Vulnerability – Page 52 – IoT OT Security News

Cisco NX-OS の脆弱性 CVE-2024-20397 が FIX：イメージ署名検証のバイパス

A bootloader vulnerability in Cisco NX-OS affects 100+ switches, allowing attackers to bypass image signature checks.

2024/12/06 SecurityAffairs — Cisco NX-OS ソフトウェアの、ブートローダーに存在する脆弱性 CVE-2024-20397 (CVSS：5.2) に対するセキュリティ・パッチがリリースされた。この脆弱性の悪用に成功した攻撃者により、イメージ署名検証がバイパスされる可能性が生じている。

Django の脆弱性 CVE-2024-53907／53908 が FIX：DoS／SQLi の可能性

Django Releases Patches for CVE-2024-53907 and CVE-2024-53908 to Mitigate DoS and SQLi Threats

2024/12/05 SecurityOnline — Django に存在するセキュリティ脆弱性 CVE-2024-53907／CVE-2024-53908 が、バージョン 5.1.4／5.0.10／4.2.17 のリリースにより修正された。ユーザーに対して推奨されるのは、最新のセキュリティ・アップデートを、可能な限り早急にインストールすることだ。

WordPress Sweet Date Theme の脆弱性 CVE-2024-43222 が FIX : ただちにパッチを！

CVE-2024-43222 (CVSS 9.8): Critical Flaw in Sweet Date WordPress Theme Exposes Thousands of Sites to Potential Takeovers

2024/12/05 SecurityOnline — WordPress の Sweet Date テーマで、深刻な脆弱性 CVE-2024-43222 が発見された。このテーマは、人気のプレミアム・テーマであり、販売数は 10,000 近くに達するという。この脆弱性の CVSS スコアは 9.8 であり、重大度が極めて高いため、悪用により深刻な影響が生じる恐れがある。

米 FCC の提案：Salt Typhoon 攻撃に対応する盗聴セキュリティの基準

FCC proposes updates to wiretap security standards following Chinese telecom hacks

2024/12/05 NextGov — 12月5日 (木) に FCC (Federal Communications Commission) のトップは、そのチーム・メンバーたちに草案を共有した。FCC の報道発表によると、この草案が採用された場合には、法執行機関からの盗聴要求に対応するシステムへの不正アクセスは、通信会社により直ちに保護されるよう義務付けられることになる。また、FCC の Jessica Rosenworcel 委員長も、別の規則制定案を同僚たちに提案している。この案が承認されると、同委員会から通信会社に対して、セキュリティ態勢に関する年次証明書の提出が義務付けられる。

SonicWall SMA 100 の複数の脆弱性が FIX：RCE やデータ侵害にいたる恐れ

Multiple Vulnerabilities in SonicWall SMA 100 Could Lead to Remote Code Execution

2024/12/05 SecurityOnline — SonicWall が発行したのは、SMA 100 シリーズ SSL-VPN 製品に影響を及ぼす、複数の脆弱性に対するセキュリティ・アドバイザリである。これらの脆弱性は多岐にわたり、Apache HTTP Server から継承されるパス・トラバーサルの問題から、深刻なバッファ・オーバーフローや認証バイパスまでにいたる。その結果として、リモート・コード実行やデータ侵害などの事態が、デバイスで発生し得るという。

AsyncHttpClient の脆弱性 CVE-2024-53990 (CVSS 9.2) が FIX：誤った Cookie 処理の発生

CVE-2024-53990 (CVSS 9.2): AsyncHttpClient Vulnerability Puts Java Applications at Risk

2024/12/05 SecurityOnline — Java ライブラリである AsyncHttpClient (AHC) に、深刻な脆弱性 CVE-2024-53990 (CVSS：9.2) が発見された。この、非同期 HTTP リクエスト送信で広く利用されるライブラリの脆弱性により、攻撃者はユーザー・セッションの悪用を達成し、機密情報への不正アクセスの可能性を手にする。

Veeam VBR／Agent の脆弱性 CVE-2024-40717 などが FIX：権限昇格などが生じる恐れ

Veeam Backup & Replication Vulnerabilities Exposed: High-Severity Flaws Put Data at Risk

2024/12/04 SecurityOnline — Veeam がリリースしたセキュリティ・アップデートは、Veeam Backup & Replication および Agent for Microsoft Windows に存在する、複数の脆弱性に対処するためのものだ。このバックアップ／リカバリ／データ管理ソリューションにおける、一連の脆弱性を悪用する認証済みの攻撃者に対して、悪意のコード実行／機密情報への不正アクセス／接続システムの整合性侵害などが、許されてしまう可能性があるという。

SailPoint IdentityIQ の脆弱性 CVE-2024-10905 が FIX：機密情報の漏洩の恐れ

CVE-2024-10905 (CVSS 10): Critical Vulnerability in SailPoint IdentityIQ Exposes Sensitive Data

2024/12/04 SecurityOnline — SailPoint IdentityIQ に、深刻な脆弱性 CVE-2024-10905 (CVSS：10.0) が発見された。この人気の ID／アクセス管理 (IAM：identity and access management) プラットフォームに存在する脆弱性の悪用は容易であり、影響を受ける組織において、甚大な影響が生じる可能性が示唆される。

CISA KEV 警告 24/12/04：CyberPanel の脆弱性 CVE-2024-51378 を登録

CVE-2024-51378 (CVSS 10): Critical CyberPanel Flaw Under Active Attack, CISA Warns

2024/12/04 SecurityOnline — CISA は、CyberPanel の脆弱性 CVE-2024-51378 を、KEV (Known Exploited Vulnerabilities) カタログに追加した。この OSS の Web ホスティング・コントロールパネル CyberPanel に存在する、脆弱性 CVE-2024-51378 を積極的に悪用する攻撃者たちが、PSAUX／C3RB3R／Babuk などのランサムウェア亜種を展開していることが確認されている。

米国の通信キャリア８社が侵害された：中国の Salt Typhoon について FBI がコメント

At least 8 US carriers hit in Chinese telecom hacks, senior official says

2024/12/04 NextGov — 12月4日 (水) の政府高官のコメントは、通信事業者を標的とする中国のサイバー・スパイ活動が広まり、少なくとも米国の通信事業者８社が攻撃を受け、数十カ国でビジネスを展開する他の通信会社も侵害されたというものだ。中国政府が支援する Salt Typhoon が実行したハッキングは、この１～２年間にわたって続いていた可能性があり、この侵害においては、政府や政治とつながりのある個人も標的にされていたという。ホワイトハウスの報道ガイドラインに従い、匿名を条件に記者団に語った同高官は、このように付け加えた。

Veeam SPC の脆弱性 CVE-2024-42448／42448 が FIX：RCE や NTLM ハッシュ漏洩の恐れ

Veeam Issues Patch for Critical RCE Vulnerability in Service Provider Console

2024/12/04 — Veeam Service Provider Console (VSPC) の脆弱性に対処する、セキュリティ・アップデートがリリースされた。Veeam によると、社内テスト中に発見された、脆弱性 CVE-2024-42448 (CVSS：9.9) が悪用されると、影響を受けるインスタンス上で、RCE 攻撃が引き起こされる可能性があるという。

I-O DATA Router に対する攻撃を観測：アップデート情報の確認が必要

I-O DATA Routers Under Attack: Urgent Firmware Update Needed!

2024/12/03 SecurityOnline — I-O DATA のルーター UD-LT1／UD-LT1/EX に複数の脆弱性が発見されたが、すでに積極的な悪用も観測されているという。日本のサイバー・セキュリティ組織である JPCERT/CC が発行した警告は、これらの脆弱性により、認証情報の盗難／コマンド実行／ファイアウォールの完全なバイパスといった、深刻な攻撃に対してデバイスが無防備になる可能性があるというものだ。

WhatsUp Gold の RCE 脆弱性 CVE-2024-8785：PoC エクスプロイトが提供

Exploit released for critical WhatsUp Gold RCE flaw, patch now

2024/12/03 BleepingComputer — Progress WhatsUp Gold に存在する、深刻な RCE 脆弱性 CVE-2024-8785 (CVSS v3.1：9.8) に対する、PoC エクスプロイト・コードが公開された。ユーザーに対して推奨されるのは、最新のセキュリティ・アップデートを、可能な限り早急にインストールすることだ。この脆弱性は、WhatsUp Gold 2023.1.0〜24.0.1 未満の NmAPI.exe プロセスに存在するものであり、2024年8月中旬の時点で Tenable により発見されたものだ。

CISA KEV 警告 24/12/03：Proself／ProjectSend／Zyxel の３件の脆弱性を登録

CISA Flags Three Actively Exploited Vulnerabilities in Critical Systems

2024/12/03 SecurityOnline — CISA が KEV カタログに追加したのは、実環境で積極的に悪用されている、Proself／ProjectSend／Zyxel の深刻なセキュリティ脆弱性である。組織および個人に対して求められるのは、潜在的な侵害を防ぐための、早急な対応である。

Zabbix の脆弱性 CVE-2024-42327 (CVSS：9.9)：PoCエクスプロイトが登場

PoC Exploit Releases for Critical Zabbix Vulnerability – CVE-2024-42327 (CVSS 9.9)

2024/12/03 SecurityOnline — Zabbix に影響を及ぼす深刻な SQL インジェクションの脆弱性 CVE-2024-42327 (CVSSv3：9.9) に対する、詳細な技術分析と PoC エクスプロイトコードが公開された。この脆弱性に対する PoC の登場により、広く利用されているエンタープライズ・ネットワーク／アプリケーション監視のための OSS プラットフォームである Zabbix の、デプロイメントに深刻な影響が及ぶ可能性が生じている。

TP-Link Archer AXE75 の脆弱性 CVE-2024-53375 が FIX：PoC エクスプロイトが提供

PoC Confirms Root Privilege Exploit in TP-Link Archer AXE75 Vulnerability (CVE-2024-53375)

2024/12/03 SecurityOnline — TP-Link Archer AXE75 ルーターで発見された、脆弱性 CVE-2024-53375 を悪用するリモートの攻撃者は、デバイス上での任意のコマンド実行の可能性を手にする。この深刻な欠陥により、HomeShield 機能に影響が生じることが判明している。また、ファームウェアバージョン 1.2.2 (ビルド 20240827) において、この悪用が可能であることが確認されている。

Google Chrome の脆弱性 CVE-2024-12053 が FIX：直ちにアップデートを！

Google Chrome Addresses High-Severity Flaw in V8 JavaScript Engine (CVE-2024-12053)

2024/12/03 SecurityOnline — Google がリリースしたのは、V8 JavaScript エンジンに存在する、深刻なタイプ・コンフュージョンの脆弱性 CVE-2024-12053 を緩和する、Chrome ブラウザ向けのセキュリティ・アップデートである。この脆弱性の悪用に成功した攻撃者は、ユーザーのシステム上で任意のコードを実行し、セキュリティおよびプライバシーを侵害する可能性を得る。

Cisco ASA の脆弱性 CVE-2014-2120：いまも積極的に悪用されている

The ASA flaw CVE-2014-2120 is being actively exploited in the wild

2024/12/03 SecurityAffairs — Cisco が発表したのは、10年前に発生した ASA の脆弱性 CVE-2014-2120 が、現実の攻撃で積極的に悪用されていると警告するものであり、更新されたアドバイザリを確認するようユーザーに促している。この脆弱性は、Cisco Adaptive Security Appliance (ASA) ソフトウェアの、WebVPN ログイン・ページに存在するものだ。この脆弱性を悪用する未認証のリモート攻撃者が、Cisco ASA 上の WebVPN ユーザーに対して、クロス・サイト・スクリプティング (XSS) 攻撃を仕掛ける可能性が懸念されている。

Windows Task Scheduler のゼロデイ CVE-2024-49039：PoC の公開と RomCom による悪用

Zero-Day Exploit Code Released for Windows Task Scheduler Flaw (CVE-2024-49039), Actively Exploited by RomCom Group

2024/12/02 SecurityOnline — Windows タスク・スケジューラに存在する、ゼロデイ脆弱性 CVE-2024-49039 (CVSS：8.8) に対する PoC エクスプロイト・コードが公開され、攻撃の増加が懸念されている。この脆弱性の悪用に成功した攻撃者は、特権を昇格させ、より高い整合性レベルでコードを実行することが可能になる。

ProFTPD の脆弱性 CVE-2024-48651 が FIX：root アクセスの不正取得の恐れ

CVE-2024-48651: ProFTPD Vulnerability Grants Root Access to Attackers

2024/12/02 SecurityOnline — 人気の FTP サーバである ProFTPD に、重大なセキュリティ脆弱性 CVE-2024-48651 (CVSS：7.5) が存在することが判明した。ProFTPD バージョン 1.3.8b 以下の mod_sql コンポーネントに存在する、この脆弱性により、脆弱なシステムへのルート・アクセスが、攻撃者に許される可能性があるという。

MediaTek スマフォ・チップセットの脆弱性 CVE-2024-20125 などが FIX：OEM には２ヶ月前に通知

MediaTek Patches High-Severity Vulnerability in Smartphone Chipsets (CVE-2024-20125)

2024/12/01 SecurityOnline — MediaTek がリリースいたのは、ユーザー・デバイスへの不正なアクセス／制御につながる可能性のある、深刻度の高い脆弱性に対処するための、最新の製品セキュリティ速報である。この脆弱性 CVE-2024-20125 の悪用に成功した攻撃者は、いくつかの MediaTek チップセットにおけるビデオ・デコーダー (vdec) コンポーネントの境界チェックの欠如を突くことが可能になる。

Linux 標的のブートキット Bootkitty が登場：UEFI の脆弱性 LogoFAIL CVE-2023-40238 を悪用

Security Alert: Bootkitty Bootkit Targets Linux via UEFI Vulnerability (CVE-2023-40238)

2024/12/01 SecurityOnline — Bootkitty という、史上で初めて Linux システムを標的にする UEFI ブートキットが、Binarly と ESET のセキュリティ研究者たちにより発見された。この新たな脅威は、UEFI ファームウェアの欠陥である LogoFAIL と命名された脆弱性 CVE-2023-40238 を悪用するものであり、Secure Boot の保護をバイパスし、悪意のペイロードを注入する。

北朝鮮ハッカー RedAnt による Code on Toast 攻撃：IE のゼロデイ CVE-2024-38178 を悪用

Operation “Code on Toast”: A Deep Dive into TA-RedAnt’s Exploitation of Zero-Day Flaw (CVE-2024-38178)

2024/12/01 SecurityOnline — Operation Code on Toast と呼ばれる、高度で大規模なサイバー攻撃が、北朝鮮ハッカーの TA-RedAnt により展開されている。Internet Explorer の新たな脆弱性を悪用する攻撃の仕組みと、それに続くマルウェアの展開に関するレポートが、韓国の NCSC ( National Cyber Security Center) と AhnLab のセキュリティ研究者により公開されている。

Trellix ESM の脆弱性 CVE-2024-11481／11482 が FIX：RCE 攻撃や不正アクセスの恐れ

Trellix Enterprise Security Manager Patches Critical Flaws, Including CVE-2024-11482 (CVSS 9.8)

2024/12/01 SecurityOnline — Trellix Enterprise Security Manager (ESM) に存在する、２つの重大な脆弱性 CVE-2024-11481／CVE-2024-11482 が修正された。これらの脆弱性は、ESM バージョン 11.6.10 に影響するものであり、攻撃者に対して不正アクセスやリモート・コード実行を許す可能性が生じる。

WordPress Widget Options Plugin の脆弱性 CVE-2024-8672 が FIX：CVSS 値は 9.9

CVE-2024-8672 (CVSS 9.9): Critical Flaw in Widget Options Plugin Threatens 100,000+ Websites

2024/11/30 SecurityOnline — 100,000 以上のアクティブなインストール数を誇る WordPress Widget Options plugin に、深刻な脆弱性 CVE-2024-8672 (CVSSv3：9.9) が発見されたが、最新バージョン (4.0.8) で修正された。この脆弱性により、 Widget Options plugin を利用する Web サイトに、深刻な脅威の可能性が生じている。この脆弱性の悪用に成功した、コントリビューター以上のアクセス権限を持つ攻撃者は、標的サーバ上で任意のコード実行の可能性を得る。

Advantech EKI アクセス・ポイントの複数の脆弱性が FIX：直ちにアップデートを！

Over-the-Air Vulnerabilities in Advantech EKI Access Points Put Industrial Networks at Risk

2024/11/30 SecurityOnline — Advantech の無線アクセス・ポイントのファームウェアに存在する 20件の脆弱性を、Nozomi Networks Labs の研究者たちが発見／特定した。一連の脆弱性が発見されたデバイスは、同社の EKI-6333AC-2G／EKI-6333AC-2GD／EKI-6333AC-1GPO などであり、自動車製造／物流業務などの厳しい環境下で広く利用されるものだ。

Apache Arrow R の脆弱性 CVE-2024-52338 が FIX：任意のコード実行が可能に

CVE-2024-52338: Critical Security Flaw in Apache Arrow R Package Allows Arbitrary Code Execution

2024/11/29 SecurityOnline — Apache Arrow R パッケージのバージョン 4.0.0〜16.1.0 に存在する、重大な脆弱性 CVE-2024-52338 が修正された。この脆弱性の悪用に成功した攻撃者は、悪意を持って細工されたデータファイルを処理するシステム上で、任意のコード実行の可能性を得る。

Magento Checkout Pages が標的：動的なクレジットカード・スキマーとは？

Credit Card Skimmer Malware Uncovered: Targeting Magento Checkout Pages

2024/11/28 SecurityOnline — 大手 e コマース・プラットフォームでMagento が、いつものように、巧妙なサイバー犯罪者の攻撃の標的になっている。先日に、Sucuri のセキュリティ・アナリスト Puja Srivastava が報告したのは、Magento で稼働している Web サイトを侵害する、悪意の JavaScript インジェクションに関する情報である。この新しいマルウェアは、チェックアウトページをターゲットにして、支払いに関する情報機密のを、密かに盗み出しているという。

Zyxel の脆弱性 CVE-2024-11667：Helldown ランサムウェア展開での悪用を検出

CVE-2024-11667: Critical Vulnerability in Zyxel Firewalls Actively Exploited

2024/11/28 SecurityOnline — Zyxel ファイアウォールに存在する、深刻な脆弱性 CVE-2024-11667 が積極的に悪用されている状況を、CERT Germany (CERT-Bund) と Zyxel が観測し、警告している。この脆弱性は、Helldown ランサムウェアの展開に悪用されており、少なくとも５つのドイツの組織が侵害されたことが、一連の報告の初期段階で判明している。

Active Directory CS のゼロデイ CVE-2024-49019：PoC エクスプロイトが提供

Zero-Day in Active Directory Certificate Services: Researcher Exposes CVE-2024-49019 with PoC

2024/11/28 SecurityOnline — Active Directory Certificate Services (AD CS) に存在する、深刻なゼロデイ脆弱性 CVE-2024-49019 (CVSS：7.8) が、TrustedSec のセキュリティ研究者により発見された。この脆弱性は、証明書テンプレート version 1 の機能を悪用するものであり、登録権限を持つ攻撃者に対して、大幅な特権昇格を許す可能性が生じる。この脆弱性は、Microsoft の November Patch Tuesday で修正されたが、その潜在的な影響については、より詳細に調査する必要があるだろう。

Windows Driver の整数オーバーフローの脆弱性 CVE-N/A： PoC エクスプロイトが登場

Integer Overflow Vulnerability in Windows Driver Enables Privilege Escalation, PoC Published

2024/11/28 SecurityOnline — Windows オペレーティング・システムの ksthunk.sys ドライバーは、32 Bit から 64 Bit へのプロセス通信を容易にする機能を持つが、このコンポーネントに存在する深刻な脆弱性が、SSD Secure Disclosure の研究者により発見された。ローカル攻撃者に権限昇格を許す、この整数オーバーフローの脆弱性は、権威ある TyphoonPWN 2024 イベントで実証され、２位を獲得するほど注目されている。

Contiki-NG の脆弱性 CVE-2024-41125 などが FIX：デバイス・クラッシュ／悪意のコード実行の可能性

Contiki-NG IoT OS Patches Critical Vulnerabilities

2024/11/28 SecurityOnline — Contiki-NG OS に存在する、３つの重大な脆弱性が修正された。この、IoT デバイス用として人気を博す、OSS 製品の脆弱性の悪用に成功した攻撃者は、デバイス・クラッシュや悪意のコード実行を引き起こす可能性を得る。

Zabbix の RCE の脆弱性 CVE-2024-42330 (CVSS 9.1) が FIX：ただちにパッチを！

CVE-2024-42330 (CVSS 9.1): Zabbix Patches Critical Remote Code Execution Vulnerability

2024/11/28 SecurityOnline — 人気の OSS 監視ツール Zabbix がリリースしたのは、バージョン 6.0／6.4／7.0 に影響を及ぼす、脆弱性 CVE-2024-42330 (CVSS：9.1) を修正するための、緊急のセキュリティ・アップデートである。この脆弱性の悪用に成功した攻撃者は、脆弱なシステム上で任意のコード実行の可能性を得るという。

Microsoft クラウドで発見／修正された３件の脆弱性：それぞれに CVE が採番された

Microsoft Patches Exploited Vulnerability in Partner Network Website

2024/11/28 SecurityWeek — 11月28日 (火) に Microsoft がユーザーに公表したのは、Cloud／AI などのサービスに影響を及ぼす脆弱性の、修正および悪用に関する通知である。同社は、Azure／Copilot Studio／Partner Network Web Site の脆弱性を修正したが、ユーザーを・サイドで行うべきことはなく、透明性のためだけに CVE 識別子とアドバイザリが公開された。

RDP の脆弱性 CVE-2020-1472 がターゲット：Elpaco ランサムウェアの活動が捕捉された

Elpaco Ransomware: A New Threat Actor Leverages CVE-2020-1472 for Global Attacks

2024/11/27 SecurityOnline — 洗練されたランサムウェアの亜種 Elpaco が、Mimic ランサムウェア・ファミリーの進化形とし登場したことを、Kaspersky Labs が発表した。この高度なマルウェアは、多数のカスタマイズ機能を備えており、既知の脆弱性と正規のソフトウェア・ツールを悪用しながら密かに操作を実行し、世界中の被害者をターゲットにしている。

HPE の Insight Remote Support に存在する複数の脆弱性が FIX：ただちにパッチを！

HPE Insight Remote Support Hit with Critical Vulnerabilities, Urgent Patch Released

2024/11/27 SecurityOnline — HPE が発表したのは、Insight Remote Support サービスで発見された、複数の深刻な脆弱性に対処するための緊急セキュリティ情報である。それらの脆弱性の悪用に成功した攻撃者は、機密情報への不正アクセスや、リモート・コード実行の可能性を手にする。

Jenkins の複数の脆弱性が FIX：プラグインとの組み合わせて被害が拡大する恐れ

Jenkins Users Beware: Multiple Security Vulnerabilities Discovered

2024/11/27 SecurityOnline — Jenkins が発行したのは、コア・システムとプラグインに影響を及ぼす、複数の脆弱性に対処するためのセキュリティ・アドバイザリである。それらの、サービス拒否やクロス・サイト・スクリプティングの脆弱性を放置すると、広く使用されている OSS 自動化サーバ Jenkins のユーザーに、重大なリスクが生じる可能性がある。

Zabbix の SQLi の脆弱性 CVE-2024-42327 (CVSS 9.9) が FIX：ただちにパッチを！

CVE-2024-42327 (CVSS 9.9): Critical SQL Injection Vulnerability Found in Zabbix

2024/11/27 SecurityOnline — Zabbix が公表したのは、SQL インジェクションの脆弱性 CVE-2024-42327 (CVSS：9.9) の発見に関する情報である。この脆弱性を悪用する攻撃者は、権限の昇格を達成し、Zabbix インスタンスの完全な制御を手にするとされる。したがって、世界中の組織で使用されている人気の OSS IT インフラ監視ツールにより、機密性の高いデータや接続されたシステムが危険に直面することになる。

Salt Typhoon の武器庫を探査する：破壊力を静かに維持し続ける秘密は？

Salt Typhoon Builds Out Malware Arsenal With GhostSpider

2024/11/27 DarkReading — 中国由来の脅威アクター Salt Typhoon は、数年前から政府や通信などの重要組織をスパイしてきたが、新しいバックドア・マルウェアである GhostSpider もリリースしている。Salt Typhoon (別名 Earth Estries／FamousSparrow／GhostEmperor／UNC2286) は、中華人民共和国における最も選定的な APT の１つである。そのキャンペーンを、2023 年にまで遡ると、20 を超える組織を侵害してきたことが分かる。それらの標的となった組織には、世界中の最高レベルの組織という傾向があり、何年にもわたって侵害が検出されていないケースもある。最近の標的としては、米国の T-Mobile USA などの通信会社や、北米の ISP などが挙げられる。

NachoVPN という攻撃シミュレーター：Palo Alto／SonicWall の脆弱性を攻略

New VPN Attack Demonstrated Against Palo Alto Networks, SonicWall Products

2024/11/27 SecurityWeek — 各種の企業において用いられる VPN クライアントを、攻撃するための新たな手口の詳細が、サイバー・ソリューション・プロバイダー AmberWolf の研究者たちにより公開された。セキュアなリモート・アクセスのために多用される VPN だが、それにより生じる攻撃対象領域は無視できないと、AmberWolf の研究者たちは示唆している。

ProjectSend の脆弱性 CVE-2024-11680 (CVSS 9.8)：大量の未パッチ・インスタンスと PoC エクスプロイト

CVE-2024-11680 (CVSS 9.8): Critical ProjectSend Vulnerability Actively Exploited, PoC Published

2024/11/27 SecurityOnline — ProjectSend の深刻な脆弱性 CVE-2024-11680 (CVSS：9.8) が、積極的に悪用されていると、VulnCheck がレポートしている。この OSS のファイル共有 Web アプリケーションに対しては、2023年5月の時点でパッチが提供されているが驚くべきことに、ProjectSend インスタンスの 99% がパッチ未適用であり、悪用の危険性が高まっている。

NVIDIA UFM 製品群の脆弱性 CVE-2024-0130 が FIX：ただちにアップデートを！

CVE-2024-0130: NVIDIA Patches High-Severity Vulnerability in UFM Products

2024/11/26 SecurityOnline — 先日に NVIDIA がリリースしたのは、UFM Enterprise／UFM Appliance／UFM CyberAI に影響を及ぼす深刻な脆弱性に対処するファームウェア・アップデートである。この脆弱性 CVE-2024-0130 に悪用に成功した攻撃者は、権限の昇格／データの改竄／サービスの拒否／機密情報の流出などを達成する可能性を得る。

RomCom が展開する攻撃チェーン：Firefox の CVE-2024-9680 と Windows CVE-2024-49039 を悪用

RomCom Exploits Zero-Days in Firefox (CVE-2024-9680) & Windows (CVE-2024-49039) with No User Interaction

2024/11/26 SecurityOnline — ロシア由来の脅威アクター RomCom による、Mozilla Firefox／Microsoft Windows のゼロデイ脆弱性を悪用する協調攻撃が、最近の ESET サイバー・セキュリテ・レポートで明らかにされた。これらの脆弱性は未知のものであるが、実際に悪用されているという。ユーザーの介入を必要とせずに、攻撃者による悪意のコード実行が可能になるという、高度な技術が検証されている。

macOS Ventura の脆弱性 CVE-2023-32428 が FIX：PoC エクスプロイトも提供

macOS Vulnerability (CVE-2023-32428) Grants Root Access, PoC Published

2024/11/26 SecurityOnline — Apple の MallocStackLogging フレームワークに存在する、ローカル権限昇格 (LPE) の脆弱性を悪用する攻撃者が、macOS システムの制御を取得する可能性について、セキュリティ研究者の Gergely Kalman が解説している。この脆弱性 CVE-2023-32428 (CVSS：7.8) の悪用が実証するのは、正当に見える開発ツールを操作して、セキュリティ対策を回避し、高権限アカウントを侵害する方法である。

NTLM の脆弱性：Microsoft 環境に潜む深刻なセキュリティ・リスクとは？ – Morphisec

Unpatched NTLM Flaws Leave Microsoft Systems Vulnerable

2024/11/26 SecurityOnline — Microsoft の NTLM プロトコルが、サイバー・セキュリティ上の深刻な懸念として再浮上していることを、Morphisec の Michael Gorelikが最新レポートで警告している。同レポートが指摘するのは、Microsoft 製品に存在するパッチ未適用の複数の脆弱性により、NTLM の漏洩が生じ、攻撃者による特権昇格が容易になるという点だ。これらの脆弱性への、Microsoft の対応が遅れているため、企業は自力で対処する他にないという状況にある。

GitLab CE/EE の脆弱性 CVE-2024-8114 (CVSS 8.2) などが FIX：特権昇格／DoS の可能性

CVE-2024-8114: GitLab Vulnerability Allows Privilege Escalation

2024/11/26 SecurityOnline — GitLab が公表したのは、Community Edition (CE)／Enterprise Edition (EE) 17.6.1／17.5.3／17.4.5 に影響を及ぼす、６つの脆弱性に対処するセキュリティ・アップデートである。一連の脆弱性の影響を受けるバージョンを使用しているユーザーに対して、同社が推奨するのは、すべてのインストールを最新バージョンへと、可能な限り早急にアップグレードすることである。

IBM RMM の脆弱性 CVE-2024-41779 (CVSS 9.8) が FIX：RCE 攻撃につながる恐れ

CVE-2024-41779 (CVSS 9.8): IBM Rhapsody Model Manager Vulnerability Puts Systems at Risk

2024/11/26 SecurityOnline — IBM が発表したのは、Engineering Systems Design – Rhapsody Model Manager (RMM) に存在する、深刻な脆弱性に対するセキュリティ勧告である。この脆弱性 CVE-2024-41779 (CVSS：9.8) の悪用に成功したリモートの攻撃者は、セキュリティを回避し、脆弱なシステム上で任意のコードを実行する可能性を手にする。

VMware Aria Operations の複数の脆弱性が FIX：直ちにパッチ適用を！

VMware Patches High-Severity Vulnerabilities in Aria Operations

2024/11/26 SecurityWeek — VMware が 11月26日に公開したセキュリティ勧告 (VMSA-2024-0022) は、同社のクラウド IT 運用プラットフォーム Aria Operations 製品に存在する、５件のセキュリティ脆弱性に対処するものだ。同社が警告するのは、これらの脆弱性を悪用した攻撃者が、特権の昇格やXSS 攻撃を仕掛けるための、エクスプロイトを作成する可能性である。

CISA KEV 警告 24/11/25：Array Networks AG／vxAG の脆弱性 CVE-2023-28461 を登録

CISA Urges Agencies to Patch Critical “Array Networks” Flaw Amid Active Attacks

2024/11/26 TheHackerNews — 米国の CISA (Cybersecurity and Infrastructure Security Agency) が、Array Networks AG／vxAG に存在する脆弱性をKEV (Known Exploited Vulnerabilities) カタログに追加した。この脆弱性 CVE-2023-28461 (CVSS：9.8) は、認証の欠落を原因とするものであり、任意のリモート・コード実行を引き起こす可能性を持つとされる。Array Networks は、2023年3月の時点で、このセキュリティ上の欠陥に対する修正バージョン 9.4.0.484 をリリースしている。

QNAP Notes Station 3 の脆弱性 CVE-2024-38643 などが FIX：直ちにアップデートを！

Critical Vulnerabilities in QNAP Notes Station 3: Update Now to Protect Your Data

2024/11/25 SecurityOnline — QNAP が発表したセキュリティ勧告は、QNAP デバイス上のメモ管理／共有アプリケーションである、Notes Station 3 に存在する複数の脆弱性に関するものだ。修正プログラムの適用を怠った場合には、これらの脆弱性が悪用され、不正アクセス／データ盗難／リモート・コマンド実行などの危険に、システムがさらされる可能性が長じる。