OpenSource – Page 13 – IoT OT Security News

WordPress Litespeed Cache の脆弱性 CVE-2023-40000 が FIX：数百万のサイトが危険な状態

XSS Flaw In Litespeed Cache Plugin Exposes Millions Of WordPress Sites At Risk

2024/02/27 SecurityAffairs — WordPress LiteSpeed Cache プラグインにおける、認証を必要としないサイト全体の蓄積型 XSS の脆弱性 CVE-2023-40000 により、サイト全体が影響を受けると、Patchstack の研究者たちが警告している。無料版の LiteSpeed Cache プラグインは、WordPress で人気のあるキャッシュ・プラグインであり、400万以上のアクティブ・インストールがある。

WordPress NotificationX Plugin の CVE-2024-1698 (CVSS 9.8) が FIX：深刻な SQLi

CVE-2024-1698 (CVSS 9.8): Critical SQLi Flaw in NotificationX WordPress Plugin

2024/02/26 SecurityOnline — WordPress NotificationX は、30,000以上のインストールを誇る人気のプラグインだが、そのバージョン 2.8.2 以下に、深刻な SQL インジェクションの脆弱性 CVE-2024-1698 が発見された。この脆弱性の悪用に成功した未認証の攻撃者は、悪意のあるコードを注入し、対象となる Web サイトを完全に制御する可能性を得る。なお、この脆弱性の CVSS スコアは 9.8 であり、セキュリティ・リスクは Critical 分類される。

Linux Kenel の脆弱性 CVE-2024-26592／26594 が FIX：直ちにパッチ適用を！

CVE-2024-26592 & 26594: Critical Linux Kernel Flaws Open Door for Code Execution and Data Theft

2024/02/26 SecurityOnline — Linux Kenelの２つの深刻な脆弱性 CVE-2024-26592／CVE-2024-26594 が、Linux システムの管理者たちに警鐘を鳴らしている。これらの脆弱性は、Windows マシンとのシームレスなファイル共有を担う、KSMBD ファイル・サーバに存在しており、深刻な影響をおよぼす可能性がある。しかし幸いなことに、迅速にパッチが適用され、脅威は緩和された。

WordPress Ultimate Member Plugin の脆弱性 CVE-2024-1071 が FIX：直ちにアップデートを！

WordPress Ultimate Member Plugin Under Active Attack: Critical Flaw (CVE-2024-1071) Impacts 200k Sites

2024/02/25 SecurityOnline — 200,000 以上のアクティブなインストールを誇る、人気の WordPress プラグイン Ultimate Member に、認証を必要としない SQL インジェクションの脆弱性が見つかった。この深刻な脆弱性 CVE-2024-1071 (CVSS：9.8) には、広く採用されている同プラグインを利用している Web サイトに、重大なリスクをもたらす可能性がある。この脆弱性を発見／報告した Christiaan Swiers には、Wordfence Bug Bounty Program Extravaganza から $2,063 の報奨金が支払われた。

Linux Kernel TLS の CVE-2024-26582 が FIX：RCE／DoS が生じる恐れ

CVE-2024-26582 (CVSS 8.4): Linux Kernel Code Execution Vulnerability

2024/02/23 SecurityOnline — Linux Kernel の Transport Layer Security (TLS) サブシステムに、深刻度の高い脆弱性 CVE-2024-26582 (CVSS：8.4) が発見された。この脆弱性は、kTLS (カーネルの TLS 実装) のメモリ処理方法における、解放済みメモリの使用のエラーに起因するものであり、悪用に成功した攻撃者は、脆弱なシステム上で任意のコードを実行する可能性を得る。

OpenVPN の脆弱性 CVE-2023-7235 が FIX：直ちにアップデートを！

CVE-2023-7235: OpenVPN Vulnerability Puts Windows Users at Risk

2024/02/21 SecurityOnline — OpenVPN は、Windows／Mac／Linux 用のバージョン 2.6.9 をリリースし、深刻な特権昇格の脆弱性 CVE-2023-7235 に対処した。この脆弱性は OpenVPN の Windows GUI インストールに影響するものであり、Will Dormann により発見された。

SSH-Snake という最新のマルウェア：SSH キーを効果的に窃取してネットワーク全体に拡散

New SSH-Snake malware steals SSH keys to spread across the network

2024/02/21 BleepingComputer — SSH-Snake というオープンソースのネットワーク・マッピングツールを操る脅威アクターが、被害者のインフラ上で密かに秘密鍵を探し出し、横方向へと移動している。Sysdig の Threat Research Team (TRT) が発見した SSH-Snake は、”自己修正型ワーム” と表現されている。このマルウェアは、一般的なスクリプト攻撃に散見されるパターンを回避するという意味で、従来からの SSH ワームとは一線を画している。

PyPI に “NP6” を冠した悪意のパッケージ：DLL サイド・ローディングで攻めてくる

New Malicious PyPI Packages Caught Using Covert Side-Loading Tactics

2024/02/20 TheHackerNews — Python Package Index (PyPI) リポジトリに、２つの悪意のパッケージが存在することが、サイバーセキュリティ研究者たちにより発見／確認された。それらの悪意のパッケージは、DLL サイド・ローディングと呼ばれるテクニックを用いて、セキュリティ・ソフトウェアによる検出を回避し、悪意のコードを実行するものだ。それらのパッケージは NP6HelperHttptest と NP6HelperHttper と名付けられ、削除されるまでに、それぞれが 537回／166回ダウンロードされている。

Spring Security の脆弱性 CVE-2024-22234 が FIX：直ちにアップデートを！

Spring Security Vulnerability (CVE-2024-22234): Mitigating Broken Access Control

2024/02/20 SecurityOnline — 先日に公開された Spring Security の脆弱性 CVE-2024-22234 (CVSS：7.4) は、影響を受ける Java Web アプリケーション内において、不正アクセスを生じる可能性があるものだ。Spring Security を認証／認可に利用している場合には、潜在的なリスクに対処するために、緩和策を優先的に実施する必要がある。

PostgreSQL JDBC の脆弱性 CVE-2024-1597 が FIX：CVSS 値は 10.0

CVE-2024-1597 (CVSS 10): Critical SQL Injection Flaw in PostgreSQL JDBC Driver

2024/02/20 SecurityOnline — 開発者たちに人気の PostgreSQL データベースに、新たな脆弱性 CVE-2024-1597 (CVSS：10.0) が発見された。この脆弱性が浮き彫りにするのは、予防的なセキュリティ対策の重要性である。ここでは、PostgreSQL JDBCドライバ (pgjdbc) の脆弱性と、その潜在的な影響と、重要な緩和策について探っていく。

Apache DolphinScheduler の RCE 脆弱性 CVE-2023-49109 が FIX：直ちにアップデートを！

CVE-2023-49109: Apache Dolphinscheduler Remote Code Execution Vulnerability

2024/02/20 SecurityOnline — ワークフロー・スケジューリング・プラットフォームである Apache DolphinScheduler に、複数のセキュリティ脆弱性があることが、最近の研究で明らかになった。このソフトウェアを使用している管理者やセキュリティ専門家たちは、これらの脆弱性へ早急に対処する必要がある。

WordPress 用の Bricks Builder の脆弱性 CVE-2024-25600 が FIX：すでに悪用が始まっている

CVE-2024-25600: WordPress’s Bricks Builder RCE Flaw Under Attack

2024/02/19 SecurityOnline — WordPress 用の Bricks Builder は、広く使用されているサイトビルダーであるが、そこに深刻なリモートコード実行 (RCE) 脆弱性 CVE-2024-25600 (CVSS：9.8) が発見された。この脆弱性は活発に悪用されており、影響を受ける Web サイトに、大きなリスクをもたらしている。

Dell EMC Enterprise SONiC の脆弱性 CVE-2023-32484 が FIX：直ちにアップデートを！

CVE-2023-32484 (CVSS 9.8): Remote Control Risk in Dell EMC Networks

2024/02/17 SecurityOnline — 最近に公開された Dell EMC Enterprise SONiC の脆弱性 CVE-2023-32484 は、データセンター・ネットワークのセキュリティに、重大な影響を及ぼす可能性があるものだ。この脆弱性の悪用に成功した攻撃者は、リモートでコマンドを実行し、影響を受けるネットワーク・スイッチの完全な制御が可能になる。この脆弱性の CVSS 評価は 9.8 (Critical) であり、早急な対策が必要だ。

Squid の脆弱性 CVE-2024-25617 が FIX：クラッシュ／サービス停止の可能性

Protect Your Web Services: Mitigate Squid DoS Vulnerability (CVE-2024-25617)

2024/02/15 SecurityOnline — 広く使用されている Web Proxy／Caching サーバである Squid に、深刻度の高いサービス拒否 (DoS) 脆弱性 CVE-2024-25617 が存在していることが判明した。この脆弱性の悪用に成功した攻撃者は、Squid サーバをクラッシュさせ、重要な Web サービスを中断させ、ネットワーク全体を危険にさらす可能性がある。

Node.js の複数の脆弱性が FIX：広範な影響が指摘されている

Major Node.js Security Flaws: Millions of Apps Could Be Vulnerable

2024/02/15 SecurityOnline — 世界中の何百万人もの開発者が使用している、JavaScript 実行環境である Node.js が、先日に発表したセキュリティ更新プログラムは、複数の深刻度の高い脆弱性を対象としたものである。これらの脆弱性に直ちに対処して、アプリケーションを攻撃から防御する必要がある。

Ubuntu の “Command-Not-Found” ユーティリティの悪用：悪意のパッケージをインストールする可能性

Abusing The Ubuntu ‘Command-Not-Found’ Utility To Install Malicious Packages

2024/02/14 SecurityAffairs — クラウドセキュリティ企業 Aqua のサイバー・セキュリティ研究者が発見したのは、一般的なユーティリティ “command-not-found”‘” の悪用により、悪意のパッケージの欺瞞的な推奨につながる可能性である。Aqua Nautilus の研究者たちは、「Ubuntu の “command-not-found” パッケージと “snap” パッケージの、リポジトリ間における相互作用に起因する、セキュリティ問題を特定した。”command-not-found” は、アンインストールされたコマンドのインストールを提案する便利なツールとして機能するが、”snap” リポジトリを介した操作により、悪意のパッケージの欺瞞的な推奨につながる」と述べている。

GitHub Enterprise の複数の脆弱性が FIX：ただちにパッチを！

Critical Vulnerabilities Uncovered in GitHub Enterprise Server – Patch Immediately!

2024/02/14 SecurityOnline — 進化し続けるデジタルセキュリティの中で、GitHub Enterprise Server (GHES) はエンタープライズ・レベルのコード管理とコラボレーションの基盤として登場した。この GHES は、GitHub のセルフホスト・バージョンとして、組織に対してリポジトリと開発プロセスを管理する能力を提供する。しかし、最近になって、複数の深刻度の高い脆弱性が公表され、その悪用に成功した攻撃者が、機密性の高いシステムに不正にアクセスする可能性が生じている。したがって、リスクを軽減するための、早急な対策が求められる。

CISA と OpenSSF の新たな OSS フレームワーク：安全なパッケージ・リポジトリのために

CISA and OpenSSF Release Framework for Package Repository Security

2024/02/12 TheHackerNews — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、 OpenSSF (Open Source Security Foundation) の Securing Software Repositories Working Group と提携し、パッケージ・リポジトリの安全性を確保するための新しいフレームワークを発表した。この Principles for Package Repository Security と呼ばれるフレームワークは、パッケージ・マネージャのための一連の基本ルールを確立することで、オープンソース・ソフトウェアのエコシステムの強化を目的としている。

PostgreSQL の深刻な脆弱性 CVE-2024-0985 が FIX：直ちにアップデートを！

CVE-2024-0985: PostgreSQL’s Critical Security Flaw Exposed

2024/02/11 SecurityOnline — 広く利用されているデータベース・ソフトウェア PostgreSQL に、深刻なセキュリティ上の欠陥が発見され、企業やシステム管理者に懸念が広がっている。この脆弱性 CVE-2024-0985 (CVSS：8.0) の悪用に成功した攻撃者は、昇格した権限で悪意のコードを実行する可能性がある。

Chrome のゼロデイ脆弱性 CVE-2022-4262：詳細な情報と PoC エクスプロイトが公開された

Google Chrome Zero-Day PoC Code Released

2024/02/11 SecurityOnline — Google Chrome に影響を及ぼすゼロデイ脆弱性 CVE-2022-4262 (CVSS 8.8) の、PoC (Proof-of-Concept) エクスプロイト・コードと技術的詳細が公開された。この脆弱性の核心は、Chrome ブラウザを動かす重要なコンポーネントである、Chrome V8 JavaScript エンジンにある。この深刻度の高い、タイプ・コンフュージョンの脆弱性は、Google TAG (Threat Analysis Group) の Clement Lecigne により明らかにされた。タイプ・コンフュージョンの脆弱性とは、ソフトウェアが渡されたオブジェクト・タイプを検証できない場合に発生し、予測不可能な動作を引き起こすものだ。

C ライブラリ libuv の SSRF 脆弱性 CVE-2024-24806 が FIX：直ちにアップデートを！

CVE-2024-24806: Critical SSRF Flaw Found in libuv – a Multi-Platform C Library

2024/02/10 SecurityOnline — 多目的な C ライブラリの１つである libuv は、Node.js のイベント・ループから各種ソフトウェア・プロジェクトの静的な効率性にいたるまで、多くのアプリケーションの非同期システムを支えている。epoll／kqueue／Windows IOCP／Linux io_uring／Solaris イベントポートなどの、多様な I/O メカニズムを橋渡しする libuv の機能は、非同期操作の領域における最適なツールとなっている。しかし、その libuv に、脆弱性 CVE-2024-24806 が発見された。

Open-Source Security の現状と未来：コミュニティとユーザーと政府は何を考えるべきか？

How to Navigate Open-Source Security Without Stifling Innovation

2024/02/08 InfoSecurity — Open-Source ソフトウェアのコードが、重要インフラを含むあらゆる部門で利用される規模を反映するかのように、各国政府におけるセキュリティへの関心が高まっている。Open-Source ソフトウェアの広範な利用と、それがもたらすリスクは、2021年12月に発見された悪名高い Log4j の脆弱性により証明された。その影響力は、グローバルで 58% の組織に及んだとされている。

Apache bRPC の脆弱性 CVE-2024-23452 が FIX：HTTP スマグリングの可能性

CVE-2024-23452: Apache bRPC HTTP Request Smuggling Vulnerability

2024/02/08 SecurityOnline — Apache bRPC は、C++言語を用いる産業グレードの RPC フレームワークであり、検索／広告／機械学習／ストレージ／レコメンデーションなどのシステムで多用されている。しかし、最近になって、この重要なインフラストラクチャで、脆弱性 CVE-2024-23452 が発見された。

PHP Composer の深刻な脆弱性 CVE-2024-24821 が FIX：ただちにパッチを！

CVE-2024-24821: A Critical Alert for Composer’s PHP Dependency Management

2024/02/08 SecurityOnline — Web 開発の喧騒の中で登場した Composer ツールは、PHP プロジェクトの依存関係を管理するための要である。ライブラリの組み込みと更新を簡素化する Composer は、ワークフローを効率化したい開発者にとって欠かせないものとなっている。しかし、脆弱性 CVE-2024-24821 が発見されたことで、ユーザーは潜在的なコード実行や権限昇格の脅威にさらされ、Composer の信頼性に懸念が生じている。

ClamAV の脆弱性 CVE-2024-20328／CVE-2024-20290 が FIX：ただちにパッチを！

ClamAV Bugs Expose Users to Command Injection (CVE-2024-20328) and DoS Attacks (CVE-2024-20290)

2024/02/07 SecurityOnline — OSS のアンチウイルス・エンジン ClamAV に存在する、深刻な脆弱性について、先日に Cisco が明らかにした。それらの脆弱性には、エンドポイント／クラウドサービス／Web セキュリティ・インフラなどに大混乱をもたらす可能性があるため、早急な対策が必要である。

Linux shim の深刻な RCE 脆弱性 CVE-2023-40547 などが FIX

Critical Shim Bug Impacts Every Linux Boot Loader Signed In The Past Decade

2024/02/07 SecurityAffairs — shim のバージョン 15.8 がリリースされ、６つの脆弱性が修正された。これらの脆弱性のうち、最も深刻な脆弱性が CVE-2023-40547 (CVSS：9.8) である。特定の状況下において、この http ブート・サポートの脆弱性は、Secure Boot のバイパスにつながり、リモート・コード実行を引き起こす可能性を持つ。

Unix cpio の脆弱性 CVE-2023-7216：PoC エクスプロイトが提供

One Click, System Exposed: cpio (CVE-2023-7216) Threatens Unix Security

2024/02/06 SecurityOnline — 主に Unix ライクなオペレーティング・システムで見られる “cpio” コマンドライン・ユーティリティは、アーカイブ・ファイル内のファイルをパッケージ化／解凍する機能を備えている。汎用性が高く、複数のアーカイブ形式をサポートする “cpio” は、システム管理者やユーザーにとって強力なツールだ。しかし、この cpio に、システム・セキュリティの根幹に影響を及ぼしかねない脆弱性が発見された。

Central Dogma の脆弱性 CVE-2024-1143 が FIX：CVSS 値 10.0 の XSS

The Critical CVE-2024-1143 Vulnerability in Central Dogma

2024/02/05 SecurityOnline — ソフトウェア開発やシステム管理の世界において、堅牢でセキュアなコンフィグレーション・リポジトリは、円滑な運用や機密データの保護に欠かせない要素だ。LINE が開発した、オープンソースの高可用性バージョン管理サービス設定リポジトリ Central Dogma は、この目的のために広く使われているツールである。しかし最近になって、脆弱性 CVE-2024-1143 の存在が判明し、Central Dogma のユーザーにとって重大な脅威となっている。

WordPress Shield Security プラグインの脆弱性 CVE-2023-6989：５万件以上のサイトに LFI の危機

CVE-2023-6989: Shield Security Plugin Hit by Severe LFI Vulnerability, 50,000+ Sites Affect

2024/02/05 SecurityOnline — 50,000 以上のアクティブなインストールを誇る WordPress プラグイン Shield Security に、深刻な脆弱性が発見された。この脆弱性は、Wordfence バグ・バウンティ・プログラムを介して、研究者である hir0ot により発見された。

Microsoft Edge の脆弱性 CVE-2024-21399 が FIX：リモートコード実行の可能性

Escaping the Sandbox: CVE-2024-21399 Microsoft Edge RCE Vulnerability

2024/02/04 SecurityOnline — Microsoft Edge のセキュリティ・アップデートがリリースされ、複数の脆弱性が修正された。Chromium に起因する Chrome の脆弱性は、Mac／Linux 向けのバージョン121.0.6167.139 および、Windows 向けの 121.0.6167.139/140 で対処されてきたが、それに続くかたちで、Microsoft Edge のバージョン 121.0.2277.98 が発表された。

WordPress の Cookie Information | Free GDPR プラグインに脆弱性：活発な悪用を観測

Under Attack: CVE-2023-6700 in ‘Cookie Information’ Plugin Threatens 100k WordPress Sites

2024/02/02 SecurityOnline — 進化し続けるインターネットの世界において、データ・プライバシーと GDPR (General Data Protection Regulation) などの規制へのコンプライアンスの重要性は、日々高まりつつある。そんな中、人気の CMS の１つである WordPress は、これらの規制を遵守するのを支援するプラグインを、Web サイト所有者に対して数多く提供している。しかし、WordPress の Cookie Information | Free GDPR Consent Solution プラグインに、重大なセキュリティ脆弱性 CVE-2023-6700 が発見され、脅威アクターにより積極的に悪用されていることが判明した。

Docker のコンテナ・エスケープの脆弱性 CVE-2024-21626 などが FIX：直ちにパッチを！

CVE-2024-21626: Docker Confronts Critical Container Escape Threat

2024/02/01 SecurityOnline — 進化し続けるテクノロジーの世界において、特にコンテナ化の領域においては、セキュリティは依然として最重要の関心事である。先日に Snyk Labs が、コンテナ・エコシステムに影響を及ぼす４件の深刻なセキュリティ脆弱性を特定したことで、Docker は重大な課題に直面している。これらの脆弱性は、runc／BuildKit／Moby などの主要なコンポーネントに影響を及ぼし、コンテナ化されたアプリケーションの完全性と安全性に深刻なリスクをもたらすものだ。

WordPress の SeedProd Plugin に脆弱性 CVE-2024-1072：90万サイトで利用

CVE-2024-1072: Critical Flaw in SeedProd Plugin Exposes 900K WordPress Sites

2024/02/01 SecurityOnline — WordPress の人気プラグイン Website Builder by SeedProd に、深刻な脆弱性が判明したが、そのインストール数は 90 万を超えるという。Website Builder by SeedProd は、Web サイトの作成とカスタマイズのプロセスを簡素化するために設計された、強力で使いやすい WordPress プラグインだ。SeedProd は、ドラッグ・アンド・ドロップ機能を提供しており、コードを記述することなく簡単にカスタム Web サイトを設計／構築できるため、WordPress ユーザーの間で高い人気を誇っている。

Log4Shell／PwnKit を悪用する FritzFrog：パッチ未適用の内部システムが標的？

FritzFrog Returns with Log4Shell and PwnKit, Spreading Malware Inside Your Network

2024/02/01 TheHackerNews — FritzFrog という P2P ボットネットを背後で操る脅威アクターが、Log4Shell の脆弱性を悪用することで、すでに侵害したネットワーク内で内部的に増殖する、新たな亜種が登場している。Akamai は、「この脆弱性は、可能な限り多くの脆弱な Java アプリケーションをターゲットとする、ブルートフォース攻撃を介して悪用される」と、The Hacker News と共有したレポートの中で述べている。

Android の権限昇格の脆弱性 CVE-2023-45779：少なくとも７つの OEM に影響する

Exploit released for Android local elevation flaw impacting 7 OEMs

2024/01/31 BleepingComputer — 少なくとも７つの Android OEM (Original Equipment Manufacturer) に影響を与える、Google Android のローカル権限昇格の脆弱性の PoC エクスプロイトが、GitHub で公開された。ただし、このエクスプロイトはローカル・アクセスを必要とするため、公開されたとしても、利用できるのは研究者くらいだろう。この脆弱性 CVE-2023-45779 は、2023年9月上旬に Meta の Red Team X により発見され、2023年12月の Android のセキュリティ・アップデートで対処されたものである。

ModSecurity の WAF バイパスの脆弱性 CVE-2024-1019 が FIX：直ちにアップデートを！

CVE-2024-1019: Exposing ModSecurity’s Critical WAF Bypass Flaw

2024/01/31 SecurityOnline — Web アプリケーション・セキュリティの世界において、ModSecurity は、サイバー脅威対策に強いツールの１つとして、以前から人気を誇っている。Trustwave の SpiderLabs により開発された、このオープンソースの WAF (Web Application Firewall) エンジンは、Apache／IIS／Nginx をサポートしている。さらに、強力なイベントベースのプログラミング言語を使用しており、無数の攻撃から Web アプリケーションを守ることに長けていることに加えて、HTTP トラフィックの監視／ロギング／リアルタイム分析などにも優れている。

Gnu Library C の Root Access 脆弱性 CVE-2023-6246：影響を受ける Linux の範囲は？

Root Access Vulnerability In Gnu Library C (Glibc) Impacts Many Linux Distros

2024/01/30 SecurityAffairs — GNU Library C (glibc) に存在する４件のセキュリティ脆弱性が、Qualys Threat Research Unit により発見されたが、その中には、CVE-2023-6246 として追跡されているヒープベースのバッファオーバーフローの欠陥も含まれる。GNU Library C (glibc) は、Linux などの Unix 系オペレーティング・システムに不可欠な、システム・サービスを提供するフリーのソフトウェア・ライブラリである。

GitLab の緊急アップデート：CVSS 9.9 の脆弱性 CVE-2024-0402 を FIX

URGENT: Upgrade GitLab – Critical Workspace Creation Flaw Allows File Overwrite

2024/01/30 TheHackerNews — GitLab は、Community Edition (CE)／Enterprise Edition (EE) に、深刻なセキュリティ上の欠陥があるとして、修正プログラムを再度リリースした。この問題とは、ワークスペース作成時に、任意のファイルを書き込まれる可能性が生じるものだ。この脆弱性 CVE-2024-0402 の深刻度は、CVSS：9.9 と評価されている。

FFmpeg の深刻な脆弱性 CVE-2024-22860／CVE-2024-22862 などが FIX：直ちにアップデートを！

CVE-2024-22860 & CVE-2024-22862: Critical FFmpeg Remote Code Execution Flaws

2024/01/29 SecurityOnline — マルチメディア・ファイル処理のための、人気のオープンソース・プロジェクト FFmpeg に、３つの脆弱性が発見された。これらの脆弱性は Google の OSS-Fuzz サービスを通じて発見されたものであり、そのうちの２つ (CVE-2024-22860／CVE-2024-22862) は特に深刻なものである。

PyPI に新たな悪意のパッケージ： Windows デバイス上に WhiteSnake マルウェアを展開

Malicious PyPI Packages Slip WhiteSnake InfoStealer Malware onto Windows Machines

2024/01/29 TheHackerNews — Python Package Index (PyPI) レポジトリ上で発見されたのは、WhiteSnake Stealer という情報窃取型マルウェアを、Windows システム上に配布する悪意のパッケージである。それらのマルウェアが埋め込まれたパッケージの名前は、nigpal／figflix／terer／seGMM／fbdebug／sGMM／myGens／NewGends／TestLibs111 である。そして、これらのパッケージをアップロードしているのは “WS “という脅威アクターだと、サイバーセキュリティ研究者たちは述べている。

Linux Kernel IPv6 プロトコルの脆弱性 CVE-2023-6200 が FIX：ただちにパッチを！

Critical Alert: CVE-2023-6200 Exploits Linux Kernel with Code Execution Risk

2024/01/28 SecurityOnline — Linux カーネルの IPv6 実装に存在する、新たな脆弱性 CVE-2023-6200 (CVSS：7.5) が明らかになった。この脆弱性は、IPv6 プロトコルの重要コンポーネントである、ICMPv6 パケットの処理における深刻な競合状態に起因するものだ。

Microsoft Edge の脆弱性 CVE-2024-21326 などが FIX：直ちにアップデートを！

CVE-2024-21326 (CVSS 9.6): One Click Could Compromise Microsoft Edge

2024/01/28 SecurityOnline — Microsoft Edge のセキュリティ・アップデートがリリースされ、Chromium の脆弱性に対する独自の修正プログラムの実装が完了した。Microsoft が公開したのは、Google Chromium 121.0.6167.85／.86 をベースにした、MS Edge 121.0.2277.83 である。

Jenkins の脆弱性 CVE-2024-23897 が FIX：翌日に PoC エクスプロイトが登場

Breaking Down CVE-2024-23897: PoC Code Surfaces Just After Jenkins Advisory

2024/01/26 SecurityOnline — Jenkins の深刻な脆弱性である CVE-2024-23897 について、ベンダーがアドバイザリを公表した翌日に、技術的詳細と PoC エクスプロイト・コードが公開された。CI/CD (continuous integration and delivery) に欠かせない、オープンソースの自動化サーバーである Jenkins に、任意のファイル読み取りの脆弱性が存在することが判明したのだ。

Linux の全ブートローダーが危険：shim で発見された RCE 脆弱性 CVE-2023-40547 とは？

CVE-2023-40547: The Critical Shim Flaw Compromising Linux Bootloaders

2024/01/25 SecurityOnline — Linux のシステム・ブート・プロセスの中核を突き、セキュア・ブート・メカニズムの安全性を脅かす、新たな脆弱性が発見された。一見すると無害な EFI アプリケーションである shim で発見された、この脆弱性は、サイバー・セキュリティ業界全体の懸念事項となっている。

Jenkins 深刻な脆弱性 CVE-2024-23897 などが FIX：ただちにパッチを！

Critical Jenkins Vulnerability Exposes Servers to RCE Attacks – Patch ASAP!

2024/01/25 TheHackerNews — オープンソースの CI/CD (continuous integration/continuous delivery and deployment) 自動化ソフトウェア Jenkins のメンテナたちが９件のセキュリティ欠陥 (High ３件) を修正した。その中には、悪用に成功した攻撃者に、リモート・コード実行 (RCE) を許す深刻なバグも含まれる、この脆弱性 CVE-2024-23897 は、ビルトイン CLI (command line interface) を介した、任意のファイル読み取りの脆弱性として説明されている。

Apache Superset の脆弱性 CVE-2023-49657 が FIX：直ちにパッチ適用を！

CVE-2023-49657: Apache Superset Hit by High-Risk Stored XSS Vulnerability

2024/01/24 SecurityOnline — オープンソースのデータ可視化ソフトウェアである、Apache Superset に対する修正プログラムがリリースされ、蓄積型 XSS (cross-site scripting) 攻撃につながる可能性のある深刻な脆弱性に対処した。Apache Software Foundation は、この脆弱性 CVE-2023-49657 について CVSS 値 9.6 と評価している。この脆弱性の深刻度は Critical に分類され、Superset の将来性に暗い影を落としている。

GitLab の深刻な脆弱性 CVE-2023-7028：5,300 台のインスタンスが危険な状態

Over 5,300 GitLab servers exposed to zero-click account takeover attacks

2024/01/24 BleepingComputer — 2024年1月に発見された、GitLab のゼロクリック・アカウント乗っ取りの脆弱性 CVE-2023-7028 (CVSS：10.0) の脆弱性だが、インターネット上に公開されている 5,300 以上のインスタンスで放置されていることが判明した。この脆弱性の悪用に成功した攻撃者は、標的アカウントのパスワード再設定メールを自身が管理するメールアドレスに送信させ、パスワードを変更して対象のアカウントを乗っ取ることが可能になる。

Spring Framework の脆弱性 CVE-2024-22233 が FIX：DDoS の可能性

CVE-2024-22233: A high-severity Spring Framework Vulnerability

2024/01/22 SecurityOnline — Spring Framework はオープンソースの Java プラットフォームであり、エンタープライズ・アプリケーション開発のための、包括的なインフラ・サポートを提供している。基本的には、定型的なコードや一般的なタスクを処理することで開発プロセスを簡素化し、アプリケーションのコアとなるビジネスロジックの記述に、開発者が集中できるようにするためのツールキットである。

pyLoad の CSRF 脆弱性 CVE-2024-22416：CVSS 9.6 で PoC も公開

CVE-2024-22416: Exposing pyLoad’s High-Risk CSRF Vulnerability

2024/01/21 SecurityOnline — NAS システムから次世代ルーター、ヘッドレス・ホームサーバーに至るまで、様々なデバイスがデジタル・ライフのバックボーンとなっている現代技術の相互接続領域では、それらを動かすソフトウェアが大きな鍵となっている。 pyLoad は、多数のプラットフォーム上で Python を活用するために開発され、高い柔軟性と幅広い互換性を備えた、多用途のダウンロード・マネージャーだ。その pyLoad に、広範囲に影響を及ぼす可能性がある、深刻な脆弱性が発見された。

Pillow に深刻な脆弱性 CVE-2023-50447：CVSS 9.0 で PoC も公開された

Pillow’s Critical Flaw: CVE-2023-50447 Exposes Python Projects to Risk

2024/01/21 SecurityOnline — 賑やかな Python 開発の世界で、Pillow は Python Imaging Library (PIL) の後継として、幅広い画像処理タスクを処理する強力な機能で愛用されており、多くのプロジェクトの礎として貢献している。しかしその Pillow に、深刻な脆弱性 CVE-2023-50447 が存在し、攻撃者に任意のコード実行をゆるす可能性があることが、セキュリティ研究者 Duarte Santos の最近の研究で発見された。