Zero Day Initiative – IoT OT Security News

Microsoft の脆弱性 CVE-2024-29988：積極的な悪用を ZDI が観測

CVE-2024-29988: ‘In-the-Wild’ Flaw Among Microsoft’s April 2024 Patch Tuesday

2024/04/09 SecurityOnline — Microsoft の April 2024 Patch Tuesday でリリースされたのは、同社のソフトウェア・エコシステム全体にまたがる、脆弱性 147件に対する大量の修正である。この膨大なアップデートと、すでにゼロデイ脆弱性が活発に悪用されているという報告が示すのは、サイバー・セキュリティにおける絶え間のない戦いである。今月のアップデートでは、Windows／Office／Azure／.NET Framework／SQL Server などにおける深刻な弱点が対象とされている。

Trend Micro が報告したExchange のゼロデイ脆弱性：スルーする Microsoft

Microsoft Says Exchange ‘Zero Days’ Disclosed by ZDI Already Patched or Not Urgent

2023/11/06 SecurityWeek — 先週に Trend Micro の Zero Day Initiative (ZDI) が公開した、Exchange の脆弱性４件について Microsoft は、すでにパッチが適用されてものがあり、早急な対応が不要なものもあるとしている。Exchange の深刻な４件の脆弱性について、Microsoft から直ちに対応する必要はないとの連絡を受けた ZDI の Piotr Bazydlo は、その存在を公表した。ZDIによると、これらの脆弱性は、９月上旬の時点で Microsoft に報告されているという。

Exchange にゼロデイ４件：軽視する Microsoft と重視する Trend Micro

New Microsoft Exchange zero-days allow RCE, data theft attacks

2023/11/03 BleepingComputer — Microsoft Exchange に存在する、４件のゼロデイ脆弱性の悪用に成功した攻撃者が、任意のリモート・コードを実行や、機密情報を開示を行う可能性が生じている。これらのゼロデイ脆弱性は、11月2日に Trend Micro の Zero Day Initiative (ZDI) が公表したものであり、2023年9月7日／8日の時点で、Trend Micro から Microsoft に報告されているという。

Exim が脆弱性 CVE-2023-42115 などにパッチ適用：悪用には特殊な環境が必要？

Exim patches three of six zero-day bugs disclosed last week

2023/10/02 BleepingComputer — Exim の３件の脆弱性に対して、パッチがリリースされた。匿名のセキュリティ研究者により発見され、Trend Micro の Zero Day Initiative (ZDI) を通じて公開された脆弱性 CVE-2023-42115 は、SMTP サービスに存在する Out-of-bounds Write の欠陥が起因するものだ。この脆弱性の悪用に成功したリモートの未認証の攻撃者は、サービス・アカウントのコンテキストで、コード実行を可能にするという。

Exim メールサーバにゼロデイ CVE-2023-42115：パッチ適用までの緩和策は？

Millions of Exim mail servers exposed to zero-day RCE attacks

2023/09/29 BleepingComputer — Exim MTA (Mail Transfer Agent) の、すべてのバージョンに存在する深刻なゼロデイ脆弱性により、インターネットに公開されたサーバ上で、未認証の攻撃者によるリモートコードを実行 (RCE) が引き起こされる可能性が生じている。匿名のセキュリティ研究者により発見され、Trend Micro の Zero Day Initiative (ZDI) を介して公開された脆弱性 CVE-2023-42115 は、SMTP サービスに存在する Out-of-bounds Write に起因するものだ。

Western Digital／Synology NAS デバイスの脆弱性：数百万ユーザーのファイルが流出

Western Digital, Synology NAS Vulnerabilities Exposed Millions of Users’ Files

2023/08/09 SecurityWeek — IoT／OT サイバー・セキュリティ企業 Claroty の調査により、Western Digital (WD) と Synology の NAS (Network Attached Storage) 製品に深刻な脆弱性が発見された。同社によると、数百万人のユーザーの、ファイルが流出した可能性があるという。これらの脆弱性と、その悪用の検証は、2022年12月に Zero Day Initiative がトロントで開催した、ハッカー・コンテスト Pwn2Own で実演されている。参加者たちはスマートフォン／プリンター／ルーター／NAS デバイス／スマート・スピーカーなどをハッキングして、総額 $1M 近くの報奨金を獲得した。

D-Link／Zyxel／Netgear デバイス：Mirai ボットネットが 22件の脆弱性を狙っている

Mirai botnet targets 22 flaws in D-Link, Zyxel, Netgear devices

2023/06/22 BleepingComputer — Mirai ボットネットの亜種が、D-Link／Arris／Zyxel／TP-Link／Tenda／Netgear／MediaTek などのデバイスを制御し、分散型サービス拒否 (DDoS) 攻撃を実行するために、約 20件の脆弱性を標的にしているという。このマルウェアは、3月14日に始まり 4月と6月に急増している。そして、この２つの進行中のキャンペーンを調査していた、Palo Alto Networks Unit 42 の研究者たちにより発見されている。6月22日に発表されたレポートの中で研究者たちは、このボットネット開発者は、悪用可能な脆弱性に関するコードを追加し続けていると警告している。

D-Link D-View 8 の脆弱性 CVE-2023-32165／CVE-2023-32169：β 版パッチがリリース

D-Link fixes two critical flaws in D-View 8 network management suite

2023/05/25 SecurityAffairs — D-Link は、D-View 8 における２つの深刻な脆弱性 (CVSS：9.8) を修正した。これらの脆弱性は、悪用に成功した攻撃者に対して、認証なしでリモート・コード実行を許すものである。D-View は、ネットワーク管理スイートであり、パフォーマンの監視やデバイスの設定を行い、効率的にネットワークを管理するためのツールだ。これらの脆弱性は、2022年12月23日に Trend Micro の Zero Day Initiative (ZDI) を通じて、D-Link に報告された。

VMware の深刻なゼロデイ脆弱性が FIX：Pwn2Own で証明された侵害チェーンに対処

VMware fixes critical zero-day exploit chain used at Pwn2Own

2023/04/25 BleepingComputer — VMware は、２つのゼロデイ脆弱性に対処するための、セキュリティ・アップデートをリリースした。それらの脆弱性の連鎖に成功した攻撃者に対して、VMware Workstation／Fusion ソフトウェア・ハイパーバイザー上で、コード実行を許す可能性がある。この２つの脆弱性は、１ヶ月前に開催された Pwn2Own Vancouver 2023 ハッキング・コンテスト Day-2 で、STAR Labs チームのセキュリティ研究者たちが、デモを行ったエクスプロイト・チェーンの一部である。

TP-Link Archer WiFi の脆弱性 CVE-2023-1389 が FIX：Mirai による悪用も検出

TP-Link Archer WiFi router flaw exploited by Mirai malware

2023/04/25 BleepingComputer — マルウェア・ボットネット Mirai は、TP-Link Archer A21 (AX1800) WiFi ルーターに存在する脆弱性 CVE-2023-1389 を積極的に悪用して、このデバイスを DDoS (分散サービス拒否) の大群に組み込んでいる。2022年12月に開催された Pwn2Own Toronto のハッキング・イベントで、この欠陥の悪用に挑んだ２つのハッキング・チームが、異なる経路 (LAN／WAN インターフェイス・アクセス) を介して、このデバイスへの侵入を成功させた。

Windows／Ubuntu／VMWare Workstation が陥落：Pwn2Own 2023 レポート Day_3

Windows, Ubuntu, and VMWare Workstation hacked on last day of Pwn2Own

2023/03/24 BleepingComputer — ハッキング・コンテスト Pwn2Own の Day-3 でセキュリティ研究者たちは、Windows 11／Ubuntu Desktop／VMware Workstation を標的とした５つのゼロデイ・エクスプロイトを実演し、$185,000 を獲得した。この日のハイライトは、Ubuntu Desktop オペレーティングシステムが、３つのチームにより３回ハッキングされたことだが、そのうちの１つは、以前から知られていたエクスプロイトと重なってしまった。

Sophos Firewall 4,000台が危険な状況：インターネットに露出するサーバの 6% が未パッチ

Over 4,000 Sophos Firewall devices vulnerable to RCE attacks

2023/01/17 BleepingComputer — インターネットに接続される 4,000 台以上の Sophos Firewall に存在する、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2022-3236 を狙って、サイバー攻撃が発生する可能性があることが判明した。Sophos Webadmin／Sophos Firewall の User Portal に存在する、このコードインジェクションの脆弱性は 2022年9月に公開され、複数の Sophos Firewall バージョンに対するホットフィックスがリリースされた (正式な修正プログラムは3カ月後の2022年12月に発行)。

Pwn2Own Toronto 2022：63件のゼロデイが発見され $1M 近い報奨金が支払われた

Researchers Find 63 Zero-Day Bugs at Latest Pwn2Own

2022/12/12 InfoSecurity — 先日の Pwn2Own コンテストの参加者は、さまざまな製品に存在する数多くのゼロデイ脆弱性を発見し、デジタル世界の安全性を高めるために貢献した。このコンテストは、Trend Micro の Zero Day Initiative (ZDI) により運営されており、ベンダーに依存しない世界最大のバグバウンティ・プログラムとなっている。

Netgear Nighthawk の脆弱性が FIX：Pwn2Own 用のエクスプロイトを無効化

Netgear Neutralizes Pwn2Own Exploits With Last-Minute Nighthawk Router Patches

2022/12/06 SecurityWeek — 先週に Netgear がリリースしたホット・フィックスにより、Nighthawk RAX30 (AX2400) ルータの誤設定により、ローカル・ネットワークのサービスへの無制限なアクセスを、リモートの攻撃者に許してしまう脆弱性が対処された。Nighthawk RAX30 の WAN インターフェースが、デフォルトで IPv6 を有効にしているにもかかわらず、IPv4 トラフィックに適用されるアクセス制限が、IPv6 トラフィックに適用されないことに、この脆弱性は起因する。

macOS サンドボックス・エスケープの脆弱性 CVE-2022-26696：PoC コードが公開

PoC Code Published for High-Severity macOS Sandbox Escape Vulnerability

2022/11/21 SecurityWeek — あるセキュリティ研究者が、サンドボックス・エスケープによりターミナル内でのコード実行に悪用される可能性のある、macOS の脆弱性の詳細および PoC コードを公開した。この脆弱性 CVE-2022-26696 (CVSS：7.8) は、2021年に発見／報告されたものであり、2022年5月にリリースされた macOS Monterey 12.4 でパッチが提供されている。Apple はアドバイザリで、「この脆弱性は、サンドボックス制限のバイパスを可能にするが、環境のサニタイズを改善することで解決した」と述べている。

Microsoft 2022-10 月例アップデートは２件のゼロデイと 84件の脆弱性に対応

Microsoft October 2022 Patch Tuesday fixes zero-day used in attacks, 84 flaws

2022/10/11 BleepingComputer — 今日は Microsoft の October 2022 Patch Tuesday だが、それに伴い、活発に悪用されている Windows の脆弱性などを含む、合計で 84件の不具合が修正された。今日のアップデートで修正された 84件の脆弱性のうち 13件は、最も深刻な Critical に分類され、特権昇格／なりすまし／リモートコード実行などを許すものだ。

Microsoft Exchange の新たな別のゼロデイ：悪用により LockBit ランサムウェアを配布？

Microsoft Exchange servers hacked to deploy LockBit ransomware

2022/10/11 BleepingComputer — Microsoft が進めている調査は、Exchange Server の新たなゼロデイ脆弱性がハッキングに悪用され、その後にランサムウェア Lockbit 攻撃の起動に使用されたという報告に対するものだ。2022年7月に発生した、少なくとも１件のインシデントでは、事前に Exchange Server に配置していた WebShell を用いて、侵入に成功した攻撃者が Active Directory 管理者への権限昇格を実行し、約 1.3TB のデータを窃取し、ネットワーク・システムの暗号化を行ったとされている。

Microsoft Exchange のゼロデイ脆弱性：ProxyNotShell の偽 PoC が販売されている

Fake Microsoft Exchange ProxyNotShell exploits for sale on GitHub

2022/10/03 BleepingComputer — 詐欺師たちがセキュリティ研究者になりすまし、新たに発見された Microsoft Exchange のゼロデイ脆弱性に対する、偽の PoC エクスプロイト ProxyNotShell を販売しているようだ。先週に、ベトナムのサイバー・セキュリティ企業 GTSC は、Microsoft Exchange の２つの新しいゼロデイ脆弱性を悪用した攻撃を、一部のユーザーが受けていたことを明らかにした。研究者たちは、Trend Micro の Zero Day Initiative と共同で、この脆弱性を Microsoft に対して非公開で報告した。Microsoft は、この脆弱性が攻撃に悪用されていることを確認し、セキュリティ更新プログラムをリリースするスケジュールを早めるとしている。

Microsoft Exchange に２つの深刻なゼロデイ脆弱性：積極的な悪用を検出

WARNING: New Unpatched Microsoft Exchange Zero-Day Under Active Exploitation

2022/09/30 TheHackerNews — セキュリティ研究者たちは、すべてのパッチが適用されているはずの Microsoft Exchange Server において、これまで公表されていなかった脆弱性が驚異アクターに悪用され、それにより侵害されたシステム上で、リモートコード実行を実現することを警告している。ベトナムのサイバー・セキュリティ企業である GTSC は、2022年8月に実施したセキュリティ監視とインシデント対応のアクティビティ一環として、この欠点を発見した。

Trend Micro 調査：2022年上半期の Linux ランサムウェア攻撃は 75％増

Ransomware attacks on Linux to surge

2022/09/05 HelpNetSecurity — Trend Micro の予測によると、今後の数年間で、Linux サーバーや組み込みシステムを標的にする、ランサムウェア・グループの攻撃が増えるとのことだ。これらのシステムに対する攻撃は、2022年上半期において、前年比で２桁の増加を記録している。

Pwn2Own Vancouver ハッキングコンテスト：Mozilla 製品群の２つのゼロデイ脆弱性が FIX

Mozilla fixes Firefox, Thunderbird zero-days exploited at Pwn2Own

2022/05/24 BleepingComputer — Pwn2Own Vancouver 2022 ハッキングコンテストで悪用が証明されたゼロデイ脆弱性に対応するために、Mozilla は複数の製品に対してセキュリティ・アップデートを公開した。具体的には、Firefox／Firefox ESR／Firefox for Android／Thunderbird の脆弱なバージョンを実行している、モバイル／デスクトップ端末で悪用に成功した攻撃者に対して、JavaScript コード実行を許してしまうという、２つの深刻な脆弱性が存在する。

Pwn2Own Vancouver 2022 ハッキング・コンテスト：Windows 11／Telsa Model 3 などが陥落

Windows 11 hacked again at Pwn2Own, Telsa Model 3 also falls

2022/05/20 BleepingComputer — Pwn2Own Vancouver 2022 ハッキング大会の２日目、出場者たちは再び Microsoft Windows 11 をハッキングし、また、Tesla Model 3 のインフォテインメント・システムにゼロデイを適用するデモを実演した。この日にデモを行った一番手は @Synacktiv チームであり、Tesla Model 3 のインフォテインメント・システムをターゲットにしながら、２つのユニークなバグ (Double-Free & OOBW) と、サンドボックス脱出のデモに成功し、$75,000 の報酬を獲得した。

Pwn2Own Miami 2022 のテーマは ICS：各種の悪用証明に $400,000 の賞金

ICS Exploits Earn Hackers $400,000 at Pwn2Own Miami 2022

2022/04/21 SecurityWeek — Industrial Control Systems (ICS) にフォーカスするハッキング・コンテスト Pwn2Own Miami 2022 が終了し、悪用を証明した出場者たちは総額で $400,000 の賞金を獲得した。この、Trend Micro の Zero Day Initiative (ZDI) が主催するコンテストでは、OPC UA Server／Control Server／Human Machine Interface／Data Gateway の各カテゴリにおいて、11人の出場者が悪用を実演した。

Delta Electronics 電力管理システムに深刻な脆弱性：ICS などにも影響が生じる？

Many Critical Flaws Patched in Delta Electronics Energy Management System

2022/03/24 SecurityWeek — 2021年8月に米国の CISA が、DIAEnergie 製品を使用している組織に通知した８件の脆弱性は、研究者である Michael Heinzl 発見したものであり、その中には Critical と評価されるものも含まれる。その当時に Heinzl は SecurityWeek に対して、これらの脆弱性が悪用されると、悲惨な結果を招く恐れがあり、また、ベンダーからパッチが出されていないと述べていた。

HP の各プリンター・シリーズの脆弱性が FIX：RCE や情報漏えいなどが生じる

Hundreds of HP printer models vulnerable to remote code execution

2022/03/22 BleepingComputer — HP は、同社のプリンタ・シリーズである LaserJet Pro／Pagewide Pro／OfficeJet／Enterprise／Large Format／DeskJet の数百モデルに影響を及ぼす、３つの深刻な脆弱性についてセキュリティ勧告を発表した。１つ目のセキュリティ・アドバイザリは、バッファ・オーバーフローの脆弱性であり、リモートからコードを実行される可能性がある。この問題は、Trend Micro の Zero Day Initiative チームにより報告され、CVE-2022-3942として追跡されている。深刻度を示す CVSS スコアは 8.4 だが、HP は Critical に位置付けている。

ESET アンチウイルス製品の脆弱性が FIX：Windows SYSTEM への権限昇格

ESET antivirus bug let attackers gain Windows SYSTEM privileges

2022/02/02 BleepingComputer — スロバキアのインターネット・セキュリティ企業である ESET は、Windows 10 および Windows Server 2016 以降を実行するシステム上の複数の製品に影響する、深刻度の高いローカル特権昇格の脆弱性に対応する、セキュリティ修正プログラムを公開した。

Pwn2Own Austin 2021 が終了：総額で１億円以上の報奨金が支払われた

White hat hackers earn over $1 Million at Pwn2Own Austin 2021

2021/11/06 SecurityAffairs — Trend Micro の Zero Day Initiative が主催するハッキングコンテスト Pwn2Own Austin 2021 が終了し、参加者は 61件のゼロデイ・エクスプロイトを成功させ、合計 $1,081,250 を獲得した。参加者は、Canon／Cisco／HP／NETGEAR／Samsung／Sonos／TP-Link／Western Digital などの、NAS デバイス／携帯電話／プリンター／ルーター／スピーカーなど侵害を証明していった。

ハッキング・コンテスト Pwn2Own：プリンタ部門で Canon／HP が陥落

Printers Hacked for First Time at Pwn2Own

2021/11/03 SecurityWeek — この火曜日に、Zero Day Initiative が主催する 2021年のハッキング・コンテスト Pwn2Own Austin が開幕され、プリンターのハッキングで報酬を獲得する参加者が、このイベント史上初めて登場した。デバイスのハッキングに焦点を当てた Pwn2Own Austin の初日も、ホワイトハット・ハッカーたちは、プリンター／NAS デバイス／ルーター／スマートスピーカーに関するエクスプロイトを実演し、総額で $360,000 以上の賞金を獲得した。