Google Project Zero: Vendors are now quicker at fixing zero-days
2022/02/11 BleepingComputer — Google の Project Zero は、2021年において同チームが報告したゼロデイ脆弱性について、それぞれの組織が対応に要した時間の短縮示すレポートを発表した。この Project Zero が報告したデータによると、ソフトウェア・ベンダーがセキュリティ修正プログラムの発行に要した平均期間は、2017年の 80日から、2021年は 52日に短縮された。さらに、大半のベンダーが、業界標準の期限である90日と、２週間の猶予期間内に、欠陥に対処した。
Continue reading “Google Project Zero レポート：各ベンダーのゼロデイ対応と時間軸”OpenSSF Launches Project to Secure Open Source Software
2022/02/01 SecurityBoulevard — 今日、Open Source Security Foundation (OpenSSF) は、Microsoft と Google から提供された $5 million の初期投資を用いて、オープンソース・ソフトウェアのセキュリティを向上させるための Alpha-Omega プロジェクトを立ち上げた。
OpenSSF の General Manager である Brian Behlendorf は、このプロジェクトの目的について、セキュリティに関する専門知識を広範なオープンソース・ソフトウェア・プロジェクトに提供し、オープンソース・ソフトウェア構築で用いられる DevSecOps ワークフローに組み込むことが可能な、自動セキュリティ・テスト・ツールへのアクセスを提供することだと述べている。
U.S. Government, Tech Giants Discuss Open Source Software Security
2022/01/14 SecurityWeek — 2020年1月13日にホワイトハウス・サミットが開催され、米国の政府と大手ハイテク企業の代表者がオープンソース・ソフトウェアのセキュリティについて話し合った。広く利用されている Log4j ロギング・ユーティリティーに影響を与える脆弱性が、公開／悪用されたことで、オープンソースとソフトウェア・サプライチェーンのセキュリティの重要性が、あらためて浮き彫りになっている。ホワイトハウス・サミットの目的は、オープンソース・ソフトウェアのセキュリティを向上させ、オープンソース・コミュニティを効果的にサポートする方法を特定することだった。
Continue reading “ホワイトハウス OSS セキュリティ・サミット：各ベンダーの声明を集めてみた”White House reminds tech giants open source is a national security issue
2022/01/14 BleepingComputer — Log4J の脆弱性による重要インフラへの脅威を受けて、ホワイトハウスは政府機関や民間企業に対して、オープンソース・ソフトウェアとサプライチェーンの安全確保に向けて、リソースを結集し努力するよう養成した。そのためのサミットが開催され、「オープンソース・ソフトウェアのセキュリティ上の欠陥や脆弱性の防止」「セキュリティ上の欠陥の発見と修正のプロセスの改善」「修正プログラムの提供と展開に要する時間の短縮」という、３つのテーマが取り上げられた。
Continue reading “ホワイトハウスの念押し：ハイテク大手のオープンソースが国家安全保障の問題”Experts Discover Backdoor Deployed on the U.S. Federal Agency’s Network
2021/12/20 TheHackerNews — 国際的な権利に関連する米国連邦政府の委員会がバックドアの標的となり、古典的な APT 型の操作による内部ネットワーク侵害が生じたと、研究者たちが報告している。チェコのセキュリティ企業である Avast は、先週に発表したレポートの中で、「この攻撃は、ネットワークを完全に可視化し、システムの完全な制御を可能にした。したがって、対象となるネットワークあるいは、他のネットワークの深部に侵入するための、多段階攻撃の最初のステップとして使用することができた」と述べている。
Continue reading “米国連邦政府の委員会がバックドアの標的：古典的な APT による内部ネットワーク侵害”Researchers Detail Privilege Escalation Bugs Reported in Oracle VirtualBox
2021/11/23 TheHackerNews — Oracle VM VirtualBox に存在する、すでにパッチが適用されている脆弱性だが、悪用されるとハイパーバイザーが危険にさらされ、サービス拒否 (DoS) 状態に陥る可能性がある。具体的に言うと、Oracle VM VirtualBox が実行されているインフラにログオンしている高権限の攻撃者は、Oracle VM VirtualBox を侵害することができる。この脆弱性を利用した攻撃に成功すると、Oracle VM VirtualBox のハングアップや頻繁に繰り返され、クラッシュを引き起こす可能性が生じる。
Continue reading “Oracle VirtualBox におけるサービス拒否の脆弱性：パッチ漏れはサービス拒否につながる？”Oracle Adds Free Security Services to Public Cloud
2021/11/09 SecurityBoulevard — 今日、Oracle Cloud Infrastructure (OCI) プラットフォームに４つの無料サービスが追加され、クラウド・セキュリティに関する、同社の懸念への対応が進められた。Oracle Cloud Infrastructure Vulnerability Scanning Service (OCI VSS) は、パッチが適用されていない脆弱性や、開放されたポートを特定するための無料サービスであり、OCI 上に展開されたアプリケーションのセキュリティ状態を監視する、無料サービスである Cloud Guard と統合される。
Continue reading “Oracle Cloud に無償のセキュリティ・サービスが提供される理由は？”CISA shares a catalog of 306 actively exploited vulnerabilities
2021/11/04 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されている 306件の脆弱性のカタログを公開し、それぞれの連邦政府機関に対して、一定の期限内に対処するよう命じる運用指令を発出した。この指令は、連邦政府の情報システムに存在する、すべてのソフトウェアおよびハードウェアを対象としており、そこには、連邦政府の施設内で管理されているもの、および、連邦政府に代わって第三者がホストされているものがある。
Continue reading “CISA が 306件の脆弱性カタログを発行：政府およびインフラに対する悪用を阻止する”Chinese Hackers Used a New Rootkit to Spy on Targeted Windows 10 Users
2021/10/01 TheHackerNews — これまで詳細が不明だった、中国語を話す脅威アクターだが、東南アジアのターゲットを狙い、侵害された Windows システムにカーネルモード Rootkit をデプロイするために、2020年7月の時点から回避操作を行っていたようだ。Kaspersky が GhostEmperor と名付けた、このハッキング・グループによる攻撃は、標的となったホストに対する持続性と遠隔操作を可能にする、洗練されたマルチステージのマルウェア・フレームワークを使用していたとも言われている。
Continue reading “中国ハッキング・グループの Rootkit は Windows 10 をターゲットにスパイ活動を行う”New FamousSparrow APT group used ProxyLogon exploits in its attacks
2021/09/24 SecurityAffairs — ESET の研究者たちは、FamousSparrow として追跡されている新たなサイバー・スパイ・グループを発見した。この APT (Advanced Persistent Threat) グループは、2019年頃から世界中のホテルや、法律事務所、政府、民間企業などの、より知名度の高いターゲットも攻撃している。専門家によると、このグループはサイバー・スパイ活動に重点を置いていとのことだ。
Continue reading “FamousSparrow という APT が Exchange や Oracle にバックドアを仕掛けている”Don’t Leave Security to the Network
2021/08/27 SecurityBoulevard — これまでのエンタープライズ・ネットワークのセキュリティ・モデルには、未来がない。現在、ネットワークは継続的な攻撃を受けており、従来のセキュリティ・モデルは無防備であることが証明されている。Colonial Pipeline や、Kaseya、アイルランドのヘルスケアシステム、北ヨーロッパの鉄道切符販売機へのランサムウェア攻撃は、巨大な氷山の一角に過ぎない。最近のある推計によると、昨年、私たちが知っているだけで 65,000件の攻撃があったとされるが、この問題の本当の規模については、推測する以外に為す術がない。不安を抱える企業には、株主や顧客に知られたくないと思う攻撃が、報告された数だけあるのだ。
Continue reading “セキュリティを押しつけるな！ネットワークさんが怒ってます！”Oracle Warns of Critical Remotely Exploitable Weblogic Server Flaws
2021/07/22 TheHackerNews — 火曜日に Oracle は、2021年7月の四半期 Critical Patch Update をリリースした。複数の製品にまたがる 342件の修正が含まれており、その一部はリモートの攻撃者により悪用され、影響を受けたシステムの制御を乗っ取る可能性がある。その中でも、特に重要なのは脆弱性 CVE-2019-2729 である。Oracle WebLogic Server Web Services の XMLDecoder を介した、デシリアライゼーションに関する深刻な脆弱性であり、認証なしにリモートから悪用される可能性がある。
Continue reading “Oracle Weblogic Server のリモート悪用を許す深刻な脆弱性とは”
IoT OT Security News 