OpenSource – Page 5 – IoT OT Security News

NPM リポジトリ汚染：タイポスワッティングで正規のパッケージを偽装

Thousands Download Malicious npm Libraries Impersonating Legitimate Tools

2024/12/19 TheHackerNews — npm レジストリへのアップロードが確認された悪意のパッケージは、正規のパッケージである ”typescript-eslint” や ”@types/node” などを装うものである。それらの偽のパッケージは ”@typescript_eslinter/eslint”／”types-node” と名付けられ、それぞれがトロイの木馬をダウンロードするものとして、また、２段階目のペイロードを取得するものとして設計されている。

Next.js の脆弱性 CVE-2024-51479 が FIX：認証バイパスと広範な影響

CVE-2024-51479: Next.js Authorization Bypass Vulnerability Affects Millions of Developers

2024/12/18 SecurityOnline — 世界中の開発者が愛用する React フレームワーク Next.js が公開したのは、機密性の高いアプリケーション・データへの不正アクセスを許す、セキュリティ脆弱性の存在である。この脆弱性 CVE-2024-51479 (CVSS：7.5) は、IERAE – GMO Cybersecurity の tyage により発見されたものであり、Next.js バージョン 9.5.5 〜14.2.14 に影響を及ぼすという。

Apache Tomcat の脆弱性 CVE-2024-50379／54677 が FIX：RCE と DoS の可能性

RCE and DoS Vulnerabilities Addressed in Apache Tomcat: CVE-2024-50379 and CVE-2024-54677

2024/12/17 SecurityOnline — Apache Software Foundation が発表したのは、OSS として広く使用されている Web サーバ／サーブレット・コンテナ Apache Tomcat に存在する、２つの脆弱性に対処するための重要なセキュリティ・アップデートのリリースである。

Kali Linux 2024.4 がリリース：Linux Kernel 6.11／GNOME 47 と多彩なツールのサポート

Kali Linux 2024.4 Released with Linux Kernel 6.11, GNOME 47, and New Hacking Tools

2024/12/16 9to5Linux — 12月16日 (月) Offensive Security が発表したのは、Kali Linux 2024.4 の一般へのリリースである。それにより、供倫理的なハッキングと侵入テストのための、Debian ベースのディストリビューション Stable ISO スナップショットが強化される。Linux カーネル 6.11 を搭載し、デフォルトで Xfce 4.18 デスクトップ環境を採用する Kali Linux 2024.4 は、前回の以Kali Linux 2024.3 から３ヶ月後のリリースとなる。

Apache Struts の RCE 脆弱性 CVE-2024-53677：PoC 公開後に悪用が活性化している

Hackers exploit critical Apache Struts RCE flaw (CVE-2024-53677) after PoC exploit release

2024/12/16 SecurityOnline — Apache Struts の深刻な脆弱性 CVE-2024-53677 (CVSSv4：9.5) だが、PoC エクスプロイトが公開された僅か数日後から、脅威アクターたちによる悪用が始まっている。この脆弱性の悪用に成功したリモート攻撃者は。ファイルアップロード・ロジックの欠陥を悪用して、任意のコード実行を達成できるという。

Laravel Pulse 監視ツールの脆弱性 CVE-2024-55661 が FIX：ただちにアップデートを！

CVE-2024-55661: RCE Vulnerability Discovered in Laravel Pulse Monitoring Tool

2024/12/16 SecurityOnline — Laravel アプリケーション向けの、リアルタイム・パフォーマンス監視およびダッシュボード・ツールである Laravel Pulse に、深刻な脆弱性 CVE-2024-55661 (CVSS：8.7) が発見された。この脆弱性の悪用に成功した、Pulse ダッシュボードへのアクセス権を持つ認証済みユーザーにより、サーバ上での任意のコード実行が可能となり、システム全体が侵害される恐れが生じる。Laravel Pulse は、開発者に対して、アプリケーション・パフォーマンスに関する貴重な情報を提供し、ボトルネックの特定および使用状況の監視を可能にするものだ。

Spring Framework のパス・トラバーサル脆弱性 CVE-2024-38819：PoC が公開

CVE-2024-38819: Spring Framework Path Traversal PoC Exploit Released

2024/12/15 SecurityOnline — Spring Framework に存在する脆弱性 CVE-2024-38819 (CVSS 7.5) に対する、PoC エクスプロイト・コードが公開された。この脆弱性の悪用に成功した攻撃者は、パス・トラバーサル攻撃の可能性を手にする。それに続いて、影響を受ける Spring アプリケーションをホスティングするサーバ上の、機密ファイルへのアクセス権限を獲得する恐れも生じる。

Golang の暗号ライブラリの脆弱性 CVE-2024-45337 が FIX：認可バイパスの可能性

CVE-2024-45337: Golang Crypto Library Flawed, Risks Authorization Bypass

2024/12/15 SecurityOnline — Golang の暗号ライブラリに、新たな脆弱性 CVE-2024-45337 (CVSS 9.1) が発見された。この脆弱性は、ServerConfig.PublicKeyCallback 関数の誤用に起因するものであり、アプリケーションやライブラリにおいて、認可バイパスを引き起こす可能性を持つ。

GLPI の複数の脆弱性が FIX：データ漏洩／システム障害などが生じる恐れ

Multiple Critical Vulnerabilities Expose GLPI to Widespread Attacks

2024/12/15 SecurityOnline — 人気の OSS 資産／IT 管理ソフトウェア・パッケージ GLPI (Gestionnaire Libre de Parc Informatique) に、複数の重大な脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、ユーザーセッションの乗っ取り／アカウントの削除／管理アカウントの完全な制御などの可能性を手にする。ユーザーに対して推奨されるのは、最新バージョンである 10.0.17 へと、可能な限り早急にアップデートすることだ。

curl の脆弱性 CVE-2024-11053 (CVSS 9.1) が FIX：ユーザー認証情報の漏えいの可能性

CVE-2024-11053 (CVSS 9.1): Curl Vulnerability Exposes User Credentials in Redirects

2024/12/14 SecurityOnline — 人気のコマンドライン・ツール／ライブラリである curl に、新たな脆弱性 CVE-2024-11053 (CVSS 9.1) が発見された。この脆弱性は、.netrcファイルを用いた認証情報の保存と、curl の HTTP リダイレクト処理とのインタラクションに起因する。この脆弱性が悪用されると、ユーザー認証情報の漏えいにつながる可能性がある。

FuzzyAI：LLM のファジングを自動化するパワフルな OSS ツール

FuzzyAI: Open-source tool for automated LLM fuzzing

2024/12/13 HelpNetSecurity — 新たに登場したオープンソース・フレームワークの FuzzyAI は、LLM のファジングを自動化する強力なツールである。ガードレール迂回や有害な出力生成などの、LLM の潜在的なセキュリティ脆弱性の特定／緩和を支援するために設計されている。FuzzyAI の主な機能は、様々な敵対的インプットに対する AI モデルのテスト／セキュリティ・システムにおける潜在的な弱点の特定／AI 開発と展開の安全性向上のための体系的なアプローチなどである。

Woffice WordPress Theme の脆弱性 CVE-2024-43153／43234 が FIX：15k のサイトが危険な状態に

Over 15,000 Sites at Risk: Woffice WordPress Theme Vulnerabilities Could Lead to Full Site Takeovers

2024/12/13 SecurityOnline — プレミアムなイントラネット／エクストラネット・ソリューションとして人気の WordPress テーマである Woffice に、２つの重大な脆弱性が存在することが、Patchstack により発見された。Xtendify が開発した Woffice テーマは、チーム／プロジェクト管理機能を提供する、高度なビジネス・ワークフローのテーマとして人気を博しており、15,000以上の販売実績を誇る。しかし、新たに発見された脆弱性により、影響を受ける Web サイトに重大なセキュリティ・リスクが生じている。

GitHub の偽 PoC リポジトリ：研究者たちの機密データと大量の WordPress 資格証明を窃取

390,000+ WordPress Credentials Stolen via Malicious GitHub Repository Hosting PoC Exploits

2024/12/13 TheHackerNews — WordPress ツールとして宣伝され、現在は削除されている悪意の GitHub リポジトリにより、39万件以上の認証情報が流出したと推定されている。この狡猾なアクティビティは、MUT-1244 と名付けられた脅威アクターが展開する、広範な攻撃キャンペーンの一部であり、フィッシング情報や PoC コードをホストする、トロイの木馬化された複数の GitHub リポジトリで構成されるものだ。

Pumakit という Linux ルートキットを検出：高度な権限昇格とステルス性が特色

New stealthy Pumakit Linux rootkit malware spotted in the wild

2024/12/12 BleepingComputer — Pumakit と呼ばれる、新たな Linux ルートキット・マルウェアが発見された。このマルウェアは、高度な権限昇格とステルス性の技術を用いて、システム上で存在を隠し続けるという。このマルウェアは、複数のコンポーネントのセットである、その内容は、ドロッパー／メモリ常駐実行ファイル／カーネル・モジュール・ルートキット、共有オブジェクト・ユーザーランド・ルートキットなどである。

Apache Superset の脆弱性 CVE-2024-55633 が FIX：機密情報の改ざんの可能性

CVE-2024-55633: Apache Superset Vulnerability Exposes Sensitive Data to Unauthorized Modification

2024/12/12 SecurityOnline — OSS の BI (business intelligence) ツールである Apache Superset に、脆弱性 CVE-2024-55633 (CVSS 7.1) が発見された。この脆弱性は、Superset の SQL Lab 機能における、読み取り専用クエリの不適切な検証に起因するものであり、攻撃者に対して、機密データへの不正な書き込みを許す可能性がある。

WordPress の Hunk Companion プラグインの脆弱性 CVE-2024-11972 が FIX：ただちにパッチを！

Hunk Companion WordPress plugin exploited to install vulnerable plugins

2024/12/11 BleepingComputer — WordPress – Hunk Companion プラグインの深刻な脆弱性 CVE-2024-11972 を悪用する攻撃者たちが、WordPress.org リポジトリかた他のプラグインをダイレクトにインストールし、アクティブ化している。それらのプラグインは、既知の脆弱性を持つ古いものであり、また、エクスプロイトが可能なものであるため、そこから攻撃が拡大していく。

Apache Struts の脆弱性 CVE-2024-53677 (CVSS 9.5) が FIX：RCE が生じる恐れ

CVE-2024-53677 (CVSS 9.5): Critical Vulnerability in Apache Struts Allows Remote Code Execution

2024/12/11 SecurityOnline — 人気の Apache Struts フレームワークに、重大なセキュリティ脆弱性 CVE-2024-53677 (CVSS 9.5) が発見された。この脆弱性の悪用に成功した攻撃者は、リモート・コード実行の可能性を手にする。開発者に対して推奨されるのは、システムを直ちに更新することだ。

GitLab CE/EE の脆弱性 CVE-2024-11274 (CVSS 8.7) などが FIX：不正アクセス／DoS の可能性

CVE-2024-11274: GitLab Vulnerability Exposes User Accounts

2024/12/11 SecurityOnline — GitLab が公表したのは、Community Edition (CE)／Enterprise Edition (EE) 17.6.2／17.5.4／17.4.6 に影響を及ぼす、複数の脆弱性に対処するセキュリティ・アップデートである。このアップデートで対処される欠陥が悪用されると、アカウント乗っ取り／サービス拒否攻撃／情報漏洩などの、深刻な結果につながる恐れがある。

OSS リポジトリを汚染するマルウェア：2024 は前年比で 200% の増大

Open source malware up 200% since 2023

2024/12/11 HelpNetSecurity — Sonatype の 2024 Open Source Malware Threat Report によると、2019 年に追跡が開始された悪意のパッケージの数が 778,500 件を超えている。そして 2024年になり、カスタム AI モデルを構築する企業が、オープンソース・ツールを採用するケースが増えるにつれて、悪意のオープンソース・パッケージを用いる脅威アクターたちが、開発者を標的にするケースが増えている。この記事で概説するのは、こうしたトレンドについて調査した結果である。

ソフトウェア・サプライチェーンが世界を飲み込む：いまなら Marc Andreessen はそう言うだろう

Lessons From the Largest Software Supply Chain Incidents

2024/12/11 DarkReading — 2011年の Marc Andreessen の言葉を覚えているだろうか。それは、「ソフトウェアが世界を飲み込んでいる」というフレーズであり、13年以上が経ったいまも、真実味を深め続けている。産業界はソフトウェアにより変革され、世界経済の活性化においてもソフトウェアは不可欠だ。つまり、世界はソフトウェアで動いている。いまの企業に求められるのは、ビジネス環境における苛烈な競争に生き残ることであり、そのために、かつてないスピードで大量のソフトウェアが生み出されている。

Apache Superset の脆弱性 CVE-2024-53947／53948／53949 が FIX：直ちにアップデートを！

Apache Superset Patches Multi Security Flaws in Latest Release

2024/12/10 SecurityOnline — Apache Superset バージョン 4.1.0 のリリースにより、脆弱性 CVE-2024-53947／CVE-2024-53948／CVE-2024-53949 が修正された。この BI プラットフォームに存在する、脆弱性の悪用に成功した攻撃者は、セキュリティ制御の回避／機密データへのアクセス／不正な特権の入手などの可能性を得る。

WPForms プラグインの脆弱性 CVE-2024-11205 (CVSS：8.5) が FIX：600万以上のサイトに影響

CVE-2024-11205: WPForms Plugin Vulnerability Impacts 6 Million WordPress Sites

2024/12/09 SecurityOnline — WordPress のフォーム・ビルダー・プラグイン WPForms に存在する、脆弱性 CVE-2024-11205 ( CVSS v3.1：8.5) により、各種の Web サイトが深刻な財務リスクにさらされている。600 万以上のインストール数を誇る人気の WPForms だが、この脆弱性の悪用に成功した、サブスクライバー以上の権限を持つ認証済みの攻撃者により、Stripe 決済の不正な払い戻しや、Stripe サブスクリプションのキャンセルが、実行される可能性が生じるという。

CPython の脆弱性 CVE-2024-12254 が FIX：asyncio アプリにメモリ枯渇の可能性

CVE-2024-12254: CPython Flaw Could Lead to Memory Exhaustion in asyncio Applications

2024/12/09 SecurityOnline — Python プログラミング言語のリファレンス実装である CPython に、深刻度の高い脆弱性 CVE-2024-12254 (CVSSv4：8.7) が発見された。この脆弱性は、バージョン 3.12.0 以降に影響を及ぼすものであり、asyncio モジュールを用いるアプリケーションにおいてメモリ不足を引き起こす可能性がある。

OpenWrt の深刻な脆弱性 CVE-2024-54143：ファームウェア更新サーバが悪用される恐れ

Critical OpenWrt Flaw Exposes Firmware Update Server to Exploitation

2024/12/09 SecurityWeek — OpenWrt プロジェクトは、Linux ベースの OS を組み込みデバイス向けに提供する OSS イニシアチブである。その OpenWrt がリリースしたのは、ファームウェア更新サーバを悪意のある攻撃にさらす可能性にある、深刻な脆弱性に対するパッチである。この脆弱性 CVE-2024-54143 は、OpenWrt sysupgrade サーバに影響を及ぼし、侵害されたファームウェア・イメージをユーザーにインストールさせるという、潜在的なリスクを生み出している。

PyPI における Ultralytics AI の悪用：ビルド環境の侵害と XMRig マルウェアの展開

Ultralytics AI Library with 60M Downloads Compromised for Cryptomining

2024/12/09 HackRead — PyPI (Python Package Index) で人気を博す、Ultralytics AI ライブラリに悪意のコードを注入して、暗号通貨のマイニングを行うという攻撃が、ReversingLabs のサイバーセキュリティ研究者たちにより発見された。

Apache ActiveMQ の脆弱性 CVE-2023-46604：Mauri ランサムウェアが悪用

Mauri Ransomware Exploits Apache ActiveMQ Flaw (CVE-2023-46604)

2024/12/08 SecurityOnline — AhnLab Security Intelligence Response Center (ASEC) が明らかにしたのは、Apache ActiveMQ の深刻な脆弱性 CVE-2023-46604 を悪用する脅威アクターが、攻撃において Mauri ランサムウェアを展開し始めたことである。この脆弱性の悪用に成功した攻撃者は、パッチ未適用のサーバ上で、悪意のリモート・コマンドの実行を達成し、データ漏洩／システム侵害／ランサムウェア展開などを引き起こす可能性を手にする。

WordPress WP Umbrella Plugin の脆弱性 CVE-2024-12209 が FIX：３万件のサイトが危険な状態に！

CVE-2024-12209 (CVSS 9.8): WP Umbrella Plugin Vulnerability Exposes 30,000 Websites to Compromise

2024/12/07 SecurityOnline — WordPress WP Umbrella Plugin は、30,000 件以上の Web サイトで使用されている人気のプラグインであるが、深刻なセキュリティ脆弱性 CVE-2024-12209 (CVSS：9.8) が存在していることが判明した。このプラグインのコードの、ローカル・ファイル・インクルージョン (LFI) 脆弱性を発見したのは、セキュリティ研究者 Arkadiusz Hydzik である。この脆弱性は、WP Umbrella のバージョン 2.17.0 以下に影響を及ぼすことが確認されている。

Django の脆弱性 CVE-2024-53907／53908 が FIX：DoS／SQLi の可能性

Django Releases Patches for CVE-2024-53907 and CVE-2024-53908 to Mitigate DoS and SQLi Threats

2024/12/05 SecurityOnline — Django に存在するセキュリティ脆弱性 CVE-2024-53907／CVE-2024-53908 が、バージョン 5.1.4／5.0.10／4.2.17 のリリースにより修正された。ユーザーに対して推奨されるのは、最新のセキュリティ・アップデートを、可能な限り早急にインストールすることだ。

WordPress Sweet Date Theme の脆弱性 CVE-2024-43222 が FIX : ただちにパッチを！

CVE-2024-43222 (CVSS 9.8): Critical Flaw in Sweet Date WordPress Theme Exposes Thousands of Sites to Potential Takeovers

2024/12/05 SecurityOnline — WordPress の Sweet Date テーマで、深刻な脆弱性 CVE-2024-43222 が発見された。このテーマは、人気のプレミアム・テーマであり、販売数は 10,000 近くに達するという。この脆弱性の CVSS スコアは 9.8 であり、重大度が極めて高いため、悪用により深刻な影響が生じる恐れがある。

AsyncHttpClient の脆弱性 CVE-2024-53990 (CVSS 9.2) が FIX：誤った Cookie 処理の発生

CVE-2024-53990 (CVSS 9.2): AsyncHttpClient Vulnerability Puts Java Applications at Risk

2024/12/05 SecurityOnline — Java ライブラリである AsyncHttpClient (AHC) に、深刻な脆弱性 CVE-2024-53990 (CVSS：9.2) が発見された。この、非同期 HTTP リクエスト送信で広く利用されるライブラリの脆弱性により、攻撃者はユーザー・セッションの悪用を達成し、機密情報への不正アクセスの可能性を手にする。

CISA KEV 警告 24/12/04：CyberPanel の脆弱性 CVE-2024-51378 を登録

CVE-2024-51378 (CVSS 10): Critical CyberPanel Flaw Under Active Attack, CISA Warns

2024/12/04 SecurityOnline — CISA は、CyberPanel の脆弱性 CVE-2024-51378 を、KEV (Known Exploited Vulnerabilities) カタログに追加した。この OSS の Web ホスティング・コントロールパネル CyberPanel に存在する、脆弱性 CVE-2024-51378 を積極的に悪用する攻撃者たちが、PSAUX／C3RB3R／Babuk などのランサムウェア亜種を展開していることが確認されている。

Zabbix の脆弱性 CVE-2024-42327 (CVSS：9.9)：PoCエクスプロイトが登場

PoC Exploit Releases for Critical Zabbix Vulnerability – CVE-2024-42327 (CVSS 9.9)

2024/12/03 SecurityOnline — Zabbix に影響を及ぼす深刻な SQL インジェクションの脆弱性 CVE-2024-42327 (CVSSv3：9.9) に対する、詳細な技術分析と PoC エクスプロイトコードが公開された。この脆弱性に対する PoC の登場により、広く利用されているエンタープライズ・ネットワーク／アプリケーション監視のための OSS プラットフォームである Zabbix の、デプロイメントに深刻な影響が及ぶ可能性が生じている。

ProFTPD の脆弱性 CVE-2024-48651 が FIX：root アクセスの不正取得の恐れ

CVE-2024-48651: ProFTPD Vulnerability Grants Root Access to Attackers

2024/12/02 SecurityOnline — 人気の FTP サーバである ProFTPD に、重大なセキュリティ脆弱性 CVE-2024-48651 (CVSS：7.5) が存在することが判明した。ProFTPD バージョン 1.3.8b 以下の mod_sql コンポーネントに存在する、この脆弱性により、脆弱なシステムへのルート・アクセスが、攻撃者に許される可能性があるという。

WordPress Widget Options Plugin の脆弱性 CVE-2024-8672 が FIX：CVSS 値は 9.9

CVE-2024-8672 (CVSS 9.9): Critical Flaw in Widget Options Plugin Threatens 100,000+ Websites

2024/11/30 SecurityOnline — 100,000 以上のアクティブなインストール数を誇る WordPress Widget Options plugin に、深刻な脆弱性 CVE-2024-8672 (CVSSv3：9.9) が発見されたが、最新バージョン (4.0.8) で修正された。この脆弱性により、 Widget Options plugin を利用する Web サイトに、深刻な脅威の可能性が生じている。この脆弱性の悪用に成功した、コントリビューター以上のアクセス権限を持つ攻撃者は、標的サーバ上で任意のコード実行の可能性を得る。

Apache Arrow R の脆弱性 CVE-2024-52338 が FIX：任意のコード実行が可能に

CVE-2024-52338: Critical Security Flaw in Apache Arrow R Package Allows Arbitrary Code Execution

2024/11/29 SecurityOnline — Apache Arrow R パッケージのバージョン 4.0.0〜16.1.0 に存在する、重大な脆弱性 CVE-2024-52338 が修正された。この脆弱性の悪用に成功した攻撃者は、悪意を持って細工されたデータファイルを処理するシステム上で、任意のコード実行の可能性を得る。

Contiki-NG の脆弱性 CVE-2024-41125 などが FIX：デバイス・クラッシュ／悪意のコード実行の可能性

Contiki-NG IoT OS Patches Critical Vulnerabilities

2024/11/28 SecurityOnline — Contiki-NG OS に存在する、３つの重大な脆弱性が修正された。この、IoT デバイス用として人気を博す、OSS 製品の脆弱性の悪用に成功した攻撃者は、デバイス・クラッシュや悪意のコード実行を引き起こす可能性を得る。

Zabbix の RCE の脆弱性 CVE-2024-42330 (CVSS 9.1) が FIX：ただちにパッチを！

CVE-2024-42330 (CVSS 9.1): Zabbix Patches Critical Remote Code Execution Vulnerability

2024/11/28 SecurityOnline — 人気の OSS 監視ツール Zabbix がリリースしたのは、バージョン 6.0／6.4／7.0 に影響を及ぼす、脆弱性 CVE-2024-42330 (CVSS：9.1) を修正するための、緊急のセキュリティ・アップデートである。この脆弱性の悪用に成功した攻撃者は、脆弱なシステム上で任意のコード実行の可能性を得るという。

Jenkins の複数の脆弱性が FIX：プラグインとの組み合わせて被害が拡大する恐れ

Jenkins Users Beware: Multiple Security Vulnerabilities Discovered

2024/11/27 SecurityOnline — Jenkins が発行したのは、コア・システムとプラグインに影響を及ぼす、複数の脆弱性に対処するためのセキュリティ・アドバイザリである。それらの、サービス拒否やクロス・サイト・スクリプティングの脆弱性を放置すると、広く使用されている OSS 自動化サーバ Jenkins のユーザーに、重大なリスクが生じる可能性がある。

Zabbix の SQLi の脆弱性 CVE-2024-42327 (CVSS 9.9) が FIX：ただちにパッチを！

CVE-2024-42327 (CVSS 9.9): Critical SQL Injection Vulnerability Found in Zabbix

2024/11/27 SecurityOnline — Zabbix が公表したのは、SQL インジェクションの脆弱性 CVE-2024-42327 (CVSS：9.9) の発見に関する情報である。この脆弱性を悪用する攻撃者は、権限の昇格を達成し、Zabbix インスタンスの完全な制御を手にするとされる。したがって、世界中の組織で使用されている人気の OSS IT インフラ監視ツールにより、機密性の高いデータや接続されたシステムが危険に直面することになる。

ProjectSend の脆弱性 CVE-2024-11680 (CVSS 9.8)：大量の未パッチ・インスタンスと PoC エクスプロイト

CVE-2024-11680 (CVSS 9.8): Critical ProjectSend Vulnerability Actively Exploited, PoC Published

2024/11/27 SecurityOnline — ProjectSend の深刻な脆弱性 CVE-2024-11680 (CVSS：9.8) が、積極的に悪用されていると、VulnCheck がレポートしている。この OSS のファイル共有 Web アプリケーションに対しては、2023年5月の時点でパッチが提供されているが驚くべきことに、ProjectSend インスタンスの 99% がパッチ未適用であり、悪用の危険性が高まっている。

GitLab CE/EE の脆弱性 CVE-2024-8114 (CVSS 8.2) などが FIX：特権昇格／DoS の可能性

CVE-2024-8114: GitLab Vulnerability Allows Privilege Escalation

2024/11/26 SecurityOnline — GitLab が公表したのは、Community Edition (CE)／Enterprise Edition (EE) 17.6.1／17.5.3／17.4.5 に影響を及ぼす、６つの脆弱性に対処するセキュリティ・アップデートである。一連の脆弱性の影響を受けるバージョンを使用しているユーザーに対して、同社が推奨するのは、すべてのインストールを最新バージョンへと、可能な限り早急にアップグレードすることである。

Keycloak のセキュリティ・アップデート：DDoS 脆弱性 CVE-2024-10270 などに対処

Keycloak Patches Multiple Vulnerabilities in Latest Update

2024/11/25 SecurityOnline — Keycloak がリリースしたのは、複数の脆弱性に対処するためのセキュリティ・アップデートである。それらが放置されると、このオープンソースの ID／アクセス管理プラットフォームにおいて、サービス拒否攻撃／情報漏えい／認証バイパスなどが生じる可能性がある。

PHP の脆弱性 CVE-2024-8929 などが FIX：PoC も提供されている

PHP Patches Multi Flaws, Including CVE-2024-8932 (CVSS 9.8), Urges Immediate Update

2024/11/25 SecurityOnline — PHP 開発チームがリリースしたのは、バージョン 8.1.31／8.2.26／8.3.14 未満に影響を及ぼす、複数の脆弱性に対処するための緊急セキュリティ・アップデートである。これらの脆弱性の深刻度は多様であり、また、機密情報の漏洩／任意のコード実行／サービス拒否攻撃などを、攻撃者に許すという可能性が生じる。

PyPI の “aiocpa” は悪意のライブラリ：Telegram Bot で Crypto Keys を盗み出す手口とは？

PyPI Python Library “aiocpa” Found Exfiltrating Crypto Keys via Telegram Bot

2024/11/25 TheHackerNews — Python Package Index (PyPI) リポジトリの管理者が隔離したのは、Telegram 経由で秘密鍵を盗み出すための悪意のコードを埋め込んだ、“aiocpa” パッケージのアップデート版である。この問題のパッケージは、Crypto Pay API の同期／非同期クライアントとして説明されている。2024年9月にリリースされた “aiocpa” パッケージは、現在までに 12,100 回もダウンロードされている。今回の Python ライブラリの隔離により、クライアントにおけるインストールが防止され、メンテナーによる変更もできなくなった。

WordPress – FluentSMTP の脆弱性 CVE-2024-9511 が FIX：30万以上のサイトに乗っ取りの可能性

CVE-2024-9511 (CVSS 9.8): Critical Flaw in FluentSMTP Plugin Exposes Over 300,000 WordPress Sites to Potential Takeover

2024/11/23 SecurityOnline — WordPress の FluentSMTP Plugin に、深刻な脆弱性が CVE-2024-9511 (CVSS v3.1：9.8) 発見された。この脆弱性を悪用する未認証の攻撃者は、脆弱性のある Web サイト上での、任意のコード実行の可能性を得る。

Apache NiFi の脆弱性 CVE-2024-52067 が FIX：デバッグ・ログへの機密データ漏洩の恐れ

CVE-2024-52067: Sensitive Data Exposed in Apache NiFi Debug Logs

2024/11/21 SecurityOnline — Apache NiFi で発見された脆弱性 CVE-2024-52067 は、バージョン 1.16.0〜1.28.0／2.0.0-M1〜2.0.0-M4 に影響を与えるものだ。このデータフロー・システムの脆弱性が悪用されると、センシティブなパラメータ値がデバッグ・ログで公開されるという想定外の処理が起こり、機密情報の漏洩へといたる可能性が生じる。

Kubernetes の脆弱性 CVE-2024-10220 が FIX：任意のコマンド実行が可能に

CVE-2024-10220: Kubernetes Vulnerability Allows Arbitrary Command Execution

2024/11/20 SecurityOnline — Kubernetes に存在する、深刻な脆弱性 CVE-2024-10220 (CVSS：8.1) が明らかにされた。この脆弱性は、特定バージョンの kubelet を実行している、Kubernetes クラスタに影響を与えるものであり、悪用に成功した攻撃者は、コンテナの境界外での任意のコマンド実行の可能性を得る。

OSS のセキュリティ神話を検証：解かれるべき誤解とエンタープライズでの採用について

Debunking myths about open-source security

2024/11/20 HelpNetSecurity — Canonical の CISO である Stephanie Domas へのインタビューは、オープンソースのセキュリティに関する一般的な誤解と、それを払拭するためのコミュニティの取り組みについて説明するものだ。彼女の主張は、神話に反してオープンソース・ソリューションが、エンタープライズ・グレードの成熟度／信頼性／透明性を提供しているというものだ。さらに Stephanie Domas は、セキュリティの強化と、革新と安定のバランスを得るために、ユーザー組織がオープンソースを採用する際の、優先すべき重要な要素についても説明している。

Ubuntu Linux の needrestart の脆弱性：５つの欠陥が 10年間にわたり未検出だった

Ubuntu Linux impacted by decade-old ‘needrestart’ flaw that gives root

2024/11/20 BleepingComputer — Ubuntu Linux で使用される、needrestart ユーティリティに存在する、５件のローカル権限昇格 (LPE) の脆弱性が発見された。このユーティリティは、10年以上も前の、バージョン 21.04 で導入されたものだ。Qualys により、この５件の脆弱性 CVE-2024-48990／CVE-2024-48991／CVE-2024-48992／CVE-2024-10224／CVE-2024-11003 は発見されている。

Cobbler の脆弱性 CVE-2024-47533 が FIX：Linux の制御を奪う PoC も登場

CVE-2024-47533 (CVSS 9.8): Cobbler Vulnerability Exposes Linux Servers to Compromise

2024/11/19 SecurityOnline — ネットワーク・ベースの導入に多用される、Linux インストール・サーバ Cobbler に、深刻な脆弱性が発見された。この脆弱性 CVE-2024-47533 (CVSS：9.8) の悪用に成功した、権限を持たない攻撃者は、Cobbler サーバの制御を完全に奪う可能性を手にする。