富士通の“政府認定クラウド”への不正アクセス、ロードバランサー内で任意のコマンドが実行できる状態だった 被害状況の調査結果

富士通の“政府認定クラウド”への不正アクセス、ロードバランサー内で任意のコマンドが実行できる状態だった 被害状況の調査結果 富士通クラウドテクノロジーズのパブリッククラウド「ニフクラ」「FJcloud-V」が不正アクセスを受け、一部ユーザーの認証情報などが盗まれた可能性がある件について、同社は6月7日、不正アクセスの原因となったロードバランサー（負荷分散用の装置）が、一時的に任意のコマンドが実行できる状態にあったことなどが分かったと発表した。 富士通や専門機関などと合同で行った調査で判明したという。調査では他にも、（1）不正アクセスは、ロードバランサーの脆弱性を悪用したものだったこと、（2）ロードバランサー上に、サーバ証明書をはじめとしたユーザー証明データが圧縮されたファイルがあったこと、（3）2022年5月4日～11日の一部タイミングで、ロードバランサーを経由した通信の情報を集めた痕跡が

[oooooo4150]

BIG-IPを使ってるベンダーなんて他にいくらでもあるだろうに、なんで富士通だけ被害受けてるんだろうね。他はあんまり取り上げられてないだけ？それとも富士通の管理がザルだった？

[ryun_ryun]

どうやらBIG-IPで緊急の脆弱性が発表された3日後に不正アクセスされたっぽいね。時期的にGWだったから対応できなかったのかもしれないが、設定がもともと甘かった可能性もあるね。

[peketamin]

政府認定って言っても実際の監査はPwCとか監査法人がやってて、Pマークみたいなものだし、そういうものな気がする

[napsucks]

big-ipの問題なのかipcomの問題なのか。

[pascal256]

タイミング的にBig-IPのCVE-2022-1388かな？ まあ、割と速やかに当ててる方だとは思うけど、要求が高ければ問題なしとも言えぬよなー。難しい。

[ustar]

だからIPCOMにしておけとあれほど(言ってない)

[mysql8]

政府公認のバックドア

[monokoto01]

政府認定という言葉いらんだろ

[deep_one]

まぁロードバランサーの脆弱性報告から三日目の話。最上級のセキュリティーなら三日目はアウトなのかな？とは思ったりする。

[reihighjcj6a]

「盲人が盲人の道案内をすれば、二人とも穴に落ちてしまう。」マタイ15:14...みたいな感

[ymch7]

ガバガバクラウド

[hiroomi]

“不正アクセスは、ロードバランサーの脆弱性を悪用したものだった”

[rrringress]

犯人は政府認定クラウドに恨みでもあるのか