Vulnerability – Page 51 – IoT OT Security News

PostgreSQL ドライバ Npgsql の脆弱性 CVE-2024-32655 が FIX：SQLi が生じる恐れ

CVE-2024-32655: SQL Injection Flaw Discovered in Popular PostgreSQL Driver, Npgsql

2024/05/10 SecurityOnline — PostgreSQL データベースに .NET アプリケーションを接続する際に広く利用される、OSS データ・プロバイダーである Npgsql に、深刻な脆弱性 CVE-2024-32655 (CVSS：8.1) が発見された。この脆弱性の悪用に成功した攻撃者は、影響を受けるアプリケーションに対すしての SQL コマンド・インジェクションが可能となり、データ漏えいや不正アクセスなどの悪意のアクションが実行される可能性が生じる。

Oracle VM VirtualBox の脆弱性 CVE-2024-21115：記述詳細が公表 – Pwn2Own

Technical Details Released for CVE-2024-21115 Vulnerability Reported in VM VirtualBox

2024/05/10 SecurityOnline — Oracle における仮想化で、広く使われている Oracle VM VirtualBox で発見された、深刻なセキュリティ脆弱性 CVE-2024-21115 について、技術的な詳細が明らかになった。この脆弱性が悪用されると、VirtualBox 環境の完全な乗っ取りにつながる可能性が生じる。

Next.js Framework の脆弱性 CVE-2024-34350／34351 が FIX：ただちにパッチを！

CVE-2024-34350 & CVE-2024-34351: Two Vulnerabilities Patched in Popular Next.js Framework

2024/05/09 SecurityOnline — フルスタック Web アプリケーションの構築で用いられる、主要フレームワークである Next.js は、最新の React 機能と Rust ベースの JavaScript ツールの統合により、世界的な大企業に広く採用されている。しかし、先日の発見により、ユーザーデータやサーバの運用を危険にさらす可能性のある、深刻なセキュリティ脆弱性が露呈している。

Netflix Genie の脆弱性 CVE-2024-4701 (CVSS 9.9) が FIX：BigData 処理でパス・トラバーサル

CVE-2024-4701 (CVSS 9.9): Major RCE Risk in Netflix’s Genie Platform

2024/05/09 SecurityOnline — Netflix の BigData 処理用 OSS ジョブ・オーケストレーション・エンジン Genie に、深刻なリモートコード実行 (RCE) の脆弱性が発見された。この脆弱性は CVE-2024-4701 として追跡され、その CVSS スコアは 9.9 である。

Spin Framework の脆弱性 CVE-2024-32980 が FIX：サンドボックス・エスケープの恐れ

Critical Spin Framework Flaw: Sandbox Escape Vulnerability Exposed (CVE-2024-32980)

2024/05/09 SecurityOnline — 先日に Spin Project が発表したのは、WebAssembly を使用して安全で高速なクラウド・マイクロサービスを構築／実行するために設計された、オープンソースの Spin Framework におけるキュリティ勧告である。それは、深刻な脆弱性 CVE-2024-32980 (CVSS：9.1) であり、きわめて高いリスクが懸念されるものだ。この脆弱性は、特別にコンフィグレーションされた Spin アプリケーションにおいて、ネットワーク・サンドボックス・エスケープの可能性を生じるものだ。

Qt Framework の脆弱性 CVE-2024-33861 が FIX：影響は限定的だが油断は禁物

CVE-2024-33861: Patch Released for Qt Vulnerability Affecting Applications

2024/05/09 SecurityOnline — Qt Group がリリースしたのは、QStringConverter コンポーネントで発見された脆弱性 CVE-2024-33861 に対応する、セキュリティ勧告とパッチである。Qt Framework 自体には、リモート攻撃に対する直接の脆弱性は存在しないが、この脆弱性が、QStringDecoder を用いるアプリケーションで悪用される可能性が生じる。

Citrix XenCenter に PuTTY の脆弱性 CVE-2024-31497 が影響：手動での緩和策とは？

Citrix warns admins to manually mitigate PuTTY SSH client bug

2024/05/09 BleepingComputer — 今週に Citrix が顧客に通知したのは、XenCenter 管理者のプライベート SSH キーを、攻撃者が盗み出す可能性がある、PuTTY SSH クライアントの脆弱性を、手動で緩和するためのガイダンスである。XenCenter は、Citrix Hypervisor における仮想マシンのデプロイや監視などを、Windows デスクトップから管理するための環境である。

Google Chrome ゼロデイ脆弱性 CVE-2024-4671 が FIX：悪用が確認されている

Google Rushes to Patch Chrome Zero-Day Exploit: CVE-2024-4671

2024/05/09 SecurityOnline — Google が発表したのは、すでに Chrome で悪用が確認されている、深刻な脆弱性に対処する緊急のセキュリティ・アップデートである。その脆弱性 CVE-2024-4671 、Chrome ブラウザの Visuals コンポーネント内に存在する、use after free のバグに起因する。

Go 環境の脆弱性 CVE-2024-24787／24788 が FIX：任意のコード実行にいたる可能性

CVE-2024-24787 (CVSS 9.8): Go Vulnerability Could Lead to Code Execution

2024/05/08 SecurityOnline — シンプルで効率的なソフトウェア開発を実現する Go プログラミング言語で、最近になって発見された２つの深刻な脆弱性に対処する、セキュリティ・アドバイザリが発表された。Go 環境で確認されたのは、DNS 操作における任意のコード実行 CVE-2024-24787 と、無限ループ CVE-2024-24788 の脆弱性である。

Deno の脆弱性 CVE-2024-34346 が FIX：不適切なパーミッションによる権限昇格

CVE-2024-34346: Deno Vulnerability Allows Privilege Elevation

2024/05/08 SecurityOnline — セキュリティに特化したアーキテクチャで知られる、人気の JavaScript／TypeScript／WebAssembly ランタイムである Deno を使用している、開発者およびシステム管理者は、先日のアップデートで対処された、深刻な脆弱性に注意する必要がある。この脆弱性 CVE-2024-34346 (CVSS：8.5) は、特権ファイルの誤操作による権限昇格を可能にするため、重大なリスクをもたらす。

OSS セキュリティを加速：レギュレーション整備／Security-by-Design／AI の活用 – RSA Con

RSAC: Three Strategies to Boost Open-Source Security

2024/05/08 InfoSecurity — OSS におけるセキュリティ強化は、この種のコミュニティが非公式かつユビキタスであるため、政府にとって重要な課題となっている。ソフトウェア全般にわたって Security-by-Design を推進し、脆弱性の悪用やサプライチェーン・インシデントを減らすという米国政府の取り組みにおいて、OSS は極めて重要な要素になっている。RSA Conference 2024 が、政府関係者と OSS の関係者たちが、このユニークなエコシステムで Security-by-Design の原則を推進する方法について、議論する機会を提供した。

F5 BIG-IP の脆弱性 CVE-2024-21793：アップデートと PoC が提供された

New BIG-IP Next Central Manager bugs allow device takeover

2024/05/08 BleepingComputer — F5 の BIG-IP Next Central Manager に存在する、２件の脆弱性が修正された。この脆弱性の悪用に成功した攻撃者は、管理者権限を取得し、管理対象資産に不正な隠しアカウントを作成できるという。管理者は Next Central Manager を使用することによって、統合管理ユーザー・インターフェイスを介して、オンプレミス／クラウドの BIG-IP Next インスタンス／サービスを制御できるようになる。

CISA の Vulnrichment：NVD が残したギャップを埋める脆弱性メタデータ- RSA Con

RSAC: CISA Launches Vulnrichment Program to Address NVD Challenges

2024/05/08 InfoSecurity — 5月8日に米 CISA (Cybersecurity and Infrastructure Security Agency) が発表したのは、”Vulnrichment” と呼ばれる新たなソフトウェア脆弱性充実化プログラムの開始である。この動きは、NIST (National Institute of Standards and Technology) が運営する、世界で最も包括的な脆弱性データベースである NVD (National Vulnerability Database) が、脆弱性情報の充実という問題に直面してから、約３ヶ月後の出来事である。NIST 自身のデータによると、今年に入ってから NIST に寄せられた 14,228件の CVE のうち、分析できたのは 4523件にしか過ぎないという。

Trend Micro Maximum Security の脆弱性 CVE-2024-32849 が FIX：特権昇格の可能性

CVE-2024-32849: Trend Micro Maximum Security Privilege Escalation Vulnerability

2024/05/08 SecurityOnline — サイバー・セキュリティ企業 Trend Micro は、Windows ユーザー向けの Maximum Security に対してセキュリティ・アップデートを提供し、深刻なローカル権限昇格の脆弱性 CVE-2024-32849 に対処した。この脆弱性の CVSS スコア 7.8 であり、その悪用に成功した攻撃者に対して、特権昇格やシステム・ファイルの操作を許す可能性があるという。

TunnelVision という新たな VPN トンネル侵害：DHCP サーバのオプションを悪用する手法とは？

New ‘TunnelVision’ Technique Leaks Traffic From Any VPN System

2024/05/08 SecurityWeek — DHCP のビルトイン機能を悪用して VPN トンネルを強制的に外すという、新たな VPN バイパス・テクニックを用いる脅威アクターは、被害者のトラフィックを盗み見ることが可能になると、ペンテスト会社 Leviathan Security Group が警告している。この TunnelVision と呼ばれるテクニックは、送信するネットワーク・トラフィックをコンピュータが決定するために用いる、一連のルールである Route Table 操作に依存するものだ。それにより攻撃者は、DHCP サーバを侵害することなく、この手法を使用できるという。

WordPress Litespeed Cache Plugin の脆弱性 CVE-2023-40000：積極的な悪用を観測

Litespeed Cache WordPress Plugin Actively Exploited In The Wild

2024/05/08 SecurityAffairs — WordPress 用 LiteSpeed Cache プラグインの深刻な脆弱性を、脅威アクターたちが積極的に悪用していると、WPScan の研究者たちが報告している。LiteSpeed Cache for WordPress (LSCWP) は、オールインワンのサイト高速化プラグインであり、独自のサーバ・レベル・キャッシュと最適化のための機能を備えている。そして、このプラグインは、500万以上のアクティブなインストール数を誇っている。

Veeam VSPC の深刻な脆弱性 CVE-2024-29212 が FIX：ただちにパッチを！

Veeam fixes RCE flaw in backup management platform (CVE-2024-29212)

2024/05/08 HelpNetSecurity — Veeam が顧客に対して強く促し始めたのは、Veeam Service Provider Console (VSPC) に存在する深刻度の高い脆弱性 CVE-2024-29212 へのパッチの適用である。Veeam Service Provider Console は、ユーザー企業だけではなく MSP (Managed Services Providers) などが、データ・バックアップ・オペレーションを管理／監視するために使用するクラウド・プラットフォームである。

Mirai ボットネットが Ivanti を悪用：脆弱性 CVE-2023-46805／21887 の連鎖に要注意

Mirai Botnet Exploits Ivanti Vulnerabilities (CVE-2023-46805 & CVE-2024-21887)

2024/05/07 SecurityOnline — Ivanti Connect Secure (ICS) および Ivanti Policy Secure Gateway を標的とする攻撃の、きわめて危険なエスカレーションを、Juniper Threat Labs のセキュリティ研究者たちが発見した。この２つの脆弱性 CVE-2023-46805 (認証バイパス)／CVE-2024-21887 (リモートコード実行) を武器化する攻撃者たちは、悪名高い Mirai ボットネット・マルウェアを拡散している。この強力な組み合わせは、広範なネットワークにおける侵害と混乱への扉を開く。

PDF.js／React-PDF の脆弱性 CVE-2024-4367／34342 が FIX：ただちにアップデートを！

CVE-2024-4367 & CVE-2024-34342: JavaScript Flaws Threaten Millions of PDF.js and React-PDF Users

2024/05/07 SecurityOnline — HTML5 で開発され Mozilla がサポートする PDF ビューア PDF.js と、React アプリケーション内で PDF を表示する npm パッケージ React-PDF に、深刻なセキュリティ上の欠陥が確認された。これらの人気ソフトウェアの脆弱性は、任意の JavaScript コードの実行を可能にするものであり、数百万人のユーザーを危険にさらしている。

Security by Design の強化を目指す米国政府：メモリセーフな開発言語とは？ – RSA Con

RSAC: Decoding US Government Plans to Shift the Software Security Burden

2024/05/07 InfoSecurity — RSA Conference 2024 において、Security by Design の強化を目指す、米国政府の計画に対する分析が提供された。このイベントにおいて、米国 CISA の Senior Technical Advisor である Bob Lord は、ソフトウェア・セキュリティに関して受け入れられている、常識を克服することが急務であると述べている。

MITRE への侵害：中国由来の APT UNC5221 の侵害の手法とマルウェアを分析する

MITRE Attributes The Recent Attack To China-Linked UNC5221

2024/05/07 SecurityAffairs — MITRE が共有したのは、先日の攻撃に関連する攻撃者／マルウェア／タイムラインなどの、ハッキングの詳細情報である。2024年4月に MITRE は、同社の研究／試作ネットワークの１つに、セキュリティ侵害があったことを公表した。同組織のセキュリティ・チームは直ちに調査を開始し、脅威行アクターをログアウトさせ、サードパーティのフォレンジック・インシデント対応チームと社内の専門家を協力させ、独自の分析を実施した。

Log4J の脆弱性 CVE-2021-44228：依然として悪用トラフィックは最大級 – Cato

#RSAC: Log4J Still Among Top Exploited Vulnerabilities, Cato Finds

2024/05/07 InfoSecurity — Log4J の脆弱性 CVE-2021-44228 だが、発見から３年が経過した現在においても、最も悪用されるエクスプロイトの１つであることが、クラウド・セキュリティ・プロバイダーである Cato Networks の観測から判明している。Cato Cyber Threat Research Labs (CTRL) は、RSA Conference 2024 の会期中の 5月6日に、SASE Threat Report for Q1 2024 レポートを発表した。

Oracle WebLogic Server の脆弱性 CVE-2024-21006：PoC エクスプロイトが提供される

PoC Releases for CVE-2024-21006: Hackers Can Take Over Oracle WebLogic Server

2024/05/06 SecurityOnline — Oracle WebLogic Server の深刻な脆弱性 CVE-2024-21006 (CVSS：7.5) に対して、技術的な詳細と PoC コードが公開され、リモートの攻撃者による侵害の可能性が高まっている。この脆弱性の悪用に成功した攻撃者は、機密データへの不正アクセスや、Oracle WebLogic Server を完全に制御する可能性を手にする。

WordPress プラグイン Yoast SEO の深刻な脆弱性 CVE-2024-4041 が FIX：ただちにアップデートを！

CVE-2024-4041: Security Flaw Found in Popular Yoast SEO Plugin – Update Immediately!

2024/05/06 SecurityOnline — WordPress における検索エンジン最適化プラグインとして人気の Yoast SEO に、セキュリティ脆弱性が発見され、世界中で 500万以上と言われるアクティブなインストールに影響を及ぼしている。このクロス・サイト・スクリプティング (XSS) の脆弱性 CVE-2024-4041 (CVSS：6.1) により、Web サイトの完全性と管理者の管理に、深刻な脅威が生じる。

Trend Micro Antivirus One for Mac の脆弱性 CVE-2024-34456 が FIX：ただちにアップデートを！

CVE-2024-34456: Trend Micro Patches Code Injection Vulnerability in Antivirus One

2024/05/06 SecurityOnline — サイバー・セキュリティ・プロバイダーである Trend Micro がリリースしたのは、Antivirus One ソフトウェアに存在し、悪意のコード注入にいたる可能性のある、深刻な脆弱性に対する重要なアップデートである。この脆弱性 CVE-2024-34456 は、特に Macintosh プラットフォームに影響を及ぼすものだ。

Tinyproxy の脆弱性 CVE-2023-49606 (CVSS 9.8)：パッチ適用までの緩和策は？

CVE-2023-49606 (CVSS 9.8): Tinyproxy Zero-Day Threatens Thousands

2024/05/05 SecurityOnline — 個人のホビイスト／中小企業／パブリック Wi-Fi プロバイダーなどが、そのシンプルさと有益性から好んで使用する、軽量 HTTP/S プロキシである Tinyproxy に深刻な欠陥が発見された。このソフトウェアの最新バージョンのユーザーに、深刻な脅威をもたらすこの脆弱性 CVE-2023-49606 (CVSS：9.8) は、Critical に分類されている。

Linksys Router の脆弱性 CVE-2024-33788／33789：パッチ未適用で PoC が登場

Linksys Router Flaws Exposed, Poc Published, Patch Unavailable!

2024/05/05 SecurityOnline — Linksys E5600 ルーターに存在する２つの深刻なセキュリティ脆弱性が、CoreSecurity OT/ICS Research Team のサイバー・セキュリティ研究者たちにより公表された。それらの脆弱性は、ファームウェア・バージョン 1.1.0.26 で動作するルーターに影響を及ぼすものであり、侵害の可能性が懸念されている。

PostgreSQL pgAdmin の脆弱性 CVE-2024-4215／4216 が FIX：ただちにパッチを！

CVE-2024-4215 & CVE-2024-4216: Security Flaws Patched in Popular PostgreSQL Tool pgAdmin

2024/05/05 SecurityOnline — 世界で最も先進的な OSS データベースである PostgreSQL における、管理／開発プラットフォームとして有名な pgAdmin で発生した、２つの深刻なセキュリティ脆弱性が FIX した。これらの脆弱性は、バージョン 8.5 以下に存在し、アプリケーション内での不正なアクションやスクリプトの実行を許す可能性があり、ユーザーに深刻なリスクをもたらすものとされる。なお、この脆弱性 CVE-2024-4215／CVE-2024-4216 の CVSS 値は、どちらも 7.4 である。

Outlook の脆弱性 CVE-2023-23397 と APT28：チェコとドイツに対するスパイ行為が発覚

Microsoft Outlook Flaw Exploited by Russia’s APT28 to Hack Czech, German Entities

2024/05/04 TheHackerNews — 5月3日 (金) にチェコとドイツの両国は、ロシアに支援される脅威アクター APT28 により実施された、長期的なサイバースパイ・キャンペーンの標的であったことを明らかにし、EU／NATO／英国／米国から非難を浴びた。チェコ共和国の外務省 (MFA) は声明の中で、2023年初頭に明るみに出た Microsoft Outlook の脆弱性を悪用する攻撃により、同国内の無名の団体が被害を受けたと述べている。MFA は、「政治団体／国家機関／重要インフラを標的とするサイバー攻撃は、国家安全保障に対する脅威であるだけではなく、我々の自由な社会が基盤としている民主主義のプロセスを混乱させるものだ」と述べている。

WordPress の LiteSpeed Cache Plugin の脆弱性 CVE-2023-40000 が FIX：深刻な蓄積型 XSS

WordPress Sites Under Widespread Attack – LiteSpeed Cache Plugin Exploit Puts Millions at Risk

2024/05/03 SecurityOnline — 現時点で世界中の 500万以上の Web サイトにインストールされている、WordPress のLiteSpeed Cache Plugin の脆弱性を、ハッカーたちが積極的に悪用している。この、脆弱性 CVE-2023-40000 を悪用する攻撃者は、管理者アカウントの作成を達成し、無数の WordPress サイトに深刻なセキュリティリスクをもたらしている。

WordPress Core の脆弱性 CVE-2024-4439 が FIX：とても危険な蓄積型 XSS

CVE-2024-4439: Unauthenticated Stored Cross-Site Scripting Vulnerability in WordPress Core

2024/05/03 SecurityOnline — 世界で最も人気のある CMS である WordPress に、深刻なセキュリティ脆弱性が発見され、影響を受ける Web サイトの制御を、攻撃者により奪われる可能性があることが確認された。この脆弱性 CVE-2024-4439 (CVSS：7.2) は、WordPress Core に存在する蓄積型クロス・サイト・スクリプティング (XSS) の欠陥に起因する。

Apache ActiveMQ の脆弱性 CVE-2024-32114 が FIX：コンフィグ修正の緩和策も提供

CVE-2024-32114: High-Severity Vulnerability Exposed in Apache ActiveMQ

2024/05/02 SecurityOnline — Apache ActiveMQ は、最も人気のある Open-Source／Multi-Protocol／Java-based のメッセージ・ブローカーとして広く知られており、JavaScript／C／C++／Python／.Net などのプログラミング言語と、多様なクライアントソフトウェアとの間の通信を容易にする。さらに、AMQP のような標準プロトコルをサポートすることで、マルチ・プラットフォーム・アプリケーションを統合する際の、幅広い互換性と柔軟性を確保している。しかしながら、バージョン 6.x で発見された、深刻度の高いセキュリティ脆弱性 CVE-2024-32114 により、同プラットフォームのユーザーに重大なリスクが生じている。

OpenVPN のゼロデイ脆弱性：Black Hat 2024 で悪用チェーンなどが公開予定

Microsoft Researcher to Unveil 4 OpenVPN Zero-Day Vulnerabilities at Black Hat USA 2024

2024/05/02 SecurityOnline — 2024年8月上旬に開催される Black Hat USA 2024 Conference において、OpenVPN に存在する一連の深刻なゼロデイ脆弱性に関するプレゼンテーションが、Microsoft の Senior Security Researcher である Vladimir Tokarev から行われる予定だ。OpenVPN は、全世界で何百万ものエンドポイントに使用されている、世界有数の VPN ソリューションである。コードネーム “OVPNX” と命名された、これらの脆弱性は、Windows／iOS／macOS／Android／BSD などの広範なプラットフォームのセキュリティ・リスクを露呈し、世界中の何千もの企業に影響を与える可能性がある。

aiohttp の DoS 脆弱性 CVE-2024-30251 が FIX：ただちにアップデートを！

CVE-2024-30251: Denial of Service Vulnerability in aiohttp Threatens Web Services

2024/05/02 SecurityOnline — Python アプリケーションにおいて、非同期 HTTP リクエスト処理を可能にする、人気の OSS ライブラリ aiohttp で、深刻な DoS の脆弱性 CVE-2024-30251 (CVSS：7.5) が発見された。この脆弱性の悪用に成功した攻撃者は、単一の不正な POST リクエストを送信することで、Web サービスを麻痺させることを可能にする。この脆弱性は、高性能な Web アプリケーション開発のために aiohttp に依存している、テクノロジー企業／Web 開発者／バックエンド・エンジニア／データ・サイエンティストたちにとって、重大な懸念事項となるだろう。

Jitsi Meet の脆弱性 CVE-2024-33530 が FIX：攻撃者に通話が傍受されるおそれ

CVE-2024-33530: Jitsi Meet Flaw Leaks Meeting Passwords, Exposing Calls to Intruders

2024/05/02 SecurityOnline — 人気の OSS ビデオ会議プラットフォーム Jitsi Meet に、深刻な脆弱性が存在することが、Insinuator のセキュリティ研究者である Florian Port により発見された。この脆弱性 CVE-2024-33530 の悪用に成功した攻撃者は、権限なしで会議のパスワードを取得し、セキュリティを回避してプライベートな会議への参加が可能になる。

CISA／FBI の共同警告：パス・トラバーサル脆弱性の出荷前の修正をベンダーに要請

CISA urges software devs to weed out path traversal vulnerabilities

2024/05/02 BleepingComputer — 5月2日 (木) にCISA と FBI が公開した共同勧告は、ソフトウェア会社に対して、自社製品をリリース前に見直し、パス・トラバーサルの脆弱性を修正するよう求めるものだ。ディレクトリ・トラバーサルとも呼ばれる、パス・トラバーサル脆弱性の悪用に成功した攻撃者は、重要なファイルの作成／上書きを行い、認証などのセキュリティ・メカニズムをバイパスし、コード実行を引き起こす可能性を持つ。さらに、脅威アクターに対して、機密データへのアクセスを許してしまう可能性もある。もし、認証情報が盗まれた場合には、その後の、標的システムへの侵入において、既存アカウントへのブルートフォース (総当り) 攻撃に悪用されるケースもある。

Cisco IP Phone の脆弱性 CVE-2024-20376 などが FIX：ただちにアップデートを！

Cisco IP Phones Exposed: Vulnerabilities Allow Hackers to Disrupt, Spy, and Even Make Calls

2024/05/02 SecurityOnline — Cisco が発表したのは、いくつかの IP Phone モデルのファームウェアに存在する、複数の脆弱性に関する一連のセキュリティ・アドバイザリである。これらの脆弱性の悪用に成功した、認証されていないリモートの攻撃者は、サービス拒否 (DoS：denial of service) から不正アクセスや機密情報の漏洩に至るまでの、悪意のアクションを実行する可能性を持つ。広く使用されている Cisco IP 電話に影響を及ぼす、これらの脆弱性には、ビジネス・コミュニケーションのセキュリティに重大な脅威をもたらす可能性がある。

Apollo Router の深刻な脆弱性 CVE-2024-32971 が FIX：データの完全性が脅かされる可能性

CVE-2024-32971: Critical Vulnerability in Apollo Router Compromises Data Integrity

2024/05/02 SecurityOnline — Apollo Router のバージョン 1.44.0／1.45.0 に、深刻な脆弱性 CVE-2024-32971 (CVSS：9.1) が発見された。この脆弱性により、Apollo Router を通じて実行される操作の完全性に深刻な懸念が生じるため、直ちにシステムをアップデートするよう求める緊急アドバイザリが、ユーザーに対して通知された。

XML-Crypto の脆弱性 CVE-2024-32962 が FIX：CVSS 値は 10.0

CVE-2024-32962 (CVSS 10): Critical Vulnerability in XML-Crypto Affects Millions

2024/05/01 SecurityOnline — XML ドキュメントの暗号セキュリティにおいて、広く使用されている不可欠なツール XML-Crypto npm パッケージに、深刻なセキュリティ上の欠陥が発見された。この脆弱性には CVE-2024-32962 が採番され、その深刻度は CVSS 値 10.0 と評価されている。この脆弱性は、電子署名の真正性を適切に検証しないという、同パッケージのデフォルト設定における基本機能の欠陥に起因しており、悪用に成功した攻撃者に対して、なりすまし署名を許してしまう。

HPE ArubaOS の 10件の脆弱性が FIX：RCE ／DoS 攻撃が生じる恐れ

HPE Aruba Networking fixes four critical RCE flaws in ArubaOS

2024/05/01 BleepingComputer — 4月30日に HPE Aruba Networking が公開したセキュリティ・アドバイザリは、同社独自のネットワーク OS である ArubaOS の、複数のバージョンに影響を及ぼす脆弱性に関するものだ。このアドバイザリには、10件の脆弱性が記載されており、そのうちの４件は、リモート・コード実行につながる可能性のある、深刻度 (CVSS v3.1：9.8) の認証を必要とせずに悪用が可能なバッファ・オーバーフローの脆弱性である。

CISA KEV 警告 24/05/01：GitLab の脆弱性 CVE-2023-7028 を KEV に追加

CISA says GitLab account takeover bug is actively exploited in attacks

2024/05/01 BleepingComputer — 5月1日に CISA は、 GitLab の脆弱性 CVE-2023-7028 (CVSS：10.0) を KEV (Known Exploited Vulnerabilities) カタログに追加した。この脆弱性を積極的に悪用する攻撃者たちにより、パスワード・リセットとアカウントの乗っ取りが生じると、同組織は警告している。GitLab は、専有コードや API キーを含む機密データをホストしているため、アカウントが乗っ取りが生じると、深刻な事態に陥る可能性がある。この脆弱性の悪用に成功した攻撃者は、CI/CD (Continuous Integration/Continuous Deployment) 環境に悪意のコードを挿入し、リポジトリを侵害するサプライチェーン攻撃を実行する可能性がある。

クラウドに CVE は必要？不要？：変容する脆弱性の管理について考える – Veracode

Why cloud vulnerabilities need CVEs

2024/05/01 HelpNetSecurity — いまの世界において、脆弱性の管理の目的を考えるとき、新しいテクノロジーへの大きな移行を認識する必要がある。たとえばクラウドなどの、各種のパラダイムや環境の中で、リスクを管理する方式を認識することが不可欠となる。ネットワーク・セキュリティの継ぎ接ぎは、同じようにクラウド環境に適用できないだろうし、脆弱性に CVE 識別子を割り当てるクラウド・プロバイダーもほとんどいないという状況である。

侵害のイニシャル・アクセスとしての脆弱性悪用：2023年は 180% 増 – Verizon DBIR

DBIR: Vulnerability Exploits Triple as Initial Access Point for Data Breaches

2024/05/01 InfoSecurity — 侵害のイニシャル・アクセス・ステップとしての脆弱性の悪用は、2022年から 2023年の間に 180% も増加した。5月1日に Verizon が発表した 2024 Data Breach Investigations Report (DBIR) によると、この方式でネットワークに侵入する脅威アクターが 14％に達し、そこから不正アクセスや侵害につながっていった。１位のクレデンシャル窃取と、２位のフィッシングに続いて、脆弱性の悪用は３位となっている。この増加は、MOVEit の脆弱性の悪用や、2024年を通してランサムウェア・ギャングが用いた、いくつかのゼロデイ・エクスプロイトが要因になっていると、同レポートは指摘している。

SonicWall GMS の脆弱性 CVE-2024-29010／29010 が FIX：データ侵害の可能性

SonicWall Patches GMS Flaws to Block Data Breaches and Bypass Attacks

2024/04/30 SecurityOnline — SonicWall がリリースしたのは、Global Management System (GMS) ソフトウェアに存在する、脆弱性 CVE-2024-29010／CVE-2024-29011 に対するセキュリティ・パッチである。それらの脆弱性の悪用に成功した攻撃者は、機密データへの不正アクセスや、認証メカニズムのバイパスなどの可能性を持つことになる。

FileMaker Server の脆弱性 CVE-2024-27790 が FIX：機密データへの不正アクセス

CVE-2024-27790: FileMaker Server Vulnerability Patched, Data Access Risk Addressed

2024/04/30 SecurityOnline — 4月30日 (火) に Claris International は、FileMaker Server バージョン 20.3.2 をリリースして深刻な脆弱性に対応した。この脆弱性 CVE-2024-27790 の悪用に成功した攻撃者は、ホストされたデータベース内の機密データへの不正アクセスを可能にするという。

CISA KEV 警告 24/04/30：Microsoft SmartScreen の脆弱性 CVE-2024-29988：パッチ適用の確認が重要

CISA Catalogs Microsoft’s CVE-2024-29988 as Actively Exploited Vulnerability

2024/04/30 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、先日にパッチが適用された Microsoft 脆弱性 CVE-2024-29988 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。つまり、この脆弱性が、すでに脅威アクターたちにより、積極的に悪用されていることが示唆される。

BentoML の脆弱性 CVE-2024-2912 と PoC エクスプロイト：ただちにパッチを！

CVE-2024-2912: Critical ‘BentoML’ Flaw Opens AI Systems to Remote Takeover

2024/04/30 SecurityOnline — AI アプリケーションのビルド／デプロイに用いられる、人気の Python ベース・フレームワークである BentoML に、深刻なセキュリティ上の欠陥があることが明らかになった。この脆弱性 CVE-2024-2912 は、ソフトウェアがデータを処理する方法に起因し、BentoML を実行しているサーバ上で、攻撃者に任意のコード実行を許すものになる。

Palo Alto の脆弱性 CVE-2024-3400：リセット／アップグレード後の永続性に関する PoC

Palo Alto firewalls: CVE-2024-3400 exploitation and PoCs for persistence after resets/upgrades

2024/04/30 HelpNetSecurity — 4月30日に Palo Alto Networks は、同社の PAN-OS の脆弱性 CVE-2024-3400 の PoC (proof-of-concept) に関するアドバイザリを更新した。この PoC は、脆弱性の悪用に成功した攻撃者に、ファイアウォール上での永続化の獲得を可能にするものであり、同社は「現時点においては、これらの永続化テクニックを使用して、脆弱性を積極的に悪用しようとする悪意の試みは、確認されてない。これらのテクニックは、インタラクティブな root レベルのコマンド実行が可能な、すでに侵害されたデバイス上で機能する」と詳述している。

Docker Hub ユーザーを標的にした３つのキャンペーン：2021年から展開されていたことが判明

Millions of Docker repos found pushing malware, phishing sites

2024/04/30 BleepingComputer — Docker Hub ユーザーを標的として、2021年初めから展開されている３つの大規模なキャンペーンにより、マルウェアやフィッシング・サイトをプッシュする、数百万のリポジトリが設置されていたことが判明した。Docker Hub がホストする 1,500 万件のリポジトリのうちの約 20%に、スパムからマルウェアやフィッシング・サイトなどにいたる、悪意のコンテンツが含まれていたことが、JFrog のセキュリティ研究者たちにより発見された。

MailCleaner の CVE-2024-3191 などの脆弱性が FIX：RCE 攻撃などにつながる恐れ

MailCleaner Vulnerabilities Allow Remote Code Execution

2024/04/29 SecurityOnline — MailCleaner で発見された複数の深刻な脆弱性に関する情報が、2024年4月29日に Modzero のサイバー・セキュリティ研究チームが公開した、セキュリティ・レポートにより明らかにされている。MailCleaner とは、スパム／ウイルスなどの悪意のコンテンツから保護するために設計された、広範に使用されているＥメール・フィルタリング・アプライアンスのことだ。新たに発見された脆弱性は、認証されていない攻撃者が任意のコマンドを実行することで、MailCleaner により処理されるＥメールの、機密性／完全性が侵害される可能性を生じるものだ。