Vulnerability – Page 72 – IoT OT Security News

金融サービスとサイバー攻撃：拡大する攻撃対象を保護する４つのステップとは？

4 Steps Financial Industry Can Take to Cope With Their Growing Attack Surface

2022/07/26 TheHackerNews — 金融サービス業界は、常にテクノロジー導入の最前線にあるが、2020年のパンデミックにより、モバイルバンキング・アプリ／チャットベースの顧客サービスなどの、デジタルツールの普及が加速した。Adobe の 2022 FIS Trends Report によると、調査対象となった金融サービス／保険会社の半数以上が、2020年上半期のデジタル／モバイルビジター数が著しく増加したという。

FileWave MDM における深刻なリモート攻撃の脆弱性 CVE-2022-34906 などが FIX

Critical FileWave MDM Flaws Open Organization-Managed Devices to Remote Hackers

2022/07/26 TheHackerNews — FileWave の Mobile Device Management (MDM) システムに、リモート攻撃を許し、接続されているデバイス群の制御を許してしまう、２つの深刻なセキュリティ脆弱性が発見された。Claroty のセキュリティ研究者である Noam Moshe は、月曜日のレポートで、「これらの脆弱性はリモートから悪用が可能であり、攻撃者は認証メカニズムを回避し、MDM プラットフォームと管理デバイスを完全に制御することができる」と説明している。

PrestaShop のゼロデイ CVE-2022-36408 の悪用：オンラインストアから決済データを窃取

Hackers Exploit PrestaShop Zero-Day to Steal Payment Data from Online Stores

2022/07/25 TheHackerNews — 脅威アクターたちが、オープンソースの eコマース・プラットフォーム PrestaShop の未知の脆弱性を悪用し、機密情報の窃取を目的としたスキマー・コードを注入するという、悪質な攻撃を行っているようだ。7月22日に発表されたアドバイザリで PrestaShop は、「攻撃者は、PrestaShop を運用しているサーバー上で任意のコードを実行するために、セキュリティの脆弱性を悪用する方法を発見した」と説明している。

Drupal Core に複数の脆弱性：任意の PHP コード実行 CVE-2022-25277 などが FIX

Drupal developers fixed a code execution flaw in the popular CMS

2022/07/25 SecurityAffairs — 人気の CMS である Drupal に存在する、複数の脆弱性に対応するセキュリティ・アップデートがリリースされた。これらの脆弱性については、米国 Cybersecurity and Infrastructure Security Agency (CISA) もアドバイザリを発表している。この中で最も深刻なものは、任意の PHP コード実行の脆弱性 CVE-2022-25277 (深刻度：Critical）だ。

SonicWall 警告：SQL インジェクションの深刻な脆弱性へのパッチ適用を推奨

SonicWall: Patch critical SQL injection bug immediately

2022/07/22 BleepingComputer — 今日、SonicWall は、GMS (Global Management System)／Analytics On-Prem 製品における、SQL インジェクションの脆弱性に対してセキュリティ・アドバイザリを公開した。SonicWall PSIRT は、このアドバイザリで、Analytics On-Prem の以下のバージョンを使用しているユーザーに対して、パッチ適用済みバージョンへの迅速なアップグレードすることを強く推奨している。

Twitter のアカウント情報が大量に流出：548万人分が $30k で販売されている

Hacker selling Twitter account data of 5.4 million users for $30k

2022/07/22 BleepingComputer — Twitter の脆弱性が脅威アクターに悪用されたことで、540万件のアカウントに関する電話番号と電子メールアドレスのデータベースが構築され、そのデータがハッカー・フォーラムで $30,000 で販売されるというデータ侵害が生じている。昨日に devil と呼ばれる脅威アクターが、このデータベースには有名人／企業／一般的なユーザーを含む、さまざまなアカウントに関する情報が含まれていると、ダークウェブで述べている。

Google Chrome のゼロデイ脆弱性 CVE-2022-2294：Candiru スパイウェアが悪用

Chrome zero-day used to infect journalists with Candiru spyware

2022/07/21 BleepingComputer — イスラエルのスパイウェア・ベンダー Candiru が、Google Chrome のゼロデイ脆弱性を悪用していたことが判明した。彼らはスパイウェア DevilsTongue を用い、中東のジャーナリストや、彼らと利害関係のある人々に対してスパイ活動を行っていた。このヒープバッファ・オーバーフローの脆弱性 CVE-2022-2294 は、WebRTC に存在するものだ。悪用に成功した攻撃者が、ターゲット・デバイス上でコードを実行する可能性がある。Google は、2022年7月4日に、この脆弱性にゼロデイ・パッチを適用した際に、活発に悪用されていることを明らかにしていたが、それ以上の詳細は提供しなかった。

Apple iOS／iPadOS／macOS／tvOS／watchOS における 37件の脆弱性が FIX

Apple fixes multiple flaws in iOS, iPadOS, macOS, tvOS, and watchOS devices

2022/07/21 SecurityAffairs — Apple は、iOS／iPadOS／macOS／tvOS／watchOS を搭載する各デバイスに、影響を与える 37件の脆弱性を修正するセキュリティ・アップデートを公開した。今回、Apple が対応した欠陥には、任意のコードの実行／特権の昇格／サービス拒否 (DoS)／情報漏えいなどにつながるものが含まれる。

Microsoft の Office マクロ問題：無効化 → 有効化 → 再無効化という紆余曲折

Microsoft starts blocking Office macros by default, once again

2022/07/21 BleepingComputer — 今日 Microsoftは、今月の初めに一時的に取りやめていた、ダウンロードした Office 文書における VBA マクロの自動ブロックの展開を、ユーザーからのフィードバックにより再開したと発表した。この変更は、マクロがブロックされたときに利用可能な、オプションを理解しやすくするために、ユーザーと管理者に対するサポート・ドキュメントを改善した後に行われた。

産業制御システム (ICS) に 681件の脆弱性：2022年上半期のレポート

Hundreds of ICS Vulnerabilities Disclosed in First Half of 2022

2022/07/21 SecurityWeek — 2022年上半期に、米国の CISA (Cybersecurity and Infrastructure Security Agency) が開示した ICS (industrial control system) 製品の脆弱性が 600件以上にのぼることが、産業用資産・ネットワーク監視企業の SynSaber の分析により判明した。SynSaber は、CISA が開示した脆弱性を 681件とカウントしており、これは 2021年上半期の 637 件を若干上回る。しかし、すべての公表された ICS の脆弱性に対して、CISA がアドバイザリーを発行しているわけではない。そのため、1月〜6月に公開された問題の実数は、より多くなる可能性があると見られている。

Atlassian の Questions for Confluence：パスワード・ハードコードの脆弱性が FIX

Atlassian fixes critical Confluence hardcoded credentials flaw

2022/07/20 BleepingComputer — Atlassian は、Confluence Server／Data Center に存在するハードコードされた認証情報の脆弱性を修正し、リモートの未認証の攻撃者による、未パッチ・サーバーにログインを阻止した。このハードコードされたパスワードは、ユーザー名 disabledsystemuser のユーザー・アカウントで Questions for Confluence アプリ (Ver 2.7.34／2.7.35, 3.0.20) をインストールした後に追加され、管理者がアプリから Confluence Cloud にデータを移行する際に役立つように設計されている。

Oracle の July 2022 Critical Patch Update：349 件のセキュリティ・パッチをリリース

Oracle Releases 349 New Security Patches With July 2022 CPU

2022/07/20 SecurityWeek — 7月19日に Oracle は、July 2022 Critical Patch Update (CPU) を発表し、合計で 349件の新しいセキュリティ・パッチをリリースしたが、そこには、リモートの未認証の攻撃者が悪用できる脆弱性 230件も含まれる。今月の Critical Patch Update (CPU) には、CVSS 値が 10 である４件を含む、64件の Critical な脆弱性に対するセキュリティ・パッチが提供され、CVSS 値が 8〜9 である 20件をの脆弱性にも対処されている。

Okta の脆弱性：研究者たちが指摘するパスワード窃取の可能性とは？

Okta Exposes Passwords in Clear Text for Possible Theft

2022/07/20 DarkReading — Authomize の研究者たちの指摘によると、ID／アクセス管理プロバイダーの Okta が、深刻なセキュリティ脆弱性に直面しているようだ。この脆弱性により、脅威アクターは、プラットフォームへのリモート・アクセスが容易になり、平文のパスワードを抽出し、下流アプリのユーザーになりすまし、ログを改ざんして痕跡を消すことが可能になる。しかし Okta は、この指摘に対し、これはアプリの脆弱性ではなく機能であり、アプリは設計通りに動作していると述べている。

米国 CISA がロンドンに新事務所を開設：国境を越えた協調を強く意識していく

US Cybersecurity Agency CISA to Open London Office

2022/07/19 SecurityWeek — 今日、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、国際的な協力／連携の強化を図るために、英国に事務所を開設すると発表した。今月末にロンドンに開設される、この CISA 初の駐在官事務所は、CISA／米連邦機関／英国政府などの関係者たちにとって、国際的な協力の中心地となることを目的としている。

GPS トラッカーに深刻なゼロデイ脆弱性：150万台の産業用車両に影響を及ぼす MiCODUS MV720 の問題とは？

2022/07/19 BleepingComputer — 脆弱性研究者たちは、169カ国の約 150万台の車両に搭載されていると宣伝される、GPS トラッカーにセキュリティ上の問題があることを発見した。MiCODUS MV720 は、Fortune 50／欧州の各政府／米国の各州／南米の軍事機関／原子力発電所運営会社などが使用する車両に搭載されているが、合計で６件の脆弱性が存在しているという。

PLC／HMI パスワード・クラッキング・ツールによるマルウェア配信とは？

PLC and HMI Password Cracking Tools Deliver Malware

2022/07/18 SecurityWeek — HMI／PLC などの産業用製品のパスワードを解読できると主張するツールに、ゼロデイ脆弱性が発見され、これらのツールを使ったマルウェア配信が、脅威アクターにより行われていることが判明した。組織内の産業用システムを担当するエンジニアが、ある日、突然に、更新が必要な PLC／HMI や、プロジェクト・ファイルがパスワードで保護され、ログインできないとうい状況に直面することがある (パスワードの失念や、退職者による設定)。

CISA 警告：Juniper の深刻な脆弱性に対して迅速なアップデート適用を推奨

CISA urges to fix multiple critical flaws in Juniper Networks products

2022/07/16 SecurityAffairs — CISA が発した警告は、Juniper Networks 製品のユーザーと管理者たちに対して、同社のセキュリティ・アドバイザリを確認し、Junos Space／Contrail Networking／NorthStar Controller などの一部の製品について、利用可能なアップデートの適用を促すものだ。これらの脆弱性の悪用に成功した脅威アクターたちは、影響を受けるシステムの乗っ取りが可能になるという。

WordPress Plugin の脆弱性：160万のサイトをスキャンするキャンペーンが見つかった

Attackers scan 1.6 million WordPress sites for vulnerable plugin

2022/07/15 BleepingComputer — セキュリティ研究者たちは、160万近い WordPress サイトをスキャンし、認証なしでファイルをアップロードする脆弱なプラグインの存在を探し出そうとする、大規模なキャンペーンを検出した。この攻撃者は、Kaswara Modern WPBakery Page Builderをターゲットにしているが、真の狙いは深刻な脆弱性 CVE-2021-24284 に対するパッチを受ける前に、作者により放棄されたサイトへの攻撃にある。

Log4j ソフトウェア攻撃はエンデミックへ向かう：ただし完全な消滅には 10年を要する

Log4j Software Flaw ‘Endemic,’ New Cyber Safety Panel Says

2022/07/14 SecurityWeek — ジョー・バイデン大統領が設立した、新しい Cyber Safety Review Board によると、昨年に発見された、どこにでもあるソフトウェアに存在する脆弱性は、潜在的に 10年以上にわたってセキュリティ・リスクをもたらす風土病のようなものになるという。木曜日の報告書で、このサイバー安全審査委員会は、Log4j の脆弱性 CVE-2021-44228 による大規模なサイバー攻撃の兆候はないが、今後の数年間は悪用され続けるだろうと述べている。

Microsoft が詳述：Apple iOS／macOS のサンドボックス・エスケープの脆弱性

Microsoft Details App Sandbox Escape Bug Impacting Apple iOS, iPadOS, macOS Devices

2022/07/14 TheHackerNews — 水曜日に Microsoft は、Apple の OS に影響を及ぼすセキュリティ脆弱性 (パッチ適用済み) について詳細を明らかにした。この脆弱性の悪用に成功した攻撃者は、対象デバイスで特権へ昇格し、マルウェアを展開できるようになる。Microsoft 365 Defender Research Team の Jonathan Bar Or は、「攻撃者は、このサンドボックス脱出の脆弱性を悪用し、影響が生じるデバイス上で昇格した特権を取得し、悪意のコマンド実行により、追加のペイロードをインストールできる」と記述している。

VMware vCenter Server の脆弱性 CVE-2021-22048：公開から8ヶ月で FIX

VMware patches vCenter Server flaw disclosed in November

2022/07/12 BleepingComputer — VMware は、8ヶ月前に公開された、vCenter Server の IWA (Integrated Windows Authentication) 認証メカニズムに存在する、深刻な権限昇格の脆弱性 CVE-2021-22048 に対して、ついにパッチをリリースした。CrowdStrike の Yaron Zinar と Sagi Sheinfeld により報告された、この脆弱性 CVE-2021-22048 は、VMware Cloud Foundation にも影響をおよぼすものだ。

Microsoft Azure Site Recovery の脆弱性が FIX：２件の RCE と 30件の権限昇格に対応

Microsoft fixes dozens of Azure Site Recovery privilege escalation bugs

2022/07/12 BleepingComputer — Microsoft は、Azure Site Recovery suite に存在する、権限昇格／リモート・コード実行などの 32件の脆弱性を修正した。Azure Site Recovery は、なんらかの問題が検出されたときに、自動的にセカンダリ拠点にワークロードをフェイル・オーバーさせる、ディザスター・リカバリー・サービスである。Microsoft July 2022 Patch Tuesday で修正された 84件の脆弱性のうち、Azure Site Recovery の脆弱性は、3分の1以上を占めている。

Microsoft 2022-07 月例アップデートは１件のゼロデイと 84件の脆弱性に対応

Microsoft Releases Fix for Zero-Day Flaw in July 2022 Security Patch Rollout

2022/07/12 TheHackerNews — 今日は、Microsoft July 2022 Patch Tuesday の日だ。今月は、野放し状態で悪用されているゼロデイ脆弱性を含む、合計で 84件の脆弱性が修正された。今日のアップデートで修正された 84件の脆弱性のうち、4件が Critical、80件が Important に分類されている。また、これとは別に、Chromium-based Edge の２件の脆弱性も修正された。そのうちの１件は、活発に攻撃されていると Google が公表した、ゼロデイ脆弱性に対応している。

Microsoft Windows の Autopatch が開始：Enterprise E3／E5 ライセンスを持つ顧客が対象

Microsoft Windows Autopatch is Now Generally Available for Enterprise Systems

2922/07/11 TheHackerNews — 月曜日に Microsoft は、登録されたエンドポイントで Windows／Office ソフトウェアを自動的に最新の状態に保つ、Autopatch と呼ばれる機能の一般提供を発表した。Microsoft が月例セキュリティ・パッチをリリースする前日に、この機能は発表されており、Windows Enterprise E3／E5 ライセンスを持つ顧客が利用できるものとなる。ただし、Windows Education (A3) および Windows Front Line Worker (F3) ライセンスには対応していない。

Honda 車両のロック解除／エンジン始動を可能にする Rolling-PWN 攻撃とは？

Experts demonstrate how to unlock several Honda models via Rolling-PWN attack

2022/07/10 SecurityAffairs — Star-V Lab のセキュリティ研究者 Kevin2600 と Wesley Li のチームが、脆弱性 CVE-2021-46145 に対する Rolling-PWN 攻撃により、Honda 車両のロック解除や発進を可能になることを発見した。研究者たちが、車両の解錠／発進を遠隔操作で可能にする Remote Keyless Entry System (RKE) をテストしたところ、リモートで車両の解錠／施錠ができる Rolling-PWN 攻撃の問題が発見された。専門家たちによると、この問題は、2012年〜2022年に販売された全ての Honda 車に影響するとのことだ。

Windows の脆弱性 Follina CVE-2022-30190 を悪用する Rozena バックドアに注意！

Hackers Exploiting Follina Bug to Deploy Rozena Backdoor

2022/07/09 TheHackerNews — 新たに観測されたフィッシング・キャンペーンは、先日に公開された脆弱性 Follina (CVE-2022-30190) を悪用し、これまで文書化されていなかったバックドアを、Windows システム上に配布するものだった。今週に発表したレポートで、Fortinet FortiGuard Labs の研究者である Cara Lin は、「Rozena は、攻撃者のマシンに戻ってリモートシェル接続を注入することが可能なバックドア・マルウェアだ」と述べている。

Cisco の深刻な脆弱性 CVE-2022-20812 が FIX：機密ファイルの書き換えが生じる？

Cisco fixed a critical arbitrary File Overwrite flaw in Enterprise Communication solutions

2022/07/08 SecurityAffairs — Cisco は、Expressway シリーズおよび、TelePresence Video Communication Server (VCS) に存在する、深刻な脆弱性 CVE-2022-20812 (CVSS：9.0) に対処するセキュリティ・パッチをリリースした。この脆弱性の悪用に成功した攻撃者は、ルート権限で基礎となるオペレーティング・システム上のファイルを上書できる。この脆弱性は、Expressway Control (Expressway-C) および Expressway Edge (Expressway-E) デバイスに影響する。

API と Log in With Google：脆弱な実装による暗号通貨ウォレット・アカウントの乗っ取り

Buggy ‘Log in With Google’ API Implementation Opens Crypto Wallets to Account Takeover

2022/07/07 DarkReading — 世界中に 200万人以上のユーザーを有し、$3 billion 相当の Bitcoin を管理する暗号通貨ウォレット・サービスに、外部認証ログインの実装方法に関連する API の脆弱性が存在することが判明した。現在において、この脆弱性は修正されているが、研究者たちは、この発見は API を安全に実装することの難しさを物語っていると指摘している。

Cisco／Fortinet 製品群の深刻な脆弱性 CVE-2022-20812／CVE-2022-26117 などが FIX

Cisco and Fortinet Release Security Patches for Multiple Products

2022/07/06 TheHackerNews — 水曜日に Cisco は、複数の製品に存在する 10件のセキュリティ欠陥に対するパッチを配布した。そのうちの１件は、深刻度 Critical と評価され、絶対パストラバーサル攻撃を行うために武器となる可能性がある。Cisco Expressway および Cisco TelePresence Video Communication Server (VCS) に影響を及ぼす、脆弱性 CVE-2022-20812 および CVE-2022-20813 について、Cisco は「リモート攻撃者が任意のファイルを上書きし、影響を受けるデバイスで NULL バイト・ポイズニング攻撃を行える」と述べている。

OpenSSL の深刻な脆弱性 CVE-2022-2274 が FIX：RCE にいたる恐れがある

OpenSSL Releases Patch for High-Severity Bug that Could Lead to RCE Attacks

2022/07/06 TheHackerNews — OpenSSL プロジェクトのメンテナたちは、特定のシナリオでリモートコード実行につながる可能性のある、暗号ライブラリに存在する極めて深刻なバグに対処するパッチを公開した。この脆弱性には、識別子 CVE-2022-2274 が割り当てられており、2022年6月21日にリリースされた OpenSSL Ver 3.0.4 で取り込まれてしまった、RSA 秘密鍵操作によるヒープメモリ破壊に起因すると説明されている。

Windows Server と NTLM リレー攻撃：脆弱性 ShadowCoerce は密かに修正されたのか？

Microsoft quietly fixes ShadowCoerce Windows NTLM Relay bug

2022/07/05 BleepingComputer — Microsoft は、May 2022 Update において、Windows サーバを標的とした NTLM (Windows New Technology LAN Manager) リレー攻撃を可能にする脆弱性 ShadowCoerce を修正した。この NTLM リレー攻撃は、パッチ未適用のサーバを、自身の支配下にあるサーバに対して強制的に認証させることで、Windows ドメインを乗っ取るというものだ。この問題は非公開であるが、BleepingComputer が Microsoft の広報担当者に確認したところ、「MS-FSRVP coercion abuse PoC (ShadowCoerce) は、同じコンポーネントに影響を与える、脆弱性 CVE-2022-30154 への対策で緩和された」とのことだ。

Zoho ManageEngine ADAudit Plus のバグ：Active Directory アカウント侵害にいたる

Zoho ManageEngine ADAudit Plus bug gets public RCE exploit

2022/07/01 BleepingComputer — セキュリティ研究者たちは、Active Directory のアクティビティを監視するツール Zoho ManageEngine ADAudit Plus に存在する、深刻な脆弱性 CVE-2022-28219 (CVSS：9.8)の技術詳細と概念実証のためのエクスプロイト・コードを公開した。この脆弱性により、未認証の攻撃者がリモートでコードを実行し、Active Directory のアカウントを侵害することが可能になる。Horizon3.ai のセキュリティ研究者 Naveen Sunkavally から報告を受けた Zoho は、３月末に ADAudit Plus build 7060 で、この問題に対処している。

Jenkins Plugin 29種類にゼロデイ脆弱性：パッチの適用／未適用の確認が重要

Jenkins discloses dozens of zero-day bugs in multiple plugins

2022/07/01 BleepingComputer — 木曜日に Jenkins セキュリティ・チームは、オープンソースの自動化サーバ Jenkins における 29種類のプラグインに影響を与える、34件のセキュリティ脆弱性を発表し、そのうち 29件のバグは、パッチ未適用のゼロデイであることを明らかにした。Jenkins は、ソフトウェアのビルド／テスト／デプロイのために、世界中の企業で使用されている極めて人気のあるプラットフォームだ (1,700以上のプラグインに対応)。Jenkins の統計によると、影響を受けたプラグインは、合計で 22,000 以上もインストールされているようだ。

Google の 2022年ゼロデイ分析：古い脆弱性の派生系が 50% を占める

Google: Half of 2022’s Zero-Days Are Variants of Previous Vulnerabilities

2022/07/01 SecurityWeek — Google Project Zeroは、2022年前半に悪用された、合計 18件のゼロデイ脆弱性を観測しており、そのうちの少なくとも半分は、以前のバグが適切に対処されていなかったことに起因していると述べている。Google Project Zero の研究者である Maddie Stone によると、今年に入ってから確認された、野放し状態だったゼロデイ脆弱性のうち９件は、組織がより包括的なパッチを適用していれば防ぐことができた可能性があるという。

MITRE が 2022年版 CWE Top-25 をリリース：NVD と CISA のデータを活用

Mitre shared 2022 CWE Top 25 most dangerous software weaknesses

2022/06/29 SecurityAffairs — MITRE が、2022年版の CWE Top-25 をリリースした。2022年において、最も危険な弱点 Top-25 を集めたリストは、組織が内部インフラを評価し、その攻撃対象領域を特定するのに役立てられる。組織のインフラ内に、これらの脆弱性が存在すると、潜在的に広範な攻撃にさらされる可能性がある。

Zimbra の UnRAR に存在する脆弱性 CVE-2022-30333 が FIX：任意のコード実行が可能？

New UnRAR Vulnerability Could Let Attackers Hack Zimbra Webmail Servers

2022/06/29 TheHackerNews — RARlab の UnRAR ユーティリティで、新たなセキュリティ脆弱性 CVE-2022-30333 が発見された。この脆弱性の悪用に成功したリモートの攻撃者は、UnRAR バイナリに依存しているシステム上で任意のコード実行が可能になる。この、Unix 版の UnRAR に存在する脆弱性は、パストラバーサル欠陥に起因するものであり、悪意を持って細工された RAR アーカイブを展開した際に、発生する可能性がある。

CISA 警告：Linux の深刻な脆弱性 PwnKit CVE-2021-4034 に直ちにパッチ適用を

CISA warns of hackers exploiting PwnKit Linux vulnerability

2022/06/29 BleepingComputer — CISA の悪用脆弱性リスト (KVE：Known Exploited Vulnerabilities Catalog) に、 Linux の深刻な脆弱性 CVE-2021-4034 が追加された。この PwnKit と呼ばれる脆弱性は、すべての主要ディストリビューション (Ubuntu／Debian／Fedora／CentOSなど) で使用されている、Polkit の pkexec コンポーネントで発見された。PwnKit とは、デフォルト設定の Linux システムにおいて、その悪用に成功した非特権ユーザーに、完全なルート権限を許してしまうメモリ破壊の脆弱性である。

OpenSSL 3.0.4 のリモートメモリ破壊の脆弱性：悪用の形跡はないがパッチ対応はこれから

OpenSSL to Release Security Patch for Remote Memory Corruption Vulnerability

2022/06/28 TheHackerNews — OpenSSL ライブラリの最新バージョン存在する脆弱性による、一部のシステムではリモートメモリ破壊が生じることが判明した。この問題は、2022年6月21日にリリースされた OpenSSL バージョン 3.0.4 で確認されており、AVX-512 命令セットを搭載した x64 システムに影響を及ぼすという。ただし、OpenSSL 1.1.1 および、OpenSSL フォークである BoringSSL と LibreSSL は影響を受けない。

Atlassian Confluence の脆弱性 CVE-2022-26134：50件のアクセス権を販売する驚異アクターが登場

Threat actors sell access to tens of vulnerable networks compromised by exploiting Atlassian 0day

2022/06/26 SecurityAffairs — 先日に発見された、Atlassian Confluence のゼロデイ欠陥 (CVE-2022-26134) の悪用により、侵入を許してしまった 50件の脆弱のネットワークへのイニシャル・アクセスが、ある脅威アクターにより販売されている。この発見は、Rapid7 Threat Intelligence チームによるものでありで、その情報は The Record で公開されている。この脆弱なネットワークへのイニシャル・アクセスは、ロシア語のフォーラム XSS で提供されていた。

CISA と CGCYBER の Log4Shell 共同勧告：依然として VMware Server はハッキング対象

CISA: Log4Shell exploits still being used to hack VMware servers

2022/06/23 BleepingComputer — 今日の CISA 警告は、Log4Shell のリモート・コード実行の脆弱性 CVE-2021-44228 が、国家を後ろ盾とするハッキング・グループなどの脅威アクターに悪用されており、VMware Horizon／Unified Access Gateway（UAG）サーバーが依然として標的にされているというものだ。攻撃者たちは、ローカルまたはインターネットにアクセスできる脆弱なサーバー上で、 Log4Shell をリモートがら悪用することで、機密データが保存される内部システムへのアクセスを獲得するまで、ネットワーク上の水平移動が可能になる。

ICS ベンダー 10社に生じた脆弱性 OT Icefall：いくつかの緩和策が提供され始めた

ICS Vendors Respond to OT:Icefall Vulnerabilities Impacting Critical Infrastructure

2022/06/23 SecurityWeek — 先日に公開された脆弱性 OT:Icefall の影響を受ける、複数の Industrial Control System (ICS) ベンダーがアドバイザリを公開し、その影響の詳細について顧客に通知し、緩和策を提供している。OT:Icefall は、Forescout の研究者たちが、OT システムを製造する 10社の製品で発見した、56件の脆弱性の集まりに付けられた名称である。これらの欠陥は、安全が確保されないエンジニアリング・プロトコル／脆弱な暗号化／壊れた認証スキーム、欠陥を伴うファームウェア・アップデート機構／ネイティブ機能の乱用などに関連するものである。

PHP の深刻な脆弱性 CVE-2019-11043 ：QNAP NAS デバイスにリモートコード実行の危険性

QNAP warns of a critical PHP flaw that could lead to remote code execution

2022/06/22 SecurityAffairs — 台湾のベンダーである QNAP は、QNAP NAS デバイスに影響をおよぼす、PHP の深刻なリモート・コード実行の脆弱性 CVE-2019-11043 (CVSS：9.8) に対処している。この脆弱性の存在により、PHP FastCGI Process Manager (FPM) の特定のコンフィグレーションにおいて、FCGI プロトコルのデータ用に確保されたメモリ領域に関連するバッファ・オーバーフローが発生し、リモートからコードが実行される可能性が生じる。

オープンソース・ソフトウェアと脆弱性の関係：実際に攻撃可能なものは３％に過ぎない

Only 3% of Open Source Software Bugs Are Actually Attackable, Researchers Say

2022/06/25 DarkReading — ソフトウェア・サプライチェーンにおけるセキュリティ・リスクが高まる中、脆弱性管理の作業負荷が増大しているが、今日の Shiftleft レポートでは、現存の脆弱性のうち、実際に攻撃者が到達可能なものは約３%に過ぎないことが示されている。このデータは、アプリケーション・セキュリティ (appsec) の専門家と開発者たちが、攻撃可能な脆弱性の修正と軽減に注力すれば、チームの負担を劇的に軽減できることを示唆している。

Windows Server の VPN／RDP／RRAS 接続に問題：6月の Patch Tuesday が悪さをしている？

Recent Windows Server updates break VPN, RDP, RRAS connections

2022/06/20 BleepingComputer — 今月の Windows Server アップデートは、Routing and Remote Access Service (RRAS) を有効にしたサーバにおける VPN／RDP 接続などで、さまざまな問題を引き起こしているようだ。RRAS とは、VPN およびダイヤルアップ接続を用いた、リモート・アクセスやサイト間の接続などの、追加の TCP 接続およびルーティングの機能を提供する Windows サービスである。

Google Project Zero の解説：５年前の Safari の脆弱性 CVE-2022-22620 が悪用された理由

Google Researchers Detail 5-Year-Old Apple Safari Vulnerability Exploited in the Wild

2022/06/20 TheHackerNews — Google Project Zero の最新レポートによると、今年の初めに野放しで悪用されていた Apple Safari のセキュリティ欠陥は、もともと2013年に修正され、2016年12月に改めて問題とされたものだ。この脆弱性 CVE-2022-22620 (CVSS : 8.8) は、WebKit コンポーネントの use-after-free に起因するものであり、特別に細工された Web コンテンツの一部により悪用され、任意のコード実行を許す可能性があるというものだ。

Atlassian Confluence の脆弱性 CVE-2022-26134：脆弱なインスタンス数は減ったが攻撃が活発化

Atlassian Confluence Server Bug Under Active Attack to Distribute Ransomware

2022/06/18 DarkReading — Atlassian Confluence Server における、先日に公開リモートコード実行 (RCE) の深刻な脆弱性が一連の攻撃に頻繁にさらされ、マルウェアやランサムウェアなどが展開されている。Sophos の研究者たちによると、Windows／Linux サーバ上で動作する脆弱な Atlassian Confluence インスタンスに対して、脅威アクターによる自動化されたエクスプロイト攻撃が、これまでの２週間で複数回観測されているという。

Cisco VPN Router のゼロデイ脆弱性 CVE-2022-20825 が FIX：ただし EOL デバイスはサポートされない

Cisco says it won’t fix zero-day RCE in end-of-life VPN routers

2022/06/16 BleepingComputer — Cisco は、未パッチのリモートコード実行の脆弱性を公開したが、生産終了した Small Business RV ルーターの所有者に対しては、新たなモデルへのアップグレードを推奨している。この脆弱性 CVE-2022-20825 は、CVSS スコア 9.8 という深刻なものである。Cisco のセキュリティ・アドバイザリによると、この脆弱性の影響を受けるデバイスでは、受信された HTTP パケットに対するユーザー入力検証が不十分だとされる。したがって、特別に細工したリクエストを Web_based 管理インターフェイスに送信することで、この脆弱性の悪用に成功した攻撃者は、root レベルの特権でコマンドを実行させることが可能になる。

Windows の RDP named pipe 問題：この脆弱に２回目の CVE-2022-24533 が採番された理由

Details of Twice-Patched Windows RDP Vulnerability Disclosed

2022/06/17 SecurityWeek — 今週に、アイデンティティ・セキュリティ企業である CyberArk の研究者たちが、Microsoft が２回にわたってパッチをリリースせざるを得なかった、Windows の RDP named pipe の脆弱性に関する技術情報を公開した。この脆弱性 CVE-2022-21893 は、2022年1月の Patch Tuesday で対処されたが、修正内容の分析により、新たな攻撃ベクターに対するパッチが漏れていることが判明した。2022年4月の Patch Tuesday で Microsoft は、この脆弱性を CVE-2022-24533 として解決している。

Sophos Firewall のゼロデイ脆弱性 CVE-2022-1040：中国の DriftingCloud APT が修正前に悪用

Chinese DriftingCloud APT exploited Sophos Firewall Zero-Day before it was fixed

2022/06/17 SecurityAffairs — Volexity の研究者たちは、Sophos Firewall のゼロデイ脆弱性が中国の脅威アクターにより悪用され、ターゲットとされた企業のクラウド・ホスト Web サーバが侵害されていたことを発見した。この脆弱性 CVE-2022-1040 は、Sophos が修正する数週間前に中国の攻撃者に悪用され、ターゲットのシステムに Web シェルがドロップされていた。2022年3月25日に Sophos は、Sophos Firewall のユーザー・ポータル／Webadmin エリアに存在する、この認証バイパスの脆弱性を修正したと発表している。なお、脆弱性 CVE-2022-1040 (CVSS：9.8) は、Sophos Firewall 18.5 MR3 (18.5.3) 以前のバージョンに影響を及ぼす。

WordPress の Ninja Forms プラグインに深刻な脆弱性：73万のサイトに強制アップデートが適用

730K WordPress sites force-updated to patch critical plugin bug

2022/06/16 BleepingComputer — WordPress サイトで使用されている Ninja Forms で脆弱性が発見され、新しいビルドへの強制アップデートが、今週に入ってから一斉に行われた。この Ninja Forms とは、100万以上のインストール数を誇るフォーム・ビルダープ・ラグインであり、野放し状態で悪用される可能性のある、深刻なセキュリティ欠陥への対処が進められている。この脆弱性は、Ninja Forms Ver 3.0 以降に存在し、複数のリリースに影響するコードインジェクションに起因するものである。