PyPI Poisoned: 116 Malicious Packages Target Windows and Linux
2023/12/12 SecurityOnline — ESET の最新調査により、Python Package Index (PyPI) における脅威の動向が明らかになった。公式リポジトリ内における依存関係を悪用する形で、Windows／Linux を標的とする悪質なコードが大量に展開され、悪意の Python プロジェクトが網の目のように張り巡らされている状況が、この調査で判明した。
Continue reading “PyPI リポジトリ汚染：116 件の悪意の Python パッケージが発見された”Over 1,450 pfSense servers exposed to RCE attacks via bug chain
2023/12/12 BleepingComputer — pfSense の、オンラインで公開されている約 1,450インスタンスには、コマンド・インジェクション／XSS (Cross-Site Scripting) の脆弱性が存在している。これらの脆弱性の連鎖に成功した攻撃者は、アプライアンス上でのリモート・コード実行が可能になる。pfSense は、オープンソースのファイアウォール／ルーター・ソフトウェアとして人気を博しており、幅広いカスタマイズと柔軟なデプロイメントが可能である。一般的には、高額な商用製品に搭載されている幅広い機能を、特定のニーズに対応して提供する、費用対効果の高いソリューションである。
Continue reading “pfSense に３つの脆弱性：連鎖による リモート・コード実行が可能”LibreOffice’s Double Vulnerability Threat – CVE-2023-6185 and CVE-2023-6186
2023/12/11 SecurityOnline — LibreOffice はオープンソースの Free Office Suite であり、Microsoft Office などの有料オプションに代わる強力な選択肢である。そのルーツは、OpenOffice.org プロジェクトであり、コミュニティ主導の開発プロセスにより、クロス・プラットフォームでの利用を勝ち取っている。しかし、脆弱性 CVE-2023-6185／CVE-2023-6186 が浮き彫りにしているように、このオープンソースの Office Suite にも脆弱性がないわけではない。
Continue reading “LibreOffice の脆弱性 CVE-2023-6185／CVE-2023-6186 が FIX”50K WordPress sites exposed to RCE attacks by critical bug in backup plugin
2023/12/11 BleepingComputer — WordPress に 90,000以上もインストールされているプラグインで、深刻な脆弱性が発見された。この脆弱性の悪用に成功した攻撃者が、リモート・コードを実行し、脆弱な Web サイトを完全に侵害する可能性があるという。この、Backup Migration というプラグインは、ローカル・ストレージまたは Google Drive アカウントへ向けた、管理者によるサイト・バックアップを自動化するものだ。脆弱性 CVE-2023-6553 (CVSS：9.8) は、Nex チームとして知られるバグハンターのチームにより発見され、バグバウンティ・プログラムの下で Wordfence に報告された。
Continue reading “WordPress の Backup Migration プラグインに脆弱性：５万件のサイトに RCE の危機”CVE-2023-50164: Apache Struts Remote Code Execution Vulnerability
2023/12/07 SecurityOnline — Java Web アプリケーション開発の領域において、Apache Struts は効率性とモダンなデザインの指標として存在している。このオープンソースの MVC (Model-View-Controller) フレームワークにより、開発者たちは、洗練された Web アプリの開発が比較的簡単にできるようになる。しかし、最近に発見された致命的な脆弱性が、その堅牢なアーキテクチャに影を落としている。
Continue reading “Apache Struts の RCE 脆弱性 CVE-2023-50164 が FIX：直ちにアップデートを！”Critical WordPress Vulnerability Patched: Remote Code Execution Possible
2023/12/06 SecurityOnline — 先日の WordPress 6.4.2 アップデートでは、深刻なセキュリティ脆弱性が修正されている。この脆弱性の悪用に成功した攻撃者に対して、対象となる Web サイトの完全な制御が許される可能性があったという。この脆弱性は WordPress Core に存在するものであるが、その原因となるのは、PHP のオブジェクト・インジェクションである。
Continue reading “WordPress の危険な脆弱性：PHP インジェクションのエクスプロイトに注意”Major Organizations Using ‘Hugging Face’ AI Tools Put at Risk by Leaked API Tokens
2023/12/05 SecurityWeek — Hugging Face／GitHub などのコード・リポジトリに、誤って公開されている 1,600以上の有効な Hugging Face API トークンを、AI サイバー・セキュリティ・スタートアップである Lasso が発見した。トークンなどの機密情報が流出し悪用されると、きわめて高いリスクにいたることから、コードホスティング・プラットフォームやセキュリティ研究者たちかは、以前から注視し続けている。LLM (Large Language Models) を統合する開発者や企業は、Hugging Face API トークンにより、Hugging Face リポジトリの管理を可能にする。
Continue reading “Hugging Face／GitHub で API トークンが流出：AI を活用する企業が危険にさらされる”CVE-2023-49070: Critical Pre-auth RCE Vulnerability Discovered in Apache OFBiz
2023/12/05 SecurityOnline — Apache OFBiz は、OSS の ERP (enterprise resource planning) ソフトウェアとして人気を博しており、また、各種業界へと向けた包括的なビジネス・アプリケーション・スイートも提供している。その Apache OFBiz で、先日に発見された深刻な脆弱性 CVE-2023-49070 は、バージョン 18.12.10 未満に影響を及ぼすものである。この脆弱性の悪用に成功した攻撃者に対しては、影響を受けるシステム上で認証を必要としないリモートコード実行 (RCE) が許され、深刻なセキュリティ・リスクがもたらされるという。
Continue reading “Apache OFBiz の RCE 脆弱性 CVE-2023-49070 が FIX：PoC エクスプロイトも登場”PoC Exploit Released for Critical CVE-2023-49105 ownCloud Vulnerability
2023/12/05 SecurityOnline — ownCloud 10.6.0〜10.13.0 に影響を及ぼす、深刻なセキュリティ脆弱性 CVE-2023-49105 が公表され、PoC エクスプロイト・コードが容易に入手できるようになった。この脆弱性の CVSS スコアは 9.8 であり、悪用に成功した攻撃者は認証なしで、任意のファイルへのアクセス／変更／削除などが可能になるため、ownCloud ユーザーにとって深刻な脅威になり得る。
Continue reading “ownCloud の脆弱性 CVE-2023-49105：PoC エクスプロイトが公開”Safeguard Your Joomla Site: Patch CVE-2023-40626 Vulnerability
2023/12/03 SecurityOnline — Joomla! Project は、Joomla 5.0.1／4.4.1 をリリースし、攻撃者が機密性の高い環境変数を公開できる可能性のある、深刻なセキュリティ脆弱性 CVE-2023-40626 に対処した。この脆弱性が影響するのは、Joomla CMS バージョン 1.6.0〜4.4.0／5.0.0 である。
Continue reading “Joomla の脆弱性 CVE-2023-40626 が FIX：直ちにアップデートを！”How Continuous Pen Testing Protects Web Apps from Emerging Threats
2023/11/29 BleepingComputer — いつでも、どこからでも、サービスや情報にアクセスしたいという要求が高まるにつれ、Web ベース・アプリケーションへの依存も深まっている。ビジネス戦略から消費者ニーズ、さらにはより広い社会的機能まで、最近では思いつく限りの、あらゆるものに対応するアプリケーションが存在する。しかし、残念なことに、最近の Web アプリケーションは、その性質と遍在性から、ハッカーに狙われやすくなっている。この記事では、脅威アクターが Web アプリを標的にする理由を説明し、最新の Web アプリを保護するための継続的なモニタリングの価値を強調していく。
Continue reading “ペンテストについて考える：新たな脅威から Web アプリケーションを保護するには？”Google Chrome emergency update fixes 5th zero-day exploited in 2023
2023/11/29 BleepingComputer — Google Chrome の緊急セキュリティ・アップデートがリリースされ、今年で５件目となるゼロデイ脆弱性の悪用への対処が行われた。今日のセキュリティ・アドバイザリで Google は、この脆弱性 CVE-2023-6345 に対するエクスプロイトの存在を認めている。Google は、「脆弱性 CVE-2023-6345 が、野放し状態で悪用されていることを認識している」と述べている。
Continue reading “Google Chrome のゼロデイ脆弱性 CVE-2023-6345 が FIX：野放し状態で悪用されている”GoTitan Botnet Spotted Exploiting Recent Apache ActiveMQ Vulnerability
2023/11/29 TheHackerNews — 先日に公開された、Apache ActiveMQ に影響を及ぼす深刻なセキュリティ欠陥が、脅威アクターたちにより積極的に悪用されている。そこで配布されるマルウェアには、GoTitan という新たな Golang ベースのボットネットや、感染させたホストをリモートかんら操作する、悪意の .NET プログラム PrCtrl Rat などがある。この数週間における一連の攻撃では、Lazarus Group などのハッキング集団により武器化された、リモートコード実行の脆弱性 CVE-2023-46604 (CVSS：10.0) が悪用されている。
Continue reading “Apache ActiveMQ の脆弱性 CVE-2023-46604：GoTitan ボットネットも巧撃に参戦”CVE-2023-46589: Apache Tomcat Request Smuggling Vulnerability
2023/11/28 SecurityOnline — 広く利用されている Java Web アプリケーション・サーバーである Apache Tomcat に、新たな脆弱性 CVE-2023-46589 が発見された。この不適切な入力検証に起因する脆弱性は、深刻度 Important に分類され、攻撃者にシステムの悪用をゆるす可能性があるとされる。
Continue reading “Apache Tomcat の脆弱性 CVE-2023-46589：システムの悪用につながる可能性”Threat Actors Started Exploiting Critical ownCloud Flaw CVE-2023-49103
2023/11/28 SecurityAffairs — ownCloud は、ファイルの同期／共有のために設計されたオープンソースのソフトウェア・プラットフォームであり、個人や組織による独自のプライベート・クラウド・ストレージ・サービスの作成を可能にするものだ。先日に発見された脆弱性 CVE-2023-49103 は、Graphapi アプリが URL 取得のために依存する、サードパーティ製の GetPhpInfo.php に存在するものだ。この URL アクセスにより、PHP 環境のコンフィグレーション情報 (phpinfo) が公開されてしまう。
Continue reading “ownCloud の脆弱性 CVE-2023-49103：脅威アクターによる悪用が始まっている”PoC Exploit Released for Apache NiFi Code Execution Vulnerability
2023/11/25 SecurityOnline — Apache NiFi に影響を及ぼす、パッチ適用済みのコード実行の脆弱性 CVE-2023-34212 に対して、セキュリティ研究者である Matei “Mal” Badanoiu が PoC エクスプロイトを公開した。この脆弱性の CVSS スコアは 6.5であり、JNDI/LDAP を介した Java のデシリアライゼーションの悪用により、リモート・コード実行 (RCE) を許すものだ。
Continue reading “Apache NiFi のコード実行の脆弱性 CVE-2023-34212：PoC エクスプロイトがリリース”PoC Exploit Published for Visual Studio Code RCE Vulnerability (CVE-2023-36742)
2023/11/21 SecurityOnline — Visual Studio Code のリモート・コード実行の脆弱性 CVE-2023-36742 (CVSS：7.8) の、技術的詳細および PoC エクスプロイトが、セキュリティ研究者たちにより公表された。この、VS Code 1.82.0 以下に存在する脆弱性は、悪意を持って細工された package.json ファイルで作業する際に発生するものであり、ローカルでのコマンド実行につながるものだ。悪用のシナリオは、VS Code ユーザーに悪意のプロジェクトを開かせ、package.json ファイルの依存関係セクションにある、不正なエントリを操作させることで展開される。
Continue reading “Visual Studio の RCE 脆弱性 CVE-2023-36742：PoC エクスプロイトが公開”CISA orders federal agencies to patch Looney Tunables Linux bug
2023/11/21 BleepingComputer — Qualys の Saeed Abbasi は、「この脆弱性 CVE-2023-4911 の悪用により、Fedora／Ubuntu／Debian などのプラットフォームにおいて、完全な root アクセスが不正に取得されるため、システム管理者は迅速に行動すべきだ」と警告している。また、今日になって CISA は、この Linux の不具合を Known Exploited Vulnerabilities Catalog に追加した。さらに CISA は、この脆弱性を、悪意のサイバー行為が頻繁に発生する攻撃ベクターのリストに取り込み、連邦政府企業に重大なリスクが生じていることを指摘した。
Continue reading “CISA KEV 警告 23/11/21：Linux の Looney Tunables を悪用リストに追加”Kinsing malware exploits Apache ActiveMQ RCE to plant rootkits
2023/11/20 BleepingComputer — Apache ActiveMQ に存在する深刻な脆弱性 CVE-2023-46604 を、Kinsing マルウェアが積極的に悪用し、Linux システムを侵害しようとしている。このリモート・コード実行の脆弱性は、すでに 10月下旬に修正されている。Apache が開示した情報では、この問題により、OpenWire プロトコルのシリアライズされたクラス型を悪用し、任意のシェルコマンドを実行できると説明されている。研究者たちが発見したのは、パッチのリリース後も数千台のサーバーが攻撃にさらされ、HelloKitty や TellYouThePass などのランサムウェア・ギャングが、この機会を利用し始めていることだ。
Continue reading “Apache ActiveMQ の脆弱性 CVE-2023-46604：Kinsing マルウェアも侵害に参戦”CVE-2023-46302: Critical Apache Submarine RCE Vulnerability
2023/11/19 SecurityOnline — Apache Submarine で発見された脆弱性 CVE-2023-46302 は、深刻なリモートコード実行 (RCE) を引き起こす可能性のあるものだ。この、End-to-End 機械学習 (ML) プラットフォームの脆弱性は、snakeyaml (CVE-2022-1471) のセキュリティ欠陥に起因しており、脆弱なシステム上での任意のコードを実行するものであり、 Apache Submarine ユーザーに深刻な脅威をもたらす。
Continue reading “Apache Submarine の脆弱性 CVE-2023-46302 が FIX：RCE にいたる可能性”PoC Code for Linux Kernel Privilege Escalation Flaw (CVE-2023-2598) Published
2023/11/18 SecurityOnline — Linux カーネル 6.3-rc1 に存在する、深刻度の高い脆弱性 CVE-2023-2598 (CVSS:7.8) の詳細と PoC エクスプロイトを、Cybersecurity の研究者 Yordan が公開した。
Continue reading “Linux Kernel の脆弱性 CVE-2023-2598 が FIX：PoC エクスプロイトも登場”CVE-2023-48238: A Critical Vulnerability in json-web-token for Node.js
2023/11/18 SecurityOnline — JSON Web Tokens (JWT) は、サイバー・セキュリティの領域において、安全な通信およびデータ交換のための不可欠なツールとなっている。しかし、このような広範に使われている技術にさえも、脆弱性が潜んでいる可能性がある。Node.js 用の人気の json-web-token ライブラリで、最近になって判明した問題が、この現実を浮き彫りにしている。
Continue reading “Node.js の脆弱性 CVE-2023-48238：トークン・アルゴリズム撹乱に繋がる可能性”SSH Security Breach: Researchers Discover Vulnerability in Crypto Keys
2023/11/16 SecurityOnline — カリフォルニア大学サンディエゴ校とマサチューセッツ工科大学の研究者チームが、SSH 接続のデータ保護に用いられる暗号キーに存在する、深刻なセキュリティ脆弱性を発見した。この脆弱性は、接続確立プロセスにおける計算エラー時に顕在化し、RSA アルゴリズムを採用するキーに影響を及ぼす。この問題は、検査された署名 32億件のうちの 30％ 以上に影響を及ぼすのであり、100万件に１件の割合で、ホスト上の秘密キーが暴露される可能性があるという。
Continue reading “SSH に存在する深刻な脆弱性：計算エラーにより RSA アルゴリズム・キーに影響”CVE-2023-5869: Unpatched PostgreSQL Servers at Risk of Arbitrary Code Execution Attacks
2023/11/14 SecurityOnline — PostgreSQL Global Development Group が、３件のセキュリティ脆弱性の修正を含む、PostgreSQL 16.1／15.5／14.10／13.13／12.17／11.22 をリリースした。これらの脆弱性の悪用に成功した攻撃者は、侵害したシステムの制御や、機密データの窃取を可能すると思われる。
Continue reading “PostgreSQL の脆弱性 CVE-2023-5869 などが FIX：任意のコード実行の可能性”PyPI Packages Found to Expose Thousands of Secrets
2023/11/14 SecurityWeek — PyP Iパッケージにコミットされた Python コードを分析した結果において、何千ものハードコードされた認証情報が存在することが明らかになったと、コード・セキュリティ企業の GitGuardian が警告している。GitGuardian はセキュリティ研究者の Tom Forbes と共同で、約3,000の PyPI パッケージの中にある 4,000件ほどのユニークなシークレットを発見し、このうちの 760件以上が有効であると判明したとしている。
Continue reading “PyPI パッケージに漏れ出したシークレット情報：何千ものハードコードされた認証情報が存在”CVE-2023-46850: OpenVPN Access Server Flaw Exposes Sensitive Data, RCE Possible
2023/11/12 SecurityOnline — OpenVPN Access Server に存在する２件の脆弱性にパッチが適用されたが、この脆弱性が攻撃者に悪用されると、機密情報への不正アクセスが生じる恐れがあるという。脆弱性 CVE-2023-46849／CVE-2023-46850 は、OpenVPN Access Server のバージョン 2.11.0／2.11.1／2.11.2／2.11.3／2.12.0／2.12.1 に影響を及ぼすものだ。一連のバージョンは、OpenVPN 2.6 を継承しており、そこで２つの脆弱性が発見された。
Continue reading “OpenVPN の脆弱性 CVE-2023-46849／CVE-2023-46850 が FIX”US Government Issues Guidance on SBOM Consumption
2023/11/10 SecurityWeek — 11月9日に、米国のサイバーセキュリティ機関である CISA／NSA／ODNI (Office of the Director of National Intelligence) は、ソフトウェアベンダーとサプライヤー向けに、ソフトウェアのサプライチェーンを保護するための新しいガイダンスを公開した。このガイダンスでは、組織が OSS (Open Source Software) や SBOM (Software Bills of Materials) の管理を含め、ソフトウェアのライフサイクル全体を通して自社のセキュリティ対策を評価するのに役立ち、ソフトウェア・サプライチェーンのあらゆる段階にわたって適用できる推奨事項が提示されている。
Continue reading “CISA／NSA／ODNI の共同指針：SBOM／OSS などの管理ガイダンスを発表”Open-source vulnerability disclosure: Exploitable weak spots
2023/11/09 HelpNetSecurity — オープンソース・プロジェクトの脆弱性開示プロセスの欠陥が攻撃者に悪用され、パッチが提供される前に攻撃を仕掛けるために必要な、情報を収集される可能性があると、Aqua Security の研究者たちが懸念している。”0.5-Day” の脆弱性は、メンテナには知られており、その情報は GitHub や NVD (National Vulnerability Database) に公開されているが、公式な修正プログラムが存在しない状況を指す。”0.75-Day” の脆弱性は、公式な修正プログラムは存在しているが、CVE 番号や CPE 識別子は存在しない状態を指す。したがって、脆弱性スキャンツールによる脆弱なコンポーネントの検出が不可能であり、パッチ適用の必要性に、セキュリティ・チームは気が付かない。
Continue reading “OSS における脆弱性の情報開示：悪用を防ぐための工夫をメンテナたちに伝えたい”GitHub Enhances Security Capabilities With AI
2023/11/08 SecurityWeek —
今日、Microsoft 傘下の GitHub が、GitHub Advanced Security の AI を活用しする、３つの機能のパブリック・プレビューを発表した。GitHub Enterprise Cloud および Enterprise Server の顧客向けに提供される Advanced Security により、コードの品質を維持／向上するための一連の機能が提供される。Dependabot などの機能の一部は、公開リポジトリでも利用できる。
Continue reading “GitHub の AI 拡張：３つの機能のパブリック・プレビューを発表”Beware, Developers: BlazeStealer Malware Discovered in Python Packages on PyPI
2023/11/08 TheHackerNews — PyPI (Python Package Index) リポジトリに忍び込み、開発者のシステムを侵害して機密情報を盗み出す、悪質な Python パッケージの新しいセットが発見された。 Checkmarx は、「これらのパッケージは、無害な難読化ツールを装っているが、BlazeStealer と呼ばれるマルウェアを隠し持っている」と、The Hacker News と共有したレポートで述べている。
Continue reading “PyPI 汚染が露見：BlazeStealer マルウェアを隠し持つ悪意の Python パッケージ”‘Looney Tunables’ Glibc Vulnerability Exploited in Cloud Attacks
2023/11/06 SecurityWeek — 最近パッチが適用された GNU C Library (glibc) に存在する深刻な特権昇格の脆弱性が、Kinsing マルウェアの展開やクリプトジャッキング攻撃を操る脅威グループにより、クラウドへの攻撃で悪用されている。Looney Tunablesと名付けられた脆弱性 CVE-2023-4911 は、Debian／Gentoo／Red Hat／Ubuntu などの主要 Linux ディストリビューションに影響を及ぼすことが判明している。この脆弱性により、ローカル攻撃者は昇格した権限で、任意のコードを実行できるという。
Continue reading “GNU C Library の脆弱性 CVE-2023-4911：クラウドを狙う脅威アクターが兵器化”TellYouThePass ransomware joins Apache ActiveMQ RCE attacks
2023/11/06 BleepingComputer — インターネットに公開された Apache ActiveMQ サーバに存在する、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2023-46604 が、TellYouThePass ランサムウェア攻撃の標的にもなっている。この脆弱性 CVE-2023-46604 は、スケーラブルなオープンソース・メッセージ・ブローカーである ActiveMQ に存在し、悪用に成功した未認証の攻撃者に、任意のシェルコマンド実行を許してしまうものである。
Continue reading “Apache ActiveMQ の脆弱性 CVE-2023-46604：TellYouThePass ランサムウェアが積極的に悪用”48 Malicious npm Packages Found Deploying Reverse Shells on Developer Systems
2023/11/03 TheHackerNews — npm リポジトリで、48個の悪意の npm パッケージ・セットが、新たに発見された。それらは、侵害したシステム上にリバースシェルを展開する機能を持っているという。ソフトウェア・サプライチェーンのセキュリティ企業 Phylum は、「これらのパッケージは、正規のパッケージを偽装されており、そのインストール時にリバースシェルを開始するための、難読化された JavaScript を取り込んでいる」と述べている。すべての偽造パッケージは、hktalent (GitHub／X) という npm ユーザーにより公開されている。この記事の執筆時点で、hktalent がアップロードしたパッケージのうち、39個がダウンロード可能な状態にある。
Continue reading “npm で発見された 48個の悪意のパッケージ：難読化されたリバースシェルを展開”3,000 Apache ActiveMQ servers vulnerable to RCE attacks exposed online
2023/11/01 BleepingComputer — インターネットに公開されている、3,000台以上の Apache ActiveMQ サーバ上に、深刻なリモート・コード実行 (RCE) が存在することが、先日に公表された。Apache ActiveMQ は、クライアント／サーバ間の通信を促進する、スケーラブルなオープンソースのメッセージ・ブローカーであり、Java などのクロス・ランゲージ型のクライアントおよび、AMQP／MQTT／OpenWire／STOMP などの多様なプロトコルをサポートしている。
Continue reading “Apache ActiveMQ の脆弱性 CVE-2023-46604：3,000 台のサーバが危険な状態”Malicious NuGet Packages Caught Distributing SeroXen RAT Malware
2023/10/31 TheHackerNews — NuGet パッケージ・マネージャに公開された、珍しいマルウェア展開の方法を用いる悪意のパッケージの新しいセットを、サイバー・セキュリティ研究者たちが発見した。ソフトウェア・サプライ・チェーンのセキュリティ企業である ReversingLabs は、「このキャンペーンは、SeroXen RAT と呼ばれるリモート・アクセス型トロイの木馬を配信するために、不正な NuGet パッケージのホストとの関連付けを用いながら、2023年8月1日以降において広まってきている」と説明している。
Continue reading “NuGet パッケージに潜む SeroXen RAT：GitHub にホストされるペイロードへの導線”Logging Made Easy: Free log management solution from CISA
2023/10/30 HelpNetSecurity — CISA が発表した Logging Made Easy (LME) の新バージョンは、Windows ベースのデバイスに対応し、無償でのダウンロードとセルフ・インストールが可能な、使いやすいログ管理ソリューションである。LME の CISA 版は、英国の National Cyber Security Centre (NCSC) により開発された技術を、GitHub 上に再構築したものであり、多くの人々が利用できるようになっている。
Continue reading “CISA の Logging Made Easy：GitHub 上で無償で提供されている”Dozens of Squid Proxy Vulnerabilities Remain Unpatched 2 Years After Disclosure
2023/10/12 SecurityWeek — Squid Proxy は、広く使用されているオープンソース・プロキシである。その Squid Proxy の Web キャッシングおよび転送機能に影響を及ぼす数十の脆弱性が、研究者から開発者に報告されてから、約２年が経過した現在でも、パッチが適用さないという状況が続いている。Squid プロジェクトの公式サイトには、「知らないうちに、Squid を使っている方も多いはずだ。自宅やオフィスのファイアウォール・デバイスに、Squid を組み込んでいる企業もある。また、ブロードバンドやダイヤルアップ・インターネット アクセスを高速化するための、大規模な Web プロキシの構築に Squid を使用している企業もある。Squid の用途は、コンテンツ配信アーキテクチャにも広がり、静止画および動画ストリーミングのビデオ／オーディオを、世界中のインターネット・ユーザーに配信するために利用されている」と記されている。
Continue reading “Squid Proxy の数十の脆弱性：報告から２年が経過しているがパッチは未適用”Malicious NuGet Package Targeting .NET Developers with SeroXen RAT
2023/10/12 TheHackerNews — .NET Framework のための NuGet パッケージ・マネージャーにホストされている悪質なパッケージが、SeroXen RAT というリモート・アクセス型のトロイの木馬を配信していることが判明した。このパッケージは、Pathoschild.Stardew.Mod.Build.Config と名付けられ、Disti というユーザーにより公開されているが、正規のパッケージであるPathoschild.Stardew.ModBuildConfig を装うタイポスクワッティングであると、サプライチェーン・セキュリティ会社 Phylum が、今日のレポートで指摘している。現時点において、正規のパッケージは約79,000ダウンロードを記録しているが、2023年10月6日に公開された悪意の亜種の方は、ダウンロード数を人為的に水増して、100,000 ダウンロードを超えているとされる。
Continue reading “NuGet に悪意のパッケージ：.NET 開発者に SeroXen RAT を配信している”Critical SOCKS5 Vulnerability in cURL Puts Enterprise Systems at Risk
2023/10/11 SecurityWeek — 10月10日に、データ転送プロジェクト cURL のメンテナたちは、エンタープライズで使用される大量の OS／アプリ／デバイスを、ハッカーからの攻撃にさらす可能性のある、深刻なメモリ破壊の脆弱性に対するパッチを配布した。このハイリスクな脆弱性は、cURL の SOCKS5 プロキシ・ハンドシェイク・プロセスに直接的な影響をもたらし、一部の非標準的なコンフィグレーションでは、リモートからの悪用を許す可能性があるという。この脆弱性 CVE-2023-38545 は、デバイスとサーバの間でデータ交換を処理する、libcurl ライブラリに存在する。
Continue reading “cURL の深刻な脆弱性 CVE-2023-38545 が FIX：バージョン 8.4.0 への移行を急いでほしい”GNOME Linux systems exposed to RCE attacks via file downloads
2023/10/09 BleepingComputer — GNOME デスクトップ環境を実行している Linux システム上の、オープンソース libcue ライブラリに存在するメモリ破壊の脆弱性により、攻撃者に任意のコード実行を許す可能性がある。libcue は、Cue Sheet File を解析するために設計されたライブラリであり、Tracker Miners File Metadata Indexer に統合され、最新の GNOME バージョンではデフォルトとして取り込まれている。Cue Sheet (CUE) ファイルは、CD のオーディオ・トラックの長さ／曲名／ミュージシャンなどのレイアウトを取り込んだプレーン・テキスト・ファイルであり、通常は 、FLAC オーディオ・ファイル・フォーマットとペアになっている。
Continue reading “GNOME Tracker Miners の脆弱性 CVE-2023-43641 が FIX：１クリックで RCE にいたる”GitHub’s Secret Scanning Feature Now Covers AWS, Microsoft, Google, and Slack
2023/10/06 TheHackerNews — GitHub が発表した、そのシークレット・スキャン機能の改良／拡張により、一般的な Amazon Web Services (AWS)／Microsoft／Google／Slack などのサービスでの有効性チェックも、カバーされるようになるという。今年のはじめに GitHub が導入した有効性チェックは、シークレット・スキャンにより発見されたトークンの有効性についてユーザーに警告し、効果的な修復措置を可能にするものだ。この有効性チェックは、まず GitHub トークンで有効化された。クラウドベースのコード・ホスティングとバージョン管理サービスを提供する GitHub は、より多くのトークンを、将来的にサポートするつもりだと述べている。
Continue reading “GitHub のシークレット・スキャンが拡張：AWS／Microsoft／Google／Slack などをカバー”Exploits released for Linux flaw giving root on major distros
2023/10/05 BleepingComputer — GNU C Library の Dynamic Loader に存在する深刻度の高い脆弱性を介して、主要な Linux ディストリビューション上でローカル攻撃者が root 権限を取得するという、PoC エクスプロイトがオンライン上で提供されている。Looney Tunables と名付けられた脆弱性 CVE-2023-4911 は、バッファオーバー・フローに起因するものであり、デフォルトでインストールされている Debian 12／13 および、Ubuntu 22.04／23.04、Fedora 37／38 に影響を及ぼす。
Continue reading “GNU C Library の脆弱性 CVE-2023-4911：PoC エクスプロイトが登場し始めた”CVE-2023-38545, CVE-2023-38546: Frequently Asked Questions for New Vulnerabilities in curl
2023/10/04 tenable — 10月3日の X (Twitter) で、オープンソース開発者であり、curl のメンテナでもある Daniel Stenberg が、curl 8.4.0 で修正される深刻度の高い脆弱性について発表した。Daniel は、新しいバージョンは、予定より早目の 10月11日にリリースされると述べている。また、 Twitter スレッドへの返信で、「これまでと比べて、curl で発見された最悪のセキュリティ欠陥である」と指摘している。
Continue reading “curl の深刻な脆弱性 CVE-2023-38545／CVE-2023-38546：10月11日の 8.4.0 で FIX”Hundreds of malicious Python packages found stealing sensitive data
2023/10/04 BleepingComputer — この半年で複雑さを増した悪質なキャンペーンにより、OSS プラットフォームに数百の情報窃取パッケージが仕掛けられ、そのダウンロード数は約 75,000回を数えるという。このキャンペーンについては、４月上旬から Checkmarx の Supply Chain Security チームのアナリストたちが監視しており、標的となったシステムから機密データを盗み出すためのコードを取り込んだ、272種類のパッケージが発見されている。最初に確認されたときと比べて、この種の攻撃は大幅に進化しており、さらに巧妙になった難読化レイヤと検出回避の技術が、悪意のパッケージ作成者たちにより実装されているという。
Continue reading “Python に潜むマルウェア：272種類のパッケージと 75,000回のダウンロード”Rogue npm Package Deploys Open-Source Rootkit in New Supply Chain Attack
2023/10/04 TheHackerNews — npm パッケージ・レジストリで新種の偽装パッケージが発見され、r77 と呼ばれるオープンソースの rootkit が配布されていたことが判明した。問題のパッケージは、”node-hide-console-windows” であり、正規の npm パッケージ “node-hide-console-window” を模倣する、典型的なタイポスクワッティング・キャンペーンの事例となる。このパッケージは、削除されるまでの２ヶ月間に、704回もダウンロードされている。
Continue reading “npm に悪意の rootkit パッケージ：２ヶ月間で 700 回もダウンロードされている”Upstream Supply Chain Attacks Triple in a Year
2023/10/03 InfoSecurity — OSS エコシステムにおけるサイバーリスクの急増を、セキュリティ専門家たちが警告している。Sonatype の 9th Annual State of the Software Supply Chain Report は、公開されているデータと独自データの分析から構成されるものだ。そこには、4,000億件以上の Maven Central ダウンロードにおける、依存関係の更新パターンも含まれている。2023年に Sonatype は、245,032件の悪意のパッケージを検出したが、この件数と 2019年〜2022年の件数を比較すると、ソフトウェア・サプライ・チェーン攻撃は約２倍に増加していることになる。
Continue reading “OSS 調査：2023年は 245,032件の悪意のパッケージを検出 – Sonatype”Warning: PyTorch Models Vulnerable to Remote Code Execution via ShellTorch
2023/10/03 TheHackerNews — PyTorch モデルを提供しスケーリングするための TorchServe ツールに、複数の深刻なセキュリティ上の欠陥があることを、サイバー・セキュリティ研究者たちが公表した。この問題を発見したイスラエルのランタイム・アプリケーション・セキュリティ企業 Oligo は、この脆弱性を ShellTorch と呼んでいる。
Continue reading “PyTorch Model モデルの脆弱性 ShellTorch が FIX：リモートコード実行の可能性”New ‘Looney Tunables’ Linux bug gives root on major distros
2023/10/03 BleepingComputer — Looney Tunables と呼ばれる、新たな Linux の脆弱性が判明した。GNU C ライブラリの ld.so ダイナミック・ローダーに存在する、バッファ・オーバーフローの弱点を悪用することで、ローカル攻撃者が root 権限を取得することが可能になるという。GNU C ライブラリ (glibc) は、GNU システムの C ライブラリであり、大半の Linux カーネル・ベース・システムに含まれている。glibc が提供する機能には、open／malloc／printf／exit などのシステムコールが含まれ、また、典型的なプログラム実行に必要な機能も含まれる。glibc 内のダイナミック・ローダーは、glibc を使用する Linux システム上でプログラムの準備と実行を行うため、最も重要なものである。
Continue reading “Looney Tunables という Linux の脆弱性：glibc に存在する危険なバッファ・オーバーフロー”Dozens of Malicious NPM Packages Steal User, System Data
2023/10/03 SecurityWeek — Fortinet のセキュリティ研究者たちは、被害者のシステムから大量の情報を採取するように設計された難読化スクリプトを取り込んでいる、複数の悪意の NPM パッケージを特定した。10月2日 (月) に Fortinet は、NPM レジストリ内の 35件の悪意のパッケージについて警告した。それらのパッケージに取り込まれているスクリプトにより、システムおよびユーザーデータが収集され、Web フックまたはファイル共有リンクを介したデータ流出が実行されるという。
Continue reading “NPM パッケージ汚染：悪意の実装を９パターンに分類 – Fortinet”Microsoft Edge, Teams get fixes for zero-days in open-source libraries
2023/10/03 BleepingComputer — Microsoft は、Edge／Teams／Skype 向けの緊急セキュリティ更新プログラムをリリースし、それらの３製品で使用されている OSS ライブラリに存在する、２件ゼロデイ脆弱性を修正した。１つ目の脆弱性 CVE-2023-4863 は、WebP コード・ライブラリ (libwebp) のヒープバッファ・オーバーフローに起因するものであり、悪用されるとクラッシュや任意のコード実行にいたる恐れがある。２つ目の脆弱性 CVE-2023-5217 は、libvpx ビデオコーデック・ライブラリの VP8 エンコーディング機能に存在するヒープバッファ・オーバーフローに起因するものであり、悪用されるとアプリ・クラッシュや任意のコード実行にいたる。
Continue reading “Microsoft が libwebp／libvpx の脆弱性に対応：Edge／Teams などを緊急アップデート”
IoT OT Security News 
You must be logged in to post a comment.