暗号ライブラリの脆弱性が最新のファジングによって発見される

山口 Tacos

2023.01.16

サイバーアラートについて

サイバーセキュリティ最新ニュースのまとめを平日毎日更新。

各見出しの末尾に、情報源のWebサイトへのリンク（赤字）が貼られています。

なお、リンク先のほとんどが、英語のニュースサイトやブログですが、クリックについてはあくまで自己責任で行っていただくようお願いいたします。

注目のニュースをピックアップ

2023年1月14, 15日のサイバーアラートの中から、注目のニュースを3つピックアップしました（その他のニュースはページ後半に記載）。

暗号ライブラリの脆弱性が最新のファジングによって発見される

Help Net Security – News – Jan 13 2023 14:47

オープンソースの組み込み環境向けTLS/SSLインプリメンテーション/ライブラリにおいて最近修正された2件の脆弱性から、暗号プロトコルのインプリメンテーションにおけるセキュリティホールをファジングによって発見することが秘める大きな可能性が浮き彫りとなっている。

2件の脆弱性はCVE-2022-43974とCVE-2022-42905。前者はMatrixSSLにおけるバッファオーバーフローの脆弱性で、2022年12月に修正されたもの。後者はwolfSSLにおけるバッファオーバーリードの脆弱性で、2022年10 月に修正されたもの。

CVE-2022-43974を発見したドイツテレコムの研究者は、「コンピューターソフトウェアはますます複雑化している」と説明。「よって、合理的なカバレッジを持つ完全なソースコードレビューを行うことは、ほぼ不可能である。こうした理由から、最新のファジング手法が脆弱性の発見に用いられている」と付け加えた。

Cactiサーバーが攻撃される、大半が重大な脆弱性にパッチ適用せず（CVE-2022-46169）

The Hacker News – Jan 14 2023 08:11

インターネットに接続されたCactiサーバーの大半に、実際の攻撃で盛んに悪用されつつある脆弱性（CVE-2022-46169）へのパッチが適用されていないことが判明。Censysによると、6,427のCactiサーバーのうち、パッチ適用済みバージョン（1.2.23および1.3.0）にアップデートされていたサーバーの数はたった26だったという。CVE-2022-46169は認証バイパスおよびコマンドインジェクションの脆弱性で、CVSSスコアは9.8。権限のないユーザーがこれを悪用すると、影響を受けるバージョンのCacti上での任意コードの実行が可能になる。パッチ未適用のバージョンのほとんどがブラジル国内に存在し、後にはインドネシア、米国、中国、バングラデシュ、ロシア、ウクライナ、フィリピン、タイ、英国が続く。

Juniper Networks、新年早々200件超える脆弱性へのパッチをリリース

Security Week – Jan 13 2023 12:52

Juniper Networksは、2023年最初のセキュリティアドバイザリを32件公開し、合計230件以上の脆弱性に対処した。このうち約200件は、サードパーティーのコンポーネントに影響を与える脆弱性。公開されたアドバイザリのうち、深刻度が「Critical（緊急）」に分類されているものは以下の3件。

・2023-01 Security Bulletin: Contrail Service Orchestration: Multiple vulnerabilities resolved in CSO 6.3.0（CVE-2020-14871など）

・2023-01 Security Bulletin: Junos Space: Multiple vulnerabilities resolved in 22.3R1 release（CVE-2022-2526、CVE-2021-3177など）

・2023-01 Security Bulletin: Contrail Cloud: Multiple Vulnerabilities have been resolved in Contrail Cloud release 13.7.0（CVE-2022-22822、CVE-2022-22823、CVE-2022-22824など）

2023年1月14日

ハイライト

ロイヤルメールのランサムノートがリークされるも、LockBitが関与したかは不明のまま

IT Pro UK – Jan 13 2023 10:10

※上記は1月13日に公開されたニュース記事の情報ですが、vx-undergroundによる1月15日のツイートでは、Lockbitがロイヤルメールへの攻撃の犯行声明を出した旨が報告されています。これによると、Lockbitは「今回の攻撃が同グループのアフィリエイトによるものだったことを確認した」と主張しているとのことです。

2023年1月15日

ハイライト

ブラウザのSave Page As Featureがコード実行につながる可能性（CVE-2022-45415）

Medium Infosec Cybersecurity Writeups – Jan 15 2023 03:04

bWAPP：脆弱性実証のための脆弱なWebアプリケーション – インストールガイド

InfoSec Bug Bounty Write-ups – Jan 15 2023 03:06

ここに掲載されている内容は、信頼できる情報源に基づいて作成されていますが、その正確性、完全性、網羅性、品質を保証するものではなく、Silobreakerはそのような内容について一切の責任を負いません。読者の皆様におかれましては、ここに掲載されている内容をどのように評価するかは、ご自身で判断していただく必要があります。