【セキュリティ ニュース】QNAP製NAS向けの複数ツールに深刻な脆弱性 - アップデートを（1ページ目 / 全1ページ）：Security NEXT
QNAP SystemsのNAS製品向けに提供されているファイル共有やバックアップツールに深刻な脆弱性が明らかとなった。 2件の脆弱性「CVE-2024-50387」「CVE-2024-50388」について、10月29日、30日にアドバイザリを公表したもの。いずれもバグバウンティコンテスト「Pwn2Own 2024」で報告を受けたという。 「CVE-2024-50387」は、ファイルやプリンタの共有に用いられる「SMB Service」に明らかとなった脆弱性で、同社は「同4.15.002」および「同h4.15.002」にて修正した。 またバックアップ機能を提供するアプリ「HBS 3 Hybrid Backup Sync」に「CVE-2024-50388」が判明。「同25.1.1.673」以降で解消されている。 いずれもアドバイザリで脆弱性の具体的な影響について言及していないが、重要度を4段
【セキュリティ ニュース】「Joomla」のAPIに深刻な脆弱性 - 早急に更新し、パスワードの変更を（1ページ目 / 全1ページ）：Security NEXT
コンテンツマネジメントシステム（CMS）である「Joomla」の開発チームは、協定世界時2月16日に最新版となる「Joomla 4.2.8」をリリースした。深刻な脆弱性へ対処しており、アップデートするとともにパスワードを変更するよう求めている。 今回のアップデートは、ウェブサービスのAPIにおいてアクセス制御に不備があり、不正アクセスを受けるおそれがある脆弱性「CVE-2023-23752」に対処したもの。2月13日の報告からわずか3日での緊急リリースで、公開にあたって事前予告も行っていた。 「同4.0.0」以降のバージョンが影響を受ける。比較的容易に悪用が可能で重要度を「高（High）」とする一方、あたえる影響については、攻撃者によってサイトの制御を奪われるおそれがあり「クリティカル（Critical）」とレーティングしている。 開発チームでは「Joomla 4.2.8」にて脆弱性を修正
【セキュリティ ニュース】正規の「リモート管理ソフト」が攻撃者のバックドアに - 米政府が警戒呼びかけ（1ページ目 / 全2ページ）：Security NEXT
遠隔より端末の管理やモニタリングを行うために提供されている正規のソフトウェアが、攻撃者によって悪用されるケースがあるとして、米政府は注意を喚起した。 リモート管理ソフトウェアを悪用した広範なサイバー攻撃キャンペーンが展開されているとして、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）や米国家安全保障局（NSA）、米MS-ISAC（Multi-State ISAC）が共同で注意を呼びかけたもの。 攻撃者はメールを通じて被害者をだまし、本来端末の管理など正当な理由のもと一般的に提供されているプログラムをダウンロードさせ、被害者の端末を操作するバックドアとして悪用していた。 少なくとも2022年6月以降に連邦行政機関職員に対する攻撃が展開されていることを確認しており、メールではヘルプデスクに見せかけ、「Norton」「McAfee」「Microsoft」「Amazon」「P
【セキュリティ ニュース】総務省、テレワークの中小企業向けセキュチェックリストを改訂（1ページ目 / 全1ページ）：Security NEXT
総務省は、「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」の改訂版を公開した。従業員用ハンドブックなどもあらたに追加している。 同省では、組織がセキュリティを確保しつつテレワークが実施できるよう「テレワークセキュリティガイドライン」とともに、あわせて外部委託コストの捻出なども難しい中小企業のシステム管理担当者向けに、優先的に実施すべきセキュリティ対策を示した手引きを提供しているが、あらたに同手引の第3版を公開したもの。同省ウェブサイトよりダウンロードできる。 より活用しやすく内容を見直したもので、ユニバーサルデザインを意識し、読みやすいデザインや文言を採用した。 解説や参考情報、リンク集など含めると100ページ以上になるが、すぐに対策状況を確認できるよう、早引きインデックスを用意。チェックリストそのものは、自社のテレワーク方式を確認し、実際にチェックする2ステップ、
【セキュリティ ニュース】「OpenSSL」に4件の脆弱性 - アップデートが公開（1ページ目 / 全1ページ）：Security NEXT
「OpenSSL」向けにセキュリティアップデートがリリースされた。4件の脆弱性を解消している。 一部スクリプトにおいて任意のコマンドを実行されるおそれがある「CVE-2022-1292」や、特定の環境下における署名検証時に検証を失敗しても成功したと誤って応答する脆弱性「CVE-2022-1343」など、あわせて4件の脆弱性が明らかとなったもの。 「CVE-2022-1292」「CVE-2022-1343」については、重要度が4段階中、上から3番目にあたる「中（Moderate）」とレーティングされており、のこる「CVE-2022-1434」「CVE-2022-1473」については「低（Low）」とした。 「OpenSSL 3.0」については、いずれも影響があり、「同1.1.1」「同1.0.2」の両系統については「CVE-2022-1292」のみ影響を受ける。サポートが終了した「同1.1.0
【セキュリティ ニュース】Fortinet、「OpenSSL」脆弱性判明受けてアップデート - 「Spring4Shell」の影響は調査中（1ページ目 / 全1ページ）：Security NEXT
Fortinet、「OpenSSL」脆弱性判明受けてアップデート - 「Spring4Shell」の影響は調査中 Fortinetは、「OpenSSL」にサービス拒否の脆弱性「CVE-2022-0778」が明らかとなった問題を受け、同社製品向けにアップデートをリリースした。 「OpenSSL」において無限ループが生じ、サービス拒否に陥る「CVE-2022-0778」の脆弱性が3月に公開され、「同3.0.2」「同1.1.1n」「同1.0.2zd」がリリースされたことを受け、同ソフトウェアを実装する同社製品においてアップデートを実施したもの。 同社製品の基本ソフトウェアである「FortiOS」をはじめ、「FortiManager」「FortiAuthenticator」「FortiAnalyzer」「FortiDeceptor」「FortiMail」「FortiRecorder」「FortiP
【セキュリティ ニュース】Linuxに脆弱性「BleedingTooth」が判明 - 近接環境からコード実行のおそれ（1ページ目 / 全2ページ）：Security NEXT
Linuxで採用されているBluetoothプロトコルスタック「BlueZ」に脆弱性「BleedingTooth」が含まれていることがわかった。アップデートが呼びかけられている。 バージョンによって影響を受ける脆弱性は異なるが、Bluetoothで通信可能な範囲から認証なしに悪用されるおそれがある3件の脆弱性が明らかとなったもの。 Googleのセキュリティ研究者であるAndy Nguyen氏が報告したもので、脆弱性は「BleedingTooth」と名付けられており、実証コード（PoC）も公開されている。いずれもソフトウェアに起因するだけでなく、悪意あるBluetoothチップにおいても悪用されるおそれがあるという。 「型の取り違え」に起因する脆弱性「CVE-2020-12351」は、カーネルの権限による任意のコード実行やサービス拒否などを引き起こすことが可能となる脆弱性。 「L2CAP（
【セキュリティ ニュース】「Magento」に複数の深刻な脆弱性 - 商用版、OSS版に影響（1ページ目 / 全1ページ）：Security NEXT
Adobe Systemsは、複数の深刻な脆弱性へ対処した「Magento」のアップデートを定例外で公開した。商用版、オープンソース版のいずれも影響を受ける。 eコマースプラットフォームである「Magento」に13件の脆弱性が明らかとなったもの。すべてのプラットフォームが影響を受ける。 コマンドインジェクションやセキュリティのバイパスなど6件の脆弱性については、悪用にあたり管理者権限が必要となるが、重要度を3段階中もっとも高い「クリティカル（Critical）」とレーティングした。いずれも悪用されるとリモートでコードを実行されるおそれがある。 重要度が次に高い「重要（Important）」とされる脆弱性4件、さらに1段階低い「中（Moderate）」とされる脆弱性3件もあわせて対処した。一部脆弱性は認証なしに悪用可能で、機密情報が漏洩したり、不正な割引が行われるおそれがあるという。 同社
【セキュリティ ニュース】Gitに深刻な脆弱性、認証情報など取得されるおそれ（1ページ目 / 全1ページ）：Security NEXT
分散型バージョン管理システム「Git」に深刻な脆弱性が含まれていることがわかった。アップデートがリリースされている。 同システムの「credential helper」において改行を含む細工したURLを用いることで、Gitクライアントより認証情報を任意のホストに送信させることが可能となる脆弱性「CVE-2020-5260」が明らかとなったもの。 米国立標準技術研究所（NIST）の脆弱性データベース「NVD」による共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.3」で「クリティカル（Critical）」とレーティングされている。 脆弱性の判明を受けて、開発チームでは脆弱性へ対処した「同2.26.1」「同2.25.3」「同2.24.2」「同2.23.2」「同2.22.3」「同2.21.2」「同2.20.3」「同2.19.4」「同2.18.3」「同2.17.4」をリリース。また脆
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
