セキュリティニュース 2023/12/05

[脆弱性]
■BIツール「Apache Superset」に脆弱性 – アップデートで修正
https://www.security-next.com/151632

データを可視化し、検索機能なども提供するBIツール「Apache Superset」に脆弱性が明らかとなった。アップデートにて修正されている。

■「macOS Sonoma 14.1.2」を公開、脆弱性を修正 – 旧OSには「Safari」のアップデート
https://www.security-next.com/151610

■Apple、「iOS 17.1.2」を公開 – ゼロデイ脆弱性2件に対応
https://www.security-next.com/151607

Appleは米時間11月30日、同社スマートデバイス向けにセキュリティアップデートとなる「iOS 17.1.2」「iPadOS 17.1.2」をリリースした。

■脆弱性が修正された「Linux 6.6.4/6.1.65/5.15.141」リリース、6.5系列はEOLに
https://thinkit.co.jp/news/bn/22606

Linux kernelの最新版、「Linux 6.6.4/6.1.65/5.15.141」が12月3日付(現地時間)でリリースされた。

■プロキシサーバ「Squid」にサービス拒否の脆弱性
https://www.security-next.com/151639

■CISA Adds Two Known Exploited Vulnerabilities to Catalog(December 04, 2023)
https://www.cisa.gov/news-events/alerts/2023/12/04/cisa-adds-two-known-exploited-vulnerabilities-catalog

・CVE-2023-42917 Apple Multiple Products WebKit Memory Corruption Vulnerability
・CVE-2023-42916 Apple Multiple Products WebKit Out-of-Bounds Read Vulnerability

[インシデント・情報漏洩]
■取材メモがネット流出、派遣スタッフから – NHK
https://www.security-next.com/151600

NHKは、記者が取材したインタビューの内容が記載されたメモが、インターネット上に流出したことを明らかにした。

[脅威]
■「.zip」ドメインのサイバー攻撃への悪用が継続中、注意を
https://news.mynavi.jp/techplus/article/20231204-2830101/
https://www.netcraft.com/blog/zip-tld-six-months-on-and-still-rollin/

Netcraftはこのほど、「.zip TLD: six months on, and still rollin’|Netcraft」において、2023年5月3日にGoogleが一般の登録を開始した新しいトップレベルドメイン(TLD: top-level domain)の「.zip」が悪用されていることを報じてから半年が経過したが、現在も悪用が継続しているとして注意を呼びかけた。これまでにも.zipドメインの危険性や悪用の事例について、小誌では、以下のように伝えている。

■攻撃グループ「Void Rabisu」がROMCOMの新型亜種を用いて女性政治指導者を攻撃
https://www.trendmicro.com/ja_jp/research/23/l/void-rabisu-targets-female-leaders-with-new-romcom-variant.html

Void Rabisuは脆弱性「CVE-2023-36884」の悪用や偽サイトの作成、バックドア「ROMCOM」の新バージョンの利用などにより、標的型攻撃(APT)グループが用いる攻撃手法で行政機関や軍事組織、WPL(女性政治指導者)サミットのような参加者への攻撃が確認されています。

[セキュリティ関連]
■北朝鮮のハッカー集団ラザルス・グループ、過去6年間で暗号資産30億ドルを盗む
https://www.coindeskjapan.com/210712/

サイバーセキュリティ会社レコーデッド・フューチャー(Recorded Future)が11月29日に発表したレポートによると、北朝鮮に関係するハッカー集団ラザルス・グループ(Lazarus Group)は過去6年間で30億ドル(約4350億円、1ドル145円換算)相当の暗号資産を盗んだという。

■LINE情報流出 管理体制に厳格さ足りぬ
https://www.sanyonews.jp/article/1485122

■「願わくば、より多くの企業同士で交流を」NEC×東芝のセキュリティリーダーが語る現場のホンネ
https://enterprisezine.jp/article/detail/18762

以前よりも重要性が世間に認知されつつも、依然として気苦労が絶えないセキュリティ担当者。特に大企業などは、多くの社員やデジタル端末・情報資産を抱えているほか、利害関係も多く、その調整にあたって現場の苦労は想像に難くない。では、日本の大企業セキュリティリーダーたちはこれらの課題にどう向き合っているのか。

■より厳格は個人情報保護を求めるのは無理なのか? ほか
https://internet.watch.impress.co.jp/docs/column/curation/1551500.html

■セキュリティリスクの報告は、情シスではなく経営者に行う 正しい経営判断につなげるサイバーセキュリティ対策のすすめ
https://logmi.jp/business/articles/329457

■ネット詐欺師の手口とは?その最新事情と対策ポイントを聞いてみた
https://forest.watch.impress.co.jp/docs/topic/special/1546049.html

■サイバー攻撃よりも怖い「証券取引委員会」 何が恐ろしいのか
https://kn.itmedia.co.jp/kn/articles/2312/05/news073.html

米国の証券取引委員会はサイバー攻撃を受けた企業に対して非常に厳しい態度を取り始めた。これは日本企業にも波及するのだろうか。

■繰り返される情報流出 LINEは使っても大丈夫か?
https://gunosy.com/articles/aBgyV

11月27日、大手ITサービスLINEヤフーから、「利用者情報を含む40万件の個人情報が流出した可能性がある」との発表があった。LINE利用者の性別、年代、LINEスタンプの購入履歴や取引先や社員のメールアドレスなどが含まれているという。

■OpenSSF「セキュアソフトウェア開発の指針」トップ10を発表
https://www.zaikei.co.jp/releases/2283711/

■「政府クラウド」外資管理に「不安」4分の1、国産の育成に期待…121自治体調査
https://news.goo.ne.jp/article/yomiuri/nation/20231204-567-OYT1T50271.html

自治体がもつ個人情報などを管理する「政府クラウド」を海外企業に委ねることに不安はないか。読売新聞が都道府県など121自治体に取材したところ、4分の1に当たる31自治体が「不安がある」「多少の不安がある」と答えた。

■2023年9〜10月の脅威動向と代表的な攻撃(後編)
https://www.cybertrust.co.jp/blog/linux-oss/system-monitoring/vulnerability/security-threat-trends2309-02.html

■マイナンバーカード偽造事案についてまとめてみた
https://piyolog.hatenadiary.jp/entry/2023/12/05/001651

■テラビットを超える大規模DDoSへの対抗策とは
https://news.mynavi.jp/techplus/article/20231205-2832518/

The Hacker Newsは12月1日(現地時間)、「Discover How Gcore Thwarted Powerful 1.1Tbps and 1.6Tbps DDoS Attacks」において、Gcoreの顧客であるゲーム企業が2度にわたり受けた大規模な分散型サービス拒否攻撃(DDoS)について、その詳細と対抗策について解説した。

■サイバーセキュリティにおける生成AI活用7選
https://news.mynavi.jp/techplus/article/20231205-2830834/

The Hacker Newsはこのほど、「7 Uses for Generative AI to Enhance Security Operations」において、セキュリティ運用を強化するための生成AIの活用方法として7つ紹介した。

■多くのWebサイトが「弱いパスワード」を許可している現実、注意を
https://news.mynavi.jp/techplus/article/20231204-2830139/

Malwarebytesはこのほど、「Many major websites allow users to have weak passwords|Malwarebytes」において、多くの主要なWebサイトで弱いパスワードの使用を許可していることが判明したと伝えた。これはジョージア工科大学で行われたパスワードに関する大規模な調査結果の報告「Largest Study of its Kind Shows Outdated Password Practices are Widespread | College of Computing」を考察したもので、脆弱なパスワードの利用が広く許可されていることに注意を呼びかけている。

■米当局、悪用リストから脆弱性1件を除外 – PoC機能せず、CVEは廃番
https://www.security-next.com/151617

■従来のセキュリティ対策を迂回する「ビジネスロジック攻撃」の防御策とは
https://news.mynavi.jp/techplus/article/20231204-2830066/

■SSH接続時のホスト認証の秘密鍵をこっそり取得することに成功
https://news.mynavi.jp/techplus/article/20231204-2828643/

■今週の気になるセキュリティニュース – Issue #147
https://negi.hatenablog.com/entry/2023/12/03/181149

■2023年国内サイバー攻撃を振り返る~組織が把握すべき動向~
https://www.trendmicro.com/ja_jp/jp-security/23/l/securitytrend-20231204-02.html

[セミナー/研修/製品紹介等]
■キヤノンMJ、法人向けゲートウェイ型メールセキュリティ対策クラウドサービス「Inbound Security for Mail Gateway」を提供開始
https://securityinsight.jp/news/13-inbrief/5451-231204-1

キヤノンマーケティングジャパン(キヤノンMJ)は11月30日、高度な多層防御でマルウェアや標的型攻撃からメール環境を保護する、法人向けゲートウェイ型クラウドサービス「Inbound Security for Mail Gateway」を提供開始することを発表した。

■パロアルト、「Prisma Cloud」にCode to Cloudsインテリジェンス導入
https://news.mynavi.jp/techplus/article/20231205-2833355/

■日立系、PPAPなどのメールセキュリティ対策ができるクラウドサービス開始
https://news.mynavi.jp/techplus/article/20231204-2832696/

日立ソリューションズは12月4日、PPAPメール受信時の対策に加え、誤送信防止も含めた送信時の対策まで対応可能という「活文メールゲートウェイ クラウドサービス」を、2024年1月10日に提供開始すると発表した。価格は個別見積。

[その他(セキュリティ問わず)]
■Microsoft fixes Outlook Desktop crashes when sending emails
https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-outlook-desktop-crashes-when-sending-emails/

Microsoft has fixed a known issue causing Outlook Desktop clients to crash when sending emails from Outlook.com accounts.

目次