Volexity – IoT OT Security News

Palo Alto の脆弱性 CVE-2024-3400：Siemens 製品に影響をおよぼすことが判明

Siemens Industrial Product Impacted by Exploited Palo Alto Firewall Vulnerability

2024/04/23 SecurityWeek — 最近に公表された Palo Alto ファイアウォールの脆弱性 CVE-2024-3400 は、遅くとも１ヶ月前から攻撃で悪用されており、 Siemens の産業用製品の１つに影響が生じたことが判明した。4月19日に公開したアドバイザリで Siemens は、Palo Alto の NGFW (Next-Generation Firewall) でコンフィグレーションされた、同社の Ruggedcom APE1808 デバイスが、CVE-2024-3400 の影響を受けている可能性があることを明らかにした。

Palo Alto の脆弱性 CVE-2024-3400：脆弱なデバイス 22,500 台がインターネット公開

22,500 Palo Alto firewalls “possibly vulnerable” to ongoing attacks

2024/04/19 BleepingComputer — 2024年3月26日以降において、Palo Alto GlobalProtect ファイアウォール・デバイス約 22,500台に、活発な攻撃で悪用されているコマンド・インジェクションの脆弱性 CVE-2024-3400 が存在する可能性があるという。この脆弱性 CVE-2024-3400 は、GlobalProtect 機能における特定の Palo Alto Networks の PAN-OS バージョンに影響するものであり、未認証の攻撃者に任意のファイル作成をトリガーとするコマンド・インジェクションを許し、その結果として root 権限でのコマンド実行にいたる可能があるという。

Palo Alto のゼロデイ CVE-2024-3400：公開の３週間前から Python バックドア

Hackers Deploy Python Backdoor in Palo Alto Zero-Day Attack

2024/04/13 TheHackerNews — Palo Alto Networks の PAN-OS ソフトウェアに存在するゼロデイ脆弱性だが、昨日に明るみに出る前の 2024年3月26日の時点から、３週間にわたり脅威アクターたちに悪用されてきたことが判明した。Palo Alto Networks の Unit 42 は、Operation MidnightEclipse という名称で、この活動を追跡している。現時点では、単一の脅威アクターの仕業であるとしているが、その出所は不明とされる。この脆弱性 CVE-2024-3400 (CVSS：10.0) は、コマンド・インジェクションの欠陥であり、認証されていない攻撃者に対して、ファイアウォールの root 権限を用いた任意のコード実行を許すものである。

Ivanti の脆弱性 CVE-2023-46805／CVE-2024-21887：KrustyLoader マルウェアの配布に悪用

Hackers Exploiting Ivanti VPN Flaws to Deploy KrustyLoader Malware

2024/01/31 TheHackerNews — 最近に公開された Ivanti Connect Secure (ICS) VPN (Virtual Private Network) デバイスの２つのゼロデイ脆弱性が、KrustyLoader というペイロードの配信に悪用されている。KrustyLoader とは、オープンソースの Sliver 攻撃シミュレーション・ツールを投下するために使用される、Rust ベースのツールのことである。悪用が確認されている脆弱性 CVE-2023-46805 (CVSS：8.2)／CVE-2024-21887 (CVSS：9.1) は、認証されていない攻撃者に対して、影響を受けやすいアプライアンス上でのリモート・コード実行を許す可能性があるものだ。

CISA 警告：Ivanti の脆弱性 CVE-2023-46805／CVE-2024-21887 の活発な悪用

CISA Issues Emergency Directive to Federal Agencies on Ivanti Zero-Day Exploits

2024/01/20 TheHackerNews — 2024年1月19日に、米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Ivanti Connect Secure (ICS)／Ivanti Policy Secure (IPS) 製品に存在し、活発に悪用されている２つのゼロデイ脆弱性に対して緩和策を実施するよう、連邦民間行政機関 (FCEB) に緊急指令を発出した。今回の指令は、これらの脆弱性 (認証バイパスの CVE-2023-46805／コード・インジェクション CVE-2024-21887) が、複数の脅威アクターにより広く悪用されていることを受けて発令された。これらの脆弱性の悪用に成功した攻撃者は、悪意のリクエストを作成して、システム上で任意のコマンド実行が可能になる。

Ivanti Connect Secure の２つの脆弱性：複数の脅威アクターにより攻撃がエスカレート

Ivanti Connect Secure zero-days now under mass exploitation

2024/01/15 BleepingComputer — Ivanti の Connect Secure VPN および Policy Secure Network Access Control (NAC) アプライアンスに影響を及ぼす、２つのゼロデイ脆弱性が大規模なレベルで悪用されている。脅威インテリジェンス企業 Volexity が発見した、このゼロデイ脆弱性は 2023年12月以降の攻撃で悪用されてきた。そして、2024年1月11日からは複数の脅威グループが、CVE-2023-46805 (認証バイパス) および CVE-2024-21887 (コマンド・インジェクション) 脆弱性を連鎖させ、広範な攻撃を行っている。

CISA KEV 警告 24/01/10：Ivanti とSharepoint の脆弱性を悪用リストに追加

CISA Adds Ivanti And Microsoft Sharepoint Bugs To Its Known Exploited Vulnerabilities Catalog

2024/01/11 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Ivanti Connect Secure および Policy Secure の脆弱性 CVE-2024-21887／CVE-2023-46805 と、Microsoft SharePoint Server の脆弱性 CVE-2023-29357 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。

Ivanti が警告：脆弱性 CVE-2023-46805／CVE-2024-21887 の連鎖が生み出す最悪の事態

Ivanti warns of Connect Secure zero-days exploited in attacks

2024/01/10 BleepingComputer — Ivanti の Connect Secure (ICS) および Policy Secure に存在する２つのゼロデイ脆弱性が公表されたが、それらを組み合わせるリモートの攻撃者により、標的のゲートウェイ上で任意のコマンド実行が可能になることが判明している。１つ目の脆弱性 CVE-2023-46805 は、ゲートウェイの Web コンポーネントにおける認証バイパスであり、制御チェックを回避する攻撃者に対して、制限されたリソースへのアクセスを許すものである。そして、２つ目の脆弱性 CVE-2024-21887 は、コマンド・インジェクションを許すものである。したがって、認証された管理者が、特別に作成されたリクエストを送信することで、脆弱なアプライアンス上での任意のコマンド実行が可能になるという。

世界中の Zimbra メール・サーバに危機：フィッシング・キャンペーンが成功を収めている

Phishing campaign steals accounts for Zimbra email servers worlwide

2023/08/17 BleepingComputer — 世界中の Zimbra Collaboration メール・サーバから、認証情報を盗み出そうとするフィッシング・キャンペーンが、遅くとも 2023年4月以降から進行している。ESET のレポートによると、一連のフィッシング・メールは、世界中の組織に対して送信されており、特定の組織や分野に焦点を当てたものではないという。このオペレーションの背後にいる脅威アクターについては、現時点では不明だとされる。

Zimbra のゼロデイ CVE-2022-41352：約 900台のサーバーにハッキング被害

Almost 900 servers hacked using Zimbra zero-day flaw

2022/10/15 BleepingComputer — Zimbra Collaboration Suite (ZCS) の深刻な脆弱性が悪用され、約 900台のサーバがハッキングされていることが判明した。この脆弱性は公開から約 1ヶ月半にわたり、パッチ未適用のゼロデイ脆弱性だった。この脆弱性 CVE-2022-41352 は、攻撃者が ZCS サーバに Web シェルを植え付けると同時に、アンチウイルス・チェックを回避する悪意のアーカイブを添付した、メールの送信を可能にするリモート・コード実行の脆弱性である。

Atlassian Confluence の脆弱性 CVE-2022-26134：脆弱なインスタンス数は減ったが攻撃が活発化

Atlassian Confluence Server Bug Under Active Attack to Distribute Ransomware

2022/06/18 DarkReading — Atlassian Confluence Server における、先日に公開リモートコード実行 (RCE) の深刻な脆弱性が一連の攻撃に頻繁にさらされ、マルウェアやランサムウェアなどが展開されている。Sophos の研究者たちによると、Windows／Linux サーバ上で動作する脆弱な Atlassian Confluence インスタンスに対して、脅威アクターによる自動化されたエクスプロイト攻撃が、これまでの２週間で複数回観測されているという。

Sophos Firewall のゼロデイ脆弱性 CVE-2022-1040：中国の DriftingCloud APT が修正前に悪用

Chinese DriftingCloud APT exploited Sophos Firewall Zero-Day before it was fixed

2022/06/17 SecurityAffairs — Volexity の研究者たちは、Sophos Firewall のゼロデイ脆弱性が中国の脅威アクターにより悪用され、ターゲットとされた企業のクラウド・ホスト Web サーバが侵害されていたことを発見した。この脆弱性 CVE-2022-1040 は、Sophos が修正する数週間前に中国の攻撃者に悪用され、ターゲットのシステムに Web シェルがドロップされていた。2022年3月25日に Sophos は、Sophos Firewall のユーザー・ポータル／Webadmin エリアに存在する、この認証バイパスの脆弱性を修正したと発表している。なお、脆弱性 CVE-2022-1040 (CVSS：9.8) は、Sophos Firewall 18.5 MR3 (18.5.3) 以前のバージョンに影響を及ぼす。

Atlassian Confluence の脆弱性 CVE-2022-26134：パッチ適用までの対応を詳述する

Actively Exploited Atlassian Zero-Day Bug Allows Full System Takeover

2022/06/04 DarkReading — UPDATE — Atlassian Confluence の深刻な脆弱性を悪用する攻撃が多発しており、サーバーが完全に乗っ取られる可能性があると、セキュリティ研究者たちが警告している。この脆弱性 CVE-2022-26134 は、未認証のリモート・コード実行を可能にするコマンド・インジェクションの問題であり、Confluence Server／Confluence Data Center のすべての現行バージョンに影響を及ぼす。Volexity による、２つのゼロデイ攻撃に関するフォレンジック調査では、特別に細工した Web リクエストを Confluence のシステムに送信するだけで、認証情報やユーザーの操作を必要とせずに、攻撃者による悪用が成功する可能性があるとのことだ。なお、Atlassian Cloud サイトに影響はない — UPDATE

Atlassian Confluence のゼロデイ脆弱性 CVE-2022-26134：広範な悪用／攻撃が始まっている

Atlassian fixes Confluence zero-day widely exploited in attacks

2022/06/03 BleepingComputer — Atlassian は、Confluence Server／Data Center のゼロデイ脆弱性に対してセキュリティ・アップデートを公開し、インターネットに露出しているサーバーがバックドアとして悪用される問題に対処した。このゼロデイ脆弱性 CVE-2022-26134 は、Confluence Server／Data Center の全ての現行バージョンに影響し、認証されていない攻撃者に対して、未パッチ・サーバー上でのリモート・コード実行を許す可能性がある。

Atlassian Confluence の脆弱性 CVE-2022-26134：パッチ適用前にハッカーが悪用

Hackers Exploiting Unpatched Critical Atlassian Confluence Zero-Day Vulnerability

2022/06/02 TheHackerNews — Atlassian が発した警告は、Confluence Server／Data Center に影響をおよぼすリモート・コード実行の脆弱性に関して、パッチ適用前のシステムが数多く存在し、それらが活発に悪用されているというものだ。オーストラリアに本拠を置く Atlassian は、サイバーセキュリティ会社 Volexity が、脆弱性 CVE-2022-26134 を特定したことの功績を認めている。

CISA が悪用脆弱性リストを更新：Zimbra の XSS など４件が追加

CISA adds recently disclosed Zimbra bug to its Exploited Vulnerabilities Catalog

2022/02/28 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、先日に公開された電子メール・プラットフォーム Zimbra のゼロデイ脆弱性などを含むかたちで、Known Exploited Vulnerabilities Catalog を拡張し、野放し状態で活発に悪用されている証拠を挙げた。

Zimbra ゼロデイ脆弱性：未知の脅威アクターが電子メールを盗み出している

Zimbra zero-day vulnerability actively exploited to steal emails

2022/02/03 BleepingComputer — Zimbra におけるクロス・サイト・スクリプティング (XSS) の脆弱性が、ヨーロッパのメディアや政府機関を標的とした攻撃で積極的に悪用されている。Zimbra は、Eメール／コラボレーション・プラットフォームであり、インスタント・メッセージング／コンタクト・リスト／ビデオ会議／ファイル共有／クラウド・ストレージなどの機能も備えている。Zimbra によると、1,000以上の政府機関や金融機関を含め、140カ国以上の20万以上の企業が、同社のソフトウェアを使用しているとのことだ。

WellMess マルウェアと関連する C2 サーバークラスタが発見された

Experts Uncover Several C&C Servers Linked to WellMess Malware

2021/07/30 TheHackerNews — サイバー・セキュリティ研究者たちが、APT29 として追跡されているロシアの脅威アクター Cozy Bear が所有する、新たな C2 (command-and-control) インフラストラクチャの正体を明らかにした。Microsoft のサイバーセキュリティ子会社である RiskIQ は、The Hacker News に寄せられたレポートの中で、ロシアの SVR (対外情報機関) が運営する、30台以上の C2 サーバーの発見を発表した。

Google: ロシアン・ハッカーたちが Safari ゼロデイで LinkedIn ユーザーを狙う

Google: Russian SVR hackers targeted LinkedIn users with Safari zero-day

2021.07/14 BleepingComputer — Google Threat Analysis Group (TAG) と Google Project Zero の研究者たちは、Google Chrome / Internet Explorer / Apple Safari で使用されている WebKit の、４つのゼロデイ脆弱性を明らかにした。今年の初めに Google の研究者により発見された４つのゼロデイ・エクスプロイトは、悪用の実例があるものになった。

・ Chrome の CVE-2021-21166 / CVE-2021-30551
・ Internet Explorer の CVE-2021-33742
・ WebKit (Safari) の CVE-2021-1879