最新記事一覧
Googleは、Webブラウザ「Google Chrome」のデスクトップ版にゼロデイ脆弱性が見つかったとしてアップデートを実施した。「エクスプロイトが存在することを認識している」脆弱性を含む。
()
インシデントに関するある調査によれば、脆弱性を悪用するエクスプロイトが初期侵入で多く使われる傾向が見て取れるという。中でも多いのが、VPN機器の脆弱性を突いた攻撃だ。不正侵入の入り口を常に探す攻撃者を、どう防げばよいのか。
()
Kaspersky Labは「Operation Triangulation」と呼ばれるiPhoneを標的とした持続的標的型攻撃について調査中だ。iMessage経由でゼロクリックでのエクスプロイトが実行されると伝えている。
()
Googleの脅威分析グループTAGは、Chrome、Firefox、Microsoft Defenderのゼロデイ脆弱性を標的とするエクスプロイトフレームワークをブロックしたと発表した。スペインの民間企業がこのフレームワークに関連していると指摘した。脆弱性には対処済みとしている。
()
Mac版Zoomに重要度「High」のセキュリティ更新が配信されている。DEF CONで悪用方法が披露された脆弱性に対処するものだ。
()
GoogleはWindows版Chrome向けの緊急アップデートを配信した。この脆弱性を悪用したエクスプロイトが実際に存在する。
()
Microsoftが11月のセキュリティ更新で修正したはずの脆弱性がまだ悪用できると、報告者が概念実証をGitHubで公開した。既にマルウェアサンプルが検出されているという報告もある。
()
Windows Installerにおける特権昇格のゼロデイ脆弱性を利用したエクスプロイトが見つかった。現時点ではMicrosoftはアップデートを提供していない。
()
GoogleはChromeブラウザのセキュリティアップデート「95.0.4638.69」をリリースした。8件の脆弱性を修正する。そのうち2件は実際に悪用されたことが確認されている。
()
「VMware vSphere」のサーバ管理ソフトウェア「VMware vCenter Server」の脆弱性（CVE-2021-22005）に対する完全なエクスプロイトが開発された。これを利用したサイバー攻撃は広範囲に及ぶ見込みだ。
()
セキュリティ研究所Citizen Labは、バーレーン政府がNSOのスパイウェアで複数の人権活動家のiPhoneにゼロクリック攻撃を仕掛けていたと報告した。iOS 14.6搭載のiPhone 12 Pro Maxも侵入されていた。iMessageのエクスプロイト対策「BlastDoor」も回避された。
()
MicrosoftがWebブラウザ「Edge」のセキュリティプロジェクト「Super Duper Secure Mode」（SDSM）を発表した。エクスプロイトの原因になりがちなJITコンパイルを削除しつつパフォーマンスを保つテストに取り組む。
()
Amnesty Internationalが公開したNSO Groupのスパイウェア「Pegasus」に関するレポートによると、「iOS 14.6」搭載の「iPhone 12」でも攻撃成功が確認された。Appleは声明文で「圧倒的多数のユーザーにとっては脅威ではない」と語った。
()
GitHubは複数の脆弱性攻撃を組み合わせることで、カーネルコードの実行に至る実験に成功したことを発表した。Androidシステムコンポーネントのさまざまな脆弱性攻撃を組み合わせて、「Google Chrome」ブラウザのエクスプロイトから権限昇格へ、さらにAndroidデバイス上でのカーネルコード実行へと進んだ。
()
Appleが5月に修正したiOSの脆弱性を悪用するエクスプロイトを、この脆弱性を報告したGoogleのセキュリティ専門家が動画付きで解説した。Wi-FiにつながったiPhoneをリモートから乗っ取り、操作できる。
()
「Apache Struts 2」で新たに2件の脆弱性が発覚した。このうち1件については、コンセプト実証コードが公開されたと伝えられている。
()
Microsoftが2020年3月に公開したセキュリティ更新プログラムを適用していないシステムが狙われている。
()
2019年11月、脆弱性「BlueKeep」を悪用した初のエクスプロイトが発見された。ベンダーやセキュリティコミュニティーが注意を促す一方で、専門家はさらなる攻撃の拡大を想定する。
()
特定の状況下で悪用された場合、リモートでコードを実行される恐れがある。
()
SIMカードの脆弱性を悪用し、密かにSMSを送りつけた相手の位置情報を追跡するエクスプロイト「Simjacker」が発見された。AdaptiveMobile Securityは「政府と協力して個人を監視する特定の民間企業が開発したものと確信している」としている。
()
Appleが、8月末にGoogleがiPhoneへのエクスプロイト攻撃について解説したことが、ユーザーに誤った印象を与えたとして反論した。
()
Google Project Zeroが解説するiPhoneを狙う無差別攻撃は、新疆（しんきょう）ウイグル自治区のコミュニティを標的とするよう設計された国家（おそらく中国）支援攻撃の一環だと米TechCrunchが情報筋の話として報じた。米ForbesはWindowsおよびAndroidも攻撃されていたと指摘した。
()
Googleの脆弱性調査プロジェクト「Project Zero」が、Appleが2月の「iOS 12.1.4」で対処した脆弱性について説明した。これらの脆弱性を悪用するエクスプロイトは幾つかのWebサイトに仕込まれ、訪問するiOS 10以降搭載のiPhoneを無差別に攻撃していた。
()
複数のセキュリティ研究者が、Windowsのリモートデスクトップサービスの脆弱性「BlueKeep」を突く概念実証（PoC）エクスプロイトを作成した。その中には、リモートからコードを実行するものも含まれていた。
()
「WannaCry」の悪夢再来も予想される「BlueKeep」の脆弱性。危険すぎるMetasploitのモジュールの開発が伝えられ、米国家安全保障局（NSA）も対応を急ぐよう強く勧告した。
()
コンセプト実証の悪用コードをGitHubで公開した人物は、さらに複数の未解決の脆弱性情報を公開すると予告している。
()
研究者は、オープンソース開発の過程で行われた脆弱性の修正が、安定版に反映されるまでの時間差を突いて攻撃される可能性を指摘している。
()
AcrobatとReaderの脆弱性のうち1件については、外部の研究者によって事前に公表され、コンセプト実証コードも公開されていた。
()
コンセプト実証用のアプリ「KeySteal」を使って、キーチェーンに登録された全パスワードを盗む様子を示した動画が公開された。
()
Exchangeのデフォルトの設定と組み合わせて悪用すれば、攻撃者がドメイン管理者特権を獲得できてしまう恐れがある。コンセプト実証ツールも公開されている。
()
データ漏えいが起きる仕組みを理解すると、ソフトウェアパッチを迅速に適用させることの重要性が分かる。そうすれば、かつてないほどの早さで発展するエクスプロイト業界に対する被害を最小限に抑えることができる。
()
Windows版のAcrobatとReaderに存在する脆弱性は、既にコンセプト実証コードが公開されているという。
()
脆弱性はIntelのCPU「Skylake」「Kaby Lake」で確認され、研究チームはこの問題を突いて、TLSサーバからOpenSSL秘密鍵を盗むことに成功したという。
()
この脆弱性を突くコンセプト実証コードのソースコードも公開されていて、誰でもこれに手を加え、自分のコードに取り込むことができてしまう状態にあるという。
()
MicrosoftはWindows 10の「Windows Defender Exploit Guard」で、「アドレス空間レイアウトのランダム化（ASLR）」など、メモリベースの攻撃を防ぐ3つの重要な機能を提供している。
()
Nintendo Switchでこの脆弱性を実証するためのコンセプト実証コードも公開された。ユーザーが手持ちのデバイスの脆弱性を修正することは不可能とされる。
()
脆弱性を突くコンセプト実証コードが既に出回っていて、Smart Install機能が使用するTCP 4786番ポートに対するスキャンが急増しているという。
()
「Windows 10」の次期大型アップデート「Fall Creators Update」では、「EternalBlue」というエクスプロイト（脆弱性攻撃プログラム）の悪用を可能にしていた弱点が修正される。アップデート適用日までにできる対策とは。
()
WannaCryに利用されたNSAのハッキングツールを暴露した集団が、Windows 10の新しいエクスプロイトなどの情報を、会員向けに毎月有料で公開すると発表した。
()
米NSAのハッキングツール流出にかかわったとされる集団「Shadow Brokers」が公開した情報の中に、Lotus Dominoの脆弱（ぜいじゃく）性を突くエクスプロイトが含まれると報じられていた。
()
影響を受けるのはDominoサーバの9.0.1FP8までのバージョン。危険度は極めて高い。この脆弱（ぜいじゃく）性を突くエクスプロイトは、「EMPHASISISMINE」のコード名で公開されていたという。
()
Facebookと「AdBlock Plus」の広告ブロックをめぐるいたちごっこが続く中、プリンストン大学の研究者がマークアップではなく、人間向けの表示を“知覚”して広告を判断するブロッカーのコンセプト実証用Chrome拡張機能を公開した。
()
米Googleの研究者が、EdgeとIEの未解決の脆弱性を突くコンセプト実証コードを公開した。
()
コンセプト実証コードも公開されており、不正なSMBサーバにクライアントが接続すると、Windowsがクラッシュしてブルースクリーン状態に陥るという。
()
セキュリティ専門家が時事ネタを語る本連載。第35回はセキュリティ用語としての「exploit（エクスプロイト）」について解説します。
()
DNSサーバソフト「BIND 9」の脆弱性を突く攻撃実証コードの存在が確認された。
()
脆弱性を悪用されると、任意のコードを実行されたり、サービス不能状態にさせられたりするなどの恐れがある。
()
攻撃実証コードの有効性が確認され、国内で脆弱性の悪用を狙う攻撃が活発化している。
()
悪用された場合に任意のコードを実行される恐れがある。
()
WebLogic、WebSphere、JBoss、Jenkins、OpenNMSのそれぞれについて、いずれも最新版でこの脆弱性を突いてリモートでコードを実行できるコンセプト実証コードも公開された。
()