トレンドマイクロのセキュリティ対策ソフト「ウイルスバスタークラウド」に脆弱性が明らかとなった。アップデートが呼びかけられている。 ファイルリンクの解決処理に不備があり、ローカル環境において権限の昇格が可能となる脆弱性「CVE-2024-32849」が判明したもの。脆弱性を悪用されると、同製品のファイルなどを削除されるおそれがある。 同社は共通脆弱性評価システム「CVSSv3.0」においてベーススコアを「7.8」と評価している。プラットフォームは「Windows」のみ影響があり、月額版も対象。アドバイザリをリリースした4月23日の時点で脆弱性の悪用は確認されていないとしている。 同社は、「同17.7.1979」にて脆弱性を修正。旧バージョンの利用者に対しては同バージョン以降の最新版へアップデートするよう呼びかけている。 なお、2023年9月にリリースした「同17.8」系が最新となっており、「

4月も後半に差しかかり、ゴールデンウィークも目前まで迫っている。組織によっては最大10連休と長期に及ぶケースもある。長期休暇は普段と異なる環境に置かれ、リスクが上昇する一方、対応が後手に回りやすい。毎年セキュリティ機関などから注意喚起が行われており、あらためて休暇前後のセキュリティ対策について確認しておくと安心だ。 休暇前にはサーバやネットワーク機器、パソコンなどにおいて脆弱性を解消し、ソフトウェアをアップデートするなど基本的なセキュリティ対策が実施されているか再確認し、利用しない機器は電源を落としておく。 特に外部よりアクセスができる「攻撃対象領域（アタックサーフェース）」における状況を入念にチェックしておきたい。VPNなどリモートアクセスツールやファイル共有ツールなどもサイバー攻撃の標的とされている。脆弱性や容易に予測できるパスワード、設定ミスなどがないか確認する。 ランサムウェアによ

Fortinetは、現地時間4月9日にセキュリティアドバイザリ13件を公開し、複数の製品において脆弱性に対処したことを明らかにした。 各社が定例のセキュリティアップデートを公開する米時間毎月第2火曜日、いわゆる「パッチチューズデー」にあわせ、「FortiOS」に関する3件を含む13件のセキュリティアドバイザリを公開したもの。 このうち、重要度が4段階中もっとも高い「クリティカル（Critical）」とされる脆弱性は1件。Linux向けに提供されている「FortiClient」において、細工されたサイトにアクセスすると、任意のコードを実行されるおそれがある脆弱性「CVE-2023-45590」について明らかにした。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.6」と評価されている。 「FortiClient」のmacOS版においてもインストーラーに脆弱性「CVE-2023-

マイクロソフトは、2024年3月の月例セキュリティ更新を公開し、あわせて59件の脆弱性に対応した。脆弱性の悪用や公開は確認されていないという。 今回のアップデートでは、「Windows」や「Office」「Microsoft Authenticator」をはじめ、「Windows Defender」「Microsoft Exchange Server」「SQL Server」「Microsoft Intune」「Microsoft Dynamics」「.NET」「Visual Studio Code」「Microsoft Azure Kubernetes Service」などに明らかとなった脆弱性に対処した。 CVEベースで59件の脆弱性を修正している。脆弱性によって影響は異なるが、18件についてはリモートからコードを実行される脆弱性としており、24件では権限の昇格が生じるおそれがある。

「iOS」および「iPadOS」にゼロデイ脆弱性が明らかとなったことを受け、米当局は注意喚起を行った。 米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）が現地時間3月6日に、「悪用が確認された脆弱性カタログ（KEV）」へ「iOS」「iPadOS」に判明した脆弱性「CVE-2024-23225」「CVE-2024-23296」を追加したもの。 Appleでは、これら脆弱性に関する悪用の報告があるとし、前日5日に公開したセキュリティアップデート「同17.4」にて修正したことを明らかにしている。旧端末向けには「同16.7.6」を公開した。 いずれもカーネルにおいて読み取りや書き込み権限を持つ場合に悪用が可能としており、メモリ保護をバイパスされるおそれがあるという。 同リストに追加された脆弱性は、悪用を防止するため米行政機関では一定期間内に対応することが求められる。また脆弱性そ

LINEヤフーが不正アクセスを受け、通信の秘密が漏洩した問題を受けて、総務省は3月5日、同社に対して行政指導を行った。電気通信事業全体に対する利用者の信頼を大きく損なう結果になったとし、対策の実施を求めている。 同問題では、業務委託先である関連会社NAVER Cloudにおいて従業員のパソコンがマルウェアに感染。 さらに同社のActive Directoryのサーバがマルウェアに感染して管理者権限を奪取され、旧LINEの社内システムにおける認証情報を悪用されてシステムを侵害されたことにより、顧客や取引先、従業員に関する個人データが流出した可能性が生じた。 不正アクセスにより、同社が提供するサービス「LINE」のユーザーに関する個人データ30万2980件が外部に流出した可能性があり、通信の秘密にあたる情報2万2239件が含まれる。 問題の発覚を受け、同省では電気通信事業法に基づき、LINEヤ

Fortinetは、米時間2月13日に「FortiNAC」の監査ログ表示に脆弱性が明らかになったとしてセキュリティアドバイザリを公開した。 ネットワークアクセス制御製品である「FortiNAC」の監査ログ表示機能にクロスサイトスクリプティング（XSS）の脆弱性「CVE-2023-26206」が明らかとなったもの。リモートより悪用されるおそれがある。 共通脆弱性評価システム「CVSSv3.1」のベーススコアは「6.8」、重要度は5段階中、上から3番目にあたる「中（Moderate）」とレーティングされている。 「同9.4」「同9.2」「同9.1」「同8.8」「同8.7」「同8.6」「同8.5」「同8.3」「同7.2」の各系統が影響を受ける。同社は脆弱性を修正した「同9.4.4」「同7.2.3」および以降のバージョンへアップデートするよう求めている。 なお、同社は現地時間2月8日にも「Fort

NRIセキュアテクノロジーズは、日本企業約1600社をはじめ、米国やオーストラリアの企業を対象にセキュリティ対策の実態調査を実施し、結果を取りまとめた。「DMARC」の導入状況など大きな差が見られた。 同社が2023年8月から9月にかけて2783社を対象にセキュリティに関する実態調査を実施したもの。日本の1657社、米国の540社、オーストラリアの586社が回答した。 送信ドメイン認証技術である「DMARC」について、米国は81.8％、オーストラリアは89.4％の企業が、「reject（拒否）」「quarantine（隔離）」「none（何もしない）」のいずれかで「実施済み」であると答えた。日本では13.0％と2割に満たない。 ルールを「reject」あるいは「quarantine」としている企業に絞ると、やや減少して米国では71.8％、オーストラリアは72.5％となるが、それでも7割を超

Fortinetは、現地時間12月12日にセキュリティアドバイザリをリリースし、同社製品が影響を受ける複数の脆弱性について明らかにした。「クリティカル（Critical）」とされる脆弱性も含まれる。 同社製品にOSとして搭載されている「FortiOS」において、認証されたユーザーが悪用できるダブルフリーの脆弱性「CVE-2023-41678」、APIリクエストを介して不正なコードやコマンドを実行できる「CVE-2023-36639」をはじめ、、同社複数製品における12件の脆弱性について明らかにしたもの。 なかでも「FortiMail」の特定環境下でログインをバイパスし、管理者としてアクセスが可能となる脆弱性「CVE-2023-47539」については、同社において重要度を5段階中もっとも高い「クリティカル（Critical）」とレーティングした。 重要度が2番目に高い「高（High）」とされ

トレンドマイクロが提供するエンドポイント向けセキュリティ対策製品「Trend Micro Apex One」に複数の脆弱性が明らかとなった。いずれも権限昇格が生じるおそれがあり、脆弱性を修正するアップデートが提供されている。 リンクの解釈に問題があり権限の昇格が生じるおそれがある「CVE-2023-47192」や、「CVE-2023-47193」「CVE-2023-47194」をはじめ同一生成元ポリシー違反により権限昇格が生じるおそれがある7件など、あわせて11件の脆弱性が明らかとなった。 いずれも共通脆弱性評価システム「CVSSv3.0」におけるベーススコアを「7.8」と評価。重要度を「高（High）」とレーティングしている。 同社では11月1日にリリースした「同Service Pack 1 Critical Patch ビルド12526」にてこれら脆弱性を修正。できるだけ早期にアップデ

Fortinet製品に搭載されている「FortiOS」や「FortiProxy」に複数の脆弱性が明らかとなった。アップデートにて修正されている。 「FortiOS」において入力検証の不備により悪意のあるイメージを起動し、ファイルシステムの整合性チェックをバイパスして不正なコードを実行されるおそれがある「CVE-2023-28002」が判明した また「SSL VPN」において認証されたユーザーが細工したHTTPリクエストを送信することでサービス拒否を引き起こすことが可能となるNULLポインタ参照の脆弱性「CVE-2023-36641」が明らかとなった。 「FortiProxy」も脆弱性の影響を受ける。同社ではこれら脆弱性の重要度を5段階中、上から3番目にあたる「中（Medium）」とレーティングした。 共通脆弱性評価システム「CVSSv3.1」のベーススコアについては、「CVE-2023-3

Adobeは、「Adobe Acrobat」および「Adobe Reader」向けにセキュリティアップデートをリリースした。「クリティカル（Critical）」とされる脆弱性9件をはじめ、複数の脆弱性を修正している。 各社が定例のセキュリティアップデートを公開する米時間毎月第2火曜日、いわゆる「パッチチューズデー」にあわせ、現地時間11月14日にアップデートをリリースしたもの。あわせて17件の脆弱性を解消した。 同社による3段階の重要度を見ると、もっとも高い「クリティカル（Critical）」とされる脆弱性が9件。次に高い「重要（Important）」とされる脆弱性が1件、もっとも低い「中（Moderate）」が7件だった。 共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、解放後のメモリを使用するいわゆる「Use After Free」の脆弱性「CVE-2023-4433

マイクロソフトは、11月の月例セキュリティ更新プログラムを公開した。3件の脆弱性についてはすでに悪用が確認されている。 今回のアップデートでは、「Windows」「Office」をはじめ、「Microsoft Exchange Server」「Microsoft Dynamics」「Azure」「ASP.NET」「.NET Framework」「Visual Studio」などに明らかとなった脆弱性を修正した。 CVEベースで58件の脆弱性に対応。最大重要度を見ると、4段階中もっとも高い「クリティカル（Critical）」とされる脆弱性が3件。次に高い「重要（Important）」とされる脆弱性が55件となっている。 脆弱性によって影響は異なるが、15件についてはリモートよりコードを実行されるおそれがある。また権限昇格の脆弱性16件やなりすましの脆弱性10件、情報漏洩の脆弱性6件、セキュリ

フランスの非営利団体Videolanが開発するマルチメディアプレイヤー「VLC media player」に脆弱性が明らかとなった。10月末にリリースされたアップデートで修正されている。 「MMS（Microsoft Media Server）」プロトコルの処理を行う一部関数にヒープベースのバッファオーバーフローの脆弱性「CVE-2023-47359」が明らかとなったもの。 米国立標準技術研究所（NIST）の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度はもっとも高い「クリティカル（Critical）」とレーティングされている。 脆弱性の発見者は1月9日に開発者へ報告。9月7日に同問題を認識したとの返信があり、現地時間10月30日にリリースされた「同3.0.20」にて修正されたという。 （Security NEXT - 2

キャッシュプロキシサーバの「Squid」に複数の脆弱性が明らかとなった。現地時間10月21日にリリースされたアップデートにて修正されている。 あわせて4件の脆弱性が明らかとなったもの。具体的には、ダイジェスト認証においてバッファオーバーフローが生じ、サービス拒否に陥る脆弱性「CVE-2023-46847」が判明。「HTTP/1.1」や「ICAPメッセージ」の解析処理においてリクエストスマグリング攻撃を受けるおそれがある脆弱性「CVE-2023-46846」が明らかとなった。 さらに「SSL/TLS証明書」の検証処理における「CVE-2023-46724」、「FTP」関連の検証処理における「CVE-2023-46848」などサービス拒否が生じる脆弱性が判明している。 CVE番号を採番したGitHubでは共通脆弱性評価システム「CVSSv3.1」のベーススコアについて、「CVE-2023-46

QNAP Systemsは、同社製NASに搭載されている「OS」や提供する「アプリ」において複数の脆弱性に対処したことを明らかにした。重要度が「クリティカル」とされる脆弱性も含まれる。 現地時間11月4日にアドバイザリをリリースし、影響を受けるバージョンなどは異なるが、あわせて4件の脆弱性に対応したことを明らかにしたもの。3件についてはOS、2件についてはアプリケーションが影響を受ける。 「CVE-2023-23368」「CVE-2023-23369」は、ネットワーク経由でコマンドの実行が可能となるOSコマンドインジェクションの脆弱性。「CVE-2023-23368」は「QTS」に影響があり、「CVE-2023-23369」については「QTS」「QuTS hero」および「Multimedia Console」が対象としている。 共通脆弱性評価システム「CVSSv3.1」のベーススコアは「

F5が提供するネットワーク製品「BIG-IP」に認証をバイパスできる深刻な脆弱性「CVE-2023-46747」が明らかとなった問題で、別の脆弱性を組み合わせた攻撃が発生していることがわかった。侵害されている可能性も考慮し、対処するよう同社は呼びかけている。 同社によると、「CVE-2023-46747」と「構成ユーティリティ」において任意のシステムコマンドを実行することが可能となる「SQLインジェクション」の脆弱性「CVE-2023-46748」を組み合わせた攻撃が確認されたもの。 F5では、10月27日にこれら脆弱性に関するセキュリティアドバイザリを公開。「BIG-IP 17」「同16」「同15」「同14」「同13」向けに脆弱性を修正するホットフィクスをリリースした。特に「CVE-2023-46747」に関しては、共通脆弱性評価システム「CVSSv3.1」のベーススコアが「9.8」、重

リコーは、同社のクラウドストレージサービス「RICOH Drive」がサイバー攻撃を受け、利用者に関する一部登録情報が外部に流出した可能性があることを明らかにした。 同社によれば、9月18日22時前後の約15分間に「RICOH Drive」が攻撃を受けたもの。10月4日に事態を把握した。「XML外部実体参照（XXE）」の脆弱性を悪用する不正アクセスだったという。 対象となるのは、同社グループ内での利用を除いた4244件の「ログインID」。ユーザープロパティ情報も参照され、このうち3件については暗号化されたパスワードも対象となる。また別の3件では「ログインID」「暗号化されたパスワード」にくわえて「氏名」「メールアドレス」も含まれる。 利用者が同サービス上で保存したファイルの流出については否定した。同社では脆弱性に対応し、監視体制を強化。対象となる利用者に連絡を取り、注意を呼びかけている。