Oracle Cloud Infrastructure の脆弱性:特権昇格やクロステナント・アクセスを修正

Critical Vulnerability in Oracle Cloud Infrastructure Allowed Unauthorized Access

2022/09/20 InfoSecurity — Oracle Cloud Infrastructure (OCI) で発見された新たな脆弱性により、すべてのユーザーのクラウド・ストレージ・ボリュームへの不正アクセスが可能となり、その結果として、クラウドの分離が侵害されることになっている。この欠陥は、6月に Wiz のセキュア・クラウドの専門家が発見し、AttachMe と名付けられたものであり、今日の同社の最新アドバイザリで取り上げられている。

Continue reading “Oracle Cloud Infrastructure の脆弱性:特権昇格やクロステナント・アクセスを修正”

Oracle の July 2022 Critical Patch Update:349 件のセキュリティ・パッチをリリース

Oracle Releases 349 New Security Patches With July 2022 CPU

2022/07/20 SecurityWeek — 7月19日に Oracle は、July 2022 Critical Patch Update (CPU) を発表し、合計で 349件の新しいセキュリティ・パッチをリリースしたが、そこには、リモートの未認証の攻撃者が悪用できる脆弱性 230件も含まれる。今月の Critical Patch Update (CPU) には、CVSS 値が 10 である4件を含む、64件の Critical な脆弱性に対するセキュリティ・パッチが提供され、CVSS 値が 8〜9 である 20件をの脆弱性にも対処されている。

Continue reading “Oracle の July 2022 Critical Patch Update:349 件のセキュリティ・パッチをリリース”

Google/Oracle クラウドに障害:英国の熱波によりデータセンターの冷却がパンク

UK heat wave causes Google and Oracle cloud outages

2022/07/19 BleepingComputer — 熱波が続くイギリスにおいて、Google Cloud/Oracle Cloud データセンターの、冷却装置の故障によるクラウド障害が発生した。イギリスでは、先週から記録的な猛暑が続いているが、7月19日の最高気温は 40.2度 (華氏104.4度) という記録的なレベルに達した。これにより、Google/Oracle がクラウド・インフラをホストするデータ・センターにおいて、冷却システムに障害が発生しはじめた。

Continue reading “Google/Oracle クラウドに障害:英国の熱波によりデータセンターの冷却がパンク”

Oracle Java の PoC エクスプロイト:優先すべき ECDSA 脆弱性へのパッチ適用とは?

Researcher Releases PoC for Recent Java Cryptographic Vulnerability

2022/04/22 TheHackerNews — Java 環境における、デジタル署名バイパスの脆弱性を証明する、PoC エクスプロイト・コードがオンラインで共有されている。この脆弱性 CVE-2022-21449 (CVSS : 7.5) は、Oracle Java SE および Oracle GraalVM Enterprise Edition の、以下のバージョンに影響を及ぼす。

Continue reading “Oracle Java の PoC エクスプロイト:優先すべき ECDSA 脆弱性へのパッチ適用とは?”

Oracle の April 2022 Critical Patch Update:520 件の脆弱性に対応

Oracle Releases 520 New Security Patches With April 2022 CPU

2022/04/20 SecurityWeek — 2022年4月19日に Oracle は、April 2022 Critical Patch Update (CPU) をリリースし、認証なしでリモートから悪用できる脆弱性である約 300件を含む、合計で 520件のセキュリティ修正に対処した。一連のパッチのうち約 75件は Critical と評価され、その中の 3件は CVSS 値が 10 であり、また、40件以上は CVSS 値 8〜9 となっている。

Continue reading “Oracle の April 2022 Critical Patch Update:520 件の脆弱性に対応”

Linux の Netfilter における脆弱性 CVE-2022-25636:DDoS などが生じる可能性

New Linux Bug in Netfilter Firewall Module Lets Attackers Gain Root Access

2022/03/14 TheHackerNews — 新たに公開された Linux カーネルに存在するセキュリティ欠陥は、脆弱なシステム上でローカルな敵対者が特権昇格を獲得し、任意のコード実行/コンテナ・エスケープ/カーネル・パニックを誘発する可能性があることを示唆されている。この脆弱性 CVE-2022-25636 (CVSS:7.8) は、Linux カーネルの Ver 5.4〜5.6.10 に影響し、カーネルの Netfilter サブ・コンポーネントにおけるヒープ境界外書き込みを発生させる。この問題は、Sophos の Senior Threat Researcher である Nick Gregory により発見された。

Continue reading “Linux の Netfilter における脆弱性 CVE-2022-25636:DDoS などが生じる可能性”

CISA 警告:悪用脆弱性カタログに新旧あわせて 95 件が追加された

CISA warns organizations to patch 95 actively exploited bugs

2022/03/04 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発に悪用されているセキュリティ欠陥のリストに 95件の脆弱性を追加したが、この件数は、昨年に Binding Operational Directive (BOD) を発行してから最多のものとなる。その中には、20年近く前から認識されているバグもあるが、同庁は、「連邦政府の企業にとって重大なリスクをもたらす」と指摘している。

Continue reading “CISA 警告:悪用脆弱性カタログに新旧あわせて 95 件が追加された”

Google Project Zero レポート:各ベンダーのゼロデイ対応と時間軸

Google Project Zero: Vendors are now quicker at fixing zero-days

2022/02/11 BleepingComputer — Google の Project Zero は、2021年において同チームが報告したゼロデイ脆弱性について、それぞれの組織が対応に要した時間の短縮示すレポートを発表した。この Project Zero が報告したデータによると、ソフトウェア・ベンダーがセキュリティ修正プログラムの発行に要した平均期間は、2017年の 80日から、2021年は 52日に短縮された。さらに、大半のベンダーが、業界標準の期限である90日と、2週間の猶予期間内に、欠陥に対処した。

Continue reading “Google Project Zero レポート:各ベンダーのゼロデイ対応と時間軸”

OpenSSF の新プロジェクト Alpha – Omega:セキュリティのために Microsoft/Google が出資

OpenSSF Launches Project to Secure Open Source Software

2022/02/01 SecurityBoulevard — 今日、Open Source Security Foundation (OpenSSF) は、Microsoft と Google から提供された $5 million の初期投資を用いて、オープンソース・ソフトウェアのセキュリティを向上させるための Alpha-Omega プロジェクトを立ち上げた。

OpenSSF の General Manager である Brian Behlendorf は、このプロジェクトの目的について、セキュリティに関する専門知識を広範なオープンソース・ソフトウェア・プロジェクトに提供し、オープンソース・ソフトウェア構築で用いられる DevSecOps ワークフローに組み込むことが可能な、自動セキュリティ・テスト・ツールへのアクセスを提供することだと述べている。

Continue reading “OpenSSF の新プロジェクト Alpha – Omega:セキュリティのために Microsoft/Google が出資”

ホワイトハウス OSS セキュリティ・サミット:各ベンダーの声明を集めてみた

U.S. Government, Tech Giants Discuss Open Source Software Security

2022/01/14 SecurityWeek — 2020年1月13日にホワイトハウス・サミットが開催され、米国の政府と大手ハイテク企業の代表者がオープンソース・ソフトウェアのセキュリティについて話し合った。広く利用されている Log4j ロギング・ユーティリティーに影響を与える脆弱性が、公開/悪用されたことで、オープンソースとソフトウェア・サプライチェーンのセキュリティの重要性が、あらためて浮き彫りになっている。ホワイトハウス・サミットの目的は、オープンソース・ソフトウェアのセキュリティを向上させ、オープンソース・コミュニティを効果的にサポートする方法を特定することだった。

Continue reading “ホワイトハウス OSS セキュリティ・サミット:各ベンダーの声明を集めてみた”

ホワイトハウスの念押し:ハイテク大手のオープンソースが国家安全保障の問題

White House reminds tech giants open source is a national security issue

2022/01/14 BleepingComputer — Log4J の脆弱性による重要インフラへの脅威を受けて、ホワイトハウスは政府機関や民間企業に対して、オープンソース・ソフトウェアとサプライチェーンの安全確保に向けて、リソースを結集し努力するよう養成した。そのためのサミットが開催され、「オープンソース・ソフトウェアのセキュリティ上の欠陥や脆弱性の防止」「セキュリティ上の欠陥の発見と修正のプロセスの改善」「修正プログラムの提供と展開に要する時間の短縮」という、3つのテーマが取り上げられた。

Continue reading “ホワイトハウスの念押し:ハイテク大手のオープンソースが国家安全保障の問題”

米国連邦政府の委員会がバックドアの標的:古典的な APT による内部ネットワーク侵害

Experts Discover Backdoor Deployed on the U.S. Federal Agency’s Network

2021/12/20 TheHackerNews — 国際的な権利に関連する米国連邦政府の委員会がバックドアの標的となり、古典的な APT 型の操作による内部ネットワーク侵害が生じたと、研究者たちが報告している。チェコのセキュリティ企業である Avast は、先週に発表したレポートの中で、「この攻撃は、ネットワークを完全に可視化し、システムの完全な制御を可能にした。したがって、対象となるネットワークあるいは、他のネットワークの深部に侵入するための、多段階攻撃の最初のステップとして使用することができた」と述べている。

Continue reading “米国連邦政府の委員会がバックドアの標的:古典的な APT による内部ネットワーク侵害”

Oracle VirtualBox におけるサービス拒否の脆弱性:パッチ漏れはサービス拒否につながる?

Researchers Detail Privilege Escalation Bugs Reported in Oracle VirtualBox

2021/11/23 TheHackerNews — Oracle VM VirtualBox に存在する、すでにパッチが適用されている脆弱性だが、悪用されるとハイパーバイザーが危険にさらされ、サービス拒否 (DoS) 状態に陥る可能性がある。具体的に言うと、Oracle VM VirtualBox が実行されているインフラにログオンしている高権限の攻撃者は、Oracle VM VirtualBox を侵害することができる。この脆弱性を利用した攻撃に成功すると、Oracle VM VirtualBox のハングアップや頻繁に繰り返され、クラッシュを引き起こす可能性が生じる。

Continue reading “Oracle VirtualBox におけるサービス拒否の脆弱性:パッチ漏れはサービス拒否につながる?”

Oracle Cloud に無償のセキュリティ・サービスが提供される理由は?

Oracle Adds Free Security Services to Public Cloud

2021/11/09 SecurityBoulevard — 今日、Oracle Cloud Infrastructure (OCI) プラットフォームに4つの無料サービスが追加され、クラウド・セキュリティに関する、同社の懸念への対応が進められた。Oracle Cloud Infrastructure Vulnerability Scanning Service (OCI VSS) は、パッチが適用されていない脆弱性や、開放されたポートを特定するための無料サービスであり、OCI 上に展開されたアプリケーションのセキュリティ状態を監視する、無料サービスである Cloud Guard と統合される。

Continue reading “Oracle Cloud に無償のセキュリティ・サービスが提供される理由は?”

CISA が 306件の脆弱性カタログを発行:政府およびインフラに対する悪用を阻止する

CISA shares a catalog of 306 actively exploited vulnerabilities

2021/11/04 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されている 306件の脆弱性のカタログを公開し、それぞれの連邦政府機関に対して、一定の期限内に対処するよう命じる運用指令を発出した。この指令は、連邦政府の情報システムに存在する、すべてのソフトウェアおよびハードウェアを対象としており、そこには、連邦政府の施設内で管理されているもの、および、連邦政府に代わって第三者がホストされているものがある。

Continue reading “CISA が 306件の脆弱性カタログを発行:政府およびインフラに対する悪用を阻止する”

中国ハッキング・グループの Rootkit は Windows 10 をターゲットにスパイ活動を行う

Chinese Hackers Used a New Rootkit to Spy on Targeted Windows 10 Users

2021/10/01 TheHackerNews — これまで詳細が不明だった、中国語を話す脅威アクターだが、東南アジアのターゲットを狙い、侵害された Windows システムにカーネルモード Rootkit をデプロイするために、2020年7月の時点から回避操作を行っていたようだ。Kaspersky が GhostEmperor と名付けた、このハッキング・グループによる攻撃は、標的となったホストに対する持続性と遠隔操作を可能にする、洗練されたマルチステージのマルウェア・フレームワークを使用していたとも言われている。

Continue reading “中国ハッキング・グループの Rootkit は Windows 10 をターゲットにスパイ活動を行う”

FamousSparrow という APT が Exchange や Oracle にバックドアを仕掛けている

New FamousSparrow APT group used ProxyLogon exploits in its attacks

2021/09/24 SecurityAffairs — ESET の研究者たちは、FamousSparrow として追跡されている新たなサイバー・スパイ・グループを発見した。この APT (Advanced Persistent Threat) グループは、2019年頃から世界中のホテルや、法律事務所、政府、民間企業などの、より知名度の高いターゲットも攻撃している。専門家によると、このグループはサイバー・スパイ活動に重点を置いていとのことだ。

Continue reading “FamousSparrow という APT が Exchange や Oracle にバックドアを仕掛けている”

セキュリティを押しつけるな!ネットワークさんが怒ってます!

Don’t Leave Security to the Network

2021/08/27 SecurityBoulevard — これまでのエンタープライズ・ネットワークのセキュリティ・モデルには、未来がない。現在、ネットワークは継続的な攻撃を受けており、従来のセキュリティ・モデルは無防備であることが証明されている。Colonial Pipeline や、Kaseya、アイルランドのヘルスケアシステム、北ヨーロッパの鉄道切符販売機へのランサムウェア攻撃は、巨大な氷山の一角に過ぎない。最近のある推計によると、昨年、私たちが知っているだけで 65,000件の攻撃があったとされるが、この問題の本当の規模については、推測する以外に為す術がない。不安を抱える企業には、株主や顧客に知られたくないと思う攻撃が、報告された数だけあるのだ。

Continue reading “セキュリティを押しつけるな!ネットワークさんが怒ってます!”

Oracle Weblogic Server のリモート悪用を許す深刻な脆弱性とは

Oracle Warns of Critical Remotely Exploitable Weblogic Server Flaws

2021/07/22 TheHackerNews — 火曜日に Oracle は、2021年7月の四半期 Critical Patch Update をリリースした。複数の製品にまたがる 342件の修正が含まれており、その一部はリモートの攻撃者により悪用され、影響を受けたシステムの制御を乗っ取る可能性がある。その中でも、特に重要なのは脆弱性 CVE-2019-2729 である。Oracle WebLogic Server Web Services の XMLDecoder を介した、デシリアライゼーションに関する深刻な脆弱性であり、認証なしにリモートから悪用される可能性がある。

Continue reading “Oracle Weblogic Server のリモート悪用を許す深刻な脆弱性とは”