脆弱性TODAYのキュレーターからのコメントを掲載します。
脆弱性トレンド情報 2023年9月度の記事と併せてぜひご覧ください。
GRCSのコンサルタントが毎日インターネット上で公開される国内外の脆弱性情報を
収集・整理して、当日午後にメールでレポートを配信するサービスです。
API連携も可能（※有料オプション）で、効率的に脆弱性情報を収集することができます。
キュレーターからのコメント
2023年9月の脆弱性TODAYでは、以下の脆弱性情報の再掲載および新規掲載を行っています。再掲載に関しては、対象となる脆弱性の悪用が発見されたものや、米CISAが悪用リストに追加したものなどが含まれます。また、新規掲載の脆弱性には、NVDやVuldbなどのパブリック・ポータルが未対応のものや、対応が遅れたものなどが含まれます。
これらの脆弱性情報は、いずれも海外メディアが、インシデント情報として掲載したものです。つまり、通常のキュレーションとは別の切り口から、注目すべき脆弱性情報として取得されたものとなります。それにより、ユーザー様に注意喚起を促すプロセスを提供しています。その一例として、スタッフブログに情報を開示していきます。
=========================================================
■■■ Cisco
8月16～17日にCiscoは、特権の昇格／SQL インジェクション／パストラバーサル／サービス拒否 (DoS) などにつながる深刻度の高い脆弱性を修正しました。このうち最も深刻なものは、Cisco Unified Communications Manager (Unified CM) と、Unified Communications Manager Session Management Edition (Unified CM SME) などの、Web 管理インターフェースに影響するものです。
CVE-2023-20197
CVSS 7.5
CVE-2023-20211
CVSS 8.1
CVE-2023-20224
CVSS 7.8
CVE-2023-20229
===================================
■■■ WinRAR
数百万人に使用されている Windows用の一般的なファイル・アーカイバ・ユーティリティ WinRAR に、アーカイブを開くだけでコンピュータ上でコマンドを実行できるという、深刻度の高い脆弱性が発見され修正されました。この脆弱性 CVE-2023-40477 の悪用に成功したリモートの攻撃者は、特別に細工された RAR ファイルを開かせた後に、ターゲット・システム上で任意のコードを実行する可能性があるようです。この脆弱性は Zero Day Initiative の研究者 goodbyeselene により発見され、2023年6月8日付で、ベンダーである RARLAB に報告されました。
CVE-2023-40477
CWE-129(配列インデックスの不適切な確認)
CVSS 6.3
===================================
■■■ Jenkins
OSSソフトウェア開発自動化サーバであるJenkinsが、今週に発表したのは、複数のプラグインに影響する High／Medium レベルの脆弱性に対するパッチです。今回のパッチが対応するのは、３つのプラグインである Folders／Flaky Test Handler／Shortcut Job に存在する、クロス・サイト・リクエスト・フォージェリ (CSRF) と、クロス・サイト・スクリプティング (XSS) の脆弱性です。
CVE-2023-40336
CVSS 8.0
https://www.jenkins.io/security/advisory/2023-08-16/#SECURITY-3106
CVE-2023-40342
CVSS 8.0
https://www.jenkins.io/security/advisory/2023-08-16/#SECURITY-3223
CVE-2023-40343
CVSS 3.7
https://www.jenkins.io/security/advisory/2023-08-16/#SECURITY-3229
CVE-2023-40346
CVSS 8.0
https://www.jenkins.io/security/advisory/2023-08-16/#SECURITY-3071
CVE-2023-40350
CVSS 7.5
https://www.jenkins.io/security/advisory/2023-08-16/#SECURITY-2811
===================================
■■■ GitLab
LABRAT と呼ばれる、金銭的な動機に基づく新たなオペレーションが、Sysdig のセキュリティ研究者たちにより発見されました。このキャンペーンの目的は、クリプト・マイニングとプロキシ・ジャッキングで利益を得ることであり、様々なテクニックを使って身を潜めるように設計されています。プロキシ・ジャッキングとは、攻撃手法の１つであり、攻撃者が被害者のシステムを侵害して、不正な操作などを行うものです。LABRAT のオペレーターは、既知の GitLab のリモート・コード実行の脆弱性 CVE-2021-22205 を悪用して、標的のコンテナを侵害していました。
https://iototsecnews.jp/2023/08/18/proxyjacking-and-cryptomining-campaign-targets-gitlab/
CVE-2021-22205
CVSS 9.9
https://nvd.nist.gov/vuln/detail/CVE-2021-22205
https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22205.json
===================================
■■■ Intel
先日に公表された Intel CPU の脆弱性 Downfall に対して、複数の大手企業がセキュリティ・アドバイザリ発表しました。Google の研究者により発見され、CVE-2022-40982 として追跡されている Downfall には、サイドチャネル攻撃を引き起こす可能性があります。その悪用に成功したローカルの攻撃者には、パスワードや暗号化キーなどの機密性の高い情報を、対象となるデバイスから取得する可能性が生じるようです。クラウド環境も影響を受けることになり、Web ブラウザ経由でリモート攻撃などが起こるかもしれないですが、そのような攻撃を実証するには、さらなる研究が必要なようです。
https://iototsecnews.jp/2023/08/18/companies-respond-to-downfall-intel-cpu-vulnerability/
CVE-2022-40982
CVSS 6.5
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html
===================================
■■■ Ivanti
8月21日に、米国の IT ソフトウェア会社 Ivanti は、Sentry API 認証バイパスの脆弱性が悪用されているとして、顧客へ向けて警告を発しました。 Ivanti Sentry (旧 MobileIron Sentry) は、Microsoft Exchange Server のようなエンタープライズ ActiveSync サーバや、Sharepoint サーバのようなバックエンド・リソースのゲートキーパーとして機能するものであり、Kerberos Key Distribution Center Proxy (KKDCP) サーバとしても機能しています。
https://iototsecnews.jp/2023/08/21/ivanti-warns-of-new-actively-exploited-mobileiron-zero-day-bug/
CVE-2023-38035
CWE-287(不適切な認証)
CVSS 9.8
https://www.ivanti.com/blog/cve-2023-38035-vulnerability-affecting-ivanti-sentry
https://nvd.nist.gov/vuln/detail/CVE-2023-38035
===================================
■■■ Juniper
Juniper Networks は、Junos OS の J-Web コンポーネントに存在する複数の脆弱性に対処するために、out-of-cycle セキュリティ・アップデートをリリースしました。全体で４件の脆弱性 (CVSS 5.3) が、組み合わせて悪用された場合の累積 CVSS 値は 9.8 であり、深刻度は Critical だと評価されています。これらの脆弱性は、SRX／EX シリーズの Junos OS 全バージョンに影響しています。
https://iototsecnews.jp/2023/08/29/hackers-exploit-critical-juniper-rce-bug-chain-after-poc-release/
CVE-2023-36844, CVE-2023-36845, CVE-2023-36846, CVE-2023-36847
CVSS 9.8
https://github.com/watchtowrlabs/juniper-rce_cve-2023-36844
https://vulncheck.com/blog/juniper-cve-2023-36845
===================================
■■■ VMware
VMware の Aria Operations for Networks 分析ツール (旧 vRealize Network Insight) に存在する SSH 認証バイパスの脆弱性について、PoC エクスプロイト・コードが公開されました。この脆弱性 CVE-2023-34039 は、ProjectDiscovery Research のセキュリティ・アナリストにより発見され、その報告を受けた VMware は、8月30日 (水) にリリースしたバージョン 6.11 でパッチを適用しました。
CVE-2023-20864
9.8
https://www.vmware.com/security/advisories/VMSA-2023-0007.html
https://www.security-next.com/145584
CVE-2023-20887
CVSS 9.8
https://www.vmware.com/security/advisories/VMSA-2023-0012.html
https://www.zerodayinitiative.com/advisories/ZDI-23-840/
CVE-2023-20890
CVSS 7.2
https://www.vmware.com/security/advisories/VMSA-2023-0018.html
https://nvd.nist.gov/vuln/detail/CVE-2023-20890
CVE-2023-34039
CVSS 9.8
https://www.vmware.com/security/advisories/VMSA-2023-0018.html
https://nvd.nist.gov/vuln/detail/CVE-2023-34039
https://summoning.team/blog/vmware-vrealize-network-insight-rce-cve-2023-34039/
===================================
■■■ Citrix
Citrix NetScaler の、インターネットに公開されているパッチ未適用の システムを標的とする一連の攻撃を、Sophos X-Ops のサイバー・セキュリティ専門家たちが発見しました。8月25日 (金) の X (Twitter) で共有された、この悪意あるキャンペーンに関する説明では、深刻なリモートコード実行の脆弱性 CVE-2023-3519 が悪用され、その結果として脅威アクターがシステムに侵入し、ドメインを覆う規模での攻撃キャンペーンが発生していると、セキュリティ研究者たちは述べています。
https://iototsecnews.jp/2023/08/29/new-ransomware-campaign-targets-citrix-netscaler-flaw/
CVE-2023-3519
CWE-20(不適切な入力確認)
CVSS 9.8
https://www.jpcert.or.jp/at/2023/at230013.html
===================================
■■■ Splunk
8月30日 (水) に Splunk が発表したのは、Splunk Enterprise および IT Service Intelligence に存在する、複数の深刻度の高い脆弱性 (サードパーティ製パッケージの欠陥を含む) に対するパッチです。今月に Splunk Enterprise が解決したバグの中で、最も深刻な脆弱性は CVE-2023-40595 (CVSS：8.8) であり、細工されたクエリを介した、リモート・コード実行の問題だと説明されています。
CVE-2023-40592
CVSS 8.4
https://advisory.splunk.com/advisories/SVD-2023-0801
https://nvd.nist.gov/vuln/detail/CVE-2023-40592
CVE-2023-40595, CVE-2023-40598
CVSS 8.8
https://advisory.splunk.com/advisories/SVD-2023-0804
https://advisory.splunk.com/advisories/SVD-2023-0807
https://nvd.nist.gov/vuln/detail/CVE-2023-40595
https://nvd.nist.gov/vuln/detail/CVE-2023-40598
CVE-2023-40596
CVSS 7.0
https://advisory.splunk.com/advisories/SVD-2023-0805
https://nvd.nist.gov/vuln/detail/CVE-2023-40596
CVE-2023-40597
CVSS 7.8
https://advisory.splunk.com/advisories/SVD-2023-08066
https://nvd.nist.gov/vuln/detail/CVE-2023-40597
CVE-2023-4571
CVSS 8.6
https://advisory.splunk.com/advisories/SVD-2023-08100
https://nvd.nist.gov/vuln/detail/CVE-2023-4571
===================================
■■■ Minio
MinIO 高性能オブジェクト・ストレージ・システムに存在する、深刻度の高いセキュリティ欠陥を武器にする未知の脅威アクターが、影響を生じているサーバ上で不正なコードを実行していることが確認されました。サイバー・セキュリティ企業 Security Joes は、この侵入は MinIO インスタンスをバックドア化するために公開されている、エクスプロイト・チェーンを活用したものだと述べています。このチェーンは、脆弱性 CVE-2023-28432 (CVSS：7.5) と CVE-2023-28434 (CVSS：8.8) で構成されていますが、前者に関しては、2023年4月21日に米 CISA の KEV (Known Exploited Vulnerabilities) カタログに追加されています。
CVE-2023-28432
CWE-200(情報漏えい)
CVSS 7.5
https://nvd.nist.gov/vuln/detail/CVE-2023-28432
https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q
CVE-2023-28434
CWE-269(不適切な権限管理)
CVSS 8.8
https://nvd.nist.gov/vuln/detail/CVE-2023-28434
https://thehackernews.com/2023/09/hackers-exploit-minio-storage-system.html
===================================
■■■ ASUS
ASUS の RT-AX55／RT-AX56U_V2／RT-AC86U ルーター群には、３件の深刻なリモートコード実行の脆弱性が存在しています。それらに対するセキュリティ更新プログラムがインストールされていない場合に、脆弱性の悪用に成功した脅威アクターにデバイスを乗っ取られる可能性が生じる。これらの３種類の WiFi ルーターは、コンシューマー・ネットワーキング市場で人気のハイエンド・モデルであり、現時点でも ASUS の Web サイトで入手できる。高いパフォーマンスを必要とする、ゲーマーなどのユーザーに支持されています。
https://iototsecnews.jp/2023/09/05/asus-routers-vulnerable-to-critical-remote-code-execution-flaws/
CVE-2023-39238
CWE-134(不適切な書式文字列)
CVSS 9.8
https://nvd.nist.gov/vuln/detail/CVE-2023-39238
https://www.twcert.org.tw/tw/cp-132-7354-4e654-1.html
CVE-2023-39239
CWE-134(不適切な書式文字列)
CVSS 9.8
https://nvd.nist.gov/vuln/detail/CVE-2023-39239
https://www.twcert.org.tw/tw/cp-132-7355-0ce8d-1.html
CVE-2023-39240
CWE-134(不適切な書式文字列)
CVSS 9.8
https://nvd.nist.gov/vuln/detail/CVE-2023-39240
https://www.twcert.org.tw/tw/cp-132-7356-021bf-1.html
===================================
■■■ PHPFusion
PHPFusion に存在する深刻な脆弱性を、セキュリティ研究者たちが発見しました。この人気のオープンソース CMS (Content Management System) には、２つの脆弱性があるようです。先日に Synopsys の研究者たちが発見した、１つ目の脆弱性 CVE-2023-2453 は、認証されたローカル・ファイル・インクルージョンの欠陥です。この脆弱性の悪用に成功した攻撃者が、悪意を持って細工した .php ファイルをターゲット・システム上の既知のパスにアップロードすると、リモート・コード実行が可能になるようです。２つ目の脆弱性 CVE-2023-4480 は、その悪用に成功した攻撃者に対して、システム上のファイルの Read/Write を許すものであり、深刻度は Medium とされています。
https://iototsecnews.jp/2023/09/06/researchers-discover-critical-vulnerability-in-phpfusion-cms/
CVE-2023-2453
CWE-829(信頼できない領域からの機能の取り込み)
CVSS 8.8
https://nvd.nist.gov/vuln/detail/CVE-2023-2453
https://www.synopsys.com/blogs/software-security/cyrc-vulnerability-advisory-cve-2023-2453/
CVE-2023-4480
CWE-538(ファイルとディレクトリに関する情報漏えい)
CVSS 5.5
https://vuldb.com/?id.238840
https://nvd.nist.gov/vuln/detail/CVE-2023-4480
===================================
■■■ Google Chrome
Google Chrome 緊急セキュリティ・アップデートを公開されました。それにより、今年に入ってから攻撃で悪用された、４番目のゼロデイ脆弱性が修正されています。Google は、CVE-2023-4863 のエクスプロイトが存在することを認識しているようです。現時点において、この新バージョンは Stable／Extended stable チャンネルのユーザーに配布されており、今後の数日から数週間かけて、すべてのユーザーに配布されるようです。
https://iototsecnews.jp/2023/09/11/google-fixes-another-chrome-zero-day-bug-exploited-in-attacks/
CVE-2023-4863
CWE-122(ヒープバッファ・オーバーフロー)
CVSS 6.3
https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html
https://forest.watch.impress.co.jp/docs/news/1530529.html
https://www.cisa.gov/news-events/alerts/2023/09/13/cisa-adds-three-known-vulnerabilities-catalog
===================================
■■■ Notepad++
Notepad++ のバージョン 8.5.7 がリリースされ、バッファ・オーバーフローに起因する、複数のゼロデイ脆弱性が修正されました。そのうちの 1 つは、ユーザーを騙して特別に細工されたファイルを開かせることで、任意のコード実行に至らせる可能性があると指摘されています。Notepad++ は、多くのプログラミング言語をサポートし、プラグインによる拡張が可能であり、生産性を向上させるためのマルチタブ編集やシンタックス・ハイライトなどの機能を提供する、人気の無償ソースコード・エディタです。
CVE-2023-40036, CVE-2023-40031
CWE-120(バッファ・オーバーフロー)
CVSS 7.8
https://nvd.nist.gov/vuln/detail/CVE-2023-40036
https://nvd.nist.gov/vuln/detail/CVE-2023-40031
https://securitylab.github.com/advisories/GHSL-2023-092_Notepad__/
CVE-2023-40164, CVE-2023-40166
CWE-120(バッファ・オーバーフロー)
CVSS 5.5
https://nvd.nist.gov/vuln/detail/CVE-2023-40164
https://nvd.nist.gov/vuln/detail/CVE-2023-40166
https://securitylab.github.com/advisories/GHSL-2023-092_Notepad__/
===================================
■■■ Adobe
9月12日 (火) に Adobe は、広く普及している Adobe Acrobat／Acrobat Reader がもたらす、新たなゼロデイ攻撃について警鐘を鳴らしました。Patch Tuesday の一環として Adobe が警告したのは、リモートからの悪用が可能な脆弱性 CVE-2023-26369 により、コード実行攻撃が発生しているというものです。この欠陥について Adobe は、境界外書き込みによるメモリの安全性の問題であり、Windows／macOS 環境に影響を及ぼすと説明しています。
https://iototsecnews.jp/2023/09/12/adobe-says-critical-pdf-reader-zero-day-being-exploited/
CVE-2023-26369
CWE-787(境界外書き込み)
CVSS 7.8
https://helpx.adobe.com/security/products/acrobat/apsb23-34.htmll
https://www.cisa.gov/news-events/alerts/2023/09/14/cisa-adds-one-known-vulnerability-catalog
===================================
■■■ Kubernetes
Kubernetes で３件の深刻な脆弱性が発見され、その連鎖の危険性が指摘されています。それにより、クラスタ内の Windows エンドポイント上で、特権を昇格させたリモートコード実行に悪用されるという可能性が生じています。これらの脆弱性 CVE-2023-3676／CVE-2023-3893／CVE-2023-3955 の CVSS スコアは 8.8 であり、Windows ノードを持つ全ての Kubernetes 環境に影響を与えるようです。これらの脆弱性については、2023年7月13日に Akamai から報告が行われ、2023年8月23日に修正版がリリースされました。
CVE-2023-3676, CVE-2023-3893, CVE-2023-3955
CWE-20(不適切な入力確認)
CVSS 5.5
https://thehackernews.com/2023/09/alert-new-kubernetes-vulnerabilities.html
===================================
■■■ Mozilla
今日、Mozilla は、Firefox と Thunderbird に影響を及ぼし、野放し状態で悪用されている深刻なゼロデイ脆弱性を修正するために、緊急セキュリティ・アップデートをリリースしました。この脆弱性 CVE-2023-4863 は、WebP コード・ライブラリ (libwebp) のヒープバッファ・オーバーフローに起因するものであり、その影響はクラッシュから任意のコード実行にまで及ぶようです。
CVE-2023-4863
https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/
===================================
■■■ Nagios XI
ネットワーク監視ソフトウェア Nagios XI で発見された複数の脆弱性により、特権の昇格や情報漏洩の可能性があることが明らかになりました。それらの４つの脆弱性は、CVE-2023-40931 ? CVE-2023-40934 であり、Nagios XI のバージョン 5.11.1 以下に影響を及ぼします。2023年8月4日に報告を受けた Nagios は、2023年9月11日にパッチ適用したバージョン 5.11.2 をリリースしています。
CVE-2023-40932
CWE-79(クロスサイト・スクリプティング)
CVSS 5.4
https://nvd.nist.gov/vuln/detail/CVE-2023-40932
CVE-2023-40933,CVE-2023-40934
CWE-89(SQLインジェクション)
CVSS 8.8
https://nvd.nist.gov/vuln/detail/CVE-2023-40933
https://nvd.nist.gov/vuln/detail/CVE-2023-40934
https://outpost24.com/blog/nagios-xi-vulnerabilities/
===================================
■■■ Trend Micro
9月19日 (火) に Trend Micro は、Apex One などのエンドポイント・セキュリティ製品に影響を及ぼす、深刻な脆弱性が悪用されていると、アドバイザリで警告しました。このゼロデイ CVE-2023-41179 は、Apex One／Apex One SaaS／Worry-Free Business Security 製品群に影響を及ぼすものです。この脆弱性は、サードパーティのセキュリティ・ソフトウェアをアンインストールするための機能に起因しており、任意のコード実行に悪用される可能性があるようです。
CVE-2023-41179
CVSS 9.1
https://www.jpcert.or.jp/at/2023/at230021.html
https://jvn.jp/vu/JVNVU90967486/
https://www.security-next.com/149557
===================================
■■■ WinRAR
最近に修正された WinRAR の脆弱性に対する偽 PoC エクスプロイトが、あるハッカーにより GitHub で広めており、VenomRAT マルウェアのダウンローダーに感染させようとしています。この偽 PoC エクスプロイトは、Palo Alto Networks の Unit 42 チームの研究者たちにより発見され、2023年8月21日の時点で攻撃者により、悪意のコードが GitHub にアップロードされたことが報告されています。この攻撃は、すでに阻止されていますが、 GitHub から調達した PoC の、安全性を確認せずに実行することのリスクが、改めて浮き彫りにされています。
https://iototsecnews.jp/2023/09/20/fake-winrar-proof-of-concept-exploit-drops-venomrat-malware/
CVE-2023-25157
CWE-89(SQL インジェクション)
CVSS 9.8
https://nvd.nist.gov/vuln/detail/CVE-2023-25157
https://github.com/geoserver/geoserver/security/advisories/GHSA-7g5f-wrx8-5ccf
CVE-2023-40477
CVSS 6.3
===================================
■■■ Atlassian
今週に Atlassian が発表したのは、Jira／Confluence／Bitbucket／Bamboo に影響を及ぼす、４つの深刻な脆弱性に対するパッチです。これらの問題の中で最も深刻なものは、Bitbucket に存在するリモートコード実行 (RCE) の脆弱性 CVE-2023-22513 (CVSS:8.5) であり、機密性／完全性／可用性に影響を及ぼす可能性があるようです。なお、認証されている攻撃者であれば、ユーザーとの対話を必要とせずに悪用できると、Atlassian は説明しています。この問題は、Bitbucket バージョン 8.0.0 で発生したものであり、バージョン 8.14.0 までの大半のリリースに影響します。また、Bitbucket のバージョン 8.9.5／8.10.5／8.11.4／8.12.2／8.13.1.8.14.0 および、それ以降のバージョンでは、この脆弱性に対処しています。
https://iototsecnews.jp/2023/09/21/atlassian-security-updates-patch-high-severity-vulnerabilities/
CVE-2023-22512
CVSS 7.5
https://jira.atlassian.com/browse/CONFSERVER-91258
https://confluence.atlassian.com/security/security-bulletin-september-19-2023-1283691616.html
CVE-2023-22513
CVSS 8.5
https://jira.atlassian.com/browse/BSERV-14419
https://confluence.atlassian.com/security/security-bulletin-september-19-2023-1283691616.html
https://nvd.nist.gov/vuln/detail/CVE-2023-22513
CVE-2023-24998
CWE-770(制限またはスロットリング無しのリソースの割り当て)
CVSS 3.5
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.855
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.71
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.5
https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.0-M3
https://nvd.nist.gov/vuln/detail/CVE-2023-24998
CVE-2023-28709
CWE-193(オフ・バイ・ワン・エラー)
CVSS 7.5
https://nvd.nist.gov/vuln/detail/CVE-2023-28709
===================================
■■■ Apple
Apple は、iPhone／Mac ユーザーを狙った攻撃で悪用された、新たなゼロデイ脆弱性３件を修正する緊急セキュリティアップデートをリリースしました。今年に入ってから修正されたゼロデイ脆弱性は、これで合計16件となりました。２つのバグは、WebKit ブラウザエンジンに存在する CVE-2023-41993 と、Security フレームワークに存在する CVE-2023-41991 です。悪意のアプリを用いた署名検証の回避や、細工された Web ページを介した任意のコード実行にいたる恐れがあるようです。
https://iototsecnews.jp/2023/09/21/apple-emergency-updates-fix-3-new-zero-days-exploited-in-attacks/
CVE-2023-41991 CVE-2023-41992 CVE-2023-41993
CVSS 7.8
https://support.apple.com/en-us/HT213931
https://support.apple.com/en-us/HT213926
https://support.apple.com/en-us/HT213927
https://support.apple.com/en-us/HT213928
https://support.apple.com/en-us/HT213929
CVE-2023-41993
CVSS 7.8
https://support.apple.com/en-us/HT213926
https://support.apple.com/en-us/HT213927
===================================
■■■ Socomec
Socomec 製の無停電電源装置 (UPS：uninterruptible power supply) の一部に、デバイスの乗っ取りや破壊に悪用される可能性のある、複数の脆弱性が存在しています。Socomec はフランスに拠点を置き、低電圧エネルギー性能に特化した製品を提供する製造会社です。同社が提供するモジュール式 UPS 装置は、世界中の様々な分野の企業で使用されています。
CVE-2023-40221
CWE-94(コード・インジェクション)
CVSS 8.8
https://nvd.nist.gov/vuln/detail/CVE-2023-40221
https://www.cisa.gov/news-events/ics-advisories/icsa-23-250-03
CVE-2023-41084
CWE-565(妥当性と完全性を欠いたクッキーへの信頼)
CVSS 10.0
https://nvd.nist.gov/vuln/detail/CVE-2023-41084
https://www.cisa.gov/news-events/ics-advisories/icsa-23-250-03
CVE-2023-41965
CWE-922(機密情報の不適切な保存)
CVSS 7.5
https://nvd.nist.gov/vuln/detail/CVE-2023-41965
https://www.cisa.gov/news-events/ics-advisories/icsa-23-250-03
===================================
■■■ CISA KEV 警告 23/09/11
米国の CISA (Cybersecurity and Infrastructure Security Agency) は、iMessage ゼロクリック攻撃で悪用される脆弱性 BLASTPASS を、KEV (Known Exploited Vulnerabilities Catalog) カタログに追加しました。これらのゼロデイ脆弱性 CVE-2023-41064／CVE-2023-41061 は、Image I/O および Wallet フレームワークに存在し、iPhone に NSO Group の Pegasus スパイウェアをインストールするために悪用されていました。
CVE-2023-41061
CVSS 6.3
https://support.apple.com/en-us/HT213907
https://nvd.nist.gov/vuln/detail/CVE-2023-41061
https://www.cisa.gov/news-events/alerts/2023/09/11/cisa-adds-two-known-vulnerabilities-catalog
CVE-2023-41064
CVSS 6.3
https://support.apple.com/en-us/HT213905
https://nvd.nist.gov/vuln/detail/CVE-2023-41064
https://www.cisa.gov/news-events/alerts/2023/09/11/cisa-adds-two-known-vulnerabilities-catalog
===================================
■■■ Microsoft 2023-09 月例
今日は、Microsoft の September 2023 Patch Tuesday であり、積極的に悪用されている２件のゼロデイ脆弱性を含む、全体で 59件の欠陥に対するセキュリティ・アップデートが提供されています。その一方で Microsoft は、他社製品である Electron と Autodesk の２つの欠陥と、Microsoft Edge (Chromium) に存在する４つの脆弱性に対して、9月7日に修正プログラムを公開しています。
CVE-2023-36761
CVSS 6.2
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36761
https://www.cisa.gov/news-events/alerts/2023/09/12/cisa-adds-two-known-vulnerabilities-catalog
CVE-2023-36802
CVSS 7.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36802
https://www.cisa.gov/news-events/alerts/2023/09/12/cisa-adds-two-known-vulnerabilities-catalog
===================================
■■■ Azure HDInsight Analytics
Microsoft Azure HDInsight のオープンソース解析サービスに存在する、クロス・サイト・スクリプティング (XSS) の脆弱性の詳細が明らかになりました。それを悪用する脅威アクターにより、武器化される可能性があるが、すでにパッチが提供されています。Orca のセキュリティ研究者である Lidor Ben Shitrit は、「特定された脆弱性は、６つの Stored XSS と、２つの Reflected XSS の脆弱性で構成されています。これらの脆弱性を悪用することで、不正データ・アクセスから、セッションの乗っ取り、悪意のペイロードの配信にいたるまでの、さまざまな攻撃が実行される可能性が生じる」と、The Hacker News と共有したレポートの中で述べています。
CVE-2023-35393, CVE-2023-35394, CVE-2023-36877, CVE-2023-36881, CVE-2023-38188
CVSS 4.6
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35393
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35394
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36877
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36881
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-38188
===================================
■■■ Microsoft Windows
Windows Themes の脆弱性 CVE-2023-38146 に対する、PoC エクスプロイト・コードが公開されました。このセキュリティ問題は ThemeBleed とも呼ばれ、深刻度を示す CVSS 値は 8.8 です。攻撃者により細工された悪意の .THEME ファイルを、ターゲット・ユーザーが開くところから悪用が始まる可能性があります。5月15日に、この脆弱性を Microsoft に報告して、報奨金 $5,000 を受け取った研究者の Gabe Kirkpatrick により、この悪用コードが公開されました。一昨日の9月12日に Microsoft は、September 2023 Patch Tuesday をリリースし、この CVE-2023-38146 に対処しています。
https://iototsecnews.jp/2023/09/14/windows-11-themebleed-rce-bug-gets-proof-of-concept-exploit/
CVE-2023-38146
CVSS 8.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-38146
===================================
■■■ Microsoft の詳細レポート：Linux／macOS の ncurses ライブラリの脆弱性
プログラミング・ライブラリである ncurses (new curses の略) で、メモリ破壊の脆弱性が発見されました。その影響が及ぶ Linux／macOS システム上で、悪意のコード実行を試みる、脅威行アクターたちに悪用される可能性があるようです。Microsoft Threat Intelligence の研究者である Jonathan Bar Or と Emanuele Cozzi と Michael Pearse は、「環境変数ポイズニングを使用する攻撃者は、これらの脆弱性を連鎖させて特権を昇格させ、標的のプログラム・コンテキストによるコード実行や、悪意のアクションを引き起こす可能性がある」と、今日に発表されたテクニカルレポートの中で述べています。
CVE-2023-29491
CWE-787(境界外書き込み)
CVSS 7.8
https://nvd.nist.gov/vuln/detail/CVE-2023-29491
===================================
■■■ Microsoft Windows
VIPRE のレポートによると、フィッシング・メールの 85% においては、そのコンテンツに悪意のリンクが隠されており、スパム・メールに関しては、2023年 Q1 から Q2 にかけて 30% も増加しているようです。VIPRE の 2023年 Q1 レポートと比較すると、Q2 フィッシングの最大の標的は IT 関連であり、金融機関 (9%) を上回っています。
https://iototsecnews.jp/2023/09/04/spam-is-up-qr-codes-emerge-as-a-significant-threat-vector/
CVE-2022-30190
CVSS 7.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30190
===================================
■■■ Microsoft Office
Microsoft Office に存在する、古いリモートコード実行の脆弱性を悪用して、無防備なユーザーに Agent Tesla RAT 配信するィッシングキャンペーンが、つい先日に発見されました。Fortinet の研究者である Xiaopeng Zhang は、「脆弱性 CVE-2017-11882／CVE-2018-0802 に対するパッチは、2017年11月と 2018年1月に、Microsoft からリリースされています。しかし、脅威アクターたちにとって、これらは依然として人気の脆弱性であり、５年以上が経過した今でも、まだパッチが適用されていないデバイスが野放しになっていることが示唆されています。私たちは、IPS レベルで、１日あたり 3000件の攻撃を観測し、緩和しています。観測された脆弱なデバイスの数は、１日あたり約 1300台である」と述べています。
https://iototsecnews.jp/2023/09/06/old-vulnerabilities-are-still-a-big-problem/
CVE-2017-11882
CVSS 7.8
https://portal.msrc.microsoft.com/en-us/security-guidance
https://www.microsoft.com/en-us/download/details.aspx?id=56206
https://www.microsoft.com/en-us/download/details.aspx?id=56250
https://www.microsoft.com/en-us/download/details.aspx?id=56251
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2017-11882
https://nvd.nist.gov/vuln/detail/CVE-2017-11882
CVE-2018-0802
CWE-787(境界外書き込み)
CVSS 7.8
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2018-0802
https://nvd.nist.gov/vuln/detail/CVE-2018-0802
トライアル・お問い合わせはこちらから▼
■脆弱性情報配信サービス ＊サンプルファイルダウンロード可能＊ ＞＞＞脆弱性TODAY
■脆弱性情報収集後のフローに活用するなら ＞＞＞CSIRT MT.mss
本ブログに掲載している情報はGRCSが資料の作成時点で入手・判明し得たものであり、できるだけ正確な情報の提供を心掛けておりますが、GRCSは、利用者が本資料の情報を用いて行う一切の行為について何ら責任を負うものではありません。