。それにより、ユーザーはログイン時に、パスワードの入力や、2-Step Verification (2SV) に頼ること無く、Google アカウントにサインインできるようになる。Google の Product Managers である Christiaan Brand と Sriram Karra は、「私たちは、すべての主要なプラットフォームで、Google アカウント全体に対する Passkey のサポートを開始した。これにより、ユーザーは Google サービス全体で Passkey を活用し、パスワード不要のサインイン・エクスペリエンスを実現できるようになった」と述べている。

Variston IT というスパイウェア：Chrome／Firefox／Defender の N-Day 脆弱性を悪用

Spyware Vendor Variston Exploited N-Days in Chrome, Firefox, Windows

2022/12/01 InfoSecurity — スペインのカスタム・セキュリティ・ソリューション・プロバイダーとされる Variston IT は、自社の Heliconia フレームワークで Chrome／Firefox／Microsoft Defender の N-Day 脆弱性を悪用し、ターゲット・デバイスにペイロードを展開するためのツールを配布している。これは、Google Threat Analysis Group (TAG) が、11月30日のアドバイザリで明らかにしたものであり、Google／Microsoft／Mozilla は 2021年と 2022年初旬に、この脆弱性を修正しているという。

Let’s Encrypt は無料の証明書認証局：2022 年の発行件数が 30億件に到達

Let’s Encrypt issued over 3 billion certificates, securing 309M sites for free

2022/11/29 BleepingComputer — Let’s Encrypt を運営する非営利団体 Internet Security Research Group (ISRG) は、オープンな認証局 (CA：Certificate Authority) が2022年に発行した証明書が、30億件に到達したと発表した。Let’s Encrypt は、2015年9月に helloworld.letsencrypt.org ドメインの最初の証明書を発行して以来、HTTPS (SSL/TLS) と暗号化通信を可能にするために必要な、X.509 デジタル証明書を Web サイトに無料で提供してきた。

Mozilla Firefox／Thunderbird の深刻な脆弱性が FIX：フィッシングに悪用される可能性

Mozilla Patches High-Severity Vulnerabilities in Firefox, Thunderbird

2022/08/25 SecurityWeek — 今週に Mozilla は、Firefox および Thunderbird に存在する、複数の深刻な脆弱性に対してパッチを適用した。Firefox 104 (Firefox ESR 91.13／102.2) に関しては、XSLT エラー処理に関連するアドレスバー偽装の可能性という深刻な欠陥にパッチが提供された。この脆弱性 CVE-2022-38472 は、フィッシングに悪用される可能性がある。

Pwn2Own Vancouver ハッキングコンテスト：Mozilla 製品群の２つのゼロデイ脆弱性が FIX

Mozilla fixes Firefox, Thunderbird zero-days exploited at Pwn2Own

2022/05/24 BleepingComputer — Pwn2Own Vancouver 2022 ハッキングコンテストで悪用が証明されたゼロデイ脆弱性に対応するために、Mozilla は複数の製品に対してセキュリティ・アップデートを公開した。具体的には、Firefox／Firefox ESR／Firefox for Android／Thunderbird の脆弱なバージョンを実行している、モバイル／デスクトップ端末で悪用に成功した攻撃者に対して、JavaScript コード実行を許してしまうという、２つの深刻な脆弱性が存在する。

CISA 警告：Firefox ゼロデイを含む 11件の脆弱性を悪用リストに追加

CISA: Patch actively exploited Firefox zero-days until March 21st

2022/03/08 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は連邦政府民間機関に対して、いくつかの攻撃で悪用されている、Firefox の深刻な脆弱性について、今後の２週間以内にパッチするよう命じた。この週末に公開された Mozilla のアドバイザリによると、この２つの Use After Free のバグ (CVE-2022-26485／CVE-2022-26486) の悪用に成功した攻撃者は、標的デバイス上でのクラッシュを誘発し、悪意のコードを実行できるという。

Mozilla Firefox 97.0.2 がリリース：深刻なゼロデイ脆弱性を FIX

Mozilla Firefox 97.0.2 fixes two actively exploited zero-day bugs

2022/03/06 BleepingComputer — Mozilla は、Firefox 97.0.2／Firefox ESR 91.6.1／Firefox for Android 97.3.0／Focus 97.3.0 をリリースし、活発に悪用されている２つの深刻なゼロデイ脆弱性を修正した。どちらのゼロデイ脆弱性も、Use-after-free バグであり、過去に消去されたメモリがプログラムから使用されてしまうものだ。このタイプのバグの悪用に成功した脅威アクターに対して、プログラムがクラッシュすると同時に、デバイス上でのコマンド実行を許す可能性が生じる。

CISA 警告：悪用脆弱性カタログに新旧あわせて 95 件が追加された

CISA warns organizations to patch 95 actively exploited bugs

2022/03/04 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発に悪用されているセキュリティ欠陥のリストに 95件の脆弱性を追加したが、この件数は、昨年に Binding Operational Directive (BOD) を発行してから最多のものとなる。その中には、20年近く前から認識されているバグもあるが、同庁は、「連邦政府の企業にとって重大なリスクをもたらす」と指摘している。

Google Project Zero レポート：各ベンダーのゼロデイ対応と時間軸

Google Project Zero: Vendors are now quicker at fixing zero-days

2022/02/11 BleepingComputer — Google の Project Zero は、2021年において同チームが報告したゼロデイ脆弱性について、それぞれの組織が対応に要した時間の短縮示すレポートを発表した。この Project Zero が報告したデータによると、ソフトウェア・ベンダーがセキュリティ修正プログラムの発行に要した平均期間は、2017年の 80日から、2021年は 52日に短縮された。さらに、大半のベンダーが、業界標準の期限である90日と、２週間の猶予期間内に、欠陥に対処した。

Mozilla Firefox 97 でバグ FIX：Windows 管理者への不正な権限昇格

Mozilla fixes Firefox bug letting you get Windows admin privileges

2022/02/08 BleepingComputer — Mozilla Maintenance Service に深刻度の高い特権昇格の脆弱性が見つかり、それに対処するセキュリティ・アップデートが公開された。この Service は、Firefox および Thunderbird のオプション・サービスであり、アプリケーションのアップデートをバックグラウンドで実行するものだ。それにより、Firefox ユーザーは、Web ブラウザやメール・クライアントを更新する際に、Windows の User Account Control (UAC) ダイアログで Yes をクリックする必要がなくなり、シームレスなアップデート・エクスペリエンスが得られる。

Firefox 96 でフィッシングを止めろ：フルスクリーン通知バイパスの脆弱性などが FIX

Firefox fixes fullscreen notification bypass bug that could have led to convincing phishing campaigns

2022/01/12 DailySwig — Mozilla Firefox に存在する、セキュリティ問題にパッチが適用された。この問題は、攻撃者が密かに実行するフルスクリーン・モードを介して、正規の Web サイトに成りすますことを許すものだ。この脆弱性 CVE-2022-22746 は、Windows 版の Firefox に存在していたものであり、競合状態のバグにより、ブラウザのフルスクリーン通知の警告が回避されてしまうという。それにより、攻撃者はユーザーを騙すことが可能となり、悪意のリンクのクリックや、偽 Web サイトへの機密情報の入力といった、悪意のある行為を実行できる。

Mozilla の暗号ライブラリ Network Security Services の深刻なバグが FIX

Mozilla fixes critical bug in cross-platform cryptography library

2021/12/01 BleepingComputer — Mozilla は、クロス・プラットフォームの暗号ライブラリ Network Security Services (NSS) に存在する、深刻なメモリ破壊の脆弱性に対処した。NSS は、SSL v3／TLS／PKCS #5／PKCS #7／PKCS #11／PKCS #12／S/MIME／X.509 v3 証明書などの、さまざまなセキュリティ規格に対応しており、セキュリティ機能を備えたクライアントおよびサーバー・アプリケーションを開発するために使用できる。

Apple iOS / macOS から TLS 1.0 / 1.1 が消えていく

Apple will disable insecure TLS in future iOS, macOS releases

2021/09/22 BleepingComputer — Apple は、最近リリースした iOS および macOS において、安全性の低い TLS (Transport Layer Security) 1.0／1.1 プロトコルを非推奨とし、今後のリリースではサポートを完全に削除する予定だという。TLS は、クライアント／サーバー・アプリケーションを使用して、インターネットを介して情報にアクセスする際などに、メッセージの盗聴／改竄／偽造からユーザーを保護するために設計された、セキュアな通信プロトコルである。

Google Chrome／Chromium で発見された Spook.js サイドチャネル攻撃とは？

Spook.js – New side-channel attack can bypass Google Chrome’s protections against Spectre-style exploits

2021/09/10 DailySwig — Google Chrome を標的とする、サイドチャネル攻撃が新たに発見された。攻撃者は、この Web ブラウザのセキュリティ保護機能を回避し、Spectre 型攻撃を用いて機密情報を取得できる。この、Spook.js と名付けられたサイドチャネル攻撃は、投機的実行 (Spectre) 攻撃に対するChromeの防御機能を回避し、認証情報や個人情報などを盗み出すことができます。