［脆弱性］
■メール転送エージェント「Exim」のゼロデイ脆弱性、緊急を含む半数修正
https://news.mynavi.jp/techplus/article/20231010-2789342/
Malwarebytesは10月5日(米国時間)、「Exim finally fixes 3 out of 6 vulnerabilities」において、メール転送エージェント(MTA: Mail Transfer Agent)の「Exim」に存在する脆弱性6件のうち3件が修正されたと伝えた。これは2023年10月2日に「メール転送エージェント「Exim」緊急のゼロデイ脆弱性、軽減策の適用を | TECH+（テックプラス）」にて報じたEximのゼロデイの脆弱性で、これまで軽減策のみが公開されていた。
■Linux(glibc)に特権昇格の脆弱性、必要に応じてアップデートを
https://news.mynavi.jp/techplus/article/20231006-2786021/
■[至急]Proselfのゼロデイ脆弱性による攻撃発生について
https://www.proself.jp/information/153/
［インシデント・情報漏洩］
■標的型攻撃で内部資料20件が流出、開発環境などに影響なし – 富士ソフト
https://www.security-next.com/150028
富士ソフトは、同社内部システムがサイバー攻撃を受けた問題で、10月6日に調査状況の途中経過を明らかにした。
■独自の製造技術情報を中国企業へ提供したとみられる事案についてまとめてみた
https://piyolog.hatenadiary.jp/entry/2023/10/07/002351
2023年10月5日、兵庫県警は日本山村硝子から営業秘密情報を持ち出したとして不正競争防止法違反の容疑で男女二人を逮捕しました。男は同社の元社員で不正に持ち出された情報は中国企業に流出した疑いがあるとも報じられています。ここでは関連する情報をまとめます。
■お客様の個人情報流出についてのお詫びとお知らせ 株式会社テイツー
https://contents.xj-storage.jp/xcontents/AS90259/232d0651/0d6c/435f/ac40/d4fcf4b43d54/140120231010564355.pdf
［脅威］
■SQL Serverからクラウドへ横移動するサイバー攻撃を発見、設定の確認を
https://news.mynavi.jp/techplus/article/20231007-2786006/
https://www.microsoft.com/en-us/security/blog/2023/10/03/defending-new-vectors-threat-actors-attempt-sql-server-to-cloud-lateral-movement/
Microsoftは10月3日(米国時間)、「Defending new vectors: Threat actors attempt SQL Server to cloud lateral movement｜Microsoft Security Blog」において、Microsoft SQL Serverを通じてクラウド環境への水平移動を試みるサイバー攻撃を特定したと伝えた。用いられた攻撃手法は、VMやKubernetesクラスタなどのほかのクラウドサービスで見られた手法であるが、SQL Serverでは見られなかった攻撃だとして注意を促している。
■Citrix Devices Under Attack: NetScaler Flaw Exploited to Capture User Credentials
https://thehackernews.com/2023/10/citrix-devices-under-attack-netscaler.html
A recently disclosed critical flaw in Citrix NetScaler ADC and Gateway devices is being exploited by threat actors to conduct a credential harvesting campaign.
■GNOME Linux systems exposed to RCE attacks via file downloads
https://www.bleepingcomputer.com/news/security/gnome-linux-systems-exposed-to-rce-attacks-via-file-downloads/
A memory corruption vulnerability in the open-source libcue library can let attackers execute arbitrary code on Linux systems running the GNOME desktop environment.
［セキュリティ関連］
■サイバー攻撃の被害者にならないための4つの方法
https://news.mynavi.jp/techplus/article/20231010-2784459/
■なぜ日本はサイバー攻撃者に「狙われやすい」？ 政府や金融機関だけでない、意外な「標的」とは
https://www.newsweekjapan.jp/kumar/2023/10/post-2.php
9月27日、アメリカのNSA（米国家安全保障局）とCISA（米国土安全保障省サイバーセキュリティ・インフラ庁）はサイバーセキュリティ・アドバイザリ（勧告）を発表し、日本の警察庁と内閣サイバーセキュリティセンター（NISC）と連名で、「中国を背景とするサイバー攻撃グループ『BlackTech』（ブラックテック）によるサイバー攻撃に関する合同の注意喚起を発出しました」と警鐘を鳴らした。
■狙われるファイル共有サービス 2023年最悪のハッキング招いた「MOVEit」
https://cloud.watch.impress.co.jp/docs/column/infostand/1537673.html
ファイル転送ソフト「MOVEit」の脆弱性を悪用したサイバー攻撃が猛威を振るっている。多くの企業がデータを盗まれ、被害者数は数千万単位に膨らんでいる。10月に入って北米ソニーも攻撃を受けたことを認めた。信頼性が高いとされてきたことに加え、非ユーザーにも広がるという特徴から想像を超える被害が出ており、いまだ全体像も明らかでない状態だ。
■「サイバー攻撃による組織への影響を懸念」74％、一方で適切な報告がされていない実態
https://news.mynavi.jp/techplus/article/20231010-2789212/
APACは10月10日、「サイバー攻撃による被害調査：インシデント報告と情報開示」に関する調査結果を発表した。今回の調査結果から、サイバーセキュリティ攻撃と侵害の報告において、社内経営層および外部機関の両方において十分な対応が取られていないケースがあることが判明した。
■HTXハッカーに「250 ETH」の報酬支払い｜ハッキング事件関連で続報
https://bittimes.net/news/155230.html
■巧妙化する標的型攻撃メールの手法と求められる対策
https://eset-info.canon-its.jp/malware_info/special/detail/231010.html
近年、増加傾向にある標的型攻撃メールは、特定の組織や個人をターゲットとして狙い撃ちすることから、気づかぬうちに被害に遭遇していることも少なくない。この記事では、標的型攻撃メールが用いる特徴的な攻撃手法の概要と実際の被害事例、加えて効果的な対策方法について詳しく解説する。
■フィッシングの報告が増加、悪用されたURLは大幅減
https://www.security-next.com/150006
9月のフィッシング攻撃に関する報告は、3カ月ぶりに増加してふたたび11万件を超えた。一方で悪用されたURLやブランドは減少している。
■ソーシャルメディアは詐欺師にとって金のガチョウ、被害額は27億ドル超
https://news.mynavi.jp/techplus/article/20231010-2789158/
米国連邦取引委員会(FTC: Federal Trade Commission)は10月6日(米国時間)、「Social media: a golden goose for scammers｜Federal Trade Commission」において、「ソーシャルメディアは詐欺師にとっての金のガチョウ」と題して、ソーシャルメディア上の詐欺に対する注意を喚起した。2021年以降、ソーシャルメディア上の詐欺による被害額が27億ドルという驚異的な金額に達したという。
■サイバーセキュリティの10大設定ミス、米国NSAとCISAが警告
https://news.mynavi.jp/techplus/article/20231009-2786617/
https://www.security-next.com/149985
米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は2023年10月5日(米国時間)、「NSA and CISA Release Advisory on Top Ten Cybersecurity Misconfigurations｜CISA」において、米国家安全保障局(NSA: National Security Agency)と共にサイバーセキュリティの設定ミストップ10に関する勧告を発表した。
■Z世代はどの世代よりもインターネットを恐れている?
https://news.mynavi.jp/techplus/article/20231009-2786929/
Malwarebytesは、「Gen Z fears physical violence from being online more than anyone else, Malwarebytes finds」において、Z世代はどの世代よりもオンラインでの身体的暴力を恐れていることが判明したと伝えた。
■Amazon Web Services(AWS)、2024年半ばから多要素認証(MFA)が必須に
https://news.mynavi.jp/techplus/article/20231009-2786679/
Amazon Web Servicesは、「Secure by Design: AWS to enhance MFA requirements in 2024｜AWS Security Blog」において、2024年半ば以降すべてのAmazon Web Services(AWS)の特権アカウントに多要素認証(MFA: Multi-Factor Authentication)の使用を義務付けると伝えた。
■【CSIRT向け】FutureVulsを活用した脆弱性対応模擬訓練をやってみた！ ISID
https://tech.isid.co.jp/entry/futurevuls-vulnerability-response-training
■今週の気になるセキュリティニュース – Issue #139
https://negi.hatenablog.com/entry/2023/10/09/223119
［その他（セキュリティ問わず）］
■OpenSSH 9.5リリース、新機能を追加
https://news.mynavi.jp/techplus/article/20231006-2785794/
OpenBSDプロジェクトは10月4日(米国時間)、「OpenSSH 9.5 released [LWN.net]」において、トランスポートレベルのpingメカニズムとキーストロークタイミングの難読化に対応した「OpenSSH 9.5」をリリースしたと伝えた。同リリースには、脆弱性の修正は含まれていない。