OpenSource – Page 5 – IoT OT Security News

Golang の暗号ライブラリの脆弱性 CVE-2024-45337 が FIX：認可バイパスの可能性

CVE-2024-45337: Golang Crypto Library Flawed, Risks Authorization Bypass

2024/12/15 SecurityOnline — Golang の暗号ライブラリに、新たな脆弱性 CVE-2024-45337 (CVSS 9.1) が発見された。この脆弱性は、ServerConfig.PublicKeyCallback 関数の誤用に起因するものであり、アプリケーションやライブラリにおいて、認可バイパスを引き起こす可能性を持つ。

GLPI の複数の脆弱性が FIX：データ漏洩／システム障害などが生じる恐れ

Multiple Critical Vulnerabilities Expose GLPI to Widespread Attacks

2024/12/15 SecurityOnline — 人気の OSS 資産／IT 管理ソフトウェア・パッケージ GLPI (Gestionnaire Libre de Parc Informatique) に、複数の重大な脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、ユーザーセッションの乗っ取り／アカウントの削除／管理アカウントの完全な制御などの可能性を手にする。ユーザーに対して推奨されるのは、最新バージョンである 10.0.17 へと、可能な限り早急にアップデートすることだ。

curl の脆弱性 CVE-2024-11053 (CVSS 9.1) が FIX：ユーザー認証情報の漏えいの可能性

CVE-2024-11053 (CVSS 9.1): Curl Vulnerability Exposes User Credentials in Redirects

2024/12/14 SecurityOnline — 人気のコマンドライン・ツール／ライブラリである curl に、新たな脆弱性 CVE-2024-11053 (CVSS 9.1) が発見された。この脆弱性は、.netrcファイルを用いた認証情報の保存と、curl の HTTP リダイレクト処理とのインタラクションに起因する。この脆弱性が悪用されると、ユーザー認証情報の漏えいにつながる可能性がある。

FuzzyAI：LLM のファジングを自動化するパワフルな OSS ツール

FuzzyAI: Open-source tool for automated LLM fuzzing

2024/12/13 HelpNetSecurity — 新たに登場したオープンソース・フレームワークの FuzzyAI は、LLM のファジングを自動化する強力なツールである。ガードレール迂回や有害な出力生成などの、LLM の潜在的なセキュリティ脆弱性の特定／緩和を支援するために設計されている。FuzzyAI の主な機能は、様々な敵対的インプットに対する AI モデルのテスト／セキュリティ・システムにおける潜在的な弱点の特定／AI 開発と展開の安全性向上のための体系的なアプローチなどである。

Woffice WordPress Theme の脆弱性 CVE-2024-43153／43234 が FIX：15k のサイトが危険な状態に

Over 15,000 Sites at Risk: Woffice WordPress Theme Vulnerabilities Could Lead to Full Site Takeovers

2024/12/13 SecurityOnline — プレミアムなイントラネット／エクストラネット・ソリューションとして人気の WordPress テーマである Woffice に、２つの重大な脆弱性が存在することが、Patchstack により発見された。Xtendify が開発した Woffice テーマは、チーム／プロジェクト管理機能を提供する、高度なビジネス・ワークフローのテーマとして人気を博しており、15,000以上の販売実績を誇る。しかし、新たに発見された脆弱性により、影響を受ける Web サイトに重大なセキュリティ・リスクが生じている。

GitHub の偽 PoC リポジトリ：研究者たちの機密データと大量の WordPress 資格証明を窃取

390,000+ WordPress Credentials Stolen via Malicious GitHub Repository Hosting PoC Exploits

2024/12/13 TheHackerNews — WordPress ツールとして宣伝され、現在は削除されている悪意の GitHub リポジトリにより、39万件以上の認証情報が流出したと推定されている。この狡猾なアクティビティは、MUT-1244 と名付けられた脅威アクターが展開する、広範な攻撃キャンペーンの一部であり、フィッシング情報や PoC コードをホストする、トロイの木馬化された複数の GitHub リポジトリで構成されるものだ。

Pumakit という Linux ルートキットを検出：高度な権限昇格とステルス性が特色

New stealthy Pumakit Linux rootkit malware spotted in the wild

2024/12/12 BleepingComputer — Pumakit と呼ばれる、新たな Linux ルートキット・マルウェアが発見された。このマルウェアは、高度な権限昇格とステルス性の技術を用いて、システム上で存在を隠し続けるという。このマルウェアは、複数のコンポーネントのセットである、その内容は、ドロッパー／メモリ常駐実行ファイル／カーネル・モジュール・ルートキット、共有オブジェクト・ユーザーランド・ルートキットなどである。

Apache Superset の脆弱性 CVE-2024-55633 が FIX：機密情報の改ざんの可能性

CVE-2024-55633: Apache Superset Vulnerability Exposes Sensitive Data to Unauthorized Modification

2024/12/12 SecurityOnline — OSS の BI (business intelligence) ツールである Apache Superset に、脆弱性 CVE-2024-55633 (CVSS 7.1) が発見された。この脆弱性は、Superset の SQL Lab 機能における、読み取り専用クエリの不適切な検証に起因するものであり、攻撃者に対して、機密データへの不正な書き込みを許す可能性がある。

WordPress の Hunk Companion プラグインの脆弱性 CVE-2024-11972 が FIX：ただちにパッチを！

Hunk Companion WordPress plugin exploited to install vulnerable plugins

2024/12/11 BleepingComputer — WordPress – Hunk Companion プラグインの深刻な脆弱性 CVE-2024-11972 を悪用する攻撃者たちが、WordPress.org リポジトリかた他のプラグインをダイレクトにインストールし、アクティブ化している。それらのプラグインは、既知の脆弱性を持つ古いものであり、また、エクスプロイトが可能なものであるため、そこから攻撃が拡大していく。

Apache Struts の脆弱性 CVE-2024-53677 (CVSS 9.5) が FIX：RCE が生じる恐れ

CVE-2024-53677 (CVSS 9.5): Critical Vulnerability in Apache Struts Allows Remote Code Execution

2024/12/11 SecurityOnline — 人気の Apache Struts フレームワークに、重大なセキュリティ脆弱性 CVE-2024-53677 (CVSS 9.5) が発見された。この脆弱性の悪用に成功した攻撃者は、リモート・コード実行の可能性を手にする。開発者に対して推奨されるのは、システムを直ちに更新することだ。

GitLab CE/EE の脆弱性 CVE-2024-11274 (CVSS 8.7) などが FIX：不正アクセス／DoS の可能性

CVE-2024-11274: GitLab Vulnerability Exposes User Accounts

2024/12/11 SecurityOnline — GitLab が公表したのは、Community Edition (CE)／Enterprise Edition (EE) 17.6.2／17.5.4／17.4.6 に影響を及ぼす、複数の脆弱性に対処するセキュリティ・アップデートである。このアップデートで対処される欠陥が悪用されると、アカウント乗っ取り／サービス拒否攻撃／情報漏洩などの、深刻な結果につながる恐れがある。

OSS リポジトリを汚染するマルウェア：2024 は前年比で 200% の増大

Open source malware up 200% since 2023

2024/12/11 HelpNetSecurity — Sonatype の 2024 Open Source Malware Threat Report によると、2019 年に追跡が開始された悪意のパッケージの数が 778,500 件を超えている。そして 2024年になり、カスタム AI モデルを構築する企業が、オープンソース・ツールを採用するケースが増えるにつれて、悪意のオープンソース・パッケージを用いる脅威アクターたちが、開発者を標的にするケースが増えている。この記事で概説するのは、こうしたトレンドについて調査した結果である。

ソフトウェア・サプライチェーンが世界を飲み込む：いまなら Marc Andreessen はそう言うだろう

Lessons From the Largest Software Supply Chain Incidents

2024/12/11 DarkReading — 2011年の Marc Andreessen の言葉を覚えているだろうか。それは、「ソフトウェアが世界を飲み込んでいる」というフレーズであり、13年以上が経ったいまも、真実味を深め続けている。産業界はソフトウェアにより変革され、世界経済の活性化においてもソフトウェアは不可欠だ。つまり、世界はソフトウェアで動いている。いまの企業に求められるのは、ビジネス環境における苛烈な競争に生き残ることであり、そのために、かつてないスピードで大量のソフトウェアが生み出されている。

Apache Superset の脆弱性 CVE-2024-53947／53948／53949 が FIX：直ちにアップデートを！

Apache Superset Patches Multi Security Flaws in Latest Release

2024/12/10 SecurityOnline — Apache Superset バージョン 4.1.0 のリリースにより、脆弱性 CVE-2024-53947／CVE-2024-53948／CVE-2024-53949 が修正された。この BI プラットフォームに存在する、脆弱性の悪用に成功した攻撃者は、セキュリティ制御の回避／機密データへのアクセス／不正な特権の入手などの可能性を得る。

WPForms プラグインの脆弱性 CVE-2024-11205 (CVSS：8.5) が FIX：600万以上のサイトに影響

CVE-2024-11205: WPForms Plugin Vulnerability Impacts 6 Million WordPress Sites

2024/12/09 SecurityOnline — WordPress のフォーム・ビルダー・プラグイン WPForms に存在する、脆弱性 CVE-2024-11205 ( CVSS v3.1：8.5) により、各種の Web サイトが深刻な財務リスクにさらされている。600 万以上のインストール数を誇る人気の WPForms だが、この脆弱性の悪用に成功した、サブスクライバー以上の権限を持つ認証済みの攻撃者により、Stripe 決済の不正な払い戻しや、Stripe サブスクリプションのキャンセルが、実行される可能性が生じるという。

CPython の脆弱性 CVE-2024-12254 が FIX：asyncio アプリにメモリ枯渇の可能性

CVE-2024-12254: CPython Flaw Could Lead to Memory Exhaustion in asyncio Applications

2024/12/09 SecurityOnline — Python プログラミング言語のリファレンス実装である CPython に、深刻度の高い脆弱性 CVE-2024-12254 (CVSSv4：8.7) が発見された。この脆弱性は、バージョン 3.12.0 以降に影響を及ぼすものであり、asyncio モジュールを用いるアプリケーションにおいてメモリ不足を引き起こす可能性がある。

OpenWrt の深刻な脆弱性 CVE-2024-54143：ファームウェア更新サーバが悪用される恐れ

Critical OpenWrt Flaw Exposes Firmware Update Server to Exploitation

2024/12/09 SecurityWeek — OpenWrt プロジェクトは、Linux ベースの OS を組み込みデバイス向けに提供する OSS イニシアチブである。その OpenWrt がリリースしたのは、ファームウェア更新サーバを悪意のある攻撃にさらす可能性にある、深刻な脆弱性に対するパッチである。この脆弱性 CVE-2024-54143 は、OpenWrt sysupgrade サーバに影響を及ぼし、侵害されたファームウェア・イメージをユーザーにインストールさせるという、潜在的なリスクを生み出している。

PyPI における Ultralytics AI の悪用：ビルド環境の侵害と XMRig マルウェアの展開

Ultralytics AI Library with 60M Downloads Compromised for Cryptomining

2024/12/09 HackRead — PyPI (Python Package Index) で人気を博す、Ultralytics AI ライブラリに悪意のコードを注入して、暗号通貨のマイニングを行うという攻撃が、ReversingLabs のサイバーセキュリティ研究者たちにより発見された。

Apache ActiveMQ の脆弱性 CVE-2023-46604：Mauri ランサムウェアが悪用

Mauri Ransomware Exploits Apache ActiveMQ Flaw (CVE-2023-46604)

2024/12/08 SecurityOnline — AhnLab Security Intelligence Response Center (ASEC) が明らかにしたのは、Apache ActiveMQ の深刻な脆弱性 CVE-2023-46604 を悪用する脅威アクターが、攻撃において Mauri ランサムウェアを展開し始めたことである。この脆弱性の悪用に成功した攻撃者は、パッチ未適用のサーバ上で、悪意のリモート・コマンドの実行を達成し、データ漏洩／システム侵害／ランサムウェア展開などを引き起こす可能性を手にする。

WordPress WP Umbrella Plugin の脆弱性 CVE-2024-12209 が FIX：３万件のサイトが危険な状態に！

CVE-2024-12209 (CVSS 9.8): WP Umbrella Plugin Vulnerability Exposes 30,000 Websites to Compromise

2024/12/07 SecurityOnline — WordPress WP Umbrella Plugin は、30,000 件以上の Web サイトで使用されている人気のプラグインであるが、深刻なセキュリティ脆弱性 CVE-2024-12209 (CVSS：9.8) が存在していることが判明した。このプラグインのコードの、ローカル・ファイル・インクルージョン (LFI) 脆弱性を発見したのは、セキュリティ研究者 Arkadiusz Hydzik である。この脆弱性は、WP Umbrella のバージョン 2.17.0 以下に影響を及ぼすことが確認されている。

Django の脆弱性 CVE-2024-53907／53908 が FIX：DoS／SQLi の可能性

Django Releases Patches for CVE-2024-53907 and CVE-2024-53908 to Mitigate DoS and SQLi Threats

2024/12/05 SecurityOnline — Django に存在するセキュリティ脆弱性 CVE-2024-53907／CVE-2024-53908 が、バージョン 5.1.4／5.0.10／4.2.17 のリリースにより修正された。ユーザーに対して推奨されるのは、最新のセキュリティ・アップデートを、可能な限り早急にインストールすることだ。

WordPress Sweet Date Theme の脆弱性 CVE-2024-43222 が FIX : ただちにパッチを！

CVE-2024-43222 (CVSS 9.8): Critical Flaw in Sweet Date WordPress Theme Exposes Thousands of Sites to Potential Takeovers

2024/12/05 SecurityOnline — WordPress の Sweet Date テーマで、深刻な脆弱性 CVE-2024-43222 が発見された。このテーマは、人気のプレミアム・テーマであり、販売数は 10,000 近くに達するという。この脆弱性の CVSS スコアは 9.8 であり、重大度が極めて高いため、悪用により深刻な影響が生じる恐れがある。

AsyncHttpClient の脆弱性 CVE-2024-53990 (CVSS 9.2) が FIX：誤った Cookie 処理の発生

CVE-2024-53990 (CVSS 9.2): AsyncHttpClient Vulnerability Puts Java Applications at Risk

2024/12/05 SecurityOnline — Java ライブラリである AsyncHttpClient (AHC) に、深刻な脆弱性 CVE-2024-53990 (CVSS：9.2) が発見された。この、非同期 HTTP リクエスト送信で広く利用されるライブラリの脆弱性により、攻撃者はユーザー・セッションの悪用を達成し、機密情報への不正アクセスの可能性を手にする。

CISA KEV 警告 24/12/04：CyberPanel の脆弱性 CVE-2024-51378 を登録

CVE-2024-51378 (CVSS 10): Critical CyberPanel Flaw Under Active Attack, CISA Warns

2024/12/04 SecurityOnline — CISA は、CyberPanel の脆弱性 CVE-2024-51378 を、KEV (Known Exploited Vulnerabilities) カタログに追加した。この OSS の Web ホスティング・コントロールパネル CyberPanel に存在する、脆弱性 CVE-2024-51378 を積極的に悪用する攻撃者たちが、PSAUX／C3RB3R／Babuk などのランサムウェア亜種を展開していることが確認されている。

Zabbix の脆弱性 CVE-2024-42327 (CVSS：9.9)：PoCエクスプロイトが登場

PoC Exploit Releases for Critical Zabbix Vulnerability – CVE-2024-42327 (CVSS 9.9)

2024/12/03 SecurityOnline — Zabbix に影響を及ぼす深刻な SQL インジェクションの脆弱性 CVE-2024-42327 (CVSSv3：9.9) に対する、詳細な技術分析と PoC エクスプロイトコードが公開された。この脆弱性に対する PoC の登場により、広く利用されているエンタープライズ・ネットワーク／アプリケーション監視のための OSS プラットフォームである Zabbix の、デプロイメントに深刻な影響が及ぶ可能性が生じている。

ProFTPD の脆弱性 CVE-2024-48651 が FIX：root アクセスの不正取得の恐れ

CVE-2024-48651: ProFTPD Vulnerability Grants Root Access to Attackers

2024/12/02 SecurityOnline — 人気の FTP サーバである ProFTPD に、重大なセキュリティ脆弱性 CVE-2024-48651 (CVSS：7.5) が存在することが判明した。ProFTPD バージョン 1.3.8b 以下の mod_sql コンポーネントに存在する、この脆弱性により、脆弱なシステムへのルート・アクセスが、攻撃者に許される可能性があるという。

WordPress Widget Options Plugin の脆弱性 CVE-2024-8672 が FIX：CVSS 値は 9.9

CVE-2024-8672 (CVSS 9.9): Critical Flaw in Widget Options Plugin Threatens 100,000+ Websites

2024/11/30 SecurityOnline — 100,000 以上のアクティブなインストール数を誇る WordPress Widget Options plugin に、深刻な脆弱性 CVE-2024-8672 (CVSSv3：9.9) が発見されたが、最新バージョン (4.0.8) で修正された。この脆弱性により、 Widget Options plugin を利用する Web サイトに、深刻な脅威の可能性が生じている。この脆弱性の悪用に成功した、コントリビューター以上のアクセス権限を持つ攻撃者は、標的サーバ上で任意のコード実行の可能性を得る。

Apache Arrow R の脆弱性 CVE-2024-52338 が FIX：任意のコード実行が可能に

CVE-2024-52338: Critical Security Flaw in Apache Arrow R Package Allows Arbitrary Code Execution

2024/11/29 SecurityOnline — Apache Arrow R パッケージのバージョン 4.0.0〜16.1.0 に存在する、重大な脆弱性 CVE-2024-52338 が修正された。この脆弱性の悪用に成功した攻撃者は、悪意を持って細工されたデータファイルを処理するシステム上で、任意のコード実行の可能性を得る。

Contiki-NG の脆弱性 CVE-2024-41125 などが FIX：デバイス・クラッシュ／悪意のコード実行の可能性

Contiki-NG IoT OS Patches Critical Vulnerabilities

2024/11/28 SecurityOnline — Contiki-NG OS に存在する、３つの重大な脆弱性が修正された。この、IoT デバイス用として人気を博す、OSS 製品の脆弱性の悪用に成功した攻撃者は、デバイス・クラッシュや悪意のコード実行を引き起こす可能性を得る。

Zabbix の RCE の脆弱性 CVE-2024-42330 (CVSS 9.1) が FIX：ただちにパッチを！

CVE-2024-42330 (CVSS 9.1): Zabbix Patches Critical Remote Code Execution Vulnerability

2024/11/28 SecurityOnline — 人気の OSS 監視ツール Zabbix がリリースしたのは、バージョン 6.0／6.4／7.0 に影響を及ぼす、脆弱性 CVE-2024-42330 (CVSS：9.1) を修正するための、緊急のセキュリティ・アップデートである。この脆弱性の悪用に成功した攻撃者は、脆弱なシステム上で任意のコード実行の可能性を得るという。

Jenkins の複数の脆弱性が FIX：プラグインとの組み合わせて被害が拡大する恐れ

Jenkins Users Beware: Multiple Security Vulnerabilities Discovered

2024/11/27 SecurityOnline — Jenkins が発行したのは、コア・システムとプラグインに影響を及ぼす、複数の脆弱性に対処するためのセキュリティ・アドバイザリである。それらの、サービス拒否やクロス・サイト・スクリプティングの脆弱性を放置すると、広く使用されている OSS 自動化サーバ Jenkins のユーザーに、重大なリスクが生じる可能性がある。

Zabbix の SQLi の脆弱性 CVE-2024-42327 (CVSS 9.9) が FIX：ただちにパッチを！

CVE-2024-42327 (CVSS 9.9): Critical SQL Injection Vulnerability Found in Zabbix

2024/11/27 SecurityOnline — Zabbix が公表したのは、SQL インジェクションの脆弱性 CVE-2024-42327 (CVSS：9.9) の発見に関する情報である。この脆弱性を悪用する攻撃者は、権限の昇格を達成し、Zabbix インスタンスの完全な制御を手にするとされる。したがって、世界中の組織で使用されている人気の OSS IT インフラ監視ツールにより、機密性の高いデータや接続されたシステムが危険に直面することになる。

ProjectSend の脆弱性 CVE-2024-11680 (CVSS 9.8)：大量の未パッチ・インスタンスと PoC エクスプロイト

CVE-2024-11680 (CVSS 9.8): Critical ProjectSend Vulnerability Actively Exploited, PoC Published

2024/11/27 SecurityOnline — ProjectSend の深刻な脆弱性 CVE-2024-11680 (CVSS：9.8) が、積極的に悪用されていると、VulnCheck がレポートしている。この OSS のファイル共有 Web アプリケーションに対しては、2023年5月の時点でパッチが提供されているが驚くべきことに、ProjectSend インスタンスの 99% がパッチ未適用であり、悪用の危険性が高まっている。

GitLab CE/EE の脆弱性 CVE-2024-8114 (CVSS 8.2) などが FIX：特権昇格／DoS の可能性

CVE-2024-8114: GitLab Vulnerability Allows Privilege Escalation

2024/11/26 SecurityOnline — GitLab が公表したのは、Community Edition (CE)／Enterprise Edition (EE) 17.6.1／17.5.3／17.4.5 に影響を及ぼす、６つの脆弱性に対処するセキュリティ・アップデートである。一連の脆弱性の影響を受けるバージョンを使用しているユーザーに対して、同社が推奨するのは、すべてのインストールを最新バージョンへと、可能な限り早急にアップグレードすることである。

Keycloak のセキュリティ・アップデート：DDoS 脆弱性 CVE-2024-10270 などに対処

Keycloak Patches Multiple Vulnerabilities in Latest Update

2024/11/25 SecurityOnline — Keycloak がリリースしたのは、複数の脆弱性に対処するためのセキュリティ・アップデートである。それらが放置されると、このオープンソースの ID／アクセス管理プラットフォームにおいて、サービス拒否攻撃／情報漏えい／認証バイパスなどが生じる可能性がある。

PHP の脆弱性 CVE-2024-8929 などが FIX：PoC も提供されている

PHP Patches Multi Flaws, Including CVE-2024-8932 (CVSS 9.8), Urges Immediate Update

2024/11/25 SecurityOnline — PHP 開発チームがリリースしたのは、バージョン 8.1.31／8.2.26／8.3.14 未満に影響を及ぼす、複数の脆弱性に対処するための緊急セキュリティ・アップデートである。これらの脆弱性の深刻度は多様であり、また、機密情報の漏洩／任意のコード実行／サービス拒否攻撃などを、攻撃者に許すという可能性が生じる。

PyPI の “aiocpa” は悪意のライブラリ：Telegram Bot で Crypto Keys を盗み出す手口とは？

PyPI Python Library “aiocpa” Found Exfiltrating Crypto Keys via Telegram Bot

2024/11/25 TheHackerNews — Python Package Index (PyPI) リポジトリの管理者が隔離したのは、Telegram 経由で秘密鍵を盗み出すための悪意のコードを埋め込んだ、“aiocpa” パッケージのアップデート版である。この問題のパッケージは、Crypto Pay API の同期／非同期クライアントとして説明されている。2024年9月にリリースされた “aiocpa” パッケージは、現在までに 12,100 回もダウンロードされている。今回の Python ライブラリの隔離により、クライアントにおけるインストールが防止され、メンテナーによる変更もできなくなった。

WordPress – FluentSMTP の脆弱性 CVE-2024-9511 が FIX：30万以上のサイトに乗っ取りの可能性

CVE-2024-9511 (CVSS 9.8): Critical Flaw in FluentSMTP Plugin Exposes Over 300,000 WordPress Sites to Potential Takeover

2024/11/23 SecurityOnline — WordPress の FluentSMTP Plugin に、深刻な脆弱性が CVE-2024-9511 (CVSS v3.1：9.8) 発見された。この脆弱性を悪用する未認証の攻撃者は、脆弱性のある Web サイト上での、任意のコード実行の可能性を得る。

Apache NiFi の脆弱性 CVE-2024-52067 が FIX：デバッグ・ログへの機密データ漏洩の恐れ

CVE-2024-52067: Sensitive Data Exposed in Apache NiFi Debug Logs

2024/11/21 SecurityOnline — Apache NiFi で発見された脆弱性 CVE-2024-52067 は、バージョン 1.16.0〜1.28.0／2.0.0-M1〜2.0.0-M4 に影響を与えるものだ。このデータフロー・システムの脆弱性が悪用されると、センシティブなパラメータ値がデバッグ・ログで公開されるという想定外の処理が起こり、機密情報の漏洩へといたる可能性が生じる。

Kubernetes の脆弱性 CVE-2024-10220 が FIX：任意のコマンド実行が可能に

CVE-2024-10220: Kubernetes Vulnerability Allows Arbitrary Command Execution

2024/11/20 SecurityOnline — Kubernetes に存在する、深刻な脆弱性 CVE-2024-10220 (CVSS：8.1) が明らかにされた。この脆弱性は、特定バージョンの kubelet を実行している、Kubernetes クラスタに影響を与えるものであり、悪用に成功した攻撃者は、コンテナの境界外での任意のコマンド実行の可能性を得る。

OSS のセキュリティ神話を検証：解かれるべき誤解とエンタープライズでの採用について

Debunking myths about open-source security

2024/11/20 HelpNetSecurity — Canonical の CISO である Stephanie Domas へのインタビューは、オープンソースのセキュリティに関する一般的な誤解と、それを払拭するためのコミュニティの取り組みについて説明するものだ。彼女の主張は、神話に反してオープンソース・ソリューションが、エンタープライズ・グレードの成熟度／信頼性／透明性を提供しているというものだ。さらに Stephanie Domas は、セキュリティの強化と、革新と安定のバランスを得るために、ユーザー組織がオープンソースを採用する際の、優先すべき重要な要素についても説明している。

Ubuntu Linux の needrestart の脆弱性：５つの欠陥が 10年間にわたり未検出だった

Ubuntu Linux impacted by decade-old ‘needrestart’ flaw that gives root

2024/11/20 BleepingComputer — Ubuntu Linux で使用される、needrestart ユーティリティに存在する、５件のローカル権限昇格 (LPE) の脆弱性が発見された。このユーティリティは、10年以上も前の、バージョン 21.04 で導入されたものだ。Qualys により、この５件の脆弱性 CVE-2024-48990／CVE-2024-48991／CVE-2024-48992／CVE-2024-10224／CVE-2024-11003 は発見されている。

Cobbler の脆弱性 CVE-2024-47533 が FIX：Linux の制御を奪う PoC も登場

CVE-2024-47533 (CVSS 9.8): Cobbler Vulnerability Exposes Linux Servers to Compromise

2024/11/19 SecurityOnline — ネットワーク・ベースの導入に多用される、Linux インストール・サーバ Cobbler に、深刻な脆弱性が発見された。この脆弱性 CVE-2024-47533 (CVSS：9.8) の悪用に成功した、権限を持たない攻撃者は、Cobbler サーバの制御を完全に奪う可能性を手にする。

Wget の脆弱性 CVE-2024-10524 が FIX：短縮 URL による SSRF 攻撃の可能性

Wget Vulnerability (CVE-2024-10524) Opens Door to SSRF Attacks

2024/11/19 SecurityOnline — Wget に存在する脆弱性 CVE-2024-10524 を悪用する攻撃者は、内部サーバまたは制限されたサーバへ向けて、想定外のリクエスト送信を可能にする。インターネットからファイルをダウンロードするために広く使用される、このコマンド・ライン・ツールの脆弱性は、JFrog のセキュリティ研究者 Goni Golan により報告されたものだ。

Apache Traffic Server の脆弱性 CVE-2024-38479／50305／50306 が FIX：直ちにアップデートを！

Apache Traffic Server Patches Critical Vulnerabilities in Latest Release

2024/11/17 SecurityOnline — Apache Software Foundation は、Apache Traffic Server に存在する３つの重大な脆弱性に対処するための、セキュリティ・アップデートをリリースした。これらの脆弱性は、Apache Traffic Server 9.0.0〜9.2.5／10.0.0〜10.0.1 に存在するものであり、その影響は、キャッシュ・ポイズニングから特権の昇格まで多岐にわたる。

Icinga 2 の脆弱性 CVE-2024-49369 (CVSS 9.8) が FIX：なりすましと RCE の恐れ

CVE-2024-49369 (CVSS 9.8): Critical Flaw in Icinga 2 Allows for Impersonation and RCE

2024/11/15 SecurityOnline — Icinga 2 のバージョン 2.4.0 以降に存在する、TLS 証明書の検証バイパス脆弱性 CVE-2024-49369 (CVSS：9.8) が明らかにされた。この、広く使用されている OSS 監視システムに影響を及ぼす、深刻な脆弱性に対処するために、Icinga は緊急のセキュリティ・アップデートをリリースした。

PostgreSQL の脆弱性 CVE-2024-10979 が FIX：情報漏洩とシステム乗っ取りの恐れ

8.8 Rated PostgreSQL Vulnerability Puts Databases at Risk

2024/11/15 HackRead — PostgreSQL に存在する深刻度の高い脆弱性 CVE-2024-10979 により、世界中の無数のデータベースのセキュリティが、危険に直面するという可能性が生じる。この、広範に使用されている OSS データベース・システムの脆弱性を発見したのは、Varonis のサイバー・セキュリティ研究者である Tal Peleg と Coby Abrams である。

WordPress Chart Plugin の脆弱性 CVE-2024-10571 (CVSS 9.8)：活発な攻撃を観測

CVE-2024-10571 (CVSS 9.8): Critical Flaw in WordPress Chart Plugin Under Active Attack

2024/11/14 SecurityOnline — WordPress Chart Plugin に存在する脆弱性 CVE-2024-10571 (CVSS 9.8) が、攻撃者により積極的に悪用されていることが判明した。この 2,000 件以上のアクティブなインストール数を誇るプラグインは、認証されていないローカル・ファイル・インクルードに対して脆弱であり、影響を受ける Web サイト上での悪意のコード実行を、攻撃者に許す可能性が生じる。

GitLab CE/EE の脆弱性 CVE-2024-9693 (CVSS 8.5) などが FIX：XSS／DoS 攻撃の可能性

CVE-2024-9693: GitLab Issues Critical Patch for Kubernetes Agent

2024.11/13 SecurityOnline — GitLab がリリースしたセキュリティ・アップデートは、Kubernetes クラスタへの不正アクセスを許す可能性のある、深刻な脆弱性に対処するものだ。Community Edition (CE)／Enterprise Edition (EE) のバージョン 17.5.2／17.4.4／17.3.7 では、Kubernetes の深刻な脆弱性 CVE-2024-9693 を含む、６件のセキュリティ脆弱性が修正されている。

Apache CloudStack の脆弱性 CVE-2024-50386 が FIX：KVM ベースの環境に影響

Apache CloudStack Releases Security Update for KVM Infrastructure Vulnerability – CVE-2024-50386

2024/11/12 SecurityOnline — Apache CloudStack が公表した、重要なセキュリティ・アドバイザリは、LTS (Long-Term Support) バージョン 4.18.2.5／4.19.1.3 のリリースに合わせたものである。このアドバイザリで対処されるのは、KVM (Kernel-based Virtual Machine) ベースの環境に影響を与える、深刻な脆弱性CVE-2024-50386 (CVSS：8.5) である。この脆弱性の悪用に成功した攻撃者は、テンプレートのダウンロードを悪用してホスト・ファイル・システムを侵害し、KVM インフラの整合性と機密性を重大なリスクにさらす可能性を得る。