［脆弱性］
■「Apache InLong」に認証のバイパスなど複数の脆弱性
https://www.security-next.com/150527
大量のデータを統合できるフレームワーク「Apache InLong」に認証のバイパスなど複数の脆弱性が明らかとなった。9月に公開された最新版にて修正されたという。
■「Google Chrome」に2件の脆弱性、最大深刻度は「High」
https://forest.watch.impress.co.jp/docs/news/1541748.html
https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_24.html
米Googleは10月24日（現地時間）、デスクトップ向け「Google Chrome」の安定（Stable）版をアップデートした。Windows環境にはv118.0.5993.117/.118が、Mac/Linux環境にはv118.0.5993.117が順次展開される。
■「VMware vCenter Server」にアップデート – 影響大きくサポート終了版にも
https://www.security-next.com/150548
VMwareは、仮想環境の管理製品「VMware vCenter Server」に複数の脆弱性が明らかになったとしてセキュリティアップデートをリリースした。影響が大きく、回避策もないことからサポートが終了した一部バージョンに対してもパッチを用意している。
■VNVU#99631663: OpenSSLにおける暗号鍵と初期化ベクトルの長さに関する処理の問題（OpenSSL Security
Advisory [24th October 2023]）
https://jvn.jp/vu/JVNVU99631663/
■メールサーバ「modoboa」に複数の脆弱性 – アップデートが公開
https://www.security-next.com/150523
オープンソースのメールサーバ「modoboa」に複数の脆弱性が明らかとなった。アップデートにて修正されている。
■Alert: PoC Exploits Released for Citrix and VMware Vulnerabilities
https://thehackernews.com/2023/10/alert-poc-exploits-released-for-citrix.html
Virtualization services provider VMware has alerted customers to the existence of a proof-of-concept (PoC) exploit for a recently patched security flaw in Aria Operations for Logs.
［インシデント・情報漏洩］
■当社の社内システムに対する不正アクセスについて（最終報） 富士ソフト株式会社
https://www.fsi.co.jp/company/news/20231024_2.html
■1PasswordにOkta悪用のサイバー攻撃 「ユーザーデータなどは侵害されていない」
https://www.itmedia.co.jp/news/articles/2310/25/news086.html
パスワード管理ツールを手掛けるカナダの1Passwordは10月23日（現地時間）、自社の従業員向けアプリの管理に使っている米Oktaのツールで不審なアクティビティが検出されたが、ユーザーデータやその他の機密システムが侵害されていないと判明したと発表した。
■東大教員パソコンにマルウエア 学生らの情報4000件以上流出か
https://mainichi.jp/articles/20231024/k00/00m/040/149000c
https://news.yahoo.co.jp/articles/a1e07c845718ac57e6754a3a666fce5dd8663bc1
https://www.u-tokyo.ac.jp/focus/ja/press/z0109_00952.html
東京大は24日、教員が使用していた大学のパソコンがサイバー攻撃を受けてマルウエア（悪意のあるプログラム）に感染し、学生や卒業生の名前や住所など4000件以上の情報が流出した可能性があると発表した。特定組織の情報を盗むことなどを目的とする「標的型攻撃メール」を受信したことによるものという。
■偽の講演依頼を通じて東京大学教員が被害にあった標的型攻撃についてまとめてみた
https://piyolog.hatenadiary.jp/entry/2023/10/25/164100
2023年10月24日、東京大学は教員が使用していたPCがマルウエアに感染し、PC上に保管されていた情報が外部に流出した可能性があると公表しました。ここでは関連する情報をまとめます。
■当社サーバに対する不正アクセスに関するお知らせ（第３報） セイコーグループ株式会社
https://www.seiko.co.jp/information/202310251000.html
■サーバから顧客情報が流出した可能性 – 東名
https://www.security-next.com/150536
光回線サービスなどを提供する東名は、サイバー攻撃により一部顧客情報が流出した可能性があることを明らかにした。
■位置情報共有サービス「NauNau」で情報流出か – 事実関係を調査
https://www.security-next.com/150490
■グループ会社サイトに対するサイバー攻撃について調査報告 – イトーキ
https://www.security-next.com/150492
オフィス家具メーカーのイトーキは、グループ会社のウェブサイトがサイバー攻撃を受けた問題で、調査結果を明らかにした。
［脅威］
■サイバーセキュリティ啓発月間に確認しておきたい重要な情報
https://gblogs.cisco.com/jp/2023/10/talos-threat-source-newsletter-oct-12-2023/
■Azureサーバレス環境の潜在的なセキュリティリスクが新たな調査で浮き彫りとなる
https://www.trendmicro.com/ja_jp/research/23/j/azure-serverless-security-risks.html
サーバレスアーキテクチャは、クラウドプロバイダーが大部分の複雑な作業を引き受けることで、開発者がアプリケーションの構築と実行に専念できることから、人気が高まっています。しかし、この人気のため、攻撃者からも大きな注目を集めています。
■フィッシングサイト経由の認証情報窃取とドメイン名ハイジャック事件
https://blogs.jpcert.or.jp/ja/2023/10/domain-hijacking.html
JPCERT/CCでは、2023年7月上旬に、日本国内で利用されていたドメインが不正に別のレジストラーに移管されるドメインハイジャックの事例を確認しました。今回は、その攻撃事例を紹介します。
■QNAP、NASへの攻撃を確認し攻撃元サーバを停止させる
https://news.mynavi.jp/techplus/article/20231025-2800907/
QNAP Systemsはこのほど、「QNAP, in Collaboration with Digital Ocean, Successfully Prevents NAS Weak Password Attacks to Ensure User Data Security｜QNAP」において、インターネット上に公開されているNASデバイスを標的としたパスワード攻撃を検出し、これを防止したと発表した。
■Azureサーバレス環境の潜在的なセキュリティリスクが新たな調査で浮き彫りとなる
https://www.trendmicro.com/ja_jp/research/23/j/azure-serverless-security-risks.html
サーバレスアーキテクチャは、クラウドプロバイダーが大部分の複雑な作業を引き受けることで、開発者がアプリケーションの構築と実行に専念できることから、人気が高まっています。しかし、この人気のため、攻撃者からも大きな注目を集めています。
■Handling SaaS Data Exposure Risks Due to Potential ServiceNow Misconfigurations
https://securityboulevard.com/2023/10/handling-saas-data-exposure-risks-due-to-potential-servicenow-misconfigurations/
SaaS is fast becoming the new enterprise operating system. Given the pervasiveness of SaaS app usage and the high degree of customizability within each SaaS app, there are bound to be customer-side SaaS app misconfigurations. These misconfigurations can include over-permissioned end-user roles and data exposed to the public internet.
■Hackers backdoor Russian state, industrial orgs for data theft
https://www.bleepingcomputer.com/news/security/hackers-backdoor-russian-state-industrial-orgs-for-data-theft/
Several state and key industrial organizations in Russia were attacked with a custom Go-based backdoor that performs data theft, likely aiding espionage operations.
［セキュリティ関連］
■もはや他人事ではない！社会人なら理解しておきたい、個人情報保護法を学ぶおすすめコンテンツ
https://www.lac.co.jp/lacwatch/service/20231025_003549.html
ラックは改正個人情報保護法に関する新しい教育コンテンツ、「改正個人情報保護法において求められるサイバーセキュリティ態勢」を開発、提供を開始しました。
■過去にはカプコンも情報流出の被害に…ランサムウェア集団「ラグナロッカー」ついに中心メンバー摘発―国際警察機関の共同捜査が実を結ぶ
https://www.gamespark.jp/article/2023/10/25/135317.html
Europol（欧州刑事警察機構、ユーロポール）は、共同捜査によりランサムウェア集団「ラグナロッカー（Ragnar Locker）」の中心メンバーとみられる人物を逮捕したと発表しました。同集団による攻撃は、国内ではカプコンなどの企業が過去に被害を受けています。
■ゼロトラストに取り組んでいる組織は61％に–Okta調査
https://japan.zdnet.com/article/35210677/
Okta Japanは、企業におけるゼロトラストの取り組み状況を調査した最新レポート「The State of Zero Trust Security 2023」を発表した。これによると、ゼロトラストに取り組んでいる組織の割合は、2021年では24％だったが、2022年には半数を超え、2023年は61％に増加していることが分かった。
■This Cybersecurity Awareness Month, Don’t Lose Sight of Human Risk
https://www.darkreading.com/microsoft/this-cybersecurity-awareness-month-don-t-lose-sight-of-human-risk
This month we celebrate the 20th anniversary of Cybersecurity Awareness Month — a dedicated time for industry, government, academia, and nonprofits to come together and raise awareness about the importance of cybersecurity for everyone.
［セミナー/研修/製品紹介等］
■NECが世界で25万台のIT資産をTaniumで管理しサイバーハイジーンを徹底
https://prtimes.jp/main/html/rd/p/000000031.000089232.html
［その他（セキュリティ問わず）］
■マイクロソフトのデータセンターで配電システム不具合による障害発生
https://cafe-dc.com/security/electrical-distribution-system-failure-causes-outage-at-microsoft-data-center/
マイクロソフトのデータセンターで配電システムの不具合が発生し、商用電源からバックアップ発電機に切り替えようとしたところ、2時間にわたる障害が発生した模様です。