Google Launches Largest Distributed Database of Open Source Vulnerabilities
2022/12/13 TheHackerNews — 12月13日に Google は、さまざまなプロジェクトの脆弱性情報に簡単にアクセスするためのスキャナ OSV-Scanner の、オープンソース提供を発表した。Google のソフトウェア・エンジニアである Rex Pan は、「この Go ベースのツールは、Open Source Vulnerabilities (OSV) データベースを利用しており、プロジェクトの依存関係リストと、それに影響を与える脆弱性を結びつけるよう設計されている」と、The Hacker News に共有した投稿で述べている。
Continue reading “Google が OSV-Scanner を公開：OSS の脆弱性を網羅する分散型データベース”Fortinet Warns of Active Exploitation of New SSL-VPN Pre-auth RCE Vulnerability
2022/12/13 TheHackerNews — 月曜日に Fortinet は、同社の SSL-VPN 製品 FortiOS に影響を及ぼす深刻なセキュリティ脆弱性に対して緊急パッチをリリースし、この脆弱性が実際に悪用されていることを明らかにした。この深刻な脆弱性 CVE-2022-42475 (CVSS：9.3) は、ヒープベース・バッファ・オーバーフローの脆弱性であり、認証されていない攻撃者による、特別に細工したリクエストを介した任意のコード実行を引き起こす可能性がある。
Continue reading “Fortinet FortiOS に緊急パッチ：認証バイパスの脆弱性 CVE-2022-42475 の悪用に対応”Microsoft December 2022 Patch Tuesday fixes 2 zero-days, 49 flaws
2022/12/13 BleepingComputer — 今日の Microsoft December 2022 Patch Tuesday により、活発に悪用されている２件の脆弱性を含む、合計 49件の脆弱性が修正された。49件の脆弱性のうち６件は、リモート・コード実行を可能にするもので、Critical に分類されている。
Continue reading “Microsoft 2022-12 月例アップデートは２件のゼロデイと 49件の脆弱性に対応”Amazon ECR Public Gallery flaw could have wiped or poisoned any image
2022/12/13 BleepingComputer — Amazon ECR (Elastic Container Registry) Public Gallery の深刻なセキュリティ欠陥が生じている。その損害に成功した攻撃者により、任意のコンテナ・イメージの削除や、他の AWS アカウントのイメージへの悪意のコード・インジェクションなどが可能だった。Amazon ECR Public Gallery とは、Nginx／EKS Distro／Amazon Linux／CloudWatch Agent／Datadog Agent などの、各種のアプリケーションや Linux ディストリビューションを、直ちに共有／使用するためのコンテナ・イメージのパブリック・リポジトリである。
Continue reading “Amazon ECR リポジトリの欠陥を修正：非文書化 API を介した侵害を研究者が証明”Researchers Find 63 Zero-Day Bugs at Latest Pwn2Own
2022/12/12 InfoSecurity — 先日の Pwn2Own コンテストの参加者は、さまざまな製品に存在する数多くのゼロデイ脆弱性を発見し、デジタル世界の安全性を高めるために貢献した。このコンテストは、Trend Micro の Zero Day Initiative (ZDI) により運営されており、ベンダーに依存しない世界最大のバグバウンティ・プログラムとなっている。
Continue reading “Pwn2Own Toronto 2022：63件のゼロデイが発見され $1M 近い報奨金が支払われた”Researchers Detail New Attack Method to Bypass Popular Web Application Firewalls
2022/12/10 TheHackerNews — さまざまなベンダーの Web Application Firewalls (WAF) を回避したシステムへの侵入により、企業や顧客の機密情報へのアクセスを、脅威アクターに許す可能性のある、新たな攻撃方法が発見された。WAF は重要な防衛線であり、Web アプリケーションとの間で HTTP (S) トラフィックをフィルタリング／監視／ブロックし、CSRF／XSS／SQL インジェクション／ファイル・インクルードなどの攻撃からシステムを保護するものだ。
Continue reading “WAF に JSON を投げ込む攻撃手法：バイパスが可能になるという Claroty の調査”Research reveals where 95% of open source vulnerabilities lie
2022/12/09 HelpNetSecurity — Endor Labs の最新レポートが示すのは、アプリケーション開発における既存オープンソース・ソフトウェアの多用と、未成熟な監視の体制と、一般的な慣行から生じる危険性についての見解である。一例を挙げると、全脆弱性の 95%は過渡的依存関係 (開発者は選択していないが、間接的にプロジェクトに取り込まれるオープンソースのコードパッケージ) にあることが、この調査により判明している。
Continue reading “OSS の乱用から生じる危険性：アプリ開発の 80% で依存しているという現実”Over 4,000 Vulnerable Pulse Connect Secure Hosts Exposed to Internet
2022/12/09 SecurityWeek — インターネット・アクセスが可能な、4,000 台以上の Pulse Connect Secure ホストが、少なくとも１つの既知の脆弱性の影響を受けていると、情報セキュリティ企業である Censys が警告している。Pulse Connect Secure は、ユーザー企業におけるリモート／モバイルを介した安全なアクセスを実現する、SSL VPN ソリューションとして広く導入されている。そして、この VPN アプライアンスは、2020年に Pulse Secure を買収した、Ivanti の製品群の１つとなっている。
Continue reading “Pulse Connect Secure VPN：日本も含めてパッチ未適用が 4,000 台以上”Cisco discloses high-severity IP phone bug with exploit code
2022/12/08 BleepingComputer — 今日、Cisco が公開した脆弱性は、最新世代の IP Phone に影響し、リモート・コード実行／DoS 攻撃につながる深刻度の高いものである。同社は、「Cisco の Product Security Incident Response Team (PSIRT) が、PoC エクスプロイト・コードが利用可能であることを認識し、また、パブリックに議論されている」と、この脆弱性について警告している。ただし、現時点においては、この脆弱性を悪用する攻撃の試みは認識していないと、PSIRT は付け加えている。
Continue reading “Cisco IP Phone 7800／8800 のゼロデイ脆弱性 CVE-2022-20968：PoC が出回っている”Report: Air-Gapped Networks Vulnerable to DNS Attacks
2022/12/08 DarkReading — 企業環境における Domain Name System (DNS) の実装方法で、よく見かけられるミスコンフィグレーションが、きわめて気密性の高い資産の保護を得目的とするエアギャップ・ネットワークを、外部攻撃者による侵害にさらす可能性があることが、研究者により明らかにされた。セキュリティ企業である Pentera の研究者たちは、12月8日に発表したブログ記事で、DNS サーバに接続するエアギャップ・ネットワークを使用している組織が、重要な資産を不用意に脅威アクターにさらし、深刻なデータ侵害を引き起こす可能性があると指摘している。
Continue reading “DNS 攻撃によるエアギャップ破壊：重要なのは 正確な設定／特性の理解／アクティビティの監視”Sophos fixed a critical flaw in its Sophos Firewall version 19.5
2022/12/07 SecurityAffairs — Sophos は、Sophos Firewall version 19.5 においてセキュリティパッチを提供し、任意のコード実行などの７つの脆弱性に対応した。その中で、最も深刻な問題は、CVE-2022-3236 として追跡されている、深刻なコード・インジェクションの脆弱性である。同社のアドバイザリには、「User Portal および Webadmin において、リモートでのコード実行を可能にする、コード・インジェクションの脆弱性が発見された」と記されている。
Continue reading “Sophos Firewall における深刻な脆弱性 CVE-2022-3236 などが FIX：Ver 19.5 で対応”Shift to Memory-Safe Languages Gains Momentum
2022/12/07 DarkReading — 今週に、ソフトウェア・セキュリティの専門家たち発表したところによると、リモートからの悪用が可能で、野放し状態での攻撃の大部分に関与している、きわめて深刻な脆弱性のグループに対して、ソフトウェア業界は前進しているようだ。この脆弱性グループとは、いわゆるメモリ安全性の問題である。具体的には、バッファオーバーフロー／ユースアフターフリーなどを含むものであり、ソフトウェア会社が公表するアプリケーション・セキュリティ問題の大半を占めるものだ。今回の最新データでは、Java／C#／Rust などの、メモリ安全性の高い言語の使用が増加したことで、このクラスの脆弱性全体が急速に減少していることが示されている。
Continue reading “Java／Rust／Kotlin のメモリセーフ機能：C／C++ と安全性を比較してみる”Netgear Neutralizes Pwn2Own Exploits With Last-Minute Nighthawk Router Patches
2022/12/06 SecurityWeek — 先週に Netgear がリリースしたホット・フィックスにより、Nighthawk RAX30 (AX2400) ルータの誤設定により、ローカル・ネットワークのサービスへの無制限なアクセスを、リモートの攻撃者に許してしまう脆弱性が対処された。Nighthawk RAX30 の WAN インターフェースが、デフォルトで IPv6 を有効にしているにもかかわらず、IPv4 トラフィックに適用されるアクセス制限が、IPv6 トラフィックに適用されないことに、この脆弱性は起因する。
Continue reading “Netgear Nighthawk の脆弱性が FIX：Pwn2Own 用のエクスプロイトを無効化”Critical Ping Vulnerability Allows Remote Attackers to Take Over FreeBSD Systems
2022/12/05 TheHackerNews — FreeBSD OS のメンテなたちが、ping モジュールに存在するセキュリティ上の脆弱性を修正するためのアップデートを公開した。この、ping サービスに存在するスタックバッファ・オーバーフローの脆弱性 CVE-2022-23093 は、すべての FreeBSD 現行バージョンに影響を及ぼすものである。
Continue reading “FreeBSD の Ping に潜む脆弱性 CVE-2022-23093 が FIX：RCE にいたる恐れ”CISA orders agencies to patch exploited Google Chrome bug by Dec 26th
2022/12/05 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃での悪用が確認されているバグのリストに、新たな脆弱性を追加した。この脆弱性 CVE-2022-4262 は、Google Chrome for Windows／Mac／Linux に存在するものであり、12月2日にゼロデイバグとしてパッチが適用されたものだ。そのセキュリティ・アドバイザリで Google は、「脆弱性 CVE-2022-4262 が、野放し状態で悪用されているという報告を確認している」と述べている。
Continue reading “CISA KEV 警告 22/12/02：Google Chrome の深刻な脆弱性 CVE-2022-4262”A new Linux flaw can be chained with other two bugs to gain full root privileges
2022/12/03 SecurityAffairs — Qualys Threat Research Unit の研究者たちは、Linux の新しい脆弱性 CVE-2022-3328 と、既存の２つの脆弱性を連鎖させ、システム上で完全なルート権限を取得する方法を実証した。この脆弱性 CVE-2022-3328 は、Ubuntu にデフォルトでインストールされる SUID-root プログラムである、Linux OS の snap-confine 機能に存在する。snap-confine とは、snap アプリケーションの実行環境を構築するために、snapd により内部的に用いられるものであり、snap アプリケーションをコンフィグレーションするための内部ツールである。
Continue reading “Linux の新たなゼロデイ CVE-2022-3328：multipathd 脆弱性との併用で root 権限を取得”Mitsubishi Electric PLCs Exposed to Attacks by Engineering Software Flaws
2022/12/02 SecurityWeek — 産業用サイバー・セキュリティ企業である Nozomi Networks の研究者たちが、三菱電機のエンジニアリング WS ソフトウェア GX Works3 に存在し、放置すると安全システムのハッキングに悪用される可能性のある、脆弱性３件を発見した。GX Works3 は、三菱電機の PLC である MELSEC iQ-F／iQ-R 向けに提供している、コンフィグレーション／プログラミング用ソフトウェアである。
Continue reading “三菱電機の PLC に深刻な問題：エンジニアリング WS の脆弱性を介した攻撃の可能性”Google Chrome emergency update fixes 9th zero-day of the year
2022/12/02 BleepingComputer — Google は、Chrome for Windows/Max/Linux の 108.0.5359.94/.95をリリースし、深刻なセキュリティ上の欠陥に対処しまた。同社は、「脆弱性 CVE-2022-4262 が、野放し状態で悪用されているという報告を認識している」と、金曜日に公開されたセキュリティ・アドバイザリで述べている。Google によると、Stable Desktop チャネルを介して、この最新バージョンの提供が開始され、数日〜数週間のうちに全ユーザー・ベースに到達するとのことだ。
Continue reading “Google Chrome の深刻なゼロデイ CVE-2022-4262 が FIX：V8 JavaScript に問題”Industry Coalition Urges Congress to Hold off on SBOMs Requirements for Defense Contractors
2022/12/02 infoSecurity — サイバー・セキュリティ業界団体の連合は米国議会に対して、防衛請負業者に対する Software Bill of Materials (SBOM) 要件を延期するよう求める、公開書簡を発表した。この書簡は、National Defense Authorization Act for Fiscal Year 2023 の第 4543条に関するものであり、米国防総省が請負業者に対して SBOM 要件を定めるよう求めるものだ。
Continue reading “SBOM 要件の延期を米議会に提出：防衛産業の団体が４つの理由を詳述”New Redigo malware drops stealthy backdoor on Redis servers
2022/12/01 BleepingComputer — Redigo と命名された Go ベースの新しいマルウェアが、Redis サーバの脆弱性 CVE-2022-0543 を標的にしてステルス・バックドアを仕込み、コマンド実行を可能にしていることが判明した。この脆弱性 CVE-2022-0543 (CVSS：10.0) は、Redis (Remote Dictionary Server) ソフトウェアに存在し、2022年2月に発見／修正されているものだ。
Continue reading “Redis の CVE-2022-0543 を狙う Redigo マルウェア：ステルス型バックドアを仕掛ける”CISA’s Strategic Plan Is Ushering in a New Cybersecurity Era
2022/11/30 DarkReading — 連邦政府が改めて示しているのは、サイバー・セキュリティに対する従来のアプローチは、すなわち予防と境界防御のみを前提としたアプローチは、失敗に終わっているという認識である。この２年間だけでも、76% の組織がランサムウェアの攻撃を受け、66% が少なくとも１回のソフトウェア・サプライ・チェーン攻撃を経験している。いまの米国において、サイバー・セキュリティのベストプラクティスを刷新する連邦機関である Cybersecurity and Infrastructure Security Agency (CISA) は、今日のダイナミックな脅威の状況に耐えるための、抜本的な変革が必要であることを強調している。
Continue reading “CISA Strategic Plan 2023-25：防御から回復力へと大きく舵を切る米連邦政府”Researchers Find a Way Malicious NPM Libraries Can Evade Vulnerability Detection
2022/11/30 TheHackerNews — サイバー・セキュリティ企業である JFrog の最新調査によると、npm エコシステムを標的とするマルウェアは、npm Command Line Interface (CLI) ツールの “unexpected behavior” を悪用することで。セキュリティ・チェックを回避できることが判明した。
Continue reading “npm 悪意のライブラリ侵入経路が判明：プレ・リリース・バージョンに要注意”A year later, Log4Shell still lingers
2022/11/30 HelpNetSecurity — 2022年10月1日時点で、72% の組織が Log4Shell の脆弱性に対して依然として脆弱であることが、５億回以上のテストから収集したデータを基にした、Tenable の最新のテレメトリ調査により明らかになった。2021年12月に Log4Shell が発見された当時、世界中の組織は、そのリスクの調査に奔走していた。
Continue reading “Log4Shell の発見から１年：残存率は 2.5% にまで減ったが 再発率は 29%”CISA Warns of Actively Exploited Critical Oracle Fusion Middleware Vulnerability
2022/11/29 TheHackerNews — 11月28日 (月) に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発な悪用の証拠があるとして、Oracle Fusion Middleware に影響する脆弱性を KEV (Known Exploited Vulnerabilities) カタログに追加した。この脆弱性 CVE-2021-35587 の CVSS スコアは 9.8 であり、Oracle Access Manager (OAM) のバージョン 11.1.2.3.0／12.2.1.3.0／12.2.1.4.0 に影響を及ぼしている。
Continue reading “CISA KEV 警告 22/11/28：Oracle Fusion Middleware の深刻な脆弱性を追加”Threat actors are offering access to corporate networks via unauthorized Fortinet VPN access
2022/11/29 SecurityAffairs — Cyble の研究者たちが認識しているのは、最近のパッチが適用された Fortinet 製品に存在する、深刻な脆弱性 CVE-2022-40684 を悪用する Initial Access Broker (IAB) が、 企業ネットワークへのアクセスを販売している可能性が高いという状況である。10月の初旬に Fortinet は、FortiGate Firewall／FortiProxy Web Proxy に影響を及ぼす、認証バイパスの脆弱性 CVE-2022-40684 に対処している。この脆弱性の悪用に成功した攻撃者は、脆弱なデバイスにログインすることが可能であると、Fortinet は説明している。
Continue reading “Fortinet の 深刻な脆弱性 CVE-2022-40684：アクセスを販売する IAB が登場？”Acer fixes UEFI bugs that can be used to disable Secure Boot
2022/11/28 BleepingComputer — Acer が修正した深刻度の高い脆弱性は、ローカルの攻撃者が標的とするシステム上で、UEFI Secure Boot が無効にされる可能性を生じ、複数のラップトップ・モデルに影響を与えるものである。Secure Boot 機能とは、TPM (Trusted Platform Module) チップと、UEFI (Unified Extensible Firmware Interface) ファームウェアを搭載したコンピュータにおいて、信頼できない OS ブートローダをブロックし、ルートキットやブートキットといった悪質なコードが、起動プロセス中にロードされないようにするものだ。
Continue reading “Acer Laptop の深刻な脆弱性が FIX： UEFI Secure Boot が回避される可能性”Cisco ISE Vulnerabilities Can Be Chained in One-Click Exploit
2022/11/28 SecurityWeek — Cisco の Identity Services Engine (ISE) に存在する、複数の脆弱性の悪用に成功したリモートの攻撃者が、任意のコマンドの注入／既存のセキュリティ保護の迂回／クロスサイト・スクリプティング (XSS) 攻撃などを実行するかもしれない。Cisco ISEは、ID ベース の NAC (network access control) および policy enforcement system であり、管理者に対してエンドポイント・アクセス制御やネットワーク・デバイス管理の機能を提供する。
Continue reading “Cisco ISE の脆弱性 CVE-2022-20964：ワンクリックで悪用の可能性”Researchers Detail AppSync Cross-Tenant Vulnerability in Amazon Web Services
2022/11/28 TheHackerNews — Amazon Web Services (AWS) は、攻撃者にリソースへの不正アクセスを許す可能性のある、AWS AppSync を悪用したクロステナントの脆弱性に対処した。この脆弱性は、権限昇格の一種である Confused Deputy Problem (混乱した代理の問題) に関連するもので、あるアクションを実行する権限を持たないプログラムが、より権限のあるエンティティに、そのアクションを実行するよう強要するものだ。
Continue reading “AWS AppSync の脆弱性が FIX：クロステナントでのリソース・アクセスの問題”Google pushes emergency Chrome update to fix 8th zero-day in 2022
2022/11/25 BleepingComputer — Google は、Chrome デスクトップ版のセキュリティ・アップデートを緊急リリースし、今年に入ってから攻撃で悪用された、８つ目のゼロデイ脆弱性に対応した。Google Threat Analysis Group の Clement Lecigne が、2022年11月22日に発見した、この深刻度の高い脆弱性 CVE-2022-4135 は、GPU におけるヒープバッファ・オーバーフローに起因するものだ。Google は、「CVE-2022-4135 のエクスプロイトが、野放し状態で悪用されてことを認識している」と、アップデート通知に記している。
Continue reading “Google Chrome のゼロデイ CVE-2022-4135 が FIX：野放し状態での悪用を確認”Remote Code Execution Vulnerability Found in Windows Internet Key Exchange
2022/11/25 InfoSecurity — Windows Internet Key Exchange (IKE) Protocol Extensions を標的とした一連のエクスプロイトが、野放し状態で悪用されていることが発見された。セキュリティ企業の Cyfirma が InfoSecurity と共有した最新のアドバイザリによると、発見された脆弱性は、およそ 1000 のシステムをターゲットに悪用されている可能性があるようだ。また、同社が観測した攻撃は、中国語話者の脅威アクターによる、“bleed you” と訳されるキャンペーンの一部である可能性があるという。
Continue reading “Windows Server IKE の深刻な RCE 脆弱性 CVE-2022-34721：中国からの攻撃を観測”Dell, HP, and Lenovo Devices Found Using Outdated OpenSSL Versions
2022/11/25 TheHackerNews — Dell／HP／Lenovo のデバイスのファームウェア・イメージを分析した結果、古いバージョンの OpenSSL 暗号ライブラリの存在が明らかになり、サプライチェーン・リスクが浮き彫りになっている。EFI Development Kit (EDK) は、OS とデバイスのハードウェアに組み込まれたファームウェア間のインターフェースとして機能する、UEFI (Unified Extensible Firmware Interface) のオープンソース実装である。EDK II のファームウェア開発環境には、CryptoPkg という独自の暗号パッケージがあり、OpenSSL プロジェクトのサービスを利用できる。
Continue reading “Dell／HP／Lenovo デバイスの問題：UEFI 実装における古い OpenSSL の使用が判明”Hackers Exploiting Abandoned Boa Web Servers to Target Critical Industries
2022/11/23 TheHackerNews — 火曜日に Microsoft は、2022年初めにインドの電力網事業体を狙った侵入行為において、現在では廃止されている Boa と呼ばれる Web サーバの、脆弱性が利用された可能性が高いことを明らかにした。この脆弱なコンポーネントは、何百万もの組織やデバイスに影響を与え得る、サプライチェーン・リスクをもたらすと、Microsoft のサイバーセキュリティ部門は述べている。
Continue reading “Boa Web Sever への攻撃：2005年に開発終了しても IoT で利用される理由は？”Researcher warns that Cisco Secure Email Gateways can easily be circumvented
2022/11/22 SecurityAffairs — 匿名の研究者が公開したのは、Cisco Secure Email Gateway アプライアンスの一部のフィルターを回避し、特別に細工したメールを介してマルウェアを配信する一連のテクニックである。この研究者は、攻撃の複雑性が低いことを指摘し、また、すでに第三者により公開されているエクスプロイトが、用いられることを付け加えている。この専門家は、協調的な開示手続きの中で、この技術を開示した。
Continue reading “Cisco の Secure Email Gateways の簡単な回避方法：匿名の研究者が詳細を公表”PoC Code Published for High-Severity macOS Sandbox Escape Vulnerability
2022/11/21 SecurityWeek — あるセキュリティ研究者が、サンドボックス・エスケープによりターミナル内でのコード実行に悪用される可能性のある、macOS の脆弱性の詳細および PoC コードを公開した。この脆弱性 CVE-2022-26696 (CVSS：7.8) は、2021年に発見／報告されたものであり、2022年5月にリリースされた macOS Monterey 12.4 でパッチが提供されている。Apple はアドバイザリで、「この脆弱性は、サンドボックス制限のバイパスを可能にするが、環境のサニタイズを改善することで解決した」と述べている。
Continue reading “macOS サンドボックス・エスケープの脆弱性 CVE-2022-26696：PoC コードが公開”New attacks use Windows security bypass zero-day to drop malware
2022/11/19 BleepingComputer — 新たに発見されたフィッシング攻撃は、Windows のゼロデイ脆弱性を利用して、Mark of the Web のセキュリティ警告を表示せずに、マルウェア Qbot をドロップするものだ。Web やメールなどを介して、信頼できないリモートからのファイルがダウンロードされると、Windows は Mark of the Web (MoTW) と呼ばれる特別フラグを、それらのファイルに追加する。
Continue reading “Windows の MoTW ゼロデイを悪用：Qbot 投下フィッシング・キャンペーンが発覚”Samba Patches Vulnerability That Can Lead to DoS, Remote Code Execution
2022/11/18 SecurityWeek — 今週に Samba は、任意のコード実行を揺する可能性のある、整数オーバーフローの脆弱性に対してパッチをリリースした。Samba は、Linux／Unix システム用のオープンソース・サーバ・メッセージ・ブロック (SMB) 実装であり、Active Directory ドメインコントローラ (AD DC) として使用できるものだ。複数の Samba リリースに影響を与える脆弱性 CVE-2022-42898 は、ユーザーに代わって別のサービスへのサービス・チケットを取得するサービスを提供する、Service for User to Proxy (S4U2proxy) ハンドラーに存在する。
Continue reading “Samba の深刻な脆弱性 CVE-2022-42898 が FIX：DoS／RCE による乗っ取りの可能性”Exploit released for actively abused ProxyNotShell Exchange bug
2022/11/18 BleepingComputer — Microsoft Exchange に存在し、ProxyNotShellと総称される２つの深刻な脆弱性に対して、PoC エクスプロイト・コードが公開された。この２つの脆弱性 CVE-2022-41082／CVE-2022-41040 は、Microsoft Exchange Server 2013／2016／2019 に影響を及ぼし、権限を昇格した攻撃者がシステムのコンテキストで PowerShell を実行することで、侵害したサーバー上で任意のコード実行またはリモート・コード実行が可能なるというものだ。
Continue reading “Exchange Server の深刻な脆弱性 ProxyNotShell：PoC エクスプロイトが公表”Thousands of Amazon RDS Snapshots Are Leaking Corporate PII
2022/11/17 DarkReading — Amazon のクラウドベース・データバックアップ・サービスを介して、毎月のように何十万ものデータベースが不注意により公開されている。このような状況を悪用する脅威アクターたちは、個人を特定できる情報 (PII : Personally Identifiable Information) にアクセスし、恐喝やランサムウェアといった脅威のアクティビティに利用されることが、研究者たちにより判明した。
Continue reading “Amazon RDS スナップショットの問題：意図しない共有により PII が漏洩”Remote Code Execution Vulnerabilities Found in F5 Products
2022/11/16 SecurityWeek — サイバー・セキュリティ企業 Rapid7 の研究者たちが、F5 製品群に影響を及ぼす複数の脆弱性および、その他の潜在的なセキュリティ問題を特定した。８月中旬に Rapid7 から F5 に調査結果がベンダーに報告され、セキュリティ・ホールやエンジニアリング・ホットフィックスなどのアドバイザリが、水曜日に両社からリリースされた。
Continue reading “F5 製品群の深刻な RCE 脆弱性が FIX：Rapid7 が報告した CVE-2022-41622 など”Researchers Reported Critical SQLi and Access Flaws in Zendesk Analytics Service
2011/11/15 TheHackerNews — サイバー・セキュリティ研究者たちが、Zendesk Explore に存在する欠陥 (パッチ適用済み) の詳細を公開した。この脆弱性の悪用に成功した攻撃者は、Explore 機能を ON にした顧客アカウントの情報に、不正にアクセスする可能性があったとされる。
Continue reading “Zendesk Explore の深刻な脆弱性が FIX：GraphQL API で SQL インジェクションが発生”Remote Code Execution Discovered in Spotify’s Backstage
2022/11/15 InfoSecurity — Spotify のオープンソース・プロジェクトである、Cloud Native Computing Foundation (CNCF) インキュベーション Backstage で、リモートコード実行 (RCE) にいたる可能性のある脆弱性が発見された。この発見は、Oxeye リサーチ・によるものであり、vm2 というサードパーティ・ライブラリを介して、仮想マシン (VM) のサンドボックス・エスケープを悪用するものである。
Continue reading “Spotify Backstage における深刻な脆弱性：インターネット上に 500以上のインスタンスが公開”Why CVE Management as a Primary Strategy Doesn’t Work
2022/11/12 DarkReading — セキュリティ研究者である私にとって、一般的な脆弱性と暴露 (CVE) は問題だが、その理由は、あなたが思うものではない。IT とセキュリティのチームは、CVE がもたらす脅威と膨大な修正作業のために CVE を嫌っているが、私が悩むのは、セキュリティための手続きと CVE との関係についてである。私たちが本当に必要としているのは、ハッカー中心のアプローチであるはずなのだが、私たちの緩和戦略は脆弱性管理に集中し、CVE 中心になってしまっている。
Continue reading “CVE 管理は主要な戦略ではない：攻撃者が用いる手口に注目すべきだ”CISA Releases Decision Tree Model to Help Companies Prioritize Vulnerability Patching
2022/11/11 SecurityWeek — 11月10日に米国の CISA (Cybersecurity and Infrastructure Security Agency) は、脆弱性パッチの優先順位を付ける組織が、ディシジョン・ツリー・モデルを用いる際に役立つ SSVC (Stakeholder-Specific Vulnerability Categorization) ガイドを公開した。SSVC システムは、CISA とカーネギーメロン大学の Software Engineering Institute (SEI) が 2019年に作成したものだ。翌年である 2022年に CISA は、政府機関や重要インフラ組織に関連するセキュリティ欠陥に対して、独自にカスタマイズした SSVC デジション・ツリーを作成している。
Continue reading “CISA が SSVC を公開：パッチの優先順位とディシジョン・ツリー・モデル”5 Easy Steps to Bypass Google Pixel Lock Screens
2022/11/11 DarkReading — 2022年11月の Android アップデートには、Google Pixel のロック画面の、攻撃者によるバイパスというバグの修正版が含まれている。この Google Pixel のセキュリティ脆弱性は、研究者である David Schützにより発見され、６月に報告されたものだ。
Continue reading “Google Pixel の脆弱性 CVE-2022-20465 が FIX：ロック画面がバイパスされる”Apple out-of-band patches fix remote code execution bugs in iOS and macOS
2022/11/10 SecurityAffairs — Apple は、iOS／macOS 用の不定期パッチをリリースし、XML ドキュメント解析のための libxml2 ライブラリに存在する、２つのコード実行の脆弱性 CVE-2022-40303／CVE-2022-40304 に対処した。これらの２つの脆弱性は、Google Project Zero のセキュリティ研究者たちにより発見された。この脆弱性の悪用に成功したリモートの攻撃者は、アプリの想定外の終了や、任意のコード実行が可能になる。
Continue reading “macOS／iOS のリモート・コード実行の脆弱性が FIX：CVE-2022-40303／CVE-2022-40304”Microsoft Patches MotW Zero-Day Exploited for Malware Delivery
2022/11/09 SecurityWeek — Microsoft の最新 Patch Tuesday では、サイバー犯罪者がマルウェアを送り込むために悪用している、Mark-of-The-Web (MoTW) セキュリティ機能の欠陥などを含む、６つのゼロデイ脆弱性が対処された。Windows では、ブラウザからのダウンロード・ファイルや電子メールの添付ファイルといった、信頼できない場所から送られてくるファイルに、MoTW フラグが追加される。そして、MoTW が設定されたファイルを開こうとすると、潜在的なリスクについて警告が表示され、それが Office ファイルの場合には、悪質なコードの実行を防ぐために VBA マクロがブロックされる。
Continue reading “Microsoft の MoTW ゼロデイ脆弱性：VBA Macro ブロックに関連する重要機能”VMware Warns of 3 New Critical Flaws Affecting Workspace ONE Assist Software
2022/11/09 TheHackerNews — VMware の Workspace ONE Assist ソリューションに影響を及ぼす、５つのセキュリティ上の欠陥が修正された。このうち、最も深刻な脆弱性は、CVE-2022-31685／CVE-2022-31686／CVE-2022-31687 の３件である。これらの欠点は、そのすべてが CVSS 値 9.8 と評価されている。脆弱性 CVE-2022-31685 は、VMware Workspace ONE Assist に存在する認証バイパスの脆弱性であり、ネットワーク・アクセスが可能な攻撃者が悪用に成功すると、このアプリケーションで認証を得すことなく、Admin アクセスを取得する可能性が生じる。
Continue reading “VMware Workspace ONE Assist の脆弱性 CVE-2022-31685 などが FIX”Malicious extension lets attackers control Google Chrome remotely
2022/11/08 BleepingComputer — Cloud9 という新しい Chrome ブラウザ・ボットネットが、野放し状態で発見された。このボットネットは、悪意のエクステンションを使用して、オンライン・アカウントの窃盗／キーストロークの記録／広告や悪意の JS コードの注入／被害者のブラウザへの DDoS 攻撃などをしていたという。Cloud9 ブラウザ・ボットネットは、Google Chrome／Microsoft Edge を含む Chromium Web ブラウザ用のリモート・アクセス型トロイの木馬 (RAT：Remote Access Trojan) であり、脅威アクターによるリモート・コマンドの実行を可能にする。
Continue reading “Cloud9 は Chrome ボットネット：リモート操作＋多彩な機能で攻めてくる”Citrix urges admins to patch critical ADC, Gateway auth bypass
2022/11/08 BleepingComputer — Citrix は、Citrix ADC／Citrix Gateway の深刻な認証バイパスの脆弱性に対するセキュリティ・アップデートをインストールするよう、顧客に促している。Citrix ADC／Citrix Gateway における３つの脆弱性は、特定の環境下において、攻撃者によるデバイスへの不正アクセスおよび、リモート・デスクトップの乗っ取り、ログイン・ブルートフォースによるプロテクションの回避などを可能にするものだ。
Continue reading “Citrix ADC／Gateway 認証バイパスの脆弱性が FIX：直ちにパッチ適用を！”Microsoft fixes ProxyNotShell Exchange zero-days exploited in attacks
2022/11/08 BleepingComputer — Microsoft Exchange に存在し、野放し状態で悪用されている、ProxyNotShell と名付けられた２つのゼロデイ脆弱性に対して、セキュリティ更新プログラムがリリースされた。2022年9月以降において、この２つのセキュリティ欠陥を連鎖させた攻撃者は、侵害したサーバ上に Chinese Chopper Web シェルを展開し、永続性を確保しながら被害者のネットワーク内で横方向へと移動することで、データを窃取してきたと思われる。
Continue reading “Microsoft Exchange のゼロデイ ProxyNotShell が FIX：2013／2016／2019 に影響”
IoT OT Security News 
You must be logged in to post a comment.