タグ検索の該当結果が少ないため、タイトル検索結果を表示しています。
「やばすぎる」 Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能 iCloudやSteam、Minecraftなど広範囲のJava製品に影響か
Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという。 この脆弱性の影響があるのは、Log4jのバージョン2.0から2.14.1までと当初みられていたが、Log4jのGitHub上の議論では、1.x系も同様の脆弱性を抱えていることが報告されている。対策には、修正済みのバージョンである2.15.0-rc2へのアップデートが推奨されている。 セキュリティニュースサイト「Cyber Kendra」によれば、この脆弱性に対して付与されるCVE番号は「CVE-2021-44228」という。 脆弱性の報告を受け、Twitter上ではITエンジニアたちが続々反応。「やばすぎる」「思っていたよりずっとひどいバグだった」「なぜこんな
米Twitterは8月5日（現地時間）、ゼロデイ脆弱性（既に修正済み）が悪用され、540万以上のアカウントと電話番号やメールアドレスの情報が流出したと発表した。 この脆弱性については1月、同社のバグ報奨金プログラムを通じて報告を受けたという。昨年6月のシステム更新の際に発生したバグで、報告を受けて修正した時点では脆弱性が悪用された証拠はなかったとしている。 だが、米Restore Privacyの7月の報道で、この脆弱性が悪用され、アカウントリストが販売されていることを知ったため、影響を受けたことが確認できるユーザーには直接通知した。 この段階で公式ブログで発表するのは、「影響を受けた可能性のあるすべてのアカウントを確認することはできず」、特に匿名アカウントは国家などの標的になる可能性があるためとしている。 米BleepingComputerによると、アカウントと紐付けられたのは、電話番号
豪Atlassianは6月2日（米西海岸時間）、同社のコラボレーションツール「Confluence」に関する一部製品で、遠隔地から任意のコードを認証不要で実行できてしまう脆弱性が見つかったと発表した。深刻度は同社基準の最高値である「Critical」で、修正プログラムは未公開。 CVE識別番号はCVE-2022-26134。Atlassianによると、ユーザー企業側のサーバで同サービスをホストする「Confluence Server」のバージョン 7.18.0で脆弱性の悪用を確認した他、IaaS上で管理するための「Confluence Data Center」バージョン7.4.0以降にも影響があるとしている。 修正プログラムは未公開だが、ユーザー側でできる一時的な対応として同社は、（1）Confluence ServerやConfluence Data Centerのインスタンスをインター
Windows版Steamのゼロデイ脆弱性をホワイトハッカーが誰でも閲覧できる形式で詳しく公開しています。このゼロデイ脆弱性に関して、発表に至るまでの経緯やValveの対応に注目が集まっています。 One more Steam Windows Client Local Privilege Escalation 0day https://amonitoring.ru/article/onemore_steam_eop_0day/ Researcher Discloses Second Steam Zero-Day After Valve Bug Bounty Ban | Threatpost https://threatpost.com/researcher-discloses-second-steam-zero-day-after-valve-bug-bounty-ban/147593/
JPCERT/CCと情報処理推進機構（IPA）は2月15日、米Microsoftが公開した情報セキュリティ修正プログラムを早急に適用するよう呼び掛けた。すでに悪用が確認されている脆弱性の修正が含まれる。 修正したゼロデイ脆弱性は3件。影響度を示すCVSS v3のベーススコアは10点中最大7.8点。悪用されるとアプリケーションが異常終了したり、外部の攻撃者からPCを遠隔操作されたりする可能性がある。 修正プログラムはWindowsアップデートの実行で適用される。 関連記事 Microsoft vs. Google、「チャット検索」競争勃発 “会話で調べる”は今後主流になるのか 米Microsoftと米Googleで始まったチャットAIを使った検索サービス競争。これまでのキーワード検索から、会話して調べる「チャット検索」は主流になるのだろうか。 日本語、不審すぎ？ 「新しいBing」の“順番待
by Bolly Holly Baba Microsoftが、未修正のゼロデイ脆弱性2件について警告する新しいセキュリティアドバイザリを2020年3月23日に発行しました。Microsoftによると、この脆弱性の影響を受けるのはWindows 10をはじめとするWindowsシリーズで、Windowsエクスプローラーで使われているファイルのプレビュー機能に関連するもの。また、すでにこの脆弱性を利用したと思われる標的型攻撃が確認されているとのことです。 ADV200006 | Type 1 Font Parsing Remote Code Execution Vulnerability https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/adv200006 Microsoftによれば、ファイルを開かなくてもエク
米Googleは3月25日（現地時間）、Windows、Mac、Linux版のChromeブラウザの緊急アップデート「99.0.4844.84」をリリースしたと発表した。実際に悪用された重要度「High」のゼロデイ脆弱性1件に対処する。 「向こう数日～数週間で展開される」としているが、［ヘルプ］→［Google Chromeについて］で手動でアップデートすることをお勧めする。 Googleはこの「CVE-2022-1096」を、匿名のセキュリティ研究者によって23日に報告されたV8 JavaScriptエンジンの脆弱性としており、「エクスプロイトが実際に存在することを認識している」という。 詳細についてのリンクへのアクセスは本稿執筆現在制限されている。ユーザーの大部分がアップデートを完了するまでは制限する可能性がある。 なお、米MicrosoftもChromeベースのブラウザEdgeの緊急
iMessageを送信するだけでiPhoneの機密データにアクセスできるゼロデイ脆弱性「Triangulation」の詳細が公開、秘密のハードウェア機能が利用されていたことも明らかに
2023年6月に判明・修正されたApple製デバイスへのゼロクリック攻撃を可能にする脆弱(ぜいじゃく)性「Triangulation」について、この脆弱性を発見したセキュリティ企業のカスペルスキーが分析結果を発表しました。 Operation Triangulation: The last (hardware) mystery | Securelist https://securelist.com/operation-triangulation-the-last-hardware-mystery/111669/ 4-year campaign backdoored iPhones using possibly the most advanced exploit ever | Ars Technica https://arstechnica.com/security/2023/12/expl
Googleの脅威分析グループが新たにChromeで2種、Internet Explorerで1種、WebKit(Safari)で1種の計4種のゼロデイ脆弱性について詳細を公開しました。この4種の中でもWebKitの脆弱性は「ロシア政府の支援を受けている可能性のあるハッカーが用いた」とのことで、報道各社によってひときわ大きく報じられています。 How we protect users from 0-day attacks https://blog.google/threat-analysis-group/how-we-protect-users-0-day-attacks/ iOS zero-day let SolarWinds hackers compromise fully updated iPhones | Ars Technica https://arstechnica.com/g
グーグルは5月9日（現地時間）、デスクトップ版「Google Chrome」をアップデートした。重大なゼロデイ脆弱性の発見に伴う対処で、Windows、macOS、Linux版が対象となる。 Visualsコンポーネントに起因する脆弱性で、攻撃者は相手のPCからデータを盗んだり、深刻なダメージを与えることができるという。重大度（危険性）のランクは上から2番目の「高」。グーグルでは、すでに本脆弱性の悪用を確認している。 対策済みのバージョンはWindowsおよびmacOS版が「124.0.6367.201/.202」、Linux版が「124.0.6367.201」以降となる。Chromeを起動していれば今後数日から数週間以内にアップデートが自動適用されるが、ブラウザーの設定から「このChromeについて」を選択することで、手動で最新版に更新することも可能だ。
Appleは2021年10月12日に「iOS 15.0.2」をリリースしました。iOS 15.0.2ではゼロデイ脆弱性などが修正されているのですが、開発者のデニス・トカレフ氏が7カ月前に報告していたGame Centerに関するゼロデイ脆弱性もひっそりと修正されていたことが明らかになっています。 Apple silently fixes iOS zero-day, asks bug reporter to keep quiet https://www.bleepingcomputer.com/news/apple/apple-silently-fixes-ios-zero-day-asks-bug-reporter-to-keep-quiet/ 今回Appleが密かに修正したのは、開発者のトカレフ氏が2021年3月から5月にかけて報告した4件のゼロデイ脆弱性のうちのひとつである「Game
北朝鮮政府の支援を受けたハッカーが、Chromeのゼロデイ脆弱(ぜいじゃく)性「CVE-2022-0609」を悪用して、アメリカを拠点とするニュースメディアやIT、仮想通貨、金融サービスなど幅広い業界で働く数百人のコンピューターにマルウェアを感染させようとしたと、Googleが木曜日に発表しました。 Countering threats from North Korea https://blog.google/threat-analysis-group/countering-threats-north-korea/ North Korean hackers unleashed Chrome 0-day exploit on hundreds of US targets | Ars Technica https://arstechnica.com/information-technology
北朝鮮政府の支援を受けるとみられるハッカー集団が、セキュリティ研究者を標的に攻撃を行っていたことを2021年1月25日にGoogleが報告しました。この攻撃がどのように行われたのかについてMicrosoftが調査を行い、レポートを発表しています。 ZINC attacks against security researchers - Microsoft Security https://www.microsoft.com/security/blog/2021/01/28/zinc-attacks-against-security-researchers/ Microsoft: DPRK hackers 'likely' hit researchers with Chrome exploit https://www.bleepingcomputer.com/news/security/mic
Log4jライブラリのゼロデイ脆弱性「Log4Shell」で脆弱なサーバーを標的にした攻撃が続発中、仮想通貨マイナーのインストール・ボットネット拡散・データ盗難などやりたい放題
さまざまなプログラムに使われているJavaのログ出力ライブラリ「Log4j」にリモートコード実行のゼロデイ脆弱(ぜいじゃく)性「Log4Shell(CVE-2021-44228)」が2021年12月10日に発覚し、大きな混乱を呼んでいます。Log4jをリリースするApacheは脆弱性を解決したバージョン2.15.0をリリースしていますが、すでにLog4Shellを突いたエクスプロイトが報告されています。 Hackers start pushing malware in worldwide Log4Shell attacks https://www.bleepingcomputer.com/news/security/hackers-start-pushing-malware-in-worldwide-log4shell-attacks/ Microsoft: Log4j exploits
米Microsoftは11月9日（日本時間）、月例のセキュリティ更新プログラムを公開した。悪用が確認された脆弱性が4件含まれるため、情報処理推進機構（IPA）とJPCERT/CCは早急な適用を呼び掛けている。 不正に高位の特権を取得する特権昇格や、リモートコード実行の脆弱性などが含まれる。影響度を示すCVSS v3のベーススコアは最大のもので10点中8.2点。 更新プログラムはWindows UpdateやMicrosoft Updateの実行で適用できる。 関連記事 WordPressに複数の脆弱性 クロスサイトスクリプティングで閲覧者・投稿者が影響受ける恐れ JPCERT/CCが、WordPressに複数の脆弱性が見つかったとして最新版へのアップデートを呼び掛けた。悪用されるとWebサイトの閲覧者に悪影響が出る可能性がある。 カクヤスのECサイトでクレカ情報漏えいの可能性 入力フォーム
Googleの脅威分析チーム(TAG)が2024年2月6日に、Googleの製品のスパイに悪用されたゼロデイ脆弱(ぜいじゃく)性の80％に、民間のスパイウェア開発企業が関与していたと発表しました。こうした危険性の高まりを受けて、各国の政府は商用スパイウェアの拡散防止の取り組みを加速させています。 New Google TAG report: How Commercial Surveillance Vendors work https://blog.google/threat-analysis-group/commercial-surveillance-vendors-google-tag-report/ Google says spyware vendors behind most zero-days it discovers https://www.bleepingcomputer.co
中国との関連が疑われる攻撃的、かつ高度なスキルを持つ攻撃者が Barracuda ESGのゼロデイ脆弱性（CVE-2023-2868）を悪用 | Mandiant
2023年5月23日、Barracudaは同社のEメールゲートウェイ「Barracuda Email Security Gateway（ESG）」のゼロデイ脆弱性（CVE-2023-2868）が2022年10月の時点で悪用されており、その調査のためにMandiantに支援を依頼したことを発表しました。Mandiantは調査を通じて、中国との関連が疑われる攻撃者を特定しました。この攻撃者は、現在UNC4841として追跡されており、世界中のさまざまな地域および業界にまたがるスパイ活動の初期侵入経路としてBarracuda ESGアプライアンスのサブセットをターゲットにしています。Mandiantは、中華人民共和国を支援するこの広範な攻撃キャンペーン活動の背後にいるのはUNC4841であると、高い確信を持って評価しています。 UNC4841は、早ければ2022年10月10日から、CVE-2023
JPCERT/CCと情報処理推進機構（IPA）は9月14日、米Microsoftが同日に公開した情報セキュリティ修正プログラムを至急適用するよう呼び掛けた。悪用確認済みの脆弱性の修正が含まれる。 問題の脆弱性（CVE-2022-37969）は、影響度を示すCVSS v3のベーススコアが10点中7.8点。攻撃難易度も低く、悪用された場合は遠隔地から任意のコードを実行される恐れがある。 修正プログラムはWindowsアップデートの実行で適用される。 関連記事 AppleのWebサイトが世界中でダウン 「珍しい」という声も【復旧済み】 米AppleのWebサイトが9月15日のお昼ごろからアクセスできなくなっている。日本以外のサイトもダウンしており、編集部で確認したところ米国、英国、フランス、インド、韓国などでもサイトが正常に表示できない事態となっている。 クレカ不正利用額が90％減 メルカリが「
Microsoft Windowsにリモートコード実行の脆弱性が存在し、Microsoft Officeドキュメントを使って脆弱性が悪用されると、システムの制御権がのっとられる危険性があると判明しました。この脆弱性を利用しようとする攻撃は既に検知されていますが、パッチはなく、Microsoftは回避策を示しています。 CVE-2021-40444 - セキュリティ更新プログラム ガイド - Microsoft - Microsoft MSHTML Remote Code Execution Vulnerability https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444 Microsoft shares temp fix for ongoing Office 365 zero-day attacks htt
ゲーム販売プラットフォーム「Steam」のWindows版でゼロデイ脆弱性が報告されていたにも関わらず、運営会社のValveがこの報告を無視した上に、脆弱性を発見したホワイトハッカーをSteamのバグ報奨金プログラムから排斥した件について、Valveは「間違いだった」と認め、バグ報奨金プログラムのポリシー変更を発表しました。 Valve says turning away researcher reporting Steam vulnerability was a mistake | Ars Technica https://arstechnica.com/information-technology/2019/08/valve-says-turning-away-researcher-reporting-steam-vulnerability-was-a-mistake/ Steam P
米Microsoftは5月30日（現地時間）、Windowsのゼロデイ・ゼロクリック脆弱性に関する共通脆弱性識別子「CVE-2022-30190」を発行した。本稿執筆現在まだ修正は公開されておらず、Microsoftは回避策を説明した。 この脆弱性は、Microsoft Support Diagnostic Tool（MSDT）のリモートコード実行に関するもので、セキュリティ研究グループShadow Chaser Groupのリーダーが4月に報告したもの。セキュリティ更新プログラムを受信しているすべてのWindowsに影響する。 Word文書を開いたり、プレビューするだけでも、MSDTを介して悪意あるPower Shellコマンドが実行されてしまう。これにより、攻撃者は呼び出し元のアプリの権限で、任意のコードを実行する可能性がある。 Microsoftが公開した対策は以下の通り。 管理者と
JPCERT/CCは8月18日、米Appleがリリースした情報セキュリティ更新パッチを適用するよう呼び掛けた。悪用が確認された脆弱性の修正が含まれるため「早期のアップデート適用を推奨」（JPCERT/CC）するとしている。 iOS、iPadOS、macOS、Safariが対象。OSの中核であり権限も強い「カーネル」に脆弱性があり、悪用されると任意のコードを自由に実行される恐れがある。 更新パッチは米国時間17日に公開済み。ただしその後、Safariに関する追加の更新があったことから、パッチを適用済みのユーザーも再確認する必要があるという。 関連記事 Twitter、ゼロデイ脆弱性悪用の約540万アカウントデータ漏えいを正式に認める Twitterは、ゼロデイ脆弱性が悪用され、540万以上のアカウント情報が流出したと発表した。悪用されたのは1月にバグ報奨金プログラムで報告を受けた脆弱性で、修
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
![[登壇資料] DDoS攻撃をAWSサービスだけで緩和する方法をまとめてみた #cm_odyssey | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/b880d63e4f4863872bb92012bbe392f8f0e8003f/height=288;version=1;width=512/https%3A%2F%2Fdevio2024-media.developers.io%2Fimage%2Fupload%2Fv1720688346%2Fuser-gen-eyecatch%2Fk5z8tfwgyaergujkam0p.png)
AI超解像で古いビデオがキレイに復元できる「VLC media player 3.0.19」が公開、ゼロデイ脆弱性の修正も／AV1ビデオのハードウェアデコーディングも有効化
Twitter、ゼロデイ脆弱性悪用の約540万アカウントデータ漏えいを正式に認める
マイクラもハッキング ～「Apache Log4j」ライブラリに致命的なリモートコード実行のゼロデイ脆弱性【12月10日18:45追記】／「CVE-2021-44228」のCVE番号が割り当てられる予定。かなり広範囲に影響か。【やじうまの杜】
「Confluence」に“最高レベル”のゼロデイ脆弱性 遠隔地から任意のコードを実行される恐れ
9600万人以上に影響を与えうるWindows版Steamのゼロデイ脆弱性をホワイトハッカーが一般公開した理由とは？
「Windows Updateを至急適用して」 IPAなど呼び掛け ゼロデイ脆弱性3件を修正
Windowsに重大度「緊急」のゼロデイ脆弱性2件、すでに攻撃も行われている可能性
フリーの高速リモートデスクトップソフト「Brynhildr」が3年半ぶりのアップデート／「libvpx」ライブラリのゼロデイ脆弱性などに対処したv2.6.1が公開
Chromeブラウザに緊急セキュリティ更新 悪用されたゼロデイ脆弱性を修正
Googleが「ロシア政府系ハッカーがiOSのゼロデイ脆弱性を突いてヨーロッパの政府関係者を攻撃していた」と報告
Windowsの印刷スプーラーにゼロデイ脆弱性？ 「PrintNightmare」が公表・即削除／すべてのパッチを当てた環境でも攻撃が成立すると主張する研究者も
グーグル「Chrome」に重大なゼロデイ脆弱性 すぐ更新を
Windowsにゼロデイ脆弱性 ～リモートからコードを実行される恐れ／修正パッチは未公開。Microsoftは回避策を発表
Windows 7の「Internet Explorer 11」はサポート終了 ～「Microsoft Edge」への切り替えを／「IE 11」のゼロデイ脆弱性にもユーザーによる緩和策実施が必要
Appleに報告したゼロデイ脆弱性がサイレント修正される事態をセキュリティ研究者が報告
Apple製品に3件のゼロデイ脆弱性 ～「iOS」「iPadOS」「macOS」などにセキュリティ更新／カーネルと「WebKit」に任意コード実行の問題、悪用を確認済み
北朝鮮のハッカーグループがChromeのゼロデイ脆弱性「CVE-2022-0609」を悪用していたと判明
北朝鮮のハッカーがChromeのゼロデイ脆弱性を利用して行った攻撃についてMicrosoftがレポートを公開
企業向け「ウイルスバスター」などにゼロデイ脆弱性 任意のコードを実行される恐れ／できるだけ早く最新バージョンへの更新を
Apple、「macOS Sonoma 14.0」を正式公開 ～ウィジェットをデスクトップへ置けるように／ビデオ会議、ゲーム、「Safari」なども強化。「WebKit」のゼロデイ脆弱性にも対処済み
WindowsとChromeのゼロデイ脆弱性を悪用した攻撃「PuzzleMaker」 ～Kasperskyが注意喚起／いずれも修正パッチを適用することで対策が可能
「Google Chrome 88」にゼロデイ脆弱性 ～すぐにアップデートを／［Google Chrome について］画面でバージョンが“88.0.4324.150”になっていることを確認
「至急、Windowsアップデート適用を」 IPAなど呼びかけ ゼロデイ脆弱性4件を修正
ゼロデイ脆弱性のほとんどに「商用スパイウェアベンダー」が絡んでいたとGoogleの脅威分析チームが発表
「Windowsアップデート適用を」 IPAなど呼びかけ リモートコード実行のゼロデイ脆弱性を修正
「Google Chrome」に“致命的”なゼロデイ脆弱性、修正アップデートが緊急公開／WebP画像の処理でヒープバッファオーバーフロー
Microsoftが新たなゼロデイ脆弱性について警告、Officeファイル開くとコードが実行される可能性
Windows 10に特権昇格が可能なゼロデイ脆弱性
ValveがSteamのゼロデイ脆弱性報告を無視したのは「間違いだった」と全面的に認める
CPU演算特化のリモートデスクトップソフト「Verethragna」、v0.8.2に【10月2日追記】／クリップボード共有に対応、VP8のゼロデイ脆弱性に対処したv0.8.3に緊急アップデート
Windowsにリモートコードが実行されるゼロデイ脆弱性、パッチ提供まで回避策の実施を／「Adobe Type 1」フォントを処理するプロセスに問題
「Chrome」「Edge」の即時更新を ～「Chromium」に再び2件のゼロデイ脆弱性／「Chrome」はv94.0.4606.71、「Edge」はv94.0.992.38になっているかを確認
公開されたばかりの「Firefox 72」にゼロデイ脆弱性 ～悪用を確認、v72.0.1への更新を／深刻度は“Critical”。企業向けの「Firefox ESR」にも影響
iPhone/iPadにまたゼロデイ脆弱性 ～iOS/iPadOS、macOS、watchOSなどにセキュリティパッチ／カーネルにおける特権昇格、証明書の検証不備、WebKitにおける任意コード実行の3件
Officeに未修正のゼロデイ脆弱性 Microsoftは回避策を公開
iOS、macOSのセキュリティパッチ適用を ゼロデイ脆弱性の修正あり カーネルに問題発見
x.com
morimori928.hatenablog.jp
erodouga.cyou
uminohuuraibou.hatenablog.com
risa9.ag.ebb.jp
shibayan1954.com