2024Q4脆弱性トピック

2024.10.05

脆弱性（OSS以外のものも含む）に関するトピックを集めています。最新の情報でディストリビューション側で対応できていないものも、こちらには載せています。適宜更新していきます。

2024Q3脆弱性トピックはこちら

2024Q2脆弱性トピックはこちら

2024Q1脆弱性トピックはこちら

脆弱性情報に関してはこちら（外部サイト）もご参照下さい

2024/12/20

Fortinet Wireless Manager (FortiWLM)の脆弱性(CVE-2023-34990)

  • Fortinetのサイトより
  • CVE-2023-34990
    • 一次情報源：FG-IR-23-144
    • CVSS
      • Base Score: 9.6
      • Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:X/RC:X
    • FortiWLMにはパストラバーサルの脆弱性があり、リモートの非認証の攻撃者が重要なファイルを読むことが出来ます。

2024/12/11

新たなCleo(ファイル転送ソフト)の脆弱性(CVE-2024-50623 / CVE-2024-55956)

  • huntressのブログより
  • 2024/12/17追記：CISAのKEVにも登録された模様です。
  • 2024/12/18追記：Clopランサムウェアグループが攻撃を主張している模様です。脆弱性のCVEもCVE-2024-50623 / CVE-2024-55956と更新されています。
  • Cleo(ファイル転送ソフト)の脆弱性が悪用されている模様です。
  • CVE-2024-5063
    • 一次情報源はこちら
    • Cleo は、リモート コード実行につながる可能性のある、無制限のファイルアップロードおよびダウンロードの脆弱性 (CVE-2024-50623) を特定しました。
    • この脆弱性は次の製品に影響します。
      • Cleo Harmony (バージョン 5.8.0.21 より前)
      • Cleo VLTrader (バージョン 5.8.0.21 より前)
      • Cleo LexiCom (バージョン 5.8.0.21 より前)
  • この脆弱性は、Blue Yonderへの攻撃に関連付けられたTermite ランサムウェア ギャングによる攻撃で悪用されている模様です。

2024/12/10

組み込みなどにも使われているOpenWrtに脆弱性(CVE-2024-54143)

  • bleepingcomputerより
  • OpenWrtに緊急の脆弱性が出ている模様です。
  • CVE-2024-54143
    • 一次情報源はこちら
    • CVSS
      • CVSS-B: 9.3 Critical
      • Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
      • openwrt/asuのリクエストハッシュメカニズムでは、SHA-256 ハッシュを 12 文字のみに切り詰めます。これによりエントロピーが大幅に減少し、攻撃者が衝突を発生させることが可能になります。これを悪用すると、以前に構築された悪意のあるイメージを正規のイメージの代わりに提供して、攻撃者がアーティファクト キャッシュを「汚染」し、疑いを持たないユーザーに侵害されたイメージを配信することが可能になります。

2024/12/07

新たなWindowsのNTLM脆弱性が攻撃され、非公式パッチが公開される

  • bleepingcomputerより
  • 新しいゼロデイ脆弱性が発見され、攻撃者はターゲットを騙して Windows エクスプローラーで悪意のあるファイルを表示させるだけで NTLM 資格情報を取得できます。0patchチームが見つけて報告したとのことです。
  • こちらは　CVE-IDが未アサインのため、後ほど更新します。

2024/12/04

Veeam製品に緊急の脆弱性（CVE-2024-42448, CVE-2024-42449）

  • Veeamのサイトより
  • Veeam Service Provider Consoleに脆弱性が見つかりました。
  • CVE-2024-42448
    • CVSS Base
      • Score: 9.9 Critical
      • Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
    • サーバー上で承認されたVSPC管理エージェントマシンを用いると、VSPCサーバー上でリモートコード実行 (RCE)ができる可能性があります。
  • CVE-2024-42449
    • CVSS Base
      • Score: 7.1 High
      • Vector:CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
    • サーバー上で承認されたVSPC管理エージェントマシンを用いると、VSPCサーバーのNTLMハッシュを漏洩させることが出来、VSPCサーバ上のファイルを削除できる可能性があります。

2024/11/29

QNAPの複数の製品に脆弱性

  • bleepingcomputerより
  • QNAPの複数の製品に脆弱性が出ている模様です。こちらは後ほどまとめます。

2024/11/23

FortiClient VPNでログに関する脆弱性（？）という主張。

  • Penteraのブログより
  • FortiClient VPNのログがきちんと要件を満たしていないのでは？という主張の模様。どうなるかは引き続きウォッチしたいと思います。

2024/11/21

MITREが2024のCWE Top25を公開

Oracle Agile PLMの脆弱性(CVE-2024-21287)

2024/11/17

Palo Alto NetworkのCriticalなリモートコード実行脆弱性（PAN-SA-2024-0015）

2024/11/15

D-LinkのEoLのNAS製品(DNS-320 / DNS-325 / DNS-340L)に脆弱性。修正は提供されず。

  • D-Linkのサポートより
  • DNS-320 / DNS-325 / DNS-340Lにコマンド インジェクションの脆弱性が見つかっています。
  • CVE-2024-10914
    • CVSS
      • Base Score: Not Yet Provided

D-LinkのEoS(サポート終了)モデム製品にCriticalの脆弱性。修正は提供されず

  • D-Linkのサポートより
  • D-LinkのEoS(End of Support)となっているDSL-6740CにCriticalの脆弱性が見つかった模様です。
  • CVE-2024-11068
    • CVSS
      • Base Score: 9.8 Critical
      • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
    • 特権 API の誤った使用による不正な構成アクセスの脆弱性が見つかっています。

2024/11/11

HPE Aruba Networking Access Pointsの複数の脆弱性(CVE-2024-42509, CVE-2024-47460, CVE-2024-47461, CVE-2024-47462, CVE-2024-47463, CVE-2024-47464)

  • HPEのアドバイザリより
  • HPE Aruba Networking Access Pointに複数の脆弱性が出ています。
  • CVE-2024-42509
    • CVSS
      • Base Score: 9.8 Critical
      • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
    • CLIサービスのコマンドインジェクション脆弱性によりPAPI UDP 8211ポートでの特別に細工されたパケットにより認証されていない攻撃者が任意のコードを実行できる可能性があります。
    • Workaround
      • AOS-8ではcluster-security コマンドを使用してクラスター セキュリティを有効にする事でこの脆弱性が悪用されるのを防ぐことができます。AOS-10 デバイスではこのオプションは利用できないため、代わりに、信頼できないすべてのネットワークからポート UDP/8211 へのアクセスをブロックする必要があります。

2024/11/10

Cisco Unified Industrial Wireless ソフトウェアにコマンド インジェクションの脆弱性(CVE-2024-20418)によりroot権限が奪取される

  • Ciscoのサポートより
  • Cisco Unified Industrial Wireless ソフトウェアにコマンド インジェクションの脆弱性がでています。
  • CVE-2024-20418
    • CVSS
      • Base Score: 10.0 Critical
      • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
    • Cisco Unified Industrial Wireless ソフトウェアの Web Base Adminインターフェイスの脆弱性により、認証されていないリモート攻撃者がOS上でroot 権限を使用してコマンド インジェクション攻撃を実行できる可能性があります。
    • この脆弱性は、Web ベースの管理インターフェイスへの入力の不適切な検証が原因で発生します。攻撃者は、影響を受けるシステムの Web ベースの管理インターフェイスに細工した HTTP リクエストを送信することにより、この脆弱性を悪用する可能性があります。エクスプロイトが成功すると、攻撃者は root権限で任意のコマンドを実行できる可能性があります。

2024/11/05

Microsoft Sharepointの脆弱性(CVE-2024-38094)が悪用されている模様

  • bleepingcomputerより
  • 7月に公開されたMicrosoft SharePoint リモート コード実行 (RCE) の脆弱性（CVE-2024-38094 ）が、企業ネットワークへの初期アクセスを取得するために悪用されているとのことです。

2024/11/02

Synologyの脆弱性

  • Synologyのサポートより
  • SynologyがPwn2ownで発表された脆弱性に関する修正を公開しています。
  • CVE-IDなど情報が分かり次第更新します。

GreyNoise Intelligence が AI の助けを借りてライブ ストリーミング カメラのゼロデイ脆弱性を発見（CVE-2024-8956, CVE-2024-8957）

2024/10/30

QNAPの脆弱性(CVE-2024-50387, CVE-2024-50388)、Pwn2Ownで発表されたもの

  • QNAPのサポートサイトより
  • HBS 3 Hybrid Backup Syncの脆弱性(Pwn2Ownで発表されたもの)に対する修正が公表されました。
  • CVE-2024-50387
    • CVSS
      • Base Score: 未公開（Critical）
    • SMBサービスの脆弱性のようです（詳細不明）
  • CVE-2024-50388
    • CVSS
      • Base Score: 未公開(Critical)
    • HBS 3 Hybrid Backup Sync にOSコマンドインジェクションの脆弱性が報告されています。この脆弱性が悪用されると、リモートの攻撃者が任意のコマンドを実行できる可能性があります。

2024/10/25

CiscoのDoSの脆弱性(CVE-2024-20481)

  • Ciscoのセキュリティアドバイザリより
  • Cisco Adaptive Security ApplianceにDoSの脆弱性が見つかっています。
  • CVE-2024-20481
    • CVSS
      • Base Score: 5.8 Medium
      • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:L
    • 該当の製品では、Remote Access VPN（RAVPN）サービスの脆弱性により、認証されていないリモートの攻撃者が RAVPN サービスのサービス拒否（DoS）を引き起こすことが出来る可能性があります。

Fortinetの脆弱性（CVE-2024-47575）

  • Fortinetのサポートより
  • Fortinetより新たな脆弱性: CVE-2024-47575が出ています。
  • CVE-2024-47575
    • 一次情報源：FG-IR-24-423
    • CVSS
      • Base Score: 9.8 Critical
      • Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:H/RL:U/RC:C
    • FortiManager fgfmd daemonの認証漏れによりリモートの認証されていない攻撃者が特別に細工されたリクエストを使用して任意のコマンドを実行できる可能性があります。
  • Mandiantによると6月から悪用されていた可能性があるとのことです。

2024/10/23

VMWareの9月のCVE-2024-38812のFixが完全ではなかった

  • VMWareサポートより
  • VMWareの9月の修正が完全ではなかったということで改めてFixが出ています。

RoundCubeのXSS脆弱性(CVE-2024-37383)が狙われる

  • CVE-2024-37383（2024年6月に公開）が狙われている模様です。

2024/10/20

Kubernetes Image Builderの欠陥によりVMへのSSHでのrootアクセスが可能に

  • bleepingcomputerより
  • Kubernetes の重大な脆弱性により、Kubernetes Image Builder プロジェクトで作成されたイメージを実行している仮想マシンへの不正な SSH アクセスが可能になる可能性があります。
  • CVE-2024-9486
    • 情報源：https://github.com/kubernetes/kubernetes/issues/128006
    • CVSS
      • Base Score: 9.8 Critical
      • Vector:  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
    • Kubernetes Image Builder で、イメージ構築プロセス中にデフォルトの認証情報が有効になるというセキュリティ上の問題が発見されました。さらに、Proxmox プロバイダーを使用して構築された仮想マシン イメージでは、これらのデフォルトの認証情報が無効にならず、作成されたイメージを使用するノードは、これらのデフォルトの認証情報を使用してアクセスできる可能性があります。認証情報を使用すると、rootアクセスを取得できます。Kubernetes クラスターは、ノードが Image Builder プロジェクトとその Proxmox プロバイダーを介して作成された VM イメージを使用する場合にのみ影響を受けます。

2024/10/15

Akira, FogなどのランサムウェアグループがVeeamの脆弱性(CVE-2024-40711)を悪用

  • bleepingcomputerより
  • Akira, FogなどのランサムウェアグループがVeeamの脆弱性(CVE-2024-40711)を狙っているようです。該当の脆弱性は9月に公開されてパッチも提供されていますので当てましょう。

2024/10/10

PAN-OSで複数のCriticalな脆弱性（CVE-2024-9463, CVE-2024-9464, CVE-2024-9465, CVE-2024-9466, CVE-2024-9467)

  • Paloaltoのサイトより
  • PaloAltoの製品（ Palo Alto Networks Expedition）で使用されているPAN-OSで複数の脆弱性が出ています。
  • CVE-2024-9463
    • CVSS
    • Palo Alto Networks ExpeditionのOSコマンドインジェクションの脆弱性により、認証されていない攻撃者がroot権限で任意のOSコマンドを実行させることができ、結果としてユーザ名や平文のパスワード・設定・APIキーなどが漏洩する可能性があります。
  • CVE-2024-9464
    • CVSS
    • Palo Alto Networks ExpeditionのOSコマンドインジェクションの脆弱性により、認証された攻撃者がroot権限で任意のOSコマンドを実行させることができ、結果としてユーザ名や平文のパスワード・設定・APIキーなどが漏洩する可能性があります。
  • CVE-2024-9465
    • CVSS
    • Palo Alto Networks ExpeditionのSQLインジェクションの脆弱性により、認証されていない攻撃者がDBの中身を表示することが出来、結果としてパスワードハッシュやユーザ名、設定・APIキーなどが漏洩する可能性があります。攻撃者はまた任意のファイルをシステムに作成することが出来ます。
  • CVE-2024-9466
    • CVSS
    • Palo Alto Networks Expeditionに重要な情報が平文で保存されている箇所が有り、認証された攻撃者がファイアウォールのユーザ名やパスワード、APIキーなどが漏洩する可能性があります。
  • CVE-2024-9467
    • CVSS
    • Palo Alto Networks ExpeditionにはXSSの脆弱性があり、悪意のあるJava Scriptを実行させることで認証された攻撃者はユーザに対してフィッシング攻撃をしかけることができます。

2024/10/09

Ivantiがゼロデイの脆弱性を修復

  • Ivantiのセキュリティリリースより
  • IvantiがIvanti Endpoint Manager Mobile (EPMM)、Ivanti Cloud Service Application (CSA)、Ivanti Velocity License Server、Ivanti Connect Secure および Policy Secure、 Ivanti Avalancheに対する脆弱性の公開と更新バージョンをリリースしています。
  • 詳細は後ほど記述します
タイトルとURLをコピーしました