6月第2回号)2023-06-30株式会社サイバープロテックのサイバーセキュリティアカデミー(サイアカ)より、サイバーセキュリティに関する最近のインシデントや最新の動向などの情報をシェアする目的で毎月2回程度ニュースレターを発信させていただきます。今回が2023年6月第2回目のニュースレターとなります。VPN」機能にヒープベースのバッファオーバーフローの脆弱性「CVE-2023-27997」が存在することを明らかとなった。細工されたリクエストにより、リモートより任意のコードやコマンドを実行されるおそれがある。共通脆弱性評価システム「CVSSv3.2」において、同脆弱性のベーススコアを「9.2」とし、重要度を5段階中、もっとも高い「クリティカル(Critical)」とレーティングしている。pre-authentication注目ポイント:不正侵入に直接かかわる脆弱性のため、早急なアップデートを推奨する。Gatewayアプライアンス」に対して、半年以上にわたりゼロデイ攻撃が行われていた問題で、調査を行ったMandiantは、中国より支援を受けるグループが攻撃に関与したとの見方を示した。侵害された結果、一部組織ではメールの窃取なども行われた。台湾や香港における著名な学者のほか、アジアやヨーロッパ地域の政府高官なども標的となっている。詳しくは:MANDIANTリリース注目ポイント:ゼロデイ攻撃にいち早く対処するために、最新の脅威とそれに対する対策についての知識の更新や自身の情報インフラの安全性の確保するための緊急性は重要度を増していることを示唆する記事である。9」に複数の脆弱性が明らかとなり、現地時間6月21日にアップデートがリリースされた。関連機関からも注意喚起が行われている。同ソフトウェアに対して、「CVE-2023-2911」が明らかになった。特定の条件下でルックアップ処理のループが生じ、スタックオーバーフローによって予期せず終了するおそれがあるという。アップデートがリリースされたことを受け、日本レジストリサービス(JPRS)では緊急の注意喚起を実施。バージョンアップの実施を強く推奨している。同市のふるさと納税特設サイトが不正アクセスを受け、クレジットカード情報が910件流出し、一部の情報が不正に利用されたことを明らかにした。期間中にシステムのアップデートや脆弱性検査なども実施していたが、被害の発生に気づくことができなかったという。同サイトは「EC-CUBE」をベースにシステムが構築されており、「EC-CUBE」の本体に存在したクロスサイトスクリプティングの脆弱性を悪用された。志布志市リリース注目ポイント:このような情報漏洩事件は自治体への信頼と評判に影響を及ぼし、納税額や寄付者数の減少を招きかねない。不正アクセスを早期発見するためには定期的な脆弱性スキャン、システム監視、そして脅威インテリジェンスの活用が必要である。米政府、脆弱性6件の悪用について注意喚起CISAは、6つの脆弱性について、積極的な悪用が確認されたとしてKEVに追加し、警告した。インジェクションに関する脆弱性で、「CVSSv3.1」ベーススコアがともに「9.8」、重要度は「クリティカル」と評価されている。2016年に修正された「Firefox」および「Thunderbird」の「CVE-2016-9079」とWindowsカーネルの「CVE-2016-0165」も悪用が確認されている。これらの脆弱性は、全ての組織において注意が必要であり、米行政機関において一定期間内に対応する義務が課されている。Catalog注目ポイント:これらの脆弱性はKEVに追加されており、セキュリティ担当者は優先度を上げて対処するべき事案である。最後までお読みいただき、有難うございます。