OpenSource – Page 6 – IoT OT Security News

WordPress テーマ WPLMS の脆弱性 CVE-2024-10470 (CVSS 9.8) が FIX：直ちにアップデートを！

CVE-2024-10470 (CVSS 9.8) in Popular WordPress Theme Exposes Thousands of Sites

2024/11/08: SecurityOnline — オンライン・コース管理で広く使用される WordPress のプレミアム・テーマ WPLMS に、任意のファイル読取／削除を許してしまう深刻な脆弱性が発見された。Wordfence のセキュリティ研究者である Istvan Marton によると、この脆弱性 CVE-2024-10470 (CVSS：9.8) は、認証されていない攻撃者に対して機密ファイルの読取／削除を許すものであるが、その中には重要な wp-config.php ファイルも含まれるという。

Apache ZooKeeper の脆弱性 CVE-2024-51504 が FIX：認証バイパスの恐れ

Apache ZooKeeper Security Alert: Important Flaw Impacts Admin Server (CVE-2024-51504)

2024/11/07 SecurityOnline — 先日に Apache ZooKeeper が発表したのは、深刻な脆弱性 CVE-2024-51504 (Important) に関するセキュリティ・アドバイザリである。分散アプリケーションの同期とコンフィグレーションを管理する、人気の一元化サービスで発見された脆弱性により、ZooKeeper Admin Server は、IP スプーフィングによる潜在的な認証バイパスに直面することになる。

Linux のエミュレート環境が標的：“CRON#TRAP” キャンペーンの巧妙な検出回避術とは？

New “CRON#TRAP” Campaign Exploits Emulated Linux Environments to Evade Detection

2024/11/06 SecurityOnline — Securonix 脅威調査チームが検出したのは、”CRON#TRAP” と呼ばれる高度なマルウェア・キャンペーンの存在である。このキャンペーンは、軽量のエミュレートされた Linux 環境内で攻撃を仕掛けるものである。人気のオープンソース仮想化ソフトウェア QEMU などの、正規のツールを悪用する攻撃者は、セキュリティ対策を回避し、正規のソフトウェアを使用しているように見せかけ、悪意のアクティビティの存在を隠し続ける。

ZoneMinder の SQLi 脆弱性 CVE-2024-5148 (CVSS 9.9)：ただちにパッチ適用を！

ZoneMinder’s CVE-2024-51482: A 10/10 Severity Vulnerability Exposes SQL Databases

2024/11/04 SecurityOnline — 人気の高いオープンソースのビデオ監視プラットフォームである ZoneMinder に、新たな脆弱性 CVE-2024-51482 (CVSS 9.9) が発見された。この脆弱性の悪用に成功した攻撃者は、SQL データベースの制御を達成し、データの機密性とシステムの整合性を損なう可能性を手にする。

AI プラットフォーム Ollama に６つの脆弱性：AI モデルの盗用と汚染のリスクとは？

Six Vulnerabilities Uncovered in Ollama: Risks of AI Model Theft and Poisoning

2024/11/03 SecurityOnline — ローカル／クラウドのインフラ上で LLM (large language models) を実行する、人気オープンソース・フレームワークである Ollama に、６つの脆弱性が発見された。エンターテイメント AI 環境において Ollama の使用が急増する中で、これらの脆弱性が浮き彫りにするのは、AI ツールを導入する組織にとっての深刻なリスクである。

MDM と OSS：多種多様なプラットフォームとデバイスのための osquery とは？

How open-source MDM solutions simplify cross-platform device management

2024/11/01 HelpNetSecurity — 先日に Help Net Security が公開した、Fleet の CEO である Mike McNeil へのインタビューは、管理されていないモバイル・デバイスがもたらすセキュリティ・リスクについて警告するものだ。それに加えて、モバイル・デバイス管理 (MDM：Mobile Device Management) ソリューションにより、それらのリスクに対処する方法も述べている。さらに、彼が語っているのは、MDM に対する従業員の抵抗感／オープンソースの透明性が信頼を構築する方法／遠隔地のデバイス管理に関する洞察／MDM テクノロジーの今後の展望などである。

新たな犯罪グループ EMERALDWHALE：Git コンフィグ・ファイルからクラウド認証情報を窃取

EMERALDWHALE Operation Exposes Over 15,000 Cloud Credentials in Widespread Git Exploit

2024/10/31 SecurityOnline — 世界規模の犯罪組織 EMERALDWHALE が、Git の無防備なコンフィグ・ファイルを悪用し、15,000件以上のクラウド認証情報を盗み出していることが、Sysdig の Threat Research Team (TRT) により発見された。Sysdig TRT のレポートでは、認証情報を漏洩させる大量のミスコンフィグが存在するという、憂慮すべき Web サーバの状況が指摘されている。それらのミスコンフィグは、何千ものプライベート・リポジトリに影響を与え、１つのアカウントが侵害されるごとに、数多くの被害者に損失を与える可能性があるものだ。

SUSE Rancher の RCE 脆弱性 CVE-2024-22036 (CVSS 9.1) が FIX：直ちにアップデートを！

CVE-2024-22036 (CVSS 9.1): Critical RCE Vulnerability Discovered in SUSE Rancher

2024/10/28 SecurityOnline — SUSE Rancher に存在する、新たな RCE 脆弱性 CVE-2024-22036 (CVSS：9.1) が、SUSE Rancher Security チームにより公表された、この脆弱性を悪用する攻撃者は、クラスタおよびノード・ドライバを悪用して chroot jail を回避し、Rancher コンテナ内で root アクセスを獲得することで、深刻なリスクをもたらすという。

Grafana の脆弱性 CVE-2024-9264 (CVSS 9.9)：PoC エクスプロイトが公開

Grafana Vulnerability CVE-2024-9264: PoC Exploit Released for 9.9-Rated Critical Flaw

2024/10/28 SecurityOnline — オープンソースのマルチ・プラットフォーム分析／可視化ツールである、Grafana に存在する脆弱性 CVE-2024-9264 (CVSS： 9.9) に対して、技術的詳細と PoC エクスプロイト・コードが公開された。この脆弱性は、Grafana のバージョン 11.0.x／11.1.x／11.2.x に影響を及ぼし、コマンド・インジェクションおよびローカルファイル・インクルージョン (LFI：local file inclusion) のリスクに、システムをさらす可能性があるものだ。

WordPress wpDiscuz Plugin の認証バイパス脆弱性 CVE-2024-9488 が FIX： CVSS 値は 9.8

CVE-2024-9488 (CVSS 9.8): Authentication Bypass Flaw in wpDiscuz Plugin, Over 80,000 Sites at Risk

2024/10/26 SecurityOnline — 80,000以上のアクティブなインストール数を持つ、人気の WordPress wpDiscuz plugin に、深刻な認証バイパスの脆弱性 CVE-2024-9488 (CVSS：9.8) が発見された。この脆弱性は、認証されていない攻撃者に、ユーザー・アカウントの乗っ取りを許すものであり、その対象には管理者権限を持つ者も含まれる。

GitLab CE/EE の脆弱性 CVE-2024-8312／6826 が FIX：XSS／DoS 攻撃の可能性

GitLab Security Alert: CVE-2024-8312 and CVE-2024-6826 Patched

2024/10/23 SecurityOnline — GitLab が公表したのは、Community Edition (CE)／Enterprise Edition (EE) の複数バージョンに影響を及ぼす、２つの脆弱性 CVE-2024-8312／CVE-2024-6826 に対処するセキュリティ・アップデートのリリースである。ユーザーに対して強く推奨されるのは、迅速なアップデートである。これらの脆弱性が悪用されると、XSS 攻撃や DoS 攻撃につながる恐れがある。

VOIDMAW というテクノロジー：メモリス・キャナーに対する新たなバイパス手法を提示

VOIDMAW: A New Bypass Technique for Memory Scanners

2024/10/21 SecurityOnline — マルウェア検出技術が進化するにつれ、それらの回避を試みる、攻撃者たちの手法も進化している。そのような手法の１つである VOIDMAW とは、悪意のコードを巧妙に隠蔽してアンチウイルス・ソフトウェアを回避する、革新的なメモリ・スキャン・バイパス技術のことである。VOIDMAW は、マルチスレッド・ペイロードをサポートし、すべての C2 (Command-and-Control) ビーコンと互換性があり、さらに、 .NET 以外のバイナリ・ファイルも実行できるため、攻撃者にとって強力なツールとなる。

Roundcube Webmail の XSS 脆弱性 CVE-2024-37383：フィッシング攻撃での悪用を確認

Hackers Exploit Roundcube Webmail XSS Vulnerability to Steal Login Credentials

2024/10/20 TheHackerNews — オープンソースの Web メールソフトウェア Roundcube の、すでに修正済みの脆弱性 CVE-2024-37383 を、正体不明の脅威アクターがフィッシング攻撃で悪用し、ユーザー認証情報の窃取を試行していることが確認された。ロシアのサイバーセキュリティ企業 Positive Technologies が 2024年9月に公表したのは、CIS (Commonwealth of Independent States) 加盟国のに所在する不特定の政府機関に対して、不審なメールが送信されたことである。特筆すべきは、そのメッセージが、2024年6月の時点で送信されていたことだ。

Vulnhuntr で脆弱性を発見：LLM と静的コード解析による包括的な機能を提供

Vulnhuntr: A Tool for Finding Exploitable Vulnerabilities with LLMs and Static Code Analysis

2024/10/19 SecurityOnline — 今日のサイバーセキュリティの進化の状況において、ソフトウェアとインフラの安全性を維持するために、コードベースの脆弱性を特定することは不可欠である。GitHub で入手可能なオープンソース・ツールである Vulnhuntr は、LLM (Large Language Models) と静的コード解析を活用することで、Python ベースのプロジェクトにおける、リモートから悪用可能な脆弱性を特定する。

Grafana の RCE 脆弱性 CVE-2024-9264 (CVSS：9.9) が FIX：直ちにアップデートを！

Patch Now! Grafana Hit by 9.9 Severity RCE Vulnerability (CVE-2024-9264)

2024/10/18 SecurityOnline — 監視および可視化のための OSS プラットフォームである Grafana に、深刻なセキュリティ脆弱性 CVE-2024-9264 (CVSS：9.9) が発見された。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で任意のコードを実行し、システム全体を完全に侵害する可能性を得るという。

WordPress Ultimate Membership の脆弱性 CVE-2024-43240／43242 が FIX：サイト侵害の恐れ

CVE-2024-43240 & CVE-2024-43242 in Ultimate Membership Pro Plugin Put 40,000 Websites at Risk

2024/10/17 SecurityOnline — 会員制のサブスクリプション管理に広く利用されている、WordPress プラグイン Ultimate Membership Pro に２つの重大な脆弱性が存在することが、Patchstack のセキュリティ研究者の Rafie Muhammad (Patchstack) により発見された。このプラグインは、有料コンテンツを提供する Web サイトで広く利用され、これまでに約４万回も販売されている。

GhostStrike の解説：Sliver C2 の解析から Cobalt Strike などへと対象を拡大

GhostStrike: Open-source tool for ethical hacking

2024/10/17 HelpNetSecurity — GhostStrike は、倫理的ハッキングやレッドチームでの運用に特化された、高度なサイバー・セキュリティのための、オープンソース・ツールである。このツールは、Windows システム上での検知をステルス的に回避する hollowing プロセスなどの、最先端の技術を組み込んでおり、ペンテストやセキュリティ評価に役立つものとなっている。

Apache CloudStack の脆弱性 CVE-2024-45219 などが FIX：直ちにアップデートを！

Apache CloudStack Patches Critical Security Flaws in Latest Release

2024/10/16 SecurityOnline — IaaS (Infrastructure-as-a-Service) クラウドの構築／管理に使用される、人気のオープンソース・プラットフォーム Apache CloudStack の、 LTS セキュリティ・リリース 4.18.2.4／4.19.1.2 が公表された。このリリースでは、４件のセキュリティ脆弱性が対処されているが、そのうちの２件の深刻度は Important と評価されている。

Kubernetes Image Builder の脆弱性 CVE-2024-9486／9594 が FIX：VM へのルート・アクセスの恐れ

CVE-2024-9486 (CVSS 9.8): Kubernetes Image Builder Flaw Exposes VMs to Root Access

2024/10/15 SecurityOnline — Kubernetes Security Response Committee が公表したのは、仮想マシン (VM) へのルート・アクセスを攻撃者に許す可能性のある、Kubernetes Image Builder の脆弱性 CVE-2024-9486／CVE-2024-9594 に関するアドバイザリである。この脆弱性は、イメージのビルドプロセス中に、デフォルトの認証情報が使用されることで生じるという。

WordPress GiveWP の RCE 脆弱性 CVE-2024-9634 が FIX：CVSS 値は 9.8

CVE-2024-9634 (CVSS 9.8): Critical GiveWP Flaw Exposes 100,000+ WordPress Sites to RCE

2024/10/15 SecurityOnline — 100,000 万以上のアクティブなインストールを誇る、WordPress 用ドネーション・プラグインで GiveWP に、深刻な脆弱性 CVE-2024-9634 が発見された。この、PHP オブジェクト・インジェクションの脆弱性 CVE-2024-9634 の悪用に成功した未認証の攻撃者は、標的 Web サイト上での任意のコード実行を達成し、寄付者の機密データを危険にさらし、サイトを完全に制御する可能性を手にする。この脆弱性は、セキュリティ研究者の lefab により発見された。

GitHub Enterprise Server 脆弱性 CVE-2024-9487 (CVSS 9.5) などが FIX：直ちにパッチ適用を！

GitHub Enterprise Server Patches Critical Security Flaw – CVE-2024-9487 (CVSS 9.5)

2024/10/13 SecurityOnline — GitHub が公表したのは、GitHub Enterprise Server に存在する２件の脆弱性に対処するためのセキュリティ・アップデートのリリースである。そのうちの１つは、このプラットフォームの SAML SSO 認証メカニズムに存在する、認証バイパスの脆弱性 CVE-2024-9487 (CVSS：9.5) であり、攻撃者に不正アクセスを許す可能性が生じている。

Apache Roller の CSRF 脆弱性 CVE-2024-46911 が FIX：直ちにアップデートを！

Apache Roller Patches CSRF Flaw CVE-2024-46911 in Latest Update

2024/10/13 SecurityOnline — 人気の Java ベースのブログ・プラットフォームである、Apache Roller に対するセキュリティ・アップデートがリリースされた。このアップデートで修正された、深刻な CSRF (Cross-site Request Forgery ) の脆弱性 CVE-2024-46911 により、攻撃者はマルチ・ユーザーの Roller サイト上で権限昇格の可能性を得る。

Plane プロジェクト管理ツールの脆弱性 CVE-2024-47830 が FIX：CVSS 値 9.3 の SSRF

Plane Project Management Tool Patches Critical SSRF Flaw – CVE-2024-47830 (CVSS 9.3)

2024/10/13 SecurityOnline — 人気のオープンソース・プロジェクト管理ツールである Plane に発見された、深刻なセキュリティ脆弱性 CVE-2024-47830 (CVSS：9.3) が修正された。この脆弱性の悪用に成功した攻撃者は、サーバサイドを悪用して意図されない場所にリクエストを送信することが可能となり、内部サービスへの不正アクセスや機密データの漏洩の可能性を得る。

オープンソースと悪意のパッケージ：前年比で 156% 増のリポジトリ汚染の状況 – Sonatype 調査

Sonatype Reports 156% Increase in OSS Malicious Packages

2024/10/11 InfoSecurity — OSS (open source software) の利用が急増しているが、そこに含まれるマルウェアが 156%も増加しているという調査結果が、Sonatype から公表された。2019年以降において、704,102 件以上の悪意のパッケージが確認されているが、そのうちの 512,847 件は、2023年11月以降に発見されたものであるという。詳しくは、同社の 10回目となる年次報告書 “Annual State of the Software Supply Chain” を参照してほしい。

Ubuntu 24.10 Oracular Oriole がリリース：セキュリティ管理の強化と利便性の向上

Ubuntu 24.10 Oracular Oriole brings tighter security controls

2024/10/11 HelpNetSecurity — Canonical は、Ubuntu 24.10 Oracular Oriole をリリースした。このリリースに導入される画期的な機能としては、更新されたカーネル／新しいツールチェーン／GNOME 47 デスクトップ環境などがあり、大幅なソフトウェア・セキュリティの強化が達成されている。Canonical の CEO である Mark Shuttleworth は、「Oracular Oriole は、最新のアップストリーム・カーネルと、ツールチェーンの提供において、新たなペースを設定するものだ。もの実験的で斬新なセキュリティ機能は、コミュニティとの対話を通じて、今後の 20年間において、そして、それ以降においても、Linux デスクトップ・エクスペリエンスを継続的に向上させていくという、当社の取り組みを実証している」と述べている。

Keycloak の脆弱性 CVE-2024-3656 が FIX：権限昇格などの恐れ

Keycloak Patches CVE-2024-3656 Granting Low-Privilege Users Administrative Access

2024/10/10 SecurityOnline — オープンソースの ID／Access 管理プラットフォームである Keycloak がリリースしたのは、低権限ユーザーに対して管理機能への不正アクセスを許す可能性がある、深刻な脆弱性 CVE-2024-3656 (CVSS：8.1) に対するセキュリティ・アップデートである。セキュリティ研究者の Maurizio Agazzini により発見された、この脆弱性は、Keycloak のバージョン 24.0.5 未満の全バージョンに影響を及ぼすものだ。

GitLab CE/EE の脆弱性 CVE-2024-9164 などが FIX：直ちにアップデートを！

CVE-2024-9164 (CVSS 9.6): GitLab Users Urged to Update Now

2024/10/09 SecurityOnline — 10月9日に GitLab がリリースした、 Community Edition(CE)／Enterprise Edition(EE) のバージョン 17.4.2／17.3.5／17.2.9 は、いくつかのセキュリティ・アップデートを取り込んだものである。これらのアップデートは、８件の脆弱性に対処するものだが、その中には、深刻度 Critical と評価される、脆弱性 CVE-2024-9164 も含まれている。この脆弱性の悪用に成功した攻撃者は、任意のブランチでパイプラインを実行する可能性を得るため、影響を受けるインスタンスに重大なセキュリティ・リスクが生じる。

WordPress GiveWP の脆弱性 CVE-2024-8353 が FIX：CVSS 10.0 の XSS

CVE-2024-8353 (CVSS 10): Critical GiveWP Flaw, 100k WordPress Sites at Risk

2024/09/29 SecurityOnline — WordPress 用のドネーション・プラグインである GiveWP に、深刻な脆弱性 CVE-2024-8353 (CVSS：10.0) が発見された。この脆弱性は、リモート・コード実行につながる可能性のある、PHP オブジェクト・インジェクションに起因するものであり、悪用に成功した攻撃者は認証を必要とすることなく、影響を受けるWeb サイトを完全に制御できる可能性を手にする。

WordPress TI WooCommerce Wishlist の脆弱性 CVE-2024-43917：パッチは未適用

CVE-2024-43917 (CVSS 9.3): Unpatched SQLi Flaw in TI WooCommerce Wishlist Threatens 100,000+ Sites

2024/09/27 SecurityOnline — 人気の WordPress プラグインである TI WooCommerce Wishlist に、深刻な脆弱性 CVE-2024-43917 (CVSS：9.8) が発見され、100,000 以上のサイトを危険にさらす可能性が生じている。この脆弱性の悪用に成功した攻撃者は、認証なしで任意の SQL クエリを実行できるようになり、影響を受ける Web サイトを完全な制御する権限を、不正に取得する可能性を手にする。

WordPress Events Calendar Plugin の脆弱性 CVE-2024-8275 が FIX：SQLi に至る恐れ

Critical SQL Injection Vulnerability Discovered in ‘The Events Calendar’ WordPress Plugin (CVE-2024-8275)

2024/09/25 SecurityOnline — 人気の WordPress プラグインである The Events Calendar に、深刻なセキュリティ上の欠陥が発見された。この脆弱性 CVE-2024-8275 (CVSS：9.8) は、バージョン 6.6.4 以下に影響を及ぼすものだ。Events Calendar plugin は、WordPress サイト上でのイベント・カレンダーの容易な作成／管理を実現するものであり、70万以上のアクティブ・インストール数を誇っている。このプラグインは、オンラインおよび F2F のイベントをサポートしており、また、プロフェッショナル向けの広範な機能を提供している。

GitLab の SAML 脆弱性 CVE-2024-45409：セキュリティ修正を拡張

GitLab backports fix for CVE-2024-45409 to older versions

2024/09/25 SecurityOnline — GitLab が 9月25日にリリースしたセキュリティ・アップデートは、GitLab Community Edition(CE)／Enterprise Edition(EE) の全バージョンに影響を与える、深刻な SAML 認証バイパス脆弱性 CVE-2024-45409 に対処するためのものだ。セルフマネージド・インストールの管理者に対して強く推奨されるのは、新たにパッチが適用されたバージョン (16.10.10／16.9.11／16.8.10／16.7.10／16.6.10／16.5.10／16.4.7／16.3.9／16.2.11／16.1.8／16.0.10) へと直ちにアップグレードすることだ。これらのバージョンに含まれるのは、9月17日に GitLab バージョン 17.x.x/16.11.10 向けにリリースされたセキュリティ修正である。

AsyncRAT マルウェア：AI が生成する PowerShell スクリプトで配信

Hackers deploy AI-written malware in targeted attacks

2024/09/24 BleepingComputer — フランス語圏のユーザーを標的とするメール・キャンペーンで発見された、AsyncRAT マルウェアを配信する悪意のコードは、生成 AI サービスで作成されたと考えられている。生成 AI 技術は、サイバー犯罪者らにより、説得力のあるメールの作成に悪用されてきた。しかし、ベンダーが実装した保護策や制限にもかかわらず、AI ツールは悪意のソフトウェアの作成に悪用されていると、複数の政府機関が警告を発している。

Dragonfly2 の脆弱性 CVE-2023-27584 が FIX：ハードコードされた暗号化キーによる Admin 侵害

Critical Dragonfly2 Flaw CVE-2023-27584: Hardcoded Key Threatens Admin Access

2024/09/22 SecurityOnline — Peer-to-Peer (P2P) をベースとするファイル配信システムを、オープンソースとして提供する Dragonfly2 に、深刻なセキュリティ脆弱性 CVE-2023-27584 (CVSS：9.8) が発見された。この脆弱性は、認証プロセスで使用される、ハードコードされた暗号化キーに起因するものであり、管理者権限での不正アクセスも許してしまうため、システムへの攻撃の可能性が生じる。

Grafana Plugin SDK の脆弱性 CVE-2024-8986 が FIX：機密情報の漏えいに至る恐れ

CVE-2024-8986 (CVSS 9.1): Critical Grafana Plugin SDK Flaw Exposes Sensitive Information

2024/09/22 SecurityOnline — Grafana Plugin SDK for Go に、重大なセキュリティ脆弱性 CVE-2024-8986 (CVSS：9.1) が発見された。この脆弱性に悪用により、リポジトリ認証情報などの機密情報の漏洩につながる可能性が生じている。Grafana Plugin SDK は、Go プログラミング言語を使用するバックエンド・プラグインの、容易な開発を目的として設計されている。しかし、Grafana Labs のアドバイザリによると、それらのプラグインでは、コンパイル済みバイナリにビルド・メタデータがバンドルされているという。このメタデータには、git remote get-url origin コマンドを実行することで取得される、プラグインで使用されるリポジトリ URI が含まれる。

Keycloak の脆弱性 CVE-2024-8698 が FIX：認証回避の恐れ

CVE-2024-8698: Keycloak Vulnerability Puts SAML Authentication at Risk

2024/09/22 SecurityOnline — セキュア ID とアクセス管理のために広く利用される、Keycloak の SAML 署名検証プロセスに、深刻度の高い脆弱性が発見された。この脆弱性 CVE-2024-8698 の悪用に成功した攻撃者は、認証メカニズムを回避し、権限昇格やなりすまし攻撃の可能性を手にする。

Interactive PDF Analysis：脅威を検出するオープンソース・フォレンジック・ツール

Interactive PDF Analysis: An Open Source Forensic Tool for Threat Detection

2024/09/21 SecurityOnline — 今日のデジタル社会において、PDF ファイルは欠かせない存在であり、ビジネス文書からユーザー・マニュアルに至るまでの、あらゆる用途で使用されている。しかし、その他のフォーマットと同様に PDF も、悪意のペイロードの拡散に悪用される可能性があり、サイバー攻撃の標的となることが多い。そこで役立つのが、IPA (Interactive PDF Analysis) である。IPA は、セキュリティ・アナリストが PDF ファイルの隠れた構造を深く掘り下げ、潜在的な脅威を明らかにするために設計された、強力なオープンソース・ツールである。

GitLab CE/EE の SAML 脆弱性 CVE-2024-45409 が FIX：直ちにアップデートを！

GitLab releases fix for critical SAML authentication bypass flaw

2024/09/18 BleepingComputer — GitLab リリースしたセキュリティ・アップデートは、GitLab Community Edition(CE)／Enterprise Edition(EE) のセルフマネージド・インストールに影響を与える、重大な SAML 認証バイパス脆弱性 CVE-2024-45409 に対処するためのものだ。SAML (Security Assertion Markup Language) とは、ユーザーが同じ認証情報を使用して異なるサービスにログインするための、SSO (Single Sign-On) 認証プロトコルである。脆弱性 CVE-2024-45409 は、GitLab が SAML ベースの認証を処理するために使用している、OmniAuth-SAML／Ruby-SAML ライブラリの問題に起因する。

GCP Composer の RCE 脆弱性が FIX：依存関係を撹乱させる CloudImposer とは？

Google Fixes GCP Composer Flaw That Could’ve Led to Remote Code Execution

2024/09/16 TheHackerNews — Google Cloud Platform (GCP) Composer に発見された深刻なセキュリティ脆弱性は、サプライチェーン攻撃の手法である “Dependency Confusion” (依存関係かく乱) により、クラウド・サーバ上でのリモート・コード実行を攻撃者に許すものだ。この脆弱性には、 CloudImposer というコードネームが、Tenable Research により付けられている。Tenable のセキュリティ研究者である Liv Matan は、「この脆弱性の悪用に成功した攻撃者は、Google Cloud Composer の各パイプライン・オーケストレーション・ツールにあらかじめインストールされている、内部ソフトウェアの依存関係を乗っ取りが可能になると推測される」と説明している。

75% の確率でアプリは壊れる：依存関係のある OSS のアップデートが及ぼす影響 – Endor Labs

Open Source Updates Have 75% Chance of Breaking Apps

2024/09/12 InfoSecurity — Endor Labs の調査によると、オープンソース・ソフトウェアのバージョン・アップグレードにおいては、ほぼ全て (95%) の確率で他のコンポーネントの動作を妨げる、少なくとも１つの変更が含まれているという。そのため、パッチを適用すると、75%の確率で動作に支障をきたす可能性が生じる。この調査結果は、Endor Labs の第３回目の年次報告書 “2024 Dependency Management Report” で発表されたものであり、同社における脆弱性および顧客のデータと、Open Source Vulnerabilities(OSV) データベースの情報に加えて、Java ARchives (JARs) に関連するオープンソース依存関係 Top-15 を基に作成されている。

Kaspersky の TDSKiller ツール：RansomHub が EDR の無効化で悪用

RansomHub ransomware gang relies on Kaspersky TDSKiller tool to disable EDR

2024/09/11 SecurityAffairs — TDSSKiller ツールを悪用するランサムウェア・グループ RansomHub が、EDR (endpoint detection and response) システムを無効化していることが、Malwarebytes ThreatDown の調査により判明した。サイバーセキュリティ企業 Kaspersky が開発する TDSSKiller は、ルートキットを削除するための正規ツールである。しかし、このツールを悪用することで、コマンドライン・スクリプトやバッチファイルを通じて、EDR ソリューションを無効化することも可能になる。さらに、RansomHub は、認証情報を収集するために、オープンソースのパスワード復旧ツールである、LaZagne も悪用していることが判明した。

Ruby-SAML の脆弱性 CVE-2024-45409 (CVSS 10.0) がFIX：認証バイパスの恐れ

CVE-2024-45409 (CVSS 10): Critical Ruby-SAML Flaw Leaves User Accounts Exposed

2024/09/11 SecurityOnline — クライアント側の SAML (Security Assertion Markup Language) 認証を実装するためのツール Ruby-SAML ライブラリに、深刻なセキュリティ脆弱性 CVE-2024-45409 (CVSS：10.0) が確認された。この脆弱性の悪用に成功した攻撃者は、Ruby-SAML を使用しているシステムの認証をバイパスし、ユーザー・アカウントへの不正アクセスの可能性を手にする。

GitLab CE/EE の脆弱性 CVE-2024-6678 などが FIX：直ちにアップデートを！

Urgent: GitLab Patches Critical Flaw Allowing Unauthorized Pipeline Job Execution

2024/09/11 TheHackerNews — 9月11日に GitLab がリリースしたのは、17件のセキュリティ脆弱性に対処するためのセキュリティ・アップデートである。その中には、任意のユーザーである攻撃者が、パイプライン・ジョブを実行できる、深刻な脆弱性 CVE-2024-6678 (CVSS：9.9) も含まれている。

SPIP の脆弱性 CVE-2024-8517 (CVSS 9.8) が FIX：PoC エクスプロイトも提供

CVE-2024-8517: Critical SPIP Flaw Leaves Websites Vulnerable to Remote Attacks, PoC Published

2024/09/10 SecurityOnline — 人気の CMS である SPIP に発見された CVE-2024-8517 (CVSS：9.8) は、未認証の攻撃者に対して、サーバ上での悪意のコード実行を許す可能性があるものだ。この脆弱性は、BigUp プラグインのコマンド・インジェクションの欠陥に起因する。

HAProxy の脆弱性 CVE-2024-45506 が FIX：１件の悪用を確認

HAProxy Vulnerability CVE-2024-45506 Under Active Exploit: Urgent Patching Required

2024/09/08 SecurityOnline — ロード・バランシングとプロキシの機能を提供する、人気のソフトウェアである HAProxy にいおいて、脆弱性 CVE-2024-45506 (CVSS：7.5) が悪用されていることが判明した。この脆弱性は、HAProxy の HTTP/2 マルチプレクサに影響するものであり、特定の条件下において無限ループを引き起こし、システム・クラッシュやリモート・サービス拒否 (DoS) 攻撃にいたる恐れがある。この欠陥は、Enterprise／ALOHA／Kubernetes Ingress Controller などの、複数の HAProxy 製品に影響を与えるものだ。

MindsDB の脆弱性 CVE-2024-24759 が FIX：PoC エクスプロイトも提供

MindsDB Fixes Critical CVE-2024-24759: DNS Rebinding Attack Bypasses Security Protections

2024/09/07 SecurityOnline — AI アプリを構築するための OSS プラットフォームとして人気の MindsDB は、セキュリティ対策のバイパスを許してしまう深刻な脆弱性に対してパッチを適用した。この脆弱性 CVE-2024-24759 (CVSS：9.3) の悪用に成功した攻撃者は、DNS リバインディング攻撃を用いて、SSRF (Server-Side Request Forgery) 対策をバイパスする可能性を手にする。

Apache OFBiz の RCE 脆弱性 CVE-2024-45195 が FIX：ただちにパッチを！

Apache OFBiz Update Fixes High-Severity Flaw Leading to Remote Code Execution

2024/09/06 TheHackerNews — OSS の ERP システムである Apache OFBiz に存在することが判明した、新たなセキュリティ上の欠陥が修正された。この脆弱性の悪用に成功した攻撃者は、Linux ／Windows 上で認証を必要としないリモート・コード実行を許される可能性があるという。この脆弱性 CVE-2024-45195 (CVSS：7.5) は、OFBiz のバージョン 18.12.16 未満に影響を及ぼす。

Webmin／Virtualmin の脆弱性 CVE-2024-2169 がFIX：直ちにアップデートを！

Webmin/Virtualmin Vulnerability Opens Door to Loop DoS Attacks (CVE-2024-2169)

2024/09/04 SecurityOnline — Webmin／Virtualmin に、サービス拒否 (DoS：Denial-of-Service) 攻撃を引き起こす深刻な脆弱性 CVE-2024-2169 が発見され、早急な対応を求められている。この脆弱性は、Webmin 2.202 未満／ Virtualmin 7.20.2 未満に影響を及ぼす。脆弱性 CVE-2024-2169 は、Webmin／Virtualmin の UDP サービスにおける不適切な検出メカニズムに起因する。このサービスは、コントロール・パネルにアクセスが可能な、IP アドレスとポートを明らかにすることで、UDP リクエストに応答するものだ。この動作は、一見無害に見えるが、攻撃者により悪用されると、Loop DoS 攻撃が引き起こされる可能性が生じる。

Jenkins の RCE 脆弱性 CVE-2024-43044 が FIX：PoC も提供される

CVE-2024-43044: Critical Jenkins Vulnerability Exposes Servers to RCE, PoC Exploit Published

2024/09/01 SecurityOnline — Jenkin の重大な脆弱性 CVE-2024-43044 (CVSS 8.8) の技術的詳細と PoC エクスプロイト・コードが、Conviso Labs のセキュリティ研究者により公開された。数多くの開発パイプラインにおいて不可欠な Jenkins は、攻撃者にとって格好の標的となっている。この脆弱性が悪用され、Jenkins サーバが侵害された場合には、クレデンシャルの盗難／無許可のコード修正／デプロイの中断などの、広範な攻撃アクションの足場とされる可能性が生まれる。新たに公開された脆弱性 CVE-2024-43044 は、このようなリスクの深刻さを例証している。

Apache OFBiz の脆弱性 CVE-2024-38856：その問題点を整理する – SonicWall

Exploited: CISA Highlights Apache OFBiz Flaw After PoC Emerges

2024/08/30 DarkReading — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Apache OFBiz の脆弱性 CVE-2024-38856 を、KEV (Known Exploited Vulnerabilities) カタログに追加した。Apache OFBiz は、オープンソースの ERP (Enterprise Resource Planning) システムであり、顧客対応／人事機能／注文処理／倉庫管理などの、産業界における業務管理を支援するものだ。そのユーザー企業は約 170社であり、そのうちの 41％が米国にある。同プラットフォームの Web サイトには、United Airlines／Home Depot／HP Development などの大企業が名を連ねている。

Perl の cpanminus に深刻な脆弱性 CVE-2024-45321：パッチ適用までの緩和策は？

Critical CVE-2024-45321 Flaw in Popular Perl Module Installer cpanminus, No Patch Available

2024/08/28 SecurityOnline — Perl コミュニティに対して発せられたセキュリティアドバイザリは、広く使用されている App::cpanminus (cpanm) ツールに存在する、深刻な脆弱性 CVE-2024-45321 (CVSS：9.8) に関するものである。セキュリティ・アドバイザリである。この脆弱性は、CPAN から Perl モジュールをダウンロード／インストールする際 HTTP 接続で、安全が確保されないデフォルト・コンフィグが用いられるというものであり、cpanminus のユーザーに重大なリスクをもたらす。