🔖
2024/08/18 週 セキュリティニュースメモ
はじめに
- 自身なりに気になったセキュリティ情報の 私のメモ です
- 毎週日曜日起点で作成し、土曜日まで、その週の記事を更新し続けます
- zennでの公開は、翌週の記事を作成したタイミングで実施します。ただし、GitHub上では常にpublicです。そのため、zenn上で未公開でも、GitHub上では確認 はできます。
- あくまで、発見した週に記入します(タイトルが近い場合は、最初に見つけた週)
- 1週間以上前の出来事は、極力日付を入れる気持ちではいますが、確実性はありません
- 今週にhinoshibaが見つけたニュースである事に留意ください
- 実質的には、セキュリティは楽しいかね？ Part 2 のような事ができるようになったらいいなと、個人的に真似をして、個人的に漏れチェック等に使います
事件事故
攻撃、脅威
- セイコーエプソン 不正アクセス。現時点で流出は確認されていない
- 機密データへの不正アクセスを防止・報告しなかったとしてT-Mobileに80億円超の罰金
- Toyota アメリカ支社から240GiBデータ流出
- ニデックプレシジョン株式会社 ベトナム子会社にサイバー攻撃。身代金要求
- 豊田市 約15万人に影響 イセトーへのサイバー攻撃関連
- Netflix 未公開のエピソードに関する情報がインターネット上に流出。セキュリティ上の問題
脆弱性
- macOS上で動作するOfficeソフトに、ライブラリインジェクションの脆弱性があるとCiscoTalosリサーチャ報告。Microsoftは修正予定無しとのこと
- CVE-2024-7646 k8s ingress-nginx 認証bypass
- CVE-2024-30949 RISC-V newlibの除算誤りによる任意のコード実行
- CVE-2024-39809 BIG-IP Next Central Manager ログアウト後にもセッションが破棄されない脆弱性。管理コンソールのみ
- CVE-2024-39778 BIG-IP 未認証のユーザによるDoSの脆弱性
- CVE-2024-5932 WordPress Plugin GiveWP 任意のコード実行の脆弱性
- https://securityonline.info/cve-2024-5932-cvss-10-critical-rce-vulnerability-impacts-100k-wordpress-sites/
- https://www.bitdefender.com/blog/hotforsecurity/over-100-000-wordpress-websites-vulnerable-to-takeover-due-to-critical-donation-plugin-flaw/
- https://thehackernews.com/2024/08/givewp-wordpress-plugin-vulnerability.html
- https://www.security-next.com/160981
- CVE-2024-7971 Google Chrome 任意のコード実行やブラウザクラッシュの可能性
- https://www.bleepingcomputer.com/news/security/google-fixes-tenth-actively-exploited-chrome-zero-day-in-2024/
- https://www.darkreading.com/vulnerabilities-threats/google-chrome-update-fixes-flaw-exploited-in-the-wild
- https://www.bleepingcomputer.com/news/security/google-fixes-ninth-actively-exploited-chrome-zero-day-in-2024/
- CVE-2024-28000 WordPress Plugin LiteSpeedCache 未認証の管理者権限
- https://www.bleepingcomputer.com/news/security/litespeed-cache-bug-exposes-millions-of-wordpress-sites-to-takeover-attacks/
- https://securityonline.info/cve-2024-28000-active-exploitation-litespeed-cache-vulnerability/
- https://securityonline.info/cve-2024-28000-in-litespeed-cache-plugin-actively-exploited-over-30000-attacks-blocked-in-24-hours/
- https://www.bleepingcomputer.com/news/security/hackers-are-exploiting-critical-bug-in-litespeed-cache-plugin/
- CVE-2024-6800 GitHub Enterprise 管理者への権限昇格の脆弱性
- https://www.securityweek.com/critical-authentication-flaw-haunts-github-enterprise-server/
- https://www.bleepingcomputer.com/news/security/github-enterprise-server-vulnerable-to-critical-auth-bypass-flaw/
- https://securityonline.info/cve-2024-6800-cvss-9-5-critical-github-enterprise-server-flaw-patched-admin-access-at-risk/
- https://www.security-next.com/160998
- https://thehackernews.com/2024/08/github-patches-critical-security-flaw.html
- CVE-2024-38021 7月に修正されたOutlookのゼロクリック攻撃、PoC公開
- CVE-2024-7272 FFmpeg ヒープオーバーフロー PoC公開
- CVE-2024-38810 Spring Framework 未認証のアクセス
- CVE-2024-21689 Atlassian Bamboo Data Center RCE
- KEV
- CVE-2021-33044 Dahua IP Camera Authentication Bypass Vulnerability
- CVE-2021-33045 Dahua IP Camera Authentication Bypass Vulnerability
- CVE-2022-0185 Linux Kernel Heap-Based Buffer Overflow
- CVE-2021-31196 Microsoft Exchange Server Information Disclosure Vulnerability
- CVE-2024-23897 Jenkins Command Line Interface (CLI) Path Traversal Vulnerability
その他
- Windows11 24H2 より、BitLockerがデフォルトに。
- Teams(unified teams app) 複数アカウントのスイッチに対応
- 8月のWindowsUpdateによりデュアルブート環境に不具合。Linux等が起動せず。
- https://www.bleepingcomputer.com/news/microsoft/august-windows-updates-break-dual-boot-on-some-linux-systems/
- https://www.theregister.com/2024/08/21/microsoft_patch_dual_boot/
- https://www.bleepingcomputer.com/news/microsoft/august-windows-security-update-breaks-dual-boot-on-linux-systems/
- https://securityboulevard.com/2024/08/microsoft-linux-duel-boot-fail-richixbw/
- 修正や対応、ワークアラウンド
- Windows Recall 10月にプレビュー公開。セキュリティ懸念への対応もされる予定。詳細は公開時に合わせて情報公開予定
- Windows 11 コントロールパネルの削除が開始。25H2から段階的に。
Discussion