Apple Releases Security Updates to Patch Critical iOS and macOS Security Flaws
2023/12/12 TheHackerNews — 12月1日に Apple は、iOS／iPadOS／macOS／tvOS／watchOS／Safari のセキュリティ・パッチをリリースし、複数の脆弱性に対処した。さらに、先日に公開された２つのゼロデイ脆弱性についても、古いデバイスへのバックポートを行った。それらの中には、iOS／iPadOS の AVEVideoEncoder／ExtensionKit／Find My／ImageIO／Kernel／Safari Private Browsing／WebKit における、12件の脆弱性に対するアップデートも含まれる。なお、macOS Sonoma 14.2 に関しては、ncurses ライブラリに影響を及ぼす６件のバグを含む 39件の脆弱性を解決している。
Continue reading “Apple iOS／macOS の深刻な脆弱性が FIX：ゼロデイ対応も含まれる”Microsoft December 2023 Patch Tuesday fixes 34 flaws, 1 zero-day
2023/12/12 BleepingComputer — 今日は Microsoft の December 2023 Patch Tuesday であり、合計で 34件の脆弱性が修正されたが、その中には AMD CPU ゼロデイ脆弱性１件に対する更新プログラムも含まれている。Microsoft は、８件のリモート・コード実行 (RCE) バグを修正したが、そのうちの３件のみが Critical と評価されている。全体では、４件の Critical 脆弱性があり、１件はPower Platform (スプーフィング) 、２件はインターネット接続共有 (RCE)、１件はWindows MSHTML Platform (RCE) であった。
Continue reading “Microsoft 2023-12 月例アップデート：１件のゼロデイと 34件の脆弱性に対応”CVE-2023-48238: A Critical Vulnerability in json-web-token for Node.js
2023/11/18 SecurityOnline — JSON Web Tokens (JWT) は、サイバー・セキュリティの領域において、安全な通信およびデータ交換のための不可欠なツールとなっている。しかし、このような広範に使われている技術にさえも、脆弱性が潜んでいる可能性がある。Node.js 用の人気の json-web-token ライブラリで、最近になって判明した問題が、この現実を浮き彫りにしている。
Continue reading “Node.js の脆弱性 CVE-2023-48238：トークン・アルゴリズム撹乱に繋がる可能性”Open-source vulnerability disclosure: Exploitable weak spots
2023/11/09 HelpNetSecurity — オープンソース・プロジェクトの脆弱性開示プロセスの欠陥が攻撃者に悪用され、パッチが提供される前に攻撃を仕掛けるために必要な、情報を収集される可能性があると、Aqua Security の研究者たちが懸念している。”0.5-Day” の脆弱性は、メンテナには知られており、その情報は GitHub や NVD (National Vulnerability Database) に公開されているが、公式な修正プログラムが存在しない状況を指す。”0.75-Day” の脆弱性は、公式な修正プログラムは存在しているが、CVE 番号や CPE 識別子は存在しない状態を指す。したがって、脆弱性スキャンツールによる脆弱なコンポーネントの検出が不可能であり、パッチ適用の必要性に、セキュリティ・チームは気が付かない。
Continue reading “OSS における脆弱性の情報開示：悪用を防ぐための工夫をメンテナたちに伝えたい”VMware fixes critical code execution flaw in vCenter Server
2023/10/25 BleepingComputer — VMware が発表したのは、vCenter Server の脆弱性を悪用するリモートコード実行攻撃に対応するセキュリティ・アップデートである。vCenter Server は、VMware vSphere スイートの中央集権管理ハブであり、管理者たちによる仮想化インフラを管理／監視を効果的にするものだ。この脆弱性 CVE-2023-34048 (CVSS 9.8) は、Trend Micro – Zero Day Initiative の Grigory Dorodnov により報告されたものであり、vCenter の DCE/RPC プロトコル実装における境界外書き込みに起因するものだ。
Continue reading “VMware vCenter Server の脆弱性 CVE-2023-34048 が FIX：サポート終了製品も対象”Number of Cisco Devices Hacked via Unpatched Vulnerability Increases to 40,000
2023/10/19 securityweek — 複数のサイバー・セキュリティ企業からの報告によると、IOS XE に存在するパッチ未適用の脆弱性の悪用により、Cisco デバイスの約 40,000 台がハッキングされているという。悪用された脆弱性 CVE-2023-20198 は、IOS XE の Web UI に影響を及ぼす深刻な欠陥であり、リモートの未認証の攻撃者に対して、特権昇格を許す可能性があるされる。現時点においても、Cisco はパッチをリリースしていない。また、遅くとも９月中旬以降に、この脆弱性がゼロデイとして悪用されていると、同社は警告している。
Continue reading “Cisco の未パッチ・ゼロデイ CVE-2023-20198：40,000 台のハッキングが観測されている”CISA, FBI urge admins to patch Atlassian Confluence immediately
2023/10/16 BleepingComputer — 10月16日 (月) に、CISA／FBI／MS-ISAC はネットワーク管理者に対して、攻撃で積極的に悪用されている Atlassian Confluence の脆弱性に対して、直ちにパッチを適用するよう警告した。この深刻な特権昇格の脆弱性 CVE-2023-22515 は、Confluence Data Center／Server 8.0.0 以降に影響を及ぼすものであり、ユーザーによる操作を必要としない、リモートからの容易な悪用が可能なものである。
Continue reading “Atlassian の脆弱性 CVE-2023-22515：悪用について CISA／FBI／MS-ISAC が共同勧告”Microsoft October 2023 Patch Tuesday fixes 3 zero-days, 104 flaws
2023/10/10 BleepingComputer — 今日は Microsoft の October 2023 Patch Tuesday であり、104件の欠陥に対するセキュリティ更新プログラムが提供されたが、その中には３件の積極的に悪用されるゼロデイ脆弱性も含まれる。また、45件のリモート・コード実行 (RCE) のバグが修正されたが、その中の 12件の脆弱性に対してのみ、Microsoft は Critical と評価している。
Continue reading “Microsoft 2023-10 月例アップデート：３件のゼロデイと 104件の脆弱性に対応”D-Link WiFi range extender vulnerable to command injection attacks
2023/10/09 BleepingComputer — 人気の D-Link DAP-X1860 WiFi 6 Range Extender には、DoS (サービス拒否) 攻撃およびリモート・コマンド・インジェクションの脆弱性が存在する。現時点において、この製品は D-Linkのサイトで販売中と表示されており、また、Amazonでは数千件のレビューがあり、消費者の間で人気を得ている。この脆弱性を CVE-2023-45208 を発見したドイツの研究者チーム (RedTeam) は、D-Link に対して何度も警告を発したが、ベンダー側は沈黙を守っており、修正プログラムもリリースされていない状況のようだ。
Continue reading “D-Link WiFi Range Extender のセロデイ CVE-2023-45208：ベンダーに修正の意志はあるのか？”Atlassian Ships Urgent Patch for Exploited Confluence Zero-Day
2023/10/04 SecurityWeek — 10月4日 (水) に Atlassian が公表したのは、Confluence Data Center／Server 製品に存在する深刻なセキュリティ上の欠陥が、すでにゼロデイとして悪用されているという警告である。Atlassian からの緊急アドバイザリーには、「一握りの顧客が、Confluence Data Center／Server のインスタンス上で、リモートから悪用が可能な脆弱性を狙う、エクスプロイトを受けたことを確認している」と記されている。
Continue reading “Atlassian Confluence のゼロデイ CVE-2023-22515：すでに攻撃が観測されている”Exim patches three of six zero-day bugs disclosed last week
2023/10/02 BleepingComputer — Exim の３件の脆弱性に対して、パッチがリリースされた。匿名のセキュリティ研究者により発見され、Trend Micro の Zero Day Initiative (ZDI) を通じて公開された脆弱性 CVE-2023-42115 は、SMTP サービスに存在する Out-of-bounds Write の欠陥が起因するものだ。この脆弱性の悪用に成功したリモートの未認証の攻撃者は、サービス・アカウントのコンテキストで、コード実行を可能にするという。
Continue reading “Exim が脆弱性 CVE-2023-42115 などにパッチ適用：悪用には特殊な環境が必要？”Millions of Exim mail servers exposed to zero-day RCE attacks
2023/09/29 BleepingComputer — Exim MTA (Mail Transfer Agent) の、すべてのバージョンに存在する深刻なゼロデイ脆弱性により、インターネットに公開されたサーバ上で、未認証の攻撃者によるリモートコードを実行 (RCE) が引き起こされる可能性が生じている。匿名のセキュリティ研究者により発見され、Trend Micro の Zero Day Initiative (ZDI) を介して公開された脆弱性 CVE-2023-42115 は、SMTP サービスに存在する Out-of-bounds Write に起因するものだ。
Continue reading “Exim メールサーバにゼロデイ CVE-2023-42115：パッチ適用までの緩和策は？”Russian Zero-Day Broker Is Willing To Pay $20M For Zero-Day Exploits For Iphones And Android Devices
2023/09/27 SecurityAffairs — ロシアのゼロデイ・ブローカー Operation Zero が、トップクラスのモバイル・エクスプロイトに対する報酬を増額している。同社は、iPhone／Android デバイス向けのゼロデイ攻撃に対して、最高で $20 million を提示している。
Continue reading “ロシアの Operation Zero：iPhone／Android ゼロデイに $20M を提示”Apple emergency updates fix 3 new zero-days exploited in attacks
2023/09/21 BleepingComputer — Apple は、iPhone／Mac ユーザーを狙った攻撃で悪用された、新たなゼロデイ脆弱性３件を修正する緊急セキュリティアップデートをリリースした。今年に入ってから修正されたゼロデイ脆弱性は、これで合計16件となった。２つのバグは、WebKit ブラウザエンジンに存在する CVE-2023-41993 と、Security フレームワークに存在する CVE-2023-41991 である。悪意のアプリを用いた署名検証の回避や、細工された Web ページを介した任意のコード実行にいたる恐れがあるという。
Continue reading “Apple が３件のゼロデイ脆弱性を FIX：攻撃での積極的な悪用を確認”Trend Micro Patches Exploited Zero-Day Vulnerability in Endpoint Security Products
2023/09/19 SecurityWeek — 9月19日 (火) に Trend Micro は、Apex One などのエンドポイント・セキュリティ製品に影響を及ぼす、深刻な脆弱性が悪用されていると、アドバイザリで警告した。このゼロデイ CVE-2023-41179 は、Apex One／Apex One SaaS／Worry-Free Business Security 製品群に影響を及ぼすものだ。この脆弱性は、サードパーティのセキュリティ・ソフトウェアをアンインストールするための機能に起因しており、任意のコード実行に悪用される可能性があるという。
Continue reading “Trend Micro のゼロデイ脆弱性 CVE-2023-41179：Apex One などで RCE の可能性”Mozilla patches Firefox, Thunderbird against zero-day exploited in attacks
2023/09/12 BleepingComputer — 今日、Mozilla は、Firefox と Thunderbird に影響を及ぼし、野放し状態で悪用されている深刻なゼロデイ脆弱性を修正するために、緊急セキュリティ・アップデートをリリースした。この脆弱性 CVE-2023-4863 は、WebP コード・ライブラリ (libwebp) のヒープバッファ・オーバーフローに起因するものであり、その影響はクラッシュから任意のコード実行にまで及ぶという。
Continue reading “Firefox／Thunderbird のゼロデイ脆弱性 CVE-2023-4863 が FIX：WebP ライブラリの問題”Adobe Says Critical PDF Reader Zero-Day Being Exploited
2023/09/12 SecurityWeek — 9月12日 (火) に Adobe は、広く普及している Adobe Acrobat／Acrobat Reader がもたらす、新たなゼロデイ攻撃について警鐘を鳴らした。Patch Tuesday の一環として Adobe が警告したのは、リモートからの悪用が可能な脆弱性 CVE-2023-26369 により、コード実行攻撃が発生しているというものである。この欠陥について Adobe は、境界外書き込みによるメモリの安全性の問題であり、Windows／macOS 環境に影響を及ぼすと説明している。
Continue reading “Adobe Acrobat のゼロデイ CVE-2023-26369 が FIX：コード実行攻撃が発生”Microsoft September 2023 Patch Tuesday fixes 2 zero-days, 59 flaws
2023/09/12 BleepingComputer — 今日は、Microsoft の September 2023 Patch Tuesday であり、積極的に悪用されている２件のゼロデイ脆弱性を含む、全体で 59件の欠陥に対するセキュリティ・アップデートが提供されている。その一方で Microsoft は、他社製品である Electron と Autodesk の２つの欠陥と、Microsoft Edge (Chromium) に存在する４つの脆弱性に対して、9月7日に修正プログラムを公開している。
Continue reading “Microsoft 2023-09 月例アップデート：２件のゼロデイと 59件の脆弱性に対応”Google fixes another Chrome zero-day bug exploited in attacks
2023/09/11 BleepingComputer — Google Chrome 緊急セキュリティ・アップデートを公開された。それにより、今年に入ってから攻撃で悪用された、４番目のゼロデイ脆弱性が修正されている。Google は、CVE-2023-4863 のエクスプロイトが存在することを認識しているという。現時点において、この新バージョンは Stable／Extended stable チャンネルのユーザーに配布されており、今後の数日から数週間かけて、すべてのユーザーに配布されるようだ。
Continue reading “Google Chrome のゼロデイ CVE-2023-4863 が FIX：エクスプロイトの存在を確認”Apple discloses 2 new zero-days exploited to attack iPhones, Macs
2023/09/07 BleepingComputer — Apple がリリースした緊急のセキュリティ・アップデートは、iPhone／Mac ユーザーを狙う攻撃で悪用されている、２つの新たなゼロデイ脆弱性を修正するものだ。同社のアドバイザリには、「Apple は、この問題が積極的に悪用された可能性があるという報告を認識している」と記されている。それぞれの脆弱性は、Walletフ レームワークの CVE-2023-41061 と、Image I/O の CVE-2023-41064 である。
Continue reading “Apple にゼロデイ CVE-2023-41064／CVE-2023-41061：スパイウェアが狙っている”WinRAR Security Flaw Exploited in Zero-Day Attacks to Target Traders
2023/08/24 TheHackerNews — 先日にパッチが適用された WinRAR の脆弱性が、2023年4月以降においてゼロデイとして悪用されていることが、Group-IB の新たな調査結果により判明した。この脆弱性 CVE-2023-38831 の悪用に成功した脅威アクターは、ファイル拡張子を詐称し、無害に見えるイメージ・ファイルやテキスト・ファイルを装うアーカイブに、悪意のスクリプトを仕込んで起動することが可能になる。ただし、この脆弱性は、2023年8月2日にリリースされたバージョン 6.23 で、CVE-2023-40477 とともに対処されている。
Continue reading “WinRAR 脆弱性の悪用：DarkMe はマルウェアは Visual Basic のトロイの木馬”Microsoft Office update breaks actively exploited RCE attack chain
2023/08/08 BleepingComputer — Microsoft は 8月8日に、CVE-2023-36884 として追跡されている RCE 脆弱性の悪用を防ぐ、Microsoft Office のアップデートをリリースした。このアップデートは、7月に公開された CVE-2023-36884 を修正するものだ。その当時、Microsoft はパッチを適用せずに、緩和のためのアドバイスを提供していた。当初、この脆弱性は、Microsoft Office の RCE (Remote Code Execution) として報告されていたが、さらなる検証の結果、Windows Search の RCE として分類された。
Continue reading “Microsoft Office／Windows Search の RCE 脆弱性 CVE-2023-36884 が FIX”Microsoft August 2023 Patch Tuesday warns of 2 zero-days, 87 flaws
2023/08/08 BleepingComputer −−− 今日は Microsoft の August 2023 Patch Tuesday であり、積極的に悪用される脆弱性２件と、リモート・コード実行の脆弱性 23件を含む、87件の脆弱性に対するセキュリティ更新プログラムが提供された。23件の RCE バグが修正されたが、Microsoft が Critical と評価したのは、そのうちの６件のみである。
Continue reading “Microsoft 2023-08 月例アップデート：２件のゼロデイと 87件の脆弱性に対応”In 2022, more than 40% of zero-day exploits used in the wild were variations of previous issues
2023/07/30 SecurityAffairs — Google Threat Analysis Group (TAG) の Maddie Stone が、野放し状態のゼロデイ脆弱性について執筆する、2022年のイヤー・イン・レビューが公表された。これは、2019／2020／2021 年に続く、４年目のレビューでもある。研究者たちは 2022年において、アクティに悪用された 41 件のゼロデイ欠陥を開示したが、これは2014年半ばに追跡を開始して以来、２番目の記録となった。ちなみに、最悪だったのは、2021 年の 69 件である。
Continue reading “積極的に悪用された 41 件のゼロデイ脆弱性 – 2022年調査 Google TAG”Critical Zero-Days in Atera Windows Installers Expose Users to Privilege Escalation Attacks
2023/07/24 TheHackerNews — リモート監視／管理ソフトウェアである Atera の Windows インストーラーに、権限昇格のゼロデイ脆弱性が発見された。これらの脆弱性は、2023年2月28日に Mandiant により発見され、CVE-2023-26077／CVE-2023-26078 として追跡されており、Atera が 2023年4月17日にリリースした 1.8.3.7 と、2023年6月26日にリリースした 1.8.4.9 で、それぞれが修正されている。
Continue reading “Atera Windows インストーラのゼロデイ CVE-2023-26077／CVE-2023-26078：権限昇格攻撃の危険性”Citrix Zero-Day Exploited Against Critical Infrastructure Organization
2023/07/21 SecurityWeek — CISA の 7月20日の発表によると、先日に公表された Citrix のゼロデイ脆弱性 CVE-2023-3519 が、重要インフラ組織への攻撃に悪用されているようだ。CISA は、この攻撃が既知の脅威アクターによるものとは断定していない。そして CISA は、標的となった重要インフラ組織で確認された TTPs (Tactics, Techniques, and Procedures) を、潜在的な攻撃を検知する際に有効な情報として共有している。これまでにも Citrix の脆弱性は、金銭的な動機に基づくサイバー犯罪者および、国家に支援される中国などの脅威アクターといった、双方の敵対者により悪用されてきた。
Continue reading “CISA 警告 23/07/21：Citrix のゼロデイ CVE-2023-3519 がインフラ組織への攻撃で悪用”SonicWall warns admins to patch critical auth bypass bugs immediately
2023/07/12 BleepingComputer — 7月12日に SonicWall がリリースした緊急パッチは、同社のファイアウォール管理ソフトウェアである Global Management System (GMS) ／Analytics network reporting engine software suite における、複数の深刻な脆弱性に対するものである。GMS 9.3.2-SP1 以下／Analytics 2.5.0.4-R7 以下を実行している脆弱なオンプレミス・システムに対して、脅威アクターが認証を回避してアクセスする脆弱性などの、合計で 15件のセキュリティ欠陥が修正された。
Continue reading “SonicWall の認証バイパスの脆弱性 CVE-2023-34124 などが FIX：直ちにパッチ適用を！”Unpatched Office zero-day CVE-2023-36884 actively exploited in targeted attacks
2023/07/12 SecurityAffairs — Microsoft が明らかにしたのは、複数の Windows／Office 製品に存在する、パッチ未適用のゼロデイ脆弱性の悪用である。この脆弱性 CVE-2023-36884 は、悪意の Office 文書を介してリモートでコードを実行するために、国家に支援される脅威アクターやサイバー犯罪者に悪用されている。同社は、Windows／Office 製品に影響を及ぼす、一連のリモート・コード実行の脆弱性に関する報告を調査しており、特別に作成された Office 文書を用いて、この脆弱性を悪用しようとする攻撃を認識しているという。
Continue reading “Microsoft Office ゼロデイ CVE-2023-36884：標的型攻撃で活発に悪用されている”Microsoft July 2023 Patch Tuesday warns of 6 zero-days, 132 flaws
2023/07/11 BleepingComputer — 今日は Microsoft の July 2023 Patch Tuesday であり、積極的に悪用される脆弱性６件と、リモート・コード実行の脆弱性 37件を含む、132件の欠陥に対するセキュリティ更新プログラムが提供された。37件の RCE バグが修正されたが、Microsoft が Critical と評価したのは、そのうちの９件のみである。しかし、それたの RCE の欠陥のうちの１つは、依然としてパッチが適用されておらず、攻撃で積極的に悪用されていると、多くのサイバー・セキュリティ企業が指摘している。
Continue reading “Microsoft 2023-07 月例アップデート：６件のゼロデイと 132件の脆弱性に対応”Cisco Enterprise Switch Flaw Exposes Encrypted Traffic
2023/07/06 InfoSecurity — Cisco Application Centric Infrastructure (ACI) の Multi-Site CloudSec 暗号化機能に、深刻なセキュリティ脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、サイト間の暗号化されたトラフィックの読み取り／改ざんを行う可能性があるという。この脆弱性 CVE-2023-20185 は、Cisco Nexus 9000 Series Fabric Switches の 14.0 以降に影響し、特にマルチサイト・トポロジーの一部で CloudSec 暗号化機能が有効になっている場合に発生する。7月5日に Cisco は、この脆弱性を公表し、影響を受けるスイッチの CloudSec 暗号化機能で使用される、実装上の問題に起因すると述べている。
Continue reading “Cisco Enterprise Switch の脆弱性 CVE-2023-20185：暗号化されたトラフィックを暴露”Cl0p’s MOVEit Campaign Represents a New Era in Cyberattacks
2023/07/06 DarkReading — 6月1日に発見された MOVEit ファイル転送のゼロデイ脆弱性は、6月30日までに少なくとも 160社への侵入に悪用されている。この大規模な恐喝キャンペーンの成功は、ロシア支援のランサムウェア・グループ Cl0p による戦術の進化を象徴している。そして、専門家たちは、ライバルの脅威アクターの注目を集める可能性も高いとしている。MOVEit キャンペーンは、サプライチェーンに対するサイバー攻撃の将来を推測する上で、防衛側の対応方法に関するヒントにもなり得ると、Huntress は指摘している。
Continue reading “Cl0p の MOVEit キャンペーン：160社への侵入は新時代のサイバー攻撃の象徴か？”Hackers exploit zero-day in Ultimate Member WordPress plugin with 200K installs
2023/06/30 BleepingComputer — WordPress プラグインである Ultimate Member に存在する、権限昇格のゼロデイ脆弱性を悪用するハッカーにより、セキュリティ・バイパスと不正な管理者アカウント登録が発生し、多くの Web サイトが侵害されている。Ultimate Member は、WordPress サイトでのサインアップやコミュニティ構築を容易にする、ユーザー・プロファイル／メンバーシップ・プラグインであり、現時点で 20万以上のアクティブ・インストールを有する。
Continue reading “WordPress プラグイン Ultimate Member の深刻なゼロデイ脆弱性：WordFence はアンインストールを推奨”Google Patches Third Chrome Zero-Day of 2023
2023/06/06 SecurityWeek — 6月5日 (月) に Google は、2023年に入ってから Chrome で見つかった、３つ目のゼロデイ脆弱性に対してパッチを当てるセキュリティアップ・デートを公開した。Google によると、Chrome の最新バージョン 114 では、V8 JavaScript エンジンに影響をおよぼす、タイプ・コンフュージョンの脆弱性 CVE-2023-3079 などの、２件の欠陥を修正したとのことだ。同社は、この脆弱性は 6月1日に発見され、野放し状態で悪用されていると指摘したが、攻撃に関する情報は一切共有していない。
Continue reading “Google Chrome 114 がリリース：スパイウェアに悪用されるゼロデイ脆弱性に対応”Apple Patches 3 Exploited WebKit Zero-Day Vulnerabilities
2023/05/19 SecurityWeek — 5月19日にリリースされた、Apple のセキュリティ・アップデートにより、iPhone／Mac への攻撃で悪用される可能性のある、数十件の脆弱性が FIX した。その中には、ブラウザ・エンジンである WebKit に影響を及ぼす、３件のゼロデイ脆弱性も含まれている。積極的に悪用される脆弱性のうち、CVE-2023-28204／CVE-2023-32373 は、匿名の研究者たちが Apple に報告したものだ。これらの脆弱性の悪用に成功した攻撃者は、特別に細工された Web コンテンツを処理させる (悪意のサイトに誘導するなど) ことでユーザーを騙し、機密情報の漏えいや任意のコード実行を可能にするという。
Continue reading “Apple の iPhone／Mac／WebKit の脆弱性が FIX：３件のゼロデイを含む数十件の欠陥”Microsoft May 2023 Patch Tuesday fixes 3 zero-days, 38 flaws
2023/05/09 BleepingComputer — 今日は Microsoft の May 2023 Patch Tuesday の日だ。このセキュリティ更新プログラムにより、活発に悪用されるゼロデイ脆弱性３件と、合計で 38件の不具合が修正された。このうち、Critical と評価された６つの脆弱性は、リモート・コード実行にいたる恐れのあるものだ。
Continue reading “Microsoft 2023-5 月例アップデートは３件のゼロデイと 38件の脆弱性に対応”Google Patches Second Chrome Zero-Day Vulnerability of 2023
2023/04/19 SecurityWeek — 4月18日 (火) に Google は、Chrome で発見されたゼロデイ脆弱性 CVE-2023-2136 に対するパッチを公開した。このセキュリティ脆弱性は、Skia に存在する整数オーバーフローの欠陥であり、深刻度 High と評価されている。このバグの報告者は Google Threat Analysis Group の研究者 Clement Lecigne で、Google のポリシーに基づき、金銭的な報酬は発行されていない。Google はアドバイザリで、「CVE-2023-2136 のエクスプロイトが野放し状態で存在することを認識している」と述べている。
Continue reading “Google Chrome 112 がリリース：今年２つ目のゼロデイ CVE-2023-2136 などに対応”Google Chrome emergency update fixes first zero-day of 2023
2023/04/14 BleepingComputer — Google が緊急リリースした、Chrome のセキュリティ・アップデートは、2023年に入ってから初めて攻撃で悪用された、ゼロデイ脆弱性に対処するためのものだ。4月14日に同社が公開したセキュリティ・アドバイザリには、「Google は、脆弱性 CVE-2023-2033 が、野放し状態で悪用されていることを認識している」と記されている。この問題に対応した、Chrome の新バージョンは、Stable Desktop チャネルのユーザーに対して展開されており、今後の数日から数週間かけて、すべてのユーザーに行き渡る予定だという。
Continue reading “Google Chrome ゼロデイ脆弱性 CVE-2023-2033 が FIX：野放し状態での悪用を観測”Microsoft April 2023 Patch Tuesday fixes 1 zero-day, 97 flaws
2023/04/11 BleepingComputer — 今日は、Microsoft の April 2023 Patch Tuesday だ。新たに公表されたセキュリティ更新プログラムにより、活発に悪用されるゼロデイ脆弱性１件を含む、合計で 97件の欠陥が修正された。その中でも、７件の脆弱性はリモートコード実行を可能にする Critical に分類され、新たに修正された脆弱性として、最も深刻なものとなっている。
Continue reading “Microsoft 2023-4 月例アップデートは１件のゼロデイと 97件の脆弱性に対応”Google TAG shares details about exploit chains used to install commercial spyware
2023/03/29 SecurityAffairs — Android／iOS／Chrome に対して複数のゼロデイ・エクスプロイトを悪用する、２つのキャンペーンの詳細を、Google Threat Analysis Group (TAG) が公開した。専門家たちは、どちらのキャンペーンも、限定的で高度な標的型であったと述べている。攻撃の背後にいる脅威アクターは、エクスプロイトに Zero-Day と N-Day の両方を使用していたという。これらのエクスプロイト・チェーンは、ターゲットのデバイスに商用スパイウェアや悪意のアプリをインストールするために使用されていたようだ。
Continue reading “Google TAG 警告：複数の Zero-Day／N-Day エクスプロイトを用いるキャンペーンについて”2022 witnessed a drop in exploited zero-days
2023/03/21 HelpNetSecurity — 2022年に悪用されたゼロデイ脆弱性は 55件であり、2021年の 81件から減少しており、最も狙われたのは Microsoft／Google／Apple の製品だった。 この 55件のうち 53件が、脆弱なデバイス上での攻撃者による特権昇格やリモートコード実行につながるものだと、Mandiant の最新レポートは明らかにしている。
Continue reading “Microsoft／Google／Apple を悩ませたゼロデイ脆弱性： 2022年の統計結果を見てみよう”Hitachi Energy breached by Clop gang through GoAnywhere Zero-Day exploitation
2023/03/17 SecurityAffairs — 日立エネルギーが公表したデータ漏洩は、先日に公表された GoAnywhere MFT (Managed File Transfer) のゼロデイ脆弱性を悪用する、ランサムウェア集団 Clop にハッキングされデータを盗まれたというものだ。同社も、このゼロデイ脆弱性の悪用により、世界中の GoAnywhere MFT デバイスを標的とする、Clop の大規模キャンペーンの犠牲者となった。
Continue reading “GoAnywhere ゼロデイの被害者：Hitachi Energy が４番目として公表される”Fortinet zero-day attacks linked to suspected Chinese hackers
2023/03/16 BleepingComputer — Fortinet のゼロデイ脆弱性 CVE-2022-41328 を悪用してマルウェアを展開するという、政府機関に対する一連の攻撃の背景には、中国のハッカー集団の存在があるようだ。先週に Fortinet が開示したように、この脆弱性の悪用に成功した脅威アクターは、パッチ未適用の FortiGate ファイアウォール・デバイス上で、不正なコード／コマンドを実行することで、マルウェア・ペイロードを展開できるとされる。さらに、このマルウェアの分析を進めることで、データの流出／侵害デバイス上でのファイルのダウンロードと書き込み／細工された ICMP パケット受信によるリモートシェルのオープンといった、サイバースパイ活動にも利用可能なことが判明した。
Continue reading “Fortinet のゼロデイ悪用：ハッキングの背景に存在する中国系ハッカー集団とは？”Microsoft February 2023 Patch Tuesday fixes 3 exploited zero-days, 77 flaws
2023/02/14 BleepingComputer — 今日の、Microsoft February 2023 Patch Tuesday により、活発に悪用されているゼロデイ脆弱性３件を含む、合計77件の脆弱性が修正された。そのうちの９件は、脆弱なデバイスでリモート・コード実行を可能にするもので、深刻度 Critical に分類されている。
Continue reading “Microsoft 2023-2 月例アップデートは３件のゼロデイと 77件の脆弱性に対応”Apple fixes new WebKit zero-day exploited to hack iPhones, Macs
2023/02/13 BleepingComputer — Apple リリースした緊急セキュリティ・アップデートは、iPhone／iPad／Mac へのハッキング攻撃で使われる、新たなゼロデイ脆弱性に対処するものだ。今回のアップデートで修正されたゼロデイ脆弱性 CVE-2023-23529 [1, 2] は、WebKit の混乱を悪用し、侵害したデバイス上で OS クラッシュを誘発し、コード実行を許すものだ。
Continue reading “iPhone／iPad／Mac の新たなゼロデイ CVE-2023-23529 などが FIX”Two Zero-Days Fixed in December Patch Tuesday
2022/12/14 InfoSecurity — 2022年12月の Microsoft Patch Tuesday は、２つのゼロデイを含む 50件ほどの脆弱性に対処したが、そのうちの１つは野放し状態で悪用されているものだ。このうちの一握りの脆弱性は Critical と評価され、また 13件については悪用される可能性が高いと、Microsoft は説明している。したがって、年末にシステム管理者が行うべき作業が、たくさん残っていることになる。
Continue reading “Microsoft の深刻な２つのゼロデイ脆弱性：2022-12 月例アップデートで FIX”Citrix and NSA urge admins to fix actively exploited zero-day in Citrix ADC and Gateway
2022/12/13 SecurityAffairs — Citrix ADC／Gateway のゼロデイ脆弱性 CVE-2022-27518 に対する、セキュリティ・アップデートの適用が管理者たちに推奨されている。この脆弱性は、中国に関連する脅威アクターたちが標的とする、ネットワークへのアクセスのために積極的に悪用されているという。Citrix のブログポストには、「この脆弱性を悪用する、少数の標的型攻撃を認識している」と記されている。この脆弱性の悪用に成功した、認証されていないリモートの攻撃者は、対象となるアプライアンス上で任意のコード実行を可能にするという。
Continue reading “Citrix ADC／Gateway のゼロデイ CVE-2022-27518：中国の APT5 による攻撃を NSA が指摘”Fortinet Warns of Active Exploitation of New SSL-VPN Pre-auth RCE Vulnerability
2022/12/13 TheHackerNews — 月曜日に Fortinet は、同社の SSL-VPN 製品 FortiOS に影響を及ぼす深刻なセキュリティ脆弱性に対して緊急パッチをリリースし、この脆弱性が実際に悪用されていることを明らかにした。この深刻な脆弱性 CVE-2022-42475 (CVSS：9.3) は、ヒープベース・バッファ・オーバーフローの脆弱性であり、認証されていない攻撃者による、特別に細工したリクエストを介した任意のコード実行を引き起こす可能性がある。
Continue reading “Fortinet FortiOS に緊急パッチ：認証バイパスの脆弱性 CVE-2022-42475 の悪用に対応”Microsoft December 2022 Patch Tuesday fixes 2 zero-days, 49 flaws
2022/12/13 BleepingComputer — 今日の Microsoft December 2022 Patch Tuesday により、活発に悪用されている２件の脆弱性を含む、合計 49件の脆弱性が修正された。49件の脆弱性のうち６件は、リモート・コード実行を可能にするもので、Critical に分類されている。
Continue reading “Microsoft 2022-12 月例アップデートは２件のゼロデイと 49件の脆弱性に対応”Spyware Vendor Variston Exploited N-Days in Chrome, Firefox, Windows
2022/12/01 InfoSecurity — スペインの カスタム・セキュリティ・ソリューション・プロバイダーとされる Variston IT は、自社の Heliconia フレームワークで Chrome／Firefox／Microsoft Defender の N-Day 脆弱性を悪用し、ターゲット・デバイスにペイロードを展開するためのツールを配布している。これは、Google Threat Analysis Group (TAG) が、11月30日のアドバイザリで明らかにしたものであり、Google／Microsoft／Mozilla は 2021年と 2022年初旬に、この脆弱性を修正しているという。
Continue reading “Variston IT というスパイウェア：Chrome／Firefox／Defender の N-Day 脆弱性を悪用”Google pushes emergency Chrome update to fix 8th zero-day in 2022
2022/11/25 BleepingComputer — Google は、Chrome デスクトップ版のセキュリティ・アップデートを緊急リリースし、今年に入ってから攻撃で悪用された、８つ目のゼロデイ脆弱性に対応した。Google Threat Analysis Group の Clement Lecigne が、2022年11月22日に発見した、この深刻度の高い脆弱性 CVE-2022-4135 は、GPU におけるヒープバッファ・オーバーフローに起因するものだ。Google は、「CVE-2022-4135 のエクスプロイトが、野放し状態で悪用されてことを認識している」と、アップデート通知に記している。
Continue reading “Google Chrome のゼロデイ CVE-2022-4135 が FIX：野放し状態での悪用を確認”
IoT OT Security News 
You must be logged in to post a comment.