脆弱性TODAYのキュレーターからのコメントを掲載します。
脆弱性トレンド情報 2022年8月度の記事と併せてぜひご覧ください。
GRCSのコンサルタントが毎日インターネット上で公開される国内外の脆弱性情報を
収集・整理して、当日午後にメールでレポートを配信するサービスです。
API連携も可能（※有料オプション）で、効率的に脆弱性情報を収集することができます。
キュレーターからのコメント
2022年8月の脆弱性TODAYでは、以下の脆弱性情報の再掲載および新規掲載を行っています。再掲載に関しては、対象となる脆弱性の悪用が発見されたものや、米CISAが悪用リストに追加したものなどが含まれます。また、新規掲載の脆弱性には、NVDやVuldbなどのパブリック・ポータルが未対応のものや、対応が遅れたものなどが含まれます。
これらの脆弱性情報は、いずれも海外メディアが、インシデント情報として掲載したものです。つまり、通常のキュレーションとは別の切り口から、注目すべき脆弱性情報として取得されたものとなります。それにより、ユーザー様に注意喚起を促すプロセスを提供しています。その一例として、スタッフブログに情報を開示していきます。
===================================
■■■ SonicWall
今日、SonicWall は、GMS (Global Management System)／Analytics On-Prem 製品における、SQL インジェクションの脆弱性に対してセキュリティ・アドバイザリを公開しました。SonicWall PSIRT は、このアドバイザリで、Analytics On-Prem の以下のバージョンを使用しているユーザーに対して、パッチ適用済みバージョンへの迅速なアップグレードすることを強く推奨しています。
https://iototsecnews.jp/2022/07/22/sonicwall-patch-critical-sql-injection-bug-immediately/
SonicWALL Analytics On-Prem 2.5.0.3-2520 以下、SonicWall Global Management System 9.3.1-SP2-Hotfix-1 以下
CVE-2022-22280
CWE-89(SQLインジェクション)
CVSS: 9.4
https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0007
===================================
■■■ PrestaShop
脅威アクターたちが、オープンソースの eコマース・プラットフォーム PrestaShop の未知の脆弱性を悪用し、機密情報の窃取を目的としたスキマー・コードを注入するという、悪質な攻撃を行っているようです。7月22日に発表されたアドバイザリで PrestaShop は、「攻撃者は、PrestaShop を運用しているサーバー上で任意のコードを実行するために、セキュリティの脆弱性を悪用する方法を発見した」と説明しています。
CVE-2022-36408
CWE-89(SQLインジェクション)
CVSS: 6.3
https://nvd.nist.gov/vuln/detail/CVE-2022-36408
===================================
■■■ FileWave
FileWave の Mobile Device Management (MDM) システムに、リモート攻撃を許し、接続されているデバイス群の制御を許してしまう、２つの深刻なセキュリティ脆弱性が発見されました。Claroty のセキュリティ研究者である Noam Moshe は、月曜日のレポートで、「これらの脆弱性はリモートから悪用が可能であり、攻撃者は認証メカニズムを回避し、MDM プラットフォームと管理デバイスを完全に制御することができる」と説明しています。
CVE-2022-34906, CVE-2022-34907
CWE-321(暗号化鍵ハードコーディング), CWE-287(不適切な認証)
CVSS: 9.8
https://nvd.nist.gov/vuln/detail/CVE-2022-34906
https://nvd.nist.gov/vuln/detail/CVE-2022-34907
===================================
■■■ Atlassian Confluence
Atlassian の Confluence Server／Confluence Data Center 用アプリである、Questions For Confluence の深刻な脆弱性を修正するパッチを配布してから 1 週間が経ちましたが、実際に悪用される事態が発生しています。この脆弱性 CVE-2022-26138 は、Questions For Confluence 内でハードコードされたパスワードが使用されており、リモートの未認証の攻撃者に対して、Confluence の全ページへの無制限のアクセスを許す可能性が問題視されています。
CVE-2022-26138
CWE-798(認証情報ハードコード)
CVSS: 7.3
https://nvd.nist.gov/vuln/detail/CVE-2022-26138
===================================
■■■ LibreOffice
LibreOffice は、The Document Foundation (TDF) が開発する、オープンソースのオフィス・ソフトです。この LibreOffice において、任意のコード実行などの、３つのセキュリティ脆弱性が修正されました。１つ目の脆弱性 CVE-2022-26305 は、不適切な証明書の検証による、信頼できないマクロ実行として分類されるものです。この脆弱性は、悪意のマクロ実行を生じる可能性があります。
https://iototsecnews.jp/2022/07/28/libreoffice-fixed-3-flaws-including-a-code-execution-issue/
CVE-2022-26305
CWE-295(不適切な証明書検証)
CVSS: 6.3
https://nvd.nist.gov/vuln/detail/CVE-2022-26305
CVE-2022-26306
CWE-326(不適切な暗号強度)
CVSS: 7.5
https://nvd.nist.gov/vuln/detail/CVE-2022-26306
CVE-2022-26307
CWE-326(不適切な暗号強度)
CVSS: 4.3
https://nvd.nist.gov/vuln/detail/CVE-2022-26307
===================================
■■■ Moxa NPort
世界中で広く使用されている Moxa 製の産業用接続デバイスで、脅威アクターが重大な混乱を引き起こす可能性のある、２つの深刻な脆弱性が発見されました。 台湾に拠点を置き、産業用ネットワーク／オートメーション・ソリューションを提供する Moxa は、これらの脆弱性を修正しました。
CVE-2022-2043, CVE-2022-2044
CWE-787(境界外書き込み)
CVSS: 7.5
===================================
■■■ LockBit
ランサムウェア LockBit 3.0 に関連する脅威アクターたちは、Windows Defender のコマンドライン・ツールを悪用して、感染させたシステムに Cobalt Strike Beacon をロードし、セキュリティ・ソフトウェアによる検出を回避していることが明らかになりました。Cobalt Strike は、正規のペンテスト・スイートですが、その広範な機能は脅威アクターたちに好まれ、ネットワークでの偵察と横方向の移動をステルスで実行した後に、データを盗んで暗号化するために使用されています。
https://iototsecnews.jp/2022/07/29/lockbit-operator-abuses-windows-defender-to-load-cobalt-strike/
CVE-2021-44228
CWE-20(不適切な入力確認)
CVSS: 10.0
https://www.jpcert.or.jp/at/2021/at210050.html
https://logging.apache.org/log4j/2.x/security.html
https://access.redhat.com/security/cve/cve-2021-44228
https://nvd.nist.gov/vuln/detail/CVE-2021-44228
https://github.com/apache/logging-log4j2/pull/608
https://github.com/YfryTchsGD/Log4jAttackSurface
https://securityboulevard.com/2021/12/log4shell-apache-log4j-remote-code-execution/
===================================
■■■ Atlassian Confluence
CISA は、Atlassian Confluence の深刻な脆弱性 CVE-2022-26138 を、悪用脆弱性リスト (KVE：Known Exploited Vulnerabilities Catalog) に追加しました。この脆弱性の悪用に成功したリモート攻撃者は、ハードコードされた認証情報の窃取が可能になります。先週に、オーストラリアのソフトウェア会社である Atlassian が公開したように、パッチ未適用の Questions for Confluence アプリは、8,000台以上のサーバーにインストールされており、ハードコードされた認証情報を持つアカウントを作成しています。
https://iototsecnews.jp/2022/07/29/cisa-warns-of-critical-confluence-bug-exploited-in-attacks/
CVE-2022-26138
CWE-798(認証情報ハードコード)
CVSS: 7.3
https://nvd.nist.gov/vuln/detail/CVE-2022-26138
===================================
■■■ Google Android
月曜日に Google は、Android OS の最新パッチに関するセキュリティ情報を公開しました。今回のアップデートでは、 37件の脆弱性が修正されています。このうち最も深刻な脆弱性 CVE-2022-20345 は、Bluetooth 経由のリモート・コード実行の可能性があり、Systemコンポーネントに影響を及ぼすとされます。この脆弱性についても、Android 12／12L のアップデートでパッチが適用されています。
CVE-2022-20345
https://source.android.com/security/bulletin/2022-08-01
===================================
■■■ VMware
火曜日に、仮想化サービス・プロバイダーである VMware は、複数の製品に影響をおよぼす 10件の脆弱性に対処するためのアップデートをリリースしました。脆弱性 CVE-2022-31656～CVE-2022-31665 (CVSS: 4.7～9.8) で追跡される問題は、VMware Workspace ONE Access／Workspace ONE Access Connector／Identity Manager／Identity Manager Connector／vRealize Automation／Cloud Foundation／vRealize Suite Lifecycle Manager に影響を及ぼすものです。
VMware Workspace ONE Access 21.08.0.1/21.08.0.0、VMware Workspace ONE Access Connector 22.05/21.08.0.1/21.08.0.0、VMware Identity Manager 3.3.6/3.3.5/3.3.4、VMware Identity Manager Connector 3.3.6/3.3.5/3.3.4/19.03.0.1、VMware vRealize Automation 8.x/7.6、VMware Cloud Foundation 4.4.x/4.3.x/4.2.x/3.x、VMware vRealize Suite Lifecycle Manager 8.x
CVE-2022-31665, CVE-2022-31656, CVE-2022-31657, CVE-2022-31658, CVE-2022-31659, CVE-2022-31660, CVE-2022-31661, CVE-2022-31662, CVE-2022-31663, CVE-2022-31664, CVE-2022-31665
CVSS: 9.8
https://www.vmware.com/security/advisories/VMSA-2022-0021.html
===================================
■■■ Google Android
Google は、Android OS の Bluetooth 経由でリモートコード実行に悪用される、深刻な脆弱性 CVE-2022-20345 に対処しました。Google は、Android 12／12L アップデートのリリースに伴い、Android System コンポーネントに影響をおよぼす CVE-2022-20345を修正しました。ただし、同社は、この脆弱性についての追加的な詳細を明らかにしていません。
https://iototsecnews.jp/2022/08/03/google-fixed-critical-remote-code-execution-flaw-in-android/
CVE-2022-20345
CWE-787(境界外書き込み)
CVSS: 6.0
https://nvd.nist.gov/vuln/detail/CVE-2022-20345
CVE-2022-20237, CVE-2022-20400
CWE-787(境界外書き込み)
CVSS: 7.3
https://nvd.nist.gov/vuln/detail/CVE-2022-20237
https://nvd.nist.gov/vuln/detail/CVE-2022-20400
CVE-2022-20402, CVE-2022-20403
CVSS: 5.5
https://nvd.nist.gov/vuln/detail/CVE-2022-20402
https://nvd.nist.gov/vuln/detail/CVE-2022-20403
===================================
■■■ Cisco VPN Router
Cisco は、Small Business VPN ルーターにおける、３つの深刻なセキュリティ脆弱性を修正しました。これらの脆弱性の悪用に成功した攻撃者は、リモートで任意のコード／コマンドを未認証で実行し、脆弱なデバイスでサービス拒否 (DoS) 状態を引き起こすことが可能になります。
https://iototsecnews.jp/2022/08/03/cisco-fixes-critical-remote-code-execution-bug-in-vpn-routers/
CVE-2022-20827, CVE-2022-20841, CVE-2022-20842
CWE-120(バッファ・オーバーフロー)、CWE-77(コマンド・インジェクション)、CWE-78(OS コマンド・インジェクション)
CVSS: 9.8
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-mult-vuln-CbVp4SUR
===================================
■■■ DrayTek Vigor Routers
DrayTek のルーターモデル 29 種に、リモートコード実行の脆弱性が、新たに発見されました。Trellix の研究者である Philippe Laulheret は、「デバイスの管理インターフェースが、インターネットに接続されるように設定されている場合において、この攻撃はユーザーの操作なしに引き起こされます。また、デフォルトのデバイス・コンフィグレーションでは、LAN 内からのワンクリックで、攻撃を行うことも可能だ」と述べています。また、この脆弱性 CVE-2022-32548 の悪用に成功した攻撃者は、ルータを完全に制御することが可能になるため、CVSS スコア 10.0 と評価されています。
CVE-2022-32548
CVSS: 10.0
https://nvd.nist.gov/vuln/detail/CVE-2022-32548
===================================
■■■ Woody RAT
Malwarebytes の研究者たちは、Woody RAT と呼ばれる新たなリモート・アクセス型トロイの木馬で、ロシアの組織を標的とする未知の脅威アクターを観察しました。攻撃者は、Follina Windows の欠陥 (CVE-2022-30190) を悪用するアーカイブ・ファイルや Microsoft Office ドキュメントを用いて、マルウェアを配信していました。
https://iototsecnews.jp/2022/08/04/new-woody-rat-used-in-attacks-aimed-at-russian-entities/
Microsoft Windows Server 2022/2019/2016/2012 R2/2012/2008 R2/2008、Microsoft Windows 11/10/RT 8.1/8.1/7
CVE-2022-30190
CVSS: 7.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30190
===================================
■■■ Zimbra Email
8月4日に、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Eメールソフト Zimbra の最近公開された深刻な脆弱性を、活発に悪用されている証拠があるとして、KEV カタログに追加しました。この問題は、CVE-2022-27924 (CVSS：7.5) として追跡されているコマンド・インジェクションの脆弱性で、任意の Memcached コマンドの実行／機密情報の窃取につながる可能性があります。
CVE-2022-27924
CWE-74(インジェクション)
CVSS: 6.3
https://nvd.nist.gov/vuln/detail/CVE-2022-27924
===================================
■■■ Microsoft Windows Server
今日は、Microsoft の August 2022 Patch Tuesday でした。それに伴い、活発に悪用されているゼロデイ脆弱性 DogWalk を含む、合計 121件の欠陥が修正されました。今日のアップデートで修正された 121件の脆弱性のうちの 17件は、リモートでのコード実行や特権昇格が可能であり、Critical に分類されています。
Microsoftによると、2022年8月の Patch Tuesday で対処された Exchange Server の欠陥の一部においては、攻撃を完全にブロックするために、影響を受けるサーバー上での拡張保護機能を、管理者が手動で有効にする必要があるとのことです。今日、Microsoft は、野放し状態で悪用されている DogWalk ゼロデイ脆弱性や、特権昇格を可能にする Exchange の深刻な脆弱性 (CVE-2022-21980／CVE-2022-24477／CVE-2022-24516) などを含む、全体で 121件の欠陥にパッチを適用しました。
CVE-2022-30134
CVSS: 7.6
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30134
Microsoft Windows Server 2022/2019/2016/2012 R2/2012/2008 R2/2008、Microsoft Windows 11/10/8.1/7
CVE-2022-34713
CVSS: 7.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34713
Microsoft Exchange Server 2019/2016/2013
CVE-2022-21980, CVE-2022-24477, CVE-2022-24516
CVSS: 8.0
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-21980
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-24477
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-24516
===================================
■■■ VMware
VMware 製品群に存在し、攻撃者に管理者権限の取得を許してしまう認証バイパスに関する深刻な脆弱性について、PoC エクスプロイト・コードがオンラインで一般公開されていることが判明しました。先週に VMware は、VMware Workspace ONE Access／Identity Manager／vRealize Automation に影響をおよぼす、この脆弱性 CVE-2022-31656 に対してアップデートをリリースしました。
VMware Access 20.10.0.1/20.10.0.0/21.08.0.1/21.08.0.0、VMware vIDM 3.3.6/3.3.5/3.3.4/3.3.3、VMware vRealize Automation (vIDM) 7.6、VMware Cloud Foundation (vIDM) 4.3.x/4.2.x/4.1/4.0.x、VMware Cloud Foundation (vRA) 3.x、VMware vRealize Suite Lifecycle Manager (vIDM) 8.x
CVE-2022-22972
CVSS: 9.8
https://www.vmware.com/security/advisories/VMSA-2022-0014.html
VMware Access 20.10.0.1/20.10.0.0/21.08.0.1/21.08.0.0、VMware vIDM 3.3.6/3.3.5/3.3.4/3.3.3、VMware vRealize Automation (vIDM) 7.6、VMware Cloud Foundation (vIDM) 4.3.x/4.2.x/4.1/4.0.x、VMware Cloud Foundation (vRA) 3.x、VMware vRealize Suite Lifecycle Manager (vIDM) 8.x
CVE-2022-22972
CVSS: 9.8
https://www.vmware.com/security/advisories/VMSA-2022-0014.html
VMware Identity Manager、VMware vRealize Automation、VMware Workspace ONE Access
CVE-2022-31656
CWE-287(不適切な認証)
CVSS: 9.8
https://www.vmware.com/security/advisories/VMSA-2022-0021.html
https://nvd.nist.gov/vuln/detail/CVE-2022-31656
VMware Identity Manager、VMware Workspace ONE Access
CVE-2022-31659
CWE-89(SQL インジェクション)
CVSS: 7.3
https://www.vmware.com/security/advisories/VMSA-2022-0021.html
https://nvd.nist.gov/vuln/detail/CVE-2022-31659
===================================
■■■ Microsoft Windows (DogWalk)
Microsoft が公開したセキュリティ更新プログラムには、悪用コードが公開され、攻撃に悪用されている、深刻度の高い Windows のゼロデイ脆弱性に対処するものも含まれています。August 2022 Patch Tuesday の一部として修正された、このセキュリティ脆弱性は、現在 CVE-2022-34713 として追跡され、DogWalk と名付けられています。
https://iototsecnews.jp/2022/08/09/microsoft-patches-windows-dogwalk-zero-day-exploited-in-attacks/
Microsoft Exchange Server 2019/2016/2013
CVE-
2022-30134
CVSS: 7.6
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30134
Microsoft Windows Server 2022/2019/2016/2012 R2/2012/2008 R2/2008、Microsoft Windows 11/10/RT 8.1/8.1/7
CVE-2022-30190
CVSS: 7.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30190
Microsoft Windows Server 2022/2019/2016/2012 R2/2012/2008 R2/2008、Microsoft Windows 11/10/8.1/7
CVE-2022-34713
CVSS: 7.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34713
===================================
■■■ UnRAR/DogWalk
米国の Cybersecurity and Infrastructure Security Agency (CISA) は、最近に公開された UnRAR ユーティリティのセキュリティ欠陥について、積極的な悪用の証拠が明らかになったとし、6月9日付で Known Exploited Vulnerabilities Catalog に追加しました。
CVE-2022-30333
CWE-21(パス名トラバーサルおよび同値エラー)
CVSS: 7.5
https://nvd.nist.gov/vuln/detail/CVE-2022-30333
===================================
■■■ Intel
8月10日に、Intel は、27件のセキュリティ・アドバイザリを発表しました。このアドバイザリでは、ファームウェア／ソフトウェア・ライブラリ／エンドポイント／データセンター管理製品などに存在する、約60件の脆弱性に対処しています。これらの中で、最も深刻な CVSS スコアを持つのは、Open AMT Cloud Toolkit (OOB 管理ソリューションを統合する、オープンソースのツールキット) の権限昇格の脆弱性です。
Intel Data Center Manager 4.1 未満
CVE-2022-21225
CVSS: 9.0
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00662.html
CVE-2022-21233
CVSS: 6.0
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00657.html
Intel Open AMT Cloud Toolkit 2.0.2 未満/2.2.2 未満
CVE-2022-25899
CVSS: 9.9
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00694.html
===================================
■■■ Cisco ASA／FTD
Cisco は、Adaptive Security Appliance (ASA)／Firepower Threat Defense (FTD) に影響する、深刻度の高い脆弱性 CVE-2022-20866 に対処しました。この脆弱性は、ASA／FTD デバイスの RSA キーの取り扱いの脆弱さに起因しています。この脆弱性が悪用されると、未認証の攻撃者がリモートで RSA シークレット・キーを取得し、デバイス・トラフィックの解読や、Cisco ASA／FTDデバイスへのなりすましに利用される可能性があります。
Cisco ASA 5506-X with FirePOWER Services、Cisco ASA 5506H-X with FirePOWER Services、Cisco ASA 5506W-X with FirePOWER Services、Cisco ASA 5508-X with FirePOWER Services、Cisco ASA 5516-X with FirePOWER Services、Cisco Firepower 1000 Series Next-Generation Firewall、Cisco Firepower 2100 Series Security Appliances、Cisco Firepower 4100 Series Security Appliances、Cisco Firepower 9300 Series Security Appliances、Cisco Secure Firewall 3100
CVE-2022-20866
CWE-203(誤った情報の提供)
CVSS: 7.4
===================================
■■■ Palo Alto Networks
Palo Alto Networks は、同社のネットワーク・ハードウェア製品で使用されている PAN-OS に存在する、深刻度の高い脆弱性を警告するセキュリティ・アドバイザリを発表しました。この脆弱性 CVE-2022-0028 (CVSS v3 : 8.6) は、URL フィルタリング・ポリシーの設定ミスにより、未認証のリモート攻撃者による増幅された TCP サービス拒否 (DoS) 攻撃を許すものとなります。
月曜日に米国の CISA は、Palo Alto Networks の PAN-OS に影響を与えるセキュリティ上の欠陥を、活発に悪用されている証拠に基づき、悪用脆弱性リスト (KEV：Known Exploited Vulnerabilities Catalog) に追加しています。
Palo Alto PAN-OS 8.1.23-h1/9.0.16-h3/9.1.14-h4/10.0.11-h1/10.1.6-h6/10.2.2-h2 未満
CVE-2022-0028
CWE-406(ネットワークメッセージボリュームの不十分な制御)
CVSS: 8.5
https://security.paloaltonetworks.com/CVE-2022-0028
https://nvd.nist.gov/vuln/detail/CVE-2022-0028
https://iototsecnews.jp/2022/08/12/palo-alto-networks-new-pan-os-ddos-flaw-exploited-in-attacks/
===================================
■■■ Microsoft
Unified Extensible Firmware Interface (UEFI) 用の一部の署名付きサードパーティ・ブートローダには、OS がロードされる前のブート・プロセスの初期段階で、攻撃者による不正なコード実行の可能性が存在します。Windows で使用されているベンダー固有のブートローダに脆弱性があることが判明しており、その他にも約 10件のブートローダの状態については、現在のところ確認が取れていません。
CVE-2022-34301, CVE-2022-34302, CVE-2022-34303
CVSS: 6.0
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34301
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34302
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34303
===================================
■■■ 2022年 Q2 サイバー攻撃分析
2021年9月にパッチが適用された、Microsoft の MSHTML ブラウザエンジンに存在するリモートコード実行の脆弱性ですが、それを狙った攻撃が 2022年 Q2 に急増したことが、Kaspersky の分析により判明しました。Kaspersky の研究者たちは、この脆弱性 CVE-2021-40444 を狙った攻撃は、少なくとも 4886件を数え、2022年 Q1 に比べて８倍に増加したようです。この脆弱性に対する敵対者の関心が継続しているのは、悪用が容易であるためだと、同社は分析しています。
https://iototsecnews.jp/2022/08/16/most-q2-attacks-targeted-old-microsoft-vulnerabilities/
Microsoft Office 全製品
CVE-2017-0199
CVSS: 6.3
https://iototsecnews.jp/2022/08/16/most-q2-attacks-targeted-old-microsoft-vulnerabilities/
Microsoft Office 2016、2010、2007
CVE-2017-11882
https://nvd.nist.gov/vuln/detail/CVE-2017-11882
Microsoft Office 2016/2013/2010/2007
CVE-2018-0802
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2018-0802
Microsoft Windows 10/RT 8.1/8.1/7、Microsoft Windows Server 2022/2019/2016/2012/2008
CVE-2021-40444
CVSS: 8.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444
https://iototsecnews.jp/2021/09/07/microsoft-shares-temp-fix-for-ongoing-office-365-zero-attacks/
Microsoft Windows Server 2022/2019/2016/2012 R2/2012/2008 R2/2008、Microsoft Windows 11/10/RT 8.1/8.1/7
CVE-2022-30190
CVSS: 7.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30190
===================================
■■■ Zoom for Mac
先週に Zoom は、DEF CON conference で明らかになった、macOS アプリにおける 2 つの深刻な脆弱性を修正するアップデートをリリースしました。これらの脆弱性の技術的な詳細は、セキュリティ研究者 の Patrick Wardle が DEF CON conference で行った講演で公開されています。
CVE-2022-28750
CWE-121(スタックバッファ・オーバーフロー)
CVSS: 7.5
https://nvd.nist.gov/vuln/detail/CVE-2022-28750
https://explore.zoom.us/en/trust/security/security-bulletin/
CVE-2022-28753, CVE-2022-28754
CWE-284(不適切なアクセス制御)
CVSS: 7.1
https://nvd.nist.gov/vuln/detail/CVE-2022-28753
https://nvd.nist.gov/vuln/detail/CVE-2022-28754
https://explore.zoom.us/en/trust/security/security-bulletin/
CVE-2022-28755
CWE-20(不適切な入力確認)
CVSS: 9.6
https://nvd.nist.gov/vuln/detail/CVE-2022-28755
https://explore.zoom.us/en/trust/security/security-bulletin/
CVE-2022-28752
CWE-347(暗号化された署名に対する不適切な認証)
CVSS: 8.8
https://nvd.nist.gov/vuln/detail/CVE-2022-28752
https://explore.zoom.us/en/trust/security/security-bulletin/
CVE-2022-28756
CWE-347(暗号化された署名に対する不適切な認証)
CVSS: 8.8
https://nvd.nist.gov/vuln/detail/CVE-2022-28756
https://explore.zoom.us/en/trust/security/security-bulletin/
https://www.theverge.com/2022/8/14/23305548/zoom-update-macos-fix-dangerous-security-flaw-hackers
CVE-2022-28751
CWE-347(暗号化された署名に対する不適切な認証)
CVSS: 8.8
https://nvd.nist.gov/vuln/detail/CVE-2022-28751
https://explore.zoom.us/en/trust/security/security-bulletin/
===================================
■■■ Google Chrome ゼロデイ
8月10日に Google は、デスクトップ用 Chrome ブラウザに存在する、深刻なゼロデイ脆弱性を修正するパッチを配布しました。この脆弱性 CVE-2022-2856 は、Intents における信頼されていない入力に対する検証が不十分なケースだと説明されています。Google Threat Analysis Group のセキュリティ研究者である Ashley Shen と Christian Resell は、2022年7月19日に、この不具合を報告したとされています。
CVE-2022-0609
CWE-416(解放済みメモリの使用)
CVSS: 8.8
https://chromereleases.googleblog.com/2022/02/stable-channel-update-for-desktop_14.html
https://nvd.nist.gov/vuln/detail/CVE-2022-0609
CVE-2022-1096
CWE-843(タイプ・コンフュージョン)
CVSS: 8.8
https://chromereleases.googleblog.com/2022/03/stable-channel-update-for-desktop_25.html
https://nvd.nist.gov/vuln/detail/CVE-2022-1096
CVE-2022-1364
CWE-843(タイプ・コンフュージョン)
CVSS: 8.8
https://chromereleases.googleblog.com/2022/04/stable-channel-update-for-desktop_14.html
https://nvd.nist.gov/vuln/detail/CVE-2022-1364
CVE-2022-2294
High
https://chromereleases.googleblog.com/2022/07/stable-channel-update-for-desktop.html
===================================
■■■ Apple iOS／macOS ゼロデイ
今日、Apple が公開したのは、iPhone／iPad／Mac のハッキングに悪用された、２つのゼロデイ脆弱性を修正するための緊急セキュリティ・アップデートです。ゼロデイ脆弱性とは、ソフトウェア・ベンダーがパッチ適用を行う前に、攻撃者や研究者により検知されたセキュリティ上の欠陥のことです。多くの場合において、ゼロデイ脆弱性には、PoC エクスプロイトの公開や、積極的な攻撃での悪用が伴います。
https://iototsecnews.jp/2022/08/17/apple-security-updates-fix-2-zero-days-used-to-hack-iphones-macs/
Apple iOS 15.6.1 未満、Apple iPadOS 15.6.1 未満、Apple macOS Monterey 12.5.1 未満
CVE-2022-32893, CVE-2022-32894
https://support.apple.com/en-us/HT213412
https://support.apple.com/en-us/HT213413
===================================
■■■ Active Directory／Bumblebee
BazarLoader／TrickBot／IcedID といった脅威アクターたちが、ターゲットのネットワークを侵害する際に、マルウェアローダーとして Bumblebee を利用するケースが増大しています。Cybereason の研究者である Meroujan Antonyan と Alon Laufer は、技術文書で、「Bumblebee のオペレーターたちは、集中的な偵察活動を行い、実行されたコマンドの出力をファイルへリダイレクトして抽出する」と述べています。
CVE-2021-40444
CVSS: 8.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444
https://iototsecnews.jp/2021/09/07/microsoft-shares-temp-fix-for-ongoing-office-365-zero-attacks/
===================================
■■■ Google Titan M Chip
Quarkslab のセキュリティ研究者は、今年の初めに発見した Google の Titan M Chip における、深刻な脆弱性についての詳細情報を公開しました。2018年に発表された Titan M は、Pixel デバイスにセキュリティ保護の強化を提供するために設計された、セキュアブートなどを保証する SoC (system-on-a-chip) です。この新たな脆弱性 CVE-2022-20233 は、Android の 2022年6月のセキュリティ・パッチの一部として対処され、深刻な権限昇格のバグだと、Google は説明していました。
CVE-2022-20233
CWE-787(境界外書き込み)
CVSS: 6.7
https://nvd.nist.gov/vuln/detail/CVE-2022-20233
===================================
■■■ SAP
米国 Cybersecurity and Infrastructure Security Agency (CISA) は SAP の深刻な脆弱性について、ハッカーカンファレンス Black Hat および Def Con で詳細が公開されてから１週間足らずで、Known Exploited Vulnerabilities Catalog に追加しました。木曜日に CISA は、７つの脆弱性をカタログに追加し、9月8日までに対処するよう連邦政府機関に指示しています。新たに追加された脆弱性には、野放しでの悪用に関するオフィシャルな報告がないものもありますが、悪用に関する信頼できる情報を得た場合にのみ、CISA は CVE をカタログに追加すると明言しています。
CVE-2022-22532, CVE-2022-22536
CWE-444(HTTP リクエスト・スマグリング)
CVSS: 10.0
https://wiki.scn.sap.com/wiki/display/PSR/SAP+Security+Patch+Day+-+February+2022
https://nvd.nist.gov/vuln/detail/CVE-2022-22532
https://nvd.nist.gov/vuln/detail/CVE-2022-22536
Palo Alto Networks PAN-OS におけるリモート・コード実行の脆弱性
CVE-2017-15944
http://www.securityfocus.com/bid/102079
https://securityadvisories.paloaltonetworks.com/Home/Detail/102
CVE-2022-21971
CVSS: 7.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-21971
CVE-2022-22536
CWE-444(HTTP リクエスト・スマグリング)
CVSS: 10.0
https://wiki.scn.sap.com/wiki/display/PSR/SAP+Security+Patch+Day+-+February+2022
https://nvd.nist.gov/vuln/detail/CVE-2022-22536
CVE-2022-26923
CVSS: 8.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26923
CVE-2022-2856
High
https://chromereleases.googleblog.com/2022/08/stable-channel-update-for-desktop_16.html
===================================
■■■ Google ChromeOS
Microsoft は、ChromeOS における深刻な脆弱性 CVE-2022-2587 (CVSS：9.8) について、詳細な情報を共有しました。この脆弱性は、OS Audio Serverにおける境界外書き込みの問題であり、DoS 状態を引き起こすこともあれば、特定の状況下ではリモートコード実行のために悪用される可能性があるとのことです。
https://iototsecnews.jp/2022/08/23/microsoft-publicly-discloses-details-on-critical-chromeos-flaw/
CVE-2022-2587
CWE-787(境界外書き込み)
CVSS: 9.8
https://www.ibm.com/support/pages/node/6600749
===================================
■■■ GitLab
DevOps プラットフォームの GitLab は、GitLab Community Edition (CE) および Enterprise Edition (EE) に影響を及ぼす、深刻なリモートコード実行の脆弱性 CVE-2022-2884 (CVSS 9.9) を修正する、セキュリティ・アップデートをリリースしました。攻撃者が認証されている場合には、GitHub の Import API を介して、この脆弱性の悪用が可能となります。
CVE-2022-2884
CVSS: 9.9
https://about.gitlab.com/releases/2022/08/22/critical-security-release-gitlab-15-3-1-released/
トライアル・お問い合わせはこちらから▼
■脆弱性情報配信サービス ＊サンプルファイルダウンロード可能＊ ＞＞＞脆弱性TODAY
■脆弱性情報収集後のフローに活用するなら ＞＞＞CSIRT MT.mss
本ブログに掲載している情報はGRCSが資料の作成時点で入手・判明し得たものであり、できるだけ正確な情報の提供を心掛けておりますが、GRCSは、利用者が本資料の情報を用いて行う一切の行為について何ら責任を負うものではありません。