2021-12

OSS脆弱性ブログ

Linux Kernelの脆弱性(CVE-2021-45485, CVE-2021-45486)

12/27/2021にLinux Kernelの脆弱性(CVE-2021-45485, CVE-2021-45486)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
OSS脆弱性ブログ

Linux Kernelの脆弱性(CVE-2021-45480)

12/27/2021にLinux Kernelの脆弱性(CVE-2021-45480)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
OSS脆弱性ブログ

Linux Kernelの脆弱性(Important: CVE-2021-45469)

12/25/2021にLinux Kernelの脆弱性(CVE-2021-45469)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
OSS脆弱性ブログ

Linux Kernelの脆弱性(Moderate: CVE-2021-44733)

12/24/2021にLinux Kernelの脆弱性(Moderate: CVE-2021-44733)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
OSS脆弱性ブログ

System Security Services Daemon: SSSDの脆弱性(Important: CVE-2021-3621 )

12/24/2021にSystem Security Services Daemon: SSSDの脆弱性(Important: CVE-2021-3621 )が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
OSS脆弱性ブログ

Apache HTTP Serverの脆弱性情報(Moderate: CVE-2021-44224, High: CVE-2021-44790)と新バージョン(2.4.52)

12/20/2021にApache HTTP Serverの脆弱性情報(Moderate: CVE-2021-44224, High: CVE-2021-44790)が公開され、修正版のApache HTTP Server 2.4.52がリリースされました。今回はこちらの脆弱性の概要と、各ディストリビューションの情報を纏めています。
セキュリティブログ

SELinux/iptablesとApache Log4jの任意のコード実行の脆弱性(Log4Shell: CVE-2021-44228)

ここでは、本件の脆弱性のPoCをSELinux/iptablesで保護できるかどうかを確認して考察したいと思います。 12/10/2021にApache Log4jの任意のコード実行の脆弱性(Log4Shell: CVE-2021-44228)が公開され、引き続いてCVE-2021-45046や、log4jv1の脆弱性CVE-2021-4104, CVE-2021-42550 も出ており、攻撃も既に観測されています。さらに先程CVE-2021-45105(DoS)も出てます。セキュリティ界隈の方々や開発者、運用者含めてITエンジニアの方々は、先週から本件でかなり振り回されていると思います。
OSS脆弱性ブログ

OpenSSLの脆弱性情報(Moderate: CVE-2021-4044)と新バージョン(OpenSSL 3.0.1)

12/15/2021 (JST) に予告どおりOpenSSLの脆弱性情報(Moderate: CVE-2021-4044)と新バージョン(OpenSSL 3.0.1)が公開されています。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
OSS脆弱性ブログ

Apache Log4jの任意のコード実行の脆弱性(Log4Shell: CVE-2021-44228, CVE-2021-4104, CVE-2021-45046, CVE-2021-42550(logback), CVE-2021-45105, CVE-2021-44832 )

12/10/2021にApache Log4jの任意のコード実行の脆弱性(Log4Shell: CVE-2021-44228)が公開されました。PoCも公開されており、攻撃も観測されています。非常に影響範囲の大きい脆弱性となりますので、こちらで取り上げます。 log4j 1.xでもJNDIを使用する設定にする等の条件を満たせば影響を受ける可能性があるというコメントが出ています。 Red Hatがlog4j 1.x(JMSAppenderを使用した設定になっている場合)のCVE: CVE-2021-4104を出しました。 CVE-2021-44228では設定がデフォルト以外の場合がカバーされていませんでしたので、新たにCVE-2021-45046が発行されました。log4jも2.16.0がリリースされています。 新たにCVE-2021-45105 (無限ループによるDoSの脆弱性)が発行されました。log4jの2.0beta-9から2.16.0までが対象です。それに伴って2.17.0がリリースされています。 新たにCVE-2021-44832 (リモートコード実行の脆弱性)が発行されました。log4jの2.0-alpha7から2.17.0までが対象です。それに伴って2.17.1がリリースされています。 【2021/12/12 12:00追記】AWS/Red Hat/Oracle/F5/NetAppからの情報を追記しました。 【2021/12/12 19:00追記】Microsoft/Googleからの情報を追記しました。 【2021/12/13 05:30追記】CISA/Cisco/Dell/VMWare/IBMからの情報を追記しました。 【2021/12/13 06:00追記】各セキュリティベンダーからの情報を追記しました。 【2021/12/13 17:20追記】Elastic Search, MovableTypeからの情報を追記しました。 【2021/12/13 21:50追記】log4j 1.x+JMSAppenderの脆弱性(CVE-2021-4104)の情報を追記しました。 【2021/12/14 10:00追記】影響を受ける製品(自分用纏め)の情報を追記しました。 【2021/12/14 10:15追記】OWASP ZAP/GVMの情報を追記しました。 【2021/12/15 03:25追記】CVE-2021-45046の情報を追記しました。 【2021/12/19 10:30追記】CVE-2021-42550(logbackの脆弱性), CVE-2021-45105(無限ループのDoS脆弱性)の情報を追記しました。 【2021/12/24 07:50追記】Struts2, Zabbix, NVIDIAの情報を追記しました。 【2021/12/26 13:00追記】SIOS Security ChannelでのPoC動画を追記しました。 【2021/12/29 19:00追記】CVE-2021-44832の情報を追記しました。
OSS脆弱性ブログ

ModSecurityの脆弱性情報(CVE-2021-42717)

12/08/2021にModSecurityの脆弱性情報(CVE-2021-42717)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
タイトルとURLをコピーしました