CVE-2025-31115: XZ Utils Hit Again with High-Severity Multithreaded Decoder Bug
2025/04/07 SecurityOnline — XZ Utils は、データ圧縮機能を提供する、広く利用されるツールとライブラリのスイートである。効率的な圧縮で知られる XZ Utils は、gzip よりも小さなファイルの作成が必要な場合で多用される。ネイティブ・ファイル・フォーマットは “.xz” だが、従来からの “.lzma” フォーマットもサポートしている。
Continue reading “XZ Utils の脆弱性 CVE-2025-31115 が FIX：マルチスレッド・デコーダーに深刻な影響”SpotBugs Access Token Theft Identified as Root Cause of GitHub Supply Chain Attack
2025/04/04 TheHackerNews — Coinbase を最初に標的とし、その後に “tj-actions/changed-files” GitHub Action のユーザーへと拡大していった、いわゆる連鎖型のサプライチェーン攻撃が確認されている。さらに、この攻撃の足跡を遡ると、SpotBugs に関連する PAT (personal access token) の窃取に端を発していたことが判明した。
Continue reading “GitHub Action での連鎖的攻撃：SpotBugs の PAT 漏洩トリガー説を掘り下げる”China-Linked Silk Typhoon Expands Cyber Attacks to IT Supply Chains for Initial Access
2025/03/05 TheHackerNews — Microsoft Exchange サーバのセキュリティ欠陥を、2021年1月のゼロデイ攻撃で悪用していた中国由来の脅威アクターだが、企業ネットワークへのイニシャル・アクセスの手段を、IT サプライチェーンを標的とする戦術へと転換しているようだ。この情報は、Microsoft Threat Intelligence チームの新たな調査結果によるものであり、いまの Silk Typhoon (旧 Hafnium) ハッキング・グループは、攻撃の足がかりを得るためにリモート管理ツールやクラウド・アプリなどの、IT ソリューションを標的にしているという。
Continue reading “中国由来の Silk Typhoon の戦術：脆弱性悪用とパスワード・スプレーの採用”OAuth Redirect Flaw in Airline Travel Integration Exposes Millions to Account Hijacking
2025/01/28 TheHackerNews — API セキュリティ企業 Salt Labs が公表したレポートは、ホテルやレンタカーのオンライン予約サービスに存在する、アカウント乗っ取りの脆弱性に関するものだ。なお、この脆弱性は、すでに修正されているという。Salt Labs は、「この欠陥を悪用する攻撃者は、システム内のあらゆるユーザー・アカウントへのアクセス権を獲得し、被害者に成りすまして、さまざまな操作を実行する。具体的には、被害者のマイレッジ・ポイントによるホテルやレンタカーの予約や、予約情報のキャンセルや編集などである」と、The Hacker News に共有したレポートで述べている。
Continue reading “航空／旅行システムの OAuth 認証に脆弱性：数百万人のアカウントに乗っ取りの懸念”Do We Really Need The OWASP NHI Top 10?
2025/01/27 TheHackerNews — 先日に OWASP (Open Web Application Security Project) は、新たな指針としての Non-Human Identity (NHI) Top-10 に取り組み始めた。長年にわたり OWASP は、広く利用される API Top-10 や Web App Top-10 などのプロジェクトを通じて、セキュリティの専門家と開発者に対して、重要なガイダンスと実用的なフレームワークを提供してきた。Non-Human Identity (NHI) セキュリティは、サイバー・セキュリティ業界で新たな関心を集めている。そこで OWASP は、NHI Top-10 により、API キー／サービス・アカウント／OAuth アプリ／SSH キー／IAM ロール／シークレットなどのマシン認証情報とワークロード ID に関連する、リスクと監視の欠如を指摘している。
Continue reading “OWASP の Non-Human Identity (NHI) Top-10 とは？ 隠れたリスクを可視化する”
IoT OT Security News 