「APIエコノミー」に迫る“検知できない脆弱性攻撃”の脅威
コンテンツデリバリーネットワーク（CDN）サービスを基盤に、各種のクラウド型セキュリティサービスを手掛けるアカマイ・テクノロジーズでWebセキュリティの動向を追う中西一博氏が、非常に発見が難しくなっているWeb攻撃の実態と手口を暴き、その対策について解説する。 以前の連載：迷惑bot事件簿 アプリのマイクロサービス化とAPIの関係 世界中のWeb通信を中継しているAkamai Technologies （以下 Akamai）が取り扱う通信の8割以上は、すでにAPIの通信が占めている。 APIを利用するスマートフォンやブラウザアプリが普及の後押しをしているのは間違いないが、近年ではサーバ側のマイクロサービス化（あるシステムを小規模なシステムを組み合わせて開発する手法）の影響も大きい。 日本も同様だ。商用のWebアプリケーション開発者に話を聞くと「いま開発中のWebアプリやスマホアプリのサーバ
話題の「EPSS」は「CVSS」と何が違うのか？ 使い分けるべきケースを紹介
EPSSは共通脆弱性評価システム（CVSS）やCVEなど複数の指標を基に、今後30日間で悪用される確率の日時推定値を示す。1000以上の変数と機械学習を使ってこの予測は微調整される。スコア値は脆弱性の修復に優先順位を付けるために設計されている。 業界では脆弱性のスコア値としてCVSSがデファクトスタンダードのポジションにある。このスコアは十分に機能しているが危険性の論理値を示すものであり、実際のリスクよりも高いスコアが付きがちで、企業が対処しなければならない脆弱性の数が多くなりすぎる点が課題だ。また、CVSSのスコア値が低いものであっても簡単に使用できるエクスプロイトが存在する場合は、そのリスクはスコア値以上に高いものになるという課題もある。 Mend.ioはCVSSとEPSSの使い分けとして以下のアドバイスを送った。
【セキュリティ ニュース】脆弱性6件に対する攻撃に注意を喚起 - 米当局（1ページ目 / 全2ページ）：Security NEXT
米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、「Adobe ColdFusion」をはじめ、脆弱性6件に対する悪用が確認されているとして注意を呼びかけた。Apple製品、CMS、BIツールなども対象となっている。 現地時間1月8日に「悪用が確認された脆弱性カタログ（KEV）」へ6件の脆弱性を追加したもの。いずれも悪用が確認されており、広く注意を呼びかけたもので、米行政機関などでは一定期間内に対応する義務がある。 「Adobe ColdFusion」に関しては、2023年7月に緊急性が高い脆弱性として修正された脆弱性「CVE-2023-38203」「CVE-2023-29300」が同リストへ追加された。信頼できないデータをデシリアライズし、リモートよりコードを実行されるおそれがある。 また「macOS」や「iOS」などApple製品のフォント解析処理に明らかとなった
今度は「ownCloud」で発生 ファイル転送サービスを狙うサイバー攻撃が相次ぐ
研究者によると、サイバー攻撃者はオープンソースソフトウェア（OSS）のファイル転送サービス「ownCloud」の重大な脆弱（ぜいじゃく）性を悪用しており、管理者パスワードやメールサーバの認証情報、ライセンスキーなどの機密データが漏えいする可能性があるという。 ownCloudは「CVE-2023-49103」と指定されたこの脆弱性を2023年11月21日（現地時間、以下同）に公開した（注1）。共通脆弱性評価システム（CVSS）における評価は、10点満点中10点である。 ownCloudは「悪用なし」と主張するも……SANSの研究者らから反対意見 同社の広報担当者は2023年12月1日に、電子メールの中で次のように述べた。 「この脆弱性は同年9月中旬に外部の研究者によって発見され、同年9月19日にパッチが適用され、同年9月20日に顧客に通知された。脆弱性が公開される前に当社はセキュリティギャ
iMessageを送信するだけでiPhoneの機密データにアクセスできるゼロデイ脆弱性「Triangulation」の詳細が公開、秘密のハードウェア機能が利用されていたことも明らかに
2023年6月に判明・修正されたApple製デバイスへのゼロクリック攻撃を可能にする脆弱(ぜいじゃく)性「Triangulation」について、この脆弱性を発見したセキュリティ企業のカスペルスキーが分析結果を発表しました。 Operation Triangulation: The last (hardware) mystery | Securelist https://securelist.com/operation-triangulation-the-last-hardware-mystery/111669/ 4-year campaign backdoored iPhones using possibly the most advanced exploit ever | Ars Technica https://arstechnica.com/security/2023/12/expl
「SBOM」は2024年のサイバーセキュリティキーワードになるか
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 【ラウンドアップ】 「SBOM」（Software Bill of Materials：ソフトウェア部品表）は、2024年のサイバーセキュリティ動向で注目すべきキーワードの1つになるだろう。米国では大統領令で企業に対応が求められ、日本でも経済産業省や厚生労働省からSBOMのガイドラインが提供されている。安全なITソフトウェア製品開発は、世界的にも“義務的な”取り組みとなっていくだろう。ここでは、2023年までのSBOM動向が分かる記事を集めた。
Apache StrutsにCVSS 9.8の脆弱性 PoC公開後にサイバー攻撃への悪用が始まる
Apache StrutsにCVSS 9.8の脆弱性 PoC公開後にサイバー攻撃への悪用が始まる：セキュリティニュースアラート
Android、12月の月例更新で「致命的」5件を含む多数の脆弱性に対処（Pixelはまだ）
米Googleは12月の第1月曜日に当たる12月4日（現地時間）、Androidの月例セキュリティ情報の12月版を公開した。重要度が最高の「致命的」5件を含む94件もの脆弱性に対処する。 「致命的」脆弱性の1つ、CVE-2023-40088のゼロクリックRCEの脆弱性は、追加の権限なしに悪用されてしまうものだ。つまり、悪用すればユーザーに知られずに任意のコードを実行できる。Googleは、この脆弱性が既に悪用されたかどうかについては明示していない。 この他の「致命的」脆弱性は、追加の権限なしにリモートで権限を昇格される可能性のあるフレームワーク関連のものが2件、追加の権限なしにリモートコードが実行される可能性があるシステム関連のものが1件、Qualcommのクローズドソースコンポーネントで対処される脆弱性が1件だ。 関連記事 Google、AIによる画像説明などAndroidとWear O
「.zip」ドメインのサイバー攻撃への悪用が継続中、注意を
Netcraftはこのほど、「.zip TLD: six months on, and still rollin'｜Netcraft」において、2023年5月3日にGoogleが一般の登録を開始した新しいトップレベルドメイン(TLD: top-level domain)の「.zip」が悪用されていることを報じてから半年が経過したが、現在も悪用が継続しているとして注意を呼びかけた。これまでにも.zipドメインの危険性や悪用の事例について、小誌では、以下のように伝えている。 「.zip」ドメインを悪用したフィッシング詐欺メールに注意を | TECH+（テックプラス） 新しいドメイン「.zip」を悪用したフィッシング手法発見、WinRARを模倣 | TECH+（テックプラス） 新ドメイン「.zip」「.move」にサイバー攻撃への悪用の懸念、専門家が指摘 | TECH+（テックプラス） Goog
新MacBook Pro（M3）でも機密情報が漏えい 2020年以降のApple製品全てに脆弱性 米国チームが発表
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 米ジョージア工科大学などに所属する研究者らが発表した論文「iLeakage: Browser-based Timerless Speculative Execution Attacks on Apple Devices」は、Mac、iPad、iPhoneなどのApple製品に搭載のSafariを標的としたサイドチャネル攻撃に関する研究報告である。 この攻撃は、最近発売されたM3チップを搭載した新型MacBook Proでも成功し、ソフトウェアの更新状況に関わらず、Apple製品にとって依然として脅威であることを示した。 「iLeakage」
JAXAへの不正アクセスについてまとめてみた - piyolog
2023年11月29日、今年夏ころに宇宙航空研究開発機構に対し不正アクセスが行われていたとして複数の報道機関が報じました。ここでは関連する情報をまとめます。 ネットワーク機器の脆弱性を悪用し攻撃か 宇宙航空研究開発機構（JAXA）で不正アクセスが確認されたのは一般業務用のイントラネットワークの管理（アクティブディレクトリ）サーバーで、外部から機構内ネットワークにアクセスされていた可能性がある。*1 JAXAはWebサイト等で不正アクセスの事実について公表を行っていないが、11月29日の参議院文教科学委員会でJAXA理事長が攻撃は事実と発言した。*2 被害にあったサーバーには役職員や派遣社員5,000件余りがサーバー上に保管されていたため、これら個人情報などが外部へ流出した可能性があるが、*3 情報流出の有無については調査中としている。また、ロケットや人工衛星の運用にかかる情報など機密性の高
【セキュリティ ニュース】WP向けプラグイン「UserPro」に深刻な脆弱性 - 組み合わせで悪用容易に（1ページ目 / 全2ページ）：Security NEXT
マーケットプレイスであるEnvato MarketのCodeCanyonにて提供されている「WordPress」向けプラグイン「UserPro」に深刻な脆弱性が明らかとなった。 あわせて11件の脆弱性が明らかとなり、複数のバージョンを通じて修正された。「クリティカル（Critical）」とされる脆弱性も含まれる。 「CVE-2023-2437」は認証のバイパスが可能となる脆弱性。プラグインを介してFacebookにログインしているユーザーに対する検証が不十分であるため、管理者を含めて既存ユーザーなどになりすましてアクセスが可能となる。 悪用にはユーザーのメールアドレスを把握する必要があるが、同時に明らかとなった認証なしにショートコードを実行できる「CVE-2023-2448」と、機密情報が漏洩する「CVE-2023-2446」を組み合わせることで、メールアドレスを取得できるという。 また検
不正アクセスによる、情報漏えいに関するお知らせとお詫び｜LINEヤフー株式会社
LINEヤフー株式会社は、このたび、第三者による不正アクセス（以下、本事案）を受け、ユーザー情報・取引先情報・従業者等*1に関する情報の漏えいがあることが判明しましたのでお知らせいたします。 本件につきまして、以下の通り報告いたしますとともに、ユーザーおよび関係者の皆さまに多大なるご迷惑とご心配をおかけする事態となりましたことを、心より深くお詫び申し上げます。 なお、後述の当社へのアクセスの経路となったと推測される当社関係会社のシステムからは、当社の各サーバーに対するアクセスを遮断しております。11月27日時点でユーザー情報や取引先情報を利用した二次被害の報告は受けておりませんが、引き続き影響調査を進め必要な対応が発生した場合は速やかに対応してまいります。 ■発生した事象 当社関係会社である韓国NAVER Cloud社の委託先かつ当社の委託先でもある企業の従業者が所持するPCがマルウェアに
「あの企業、実は情報漏えいしてますよ！」──ランサムウェア集団が自ら政府機関に“告げ口” 米国で新たな手口
「あの企業、実は情報漏えいしてますよ！」──ランサムウェア集団が自ら政府機関に“告げ口” 米国で新たな手口：この頃、セキュリティ界隈で ランサムウェアを操る集団が自分たちで攻撃を仕掛けて情報を流出させた企業について、被害に関する届け出を怠ったとして米証券取引委員会に“告げ口”する手口が確認された。こうした手口が発覚したのは初めてとみられる。 ランサムウェアを操る集団が自分たちで攻撃を仕掛けて情報を流出させた企業をターゲットに、被害に関する届け出を怠ったとして米証券取引委員会（SEC）に“告げ口”する手口が確認された。被害者に二重、三重の脅しをかけるなどランサムウェアは悪質化が進んでいるが、こうした手口が発覚したのは初とみられる。 データ漏えい情報をまとめたサイト「DataBreaches.net」によると、ランサムウェア集団の「AlphV」（別名「BlackCat」）は11月15日（現地時
徳丸 浩氏に聞いてみた 「なぜサイバーセキュリティ人材は足りないの？」
サイバーセキュリティ人材はなぜ不足しているのか。企業は素養がある人材をどのように見極めて、獲得に向けて何をすればいいのか。徳丸 浩氏がこの難問に答えた。 サイバーセキュリティ人材の不足が叫ばれるようになって久しい。有名企業がランサムウェア被害に遭ったことで、多くの企業がこれを現実的な脅威と実感して対策に乗り出すようになった。その結果、サイバーセキュリティ人材の需要が大きくなる半面、これに供給が追い付いていないという事態が生まれている。 ISC2の調査によると、日本におけるサイバーセキュリティ人材は48万1000人で2022年比23.8％増となっているが、求められる人材数は59万1000人（2022年比33％増）であり、需要と供給の間にはまだまだギャップがある。 ではこのようにサイバーセキュリティ人材が不足している要因や背景には何があり、企業がサイバーセキュリティ人材を獲得するためにはどうす
“意外と”低いクラウドサービス事業者のセキュリティガバナンス 情報漏えい対策の実態が明らかに
クラウドサービス事業者の6割以上がUSBなどの外部記憶媒体の利用をシステムで制御できておらず、約半数で社内ルール違反などの挙動監視ができていないという。クラウドサービス事業者における内部不正・過失対策の実態が明らかになる。 社会全体でクラウド活用が進み、自社の営業秘密や、顧客情報等を含む個人情報をクラウドサービスに預ける機会も増える一方で、昨今、預託先（サプライチェーン）の内部不正や誤送信や設定不備といった過失により、重要情報が漏えいする事故が増加している。 そこで、セキュリティ評価プラットフォーム「Assured」を提供するAssuredは、クラウドサービス事業者における内部不正・過失対策の実態について調査を実施した。セキュリティ評価チームによる第三者評価を実施した1161件のクラウドサービスの評価情報から、内部要因の情報漏えい対策に関わる項目の回答の傾向を発表する。
東京大学大学院総合文化研究科・教養学部への不正アクセスによる情報流出について | 東京大学
2023年10月24日 東京大学 東京大学大学院総合文化研究科・教養学部（以下、「当該部局」という）が保有するPCが、標的型攻撃メールによりマルウェアに感染し、調査の結果、PC内の情報窃取の形跡が発見され、情報漏洩した可能性があることが判明いたしました。 上記判明後、漏洩した可能性のある情報の調査を慎重に進めてまいりました。調査結果の概要は以下のとおりです。 ご関係の皆さまには多大なご迷惑とご心配をお掛けすることになり、深くお詫び申し上げます。 本学では、今回の事態を重く受け止め、より一層、情報管理体制の強化や情報セキュリティ対策の適切な管理に努めて参ります。 1．本件発生の経緯 2023年1月18日、標的型攻撃メールの事案を調査していた専門機関からの指摘を受け、当該部局が保有するPC（当該部局所属の教員1名（以下、「利用者」という）が在宅勤務で使用していたもの）が2022年7月19日に受
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
サポート終了したExchange Server約2万台が稼働中 複数の脆弱性があり注意
>内部脅威による情報漏洩 対策は｜BIGLOBEニュース
サイバーセキュリティの“設定ミス”で組織はどんな危険に晒される？ CISAとNSAが公開したアドバイザリをチェック【海の向こうの“セキュリティ”】
