ZabbixにCVSS 9.9の「緊急」の脆弱性が見つかる 速やかなアップデートが必要
Zabbixは2024年8月9日（現地時間）、監視ソリューション「Zabbix」に深刻な脆弱（ぜいじゃく）性があると伝えた。この脆弱性が悪用された場合、リモートコード実行の攻撃を受け、システム全体が危険にさらされる可能性がある。 Zabbixはネットワークやサーバ、仮想マシン、クラウドサービスなどのITインフラ全体をリアルタイムで監視し、パフォーマンスデータを収集・分析するオープンソースの監視ソフトウェアだ。シンプルなアプリケーションから大規模なインフラまで、さまざまなITリソースを監視するために利用されている。 ZabbixにCVSS 9.9の脆弱性 急ぎアップデートを 今回報告された脆弱性は「CVE-2024-22116」として特定されている。共通脆弱性評価システム（CVSS）v3.1のスコア値は9.9で深刻度「緊急」（Critical）に分類されている。 影響を受けるバージョンでは制
GitHub、全サービスがデータベースの設定変更ミスでアクセス不能に。設定を元に戻して30分後に復旧
GitHubは日本時間8月15日午前8時2分（世界協定時8月14日23時2分）から8時38分までの約30分のあいだ、全てのサービスがアクセス不能となる障害が発生していたことを報告しました。 障害の原因はデータベースの設定変更ミスでした。設定変更に間違いがありGitHub内の重要なサービスがデータベースに接続できなくなったことで障害が発生。設定を元に戻すことで復旧されました。 GitHub.comの全データベースに誤った設定変更 報告の内容を時系列で見ていきましょう。 障害発生の3分前。日本時間8月15日午7時59分に、GitHub.comの全データベースに対して誤った設定変更が行われ、ルーティングサービスから送出されるヘルスチェック用のPingに応答する機能に影響がでました。 その結果、ルーティングサービスはアプリケーショントラフィックのルーティング先とすべき稼働中のデータベースが検出でき
CVE-2024-38063 (CVSS 9.8): 0-Click RCE Affects All Windows Systems
CVE-2024-38063 (CVSS 9.8): 0-Click RCE Affects All Windows Systemsby do son · August 13, 2024 In its latest Patch Tuesday security update, Microsoft has disclosed a critical vulnerability in the Windows TCP/IP stack that demands urgent attention. Among the 88 vulnerabilities addressed this August, CVE-2024-38063 stands out due to its severity and potential impact on networks worldwide. CVE-2024-38
「0.0.0.0」へのアクセスを悪用してローカル環境に侵入できる脆弱性「0.0.0.0 Day」が発見される
Chrome、FireFox、Safariといった主要ブラウザにおけるIPアドレス「0.0.0.0」の扱い方に問題があり、問題を悪用することで攻撃者が攻撃対象のローカル環境にアクセスできることが明らかになりました。問題を発見したセキュリティ企業のOligo Securityは、この脆弱(ぜいじゃく)性を「0.0.0.0 Day」と名付けて注意喚起しています。 0.0.0.0 Day: Exploiting Localhost APIs From the Browser | Oligo Security https://www.oligo.security/blog/0-0-0-0-day-exploiting-localhost-apis-from-the-browser Oligo Securityによると、主要なブラウザでは「『0.0.0.0』へのアクセスを『localhost (12
多要素認証のバイパスが可能な攻撃「Pass-The-Cookie」について
NECサイバーセキュリティ戦略統括部 セキュリティ技術センターの桐下です。 今回のブログでは、Pass-The-Cookieという攻撃手法について紹介します。Pass-The-Cookieは、多要素認証をバイパスすることが可能な強力な攻撃です。Office365(Microsoft365)を対象にデモを交えながら攻撃手法を紹介します。 Pass-The-Cookieとは、WebアプリケーションのセッションCookieを攻撃者が何らかの手段で入手し、セッションCookieを悪用して認証をバイパスする攻撃手法です。有効なセッションCookieをブラウザに投入するだけでWebアプリケーションにログインすることが可能です。セッションCookieは、ログイン成功状態を保持しています。そのため、セッションCookieを入手し、ブラウザに投入することでID/Password認証及び多要素認証要求をバイパ
【雑記】数千件のセキュリティ相談から学んだ対応方法 - 2LoD.sec
JTCのセキュリティマネージャのニキヌスです。 これまでの記事で事業会社におけるセキュリティ業務を紹介（※）してきました。 今回は、地味だが大変な「相談対応」の話です。 私が所属するセキュリティチームには、毎日、約2000人のIT部門メンバから大量の相談が届きます。 これを4～5名で対応していますが、中にはそちらに手を取られて自分のプロジェクトが進められなくなったり、労働時間が伸びてしまったりする人もいます。 相談をどう効率よくうまく捌くか？は意外と文章化されていないように思うので、これまでに身につけた自分のやり方を書いてみます。 セキュリティ相談とは 相談のゴール 相談対応の流れ 1. 相談内容の把握 2. 責任範囲の確認 3. 全体像の把握 4. 脳内簡易脅威モデリング 5. 論点の整理 6. 調整～回答 さいごに （余談）セキュリティ相談 今昔物語 ※セキュリティ業務に関する過去記事
Nessusインストールと、基本的な使用方法 - Qiita
tenableにアクセス。Nessus Essentialsのアクティベーションコードを取得する。 氏名とメールアドレスを記載する。 登録したメールアドレスにアクティベーションコードが送られてきていることを確認する。 2.Nessusマネージャーインストール ダウンロードサイト＞Nessusからrpmファイル取得 rpmファイルをサーバに格納してインストール # rpm -ivh Nessus-8.8.0-es8.x86_64.rpm warning: Nessus-8.8.0-es8.x86_64.rpm: Header V4 RSA/SHA256 Signature, key ID 1c0c4a5d: NOKEY Verifying... ################################# [100%] Preparing... ####################
［注意喚起］ブラウザ互換ライブラリ「Polyfill.io」がドメイン名ごと中国企業に売却、CloudflareとFastlyが代替となる配信を開始
［注意喚起］ブラウザ互換ライブラリ「Polyfill.io」がドメイン名ごと中国企業に売却、CloudflareとFastlyが代替となる配信を開始 開発者がブラウザの互換性を気にすることなくWebアプリケーションを開発するためのJavaScriptライブラリ「Polyfill.io」が、ドメイン名ごと中国企業に売却されたことを受けて、CloudflareとFastlyが急きょライブラリをフォークし、安全が確認されているコードの配信を開始しました（Cloudflareの発表、Fastlyの発表）。 Polyfill.ioをドメインごと中国企業に売却 Polyfill.ioはAndrew Betts氏が開発したオープンソースのJavaScriptライブラリです。Polyfill.ioを組み込むことで、ブラウザのバージョンを気にすることなくWebアプリケーションの開発を行うことができる便利なラ
systemdにバグ．/home以下のファイルが全削除される可能性あり - pyopyopyo - Linuxとかプログラミングの覚え書き -
systemdのバージョン256に /homeディレクトリ以下のファイルを削除してしまうバグがあったそうで，修正版の 256.1 がリリースされています． systemdのissuesによると，一時ファイルを一括削除する systemd-tmpfiles --purge コマンドが /home以下を不要ファイルと誤判定して削除するそうです tmpファイルを消すだけのコマンドと見せかけて，home以下も消すという邪悪なバグなので注意が必要です． 心配な人は systemd のバージョンを確認しておきましょう systemdのバージョンの確認方法 以下のコマンドを実行してsystemdのバージョンを確認します $ systemctl --version バグ有り，/homeが消える可能性がある場合 １行目にsystemd 256 (256-1)と表示されます．バグあり版です．何かの拍子に/ho
富士通Japan、“コンビニ交付”でまたまた誤交付 同社は謝罪 「全力を挙げて再発防止」
富士通Japanは4月16日、住民票のコンビニ交付システムで証明書が誤交付されたと発表した。香川県高松市で申請者とは異なる住民の住民票が発行されたという。同社のコンビニ交付システムでは、2023年にも複数回の誤交付が発生していた。 高松市では1月4日から、富士通Japanのコンビニ交付システム「Fujitsu MICJET コンビニ交付」を導入していた。しかし、コンビニ交付サービスの項目でシステムの設定ミスがあり、4月4日に別人の住民票が誤交付される事象が発生した。 富士通Japanは誤交付の原因について「複数サーバでシステムを構成している高松市向けに、本来はその構成に応じたプログラムを適用すべきところを、誤って単一サーバ構成向けのプログラムを適用していたことによるもの」と説明。16日時点では既に正しいプログラムを適用し、正常に動作することを確認したという。また、同システムを利用する全ての
「DNSに対する最悪の攻撃」 DNSSEC設計の根幹に関わる脆弱性「KeyTrap」が見つかる
「DNSに対する最悪の攻撃」 迅速なパッチ適用を推奨 ATHENEによると、KeyTrapを悪用した場合、単一のDNSパケットが結果的にCPUの使い果たしを誘導し、「Google Public DNS」やCloudflareのDNSなど広く使われているDNS実装やパブリックDNSプロバイダーを全て停止させることが可能だ。発表によると「BIND 9」を16時間ダウンさせたとされている。なお、この欠陥は「CVE-2023-50387」として特定されている。 この攻撃はインターネットの基本的な機能に深刻な影響を与え、世界中のWebクライアントの大部分が利用不能になる可能性がある。主要なDNSベンダーはこの攻撃を「これまでに発見されたDNSに対する最悪の攻撃」と呼んでおり、状況の重大さが指摘されている。 KeyTrapを悪用するサイバー攻撃者は、DNSSECを検証するDNSリゾルバを利用する全ての
全銀、「振込は本日着金」を撤回 「振込処理を実施中」に修正 「量が多く、見通し立たないため」
全国銀行資金決済ネットワーク（全銀ネット）は10月10日、全国銀行データ通信システムの不具合を巡り、すでに受け付けた振込の対応方針を変更した。当初は「バックアップ手段を用いて、受付済の取引については、本日中の着金を予定している」と説明していたが「現在、バックアップ手段を用いて、振込取引の処理を実施している」と発表文の表記を改めた。 全銀ネットは「バックアップによって、本日受け付けたものの作業を進めてているが、量が多くて本日中に対応しきれるかの見通しが立たなくなった。そのため正確な表記に改めた」と説明した。 全銀ネットは同日、システムの不具合で三菱UFJ銀行やりそな銀行など11行で他行宛の振込ができない状態になっていると発表。同日午後4時半時点ごろには原因は調査中、復旧時期は未定としながら「受付済みの振込は本日中に着金する」と発表していた。同日午後7時50分現在も原因や復旧時期などは明らかに
ANAシステム障害の原因判明、DB並列参照時にパッチ未適用の既知バグでフリーズ
全日本空輸（ANA）の国内線旅客系基幹システム「able-D」で2023年4月3日午後に発生したシステム障害の原因が判明した。周辺システムからable-Dのデータベース（DB）を参照する際、データベース管理システム（DBMS）のバグをきっかけにDBがフリーズしていた。バグは既知のものでパッチもリリースされていたが、同社はシステム構成上パッチ未適用でも問題ないとみて適用を見送っていた。 同社が2023年4月7日に開いた記者会見によると、詳しい経緯はこうだ。able-Dの周辺システムの1つにマーケティング部門が使用する「予約管理支援システム」があり、同システムはable-Dから予約データを30分ごとに抽出している。
富士通の法人向けネット接続サービスでID・パスが盗まれる ネットワーク機器に不正プログラム
富士通は2月20日、法人向けインターネット回線サービス「FENICSインターネットサービス」について、ユーザーのIDやパスワードが窃取され、不正利用されたと発表した。一部のネットワーク機器で、ログインしたユーザーのアカウント情報を窃取する不正なプログラムが動作。外部に送信されていたという。 プログラムが動作していた機器には他にも不正な機能が組み込まれていた。富士通によれば、認証を回避する機能や、ログの出力を停止する機能も動作していたという。 すでに不正なプログラムが動作していた機器は交換済み。ユーザーのID・パスワードもリセットした他、ネットワーク機器からインターネットへの通信制限を強化するなどして対策したという。 外部への不正通信が可能だった時期やユーザーも特定済みで、順次報告を進めているという。今後は不正な通信や機器の不正な挙動を早期に検知する仕組みを整えてセキュリティを強化する。3月
Java SEに脆弱性 数が多く影響範囲広く 早急に対策を
Javaの基本的なAPIをまとめた「Oracle Java SE」に複数の脆弱性が見つかったとして、情報処理推進機構（IPA）とJPCERT/CCは1月18日、早急に修正パッチを適用するよう注意を呼び掛けた。 脆弱性が見つかったのは「Oracle Java SE 19.0.1」「Oracle Java SE 17.0.5」「Oracle Java SE 11.0.17」「Oracle Java SE 8 Update 351-perf」「Oracle Java SE 8 Update 351」。 脆弱性の数が多く、攻撃された場合の影響が大きい。JPCERT/CCはJava SEを活用する製品を使っている場合もあるとして。利用中のPCやサーバに対象となる製品が含まれていないかも確認するよう促している。 関連記事 つながるクルマ、自動運転車に潜む脆弱性 不正な遠隔操作でロック解除や始動も 米ラ
OpenSSLで史上2度目の「致命的」レベルの脆弱性が発見される、2022年11月1日夜間に修正版がリリースされるため即更新を
OpenSSLに重大度「CRITICAL(致命的)」の脆弱(ぜいじゃく)性が発見されました。脆弱性への対応は迅速に行われており、日本時間の2022年11月1日22時～2022年11月2日4時の間に修正版の「OpenSSL 3.0.7」が公開予定です。OpenSSLに重大度「CRITICAL」の脆弱性が発見されたのは、2014年に報告されて世界中を騒がせた「Heartbleed」に続いて史上2回目。修正版のリリース後には、速やかにアップデートを適用する必要があります。【2022年11月2日追記】その後の分析の結果、OpenSSL 3.0.7で修正された脆弱性の重大度は「HIGH(CRITICALの1段階下)」に修正されました。 Forthcoming OpenSSL Releases https://mta.openssl.org/pipermail/openssl-announce/202
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PKfail Secure Boot bypass lets attackers install UEFI malware
regreSSHion: Remote Unauthenticated Code Execution Vulnerability in OpenSSH server | Qualys Security Blog
富士通 FENICS のネットワーク機器での不正通信、調査結果を公表 | ScanNetSecurity
OpenSSL-2022/software at main · NCSC-NL/OpenSSL-2022
