Microsoft Azureの新たな脆弱性が見つかる — 専門家はRCE攻撃について注意喚起

山口 Tacos

2023.01.20

サイバーアラートについて

サイバーセキュリティ最新ニュースのまとめを平日毎日更新。

各見出しの末尾に、情報源のWebサイトへのリンク（赤字）が貼られています。

なお、リンク先のほとんどが、英語のニュースサイトやブログですが、クリックについてはあくまで自己責任で行っていただくようお願いいたします。

注目のニュースをピックアップ

2023年1月20日のサイバーアラートの中から、注目のニュースを3つピックアップしました（その他のニュースはページ後半に記載）。

Microsoft Azureの新たな脆弱性が見つかる — 専門家はRCE攻撃について注意喚起

The Hacker News – Jan 19 2023 14:20

Microsoft Azureに関連する複数のサービスに影響を与える重大なリモートコード実行の脆弱性をErmetic社が発見し、「EmojiDeploy」と名付けた。この脆弱性が悪意あるアクターによって悪用されると、標的となったアプリケーションの完全な乗っ取りが可能になる恐れがある。Ermeticの研究者によると、EmojiDeployはSCMサービスKuduのクロスサイトリクエストフォージェリ（CSRF）により実現されるとのこと。同研究者によれば、この脆弱性を悪用することで、攻撃者はペイロードを含む有害ZIPファイルをAzureアプリケーション上に展開できるようになるそう。また、同脆弱性は秘密データの窃取や他のAzureサービスへのラテラルムーブメントをも可能にするとのこと。

マイクロソフトは2022年10月にこの問題に関する報告を受け、問題を修正。3万ドルのバグ報奨金を贈呈した。

Ermeticによる調査結果が公表される数日前には、Azure API Management、Azure Functions、Azure Machine Learning、Azure Digital Twinsに影響を与えるSSRF攻撃の事例4つをOrca Security社が公表していた。

T-モバイルでまたもハッキング被害、顧客3,700万人の記録が盗まれる

SiliconANGLE – Jan 20 2023 00:24

T-モバイルが今回のデータ侵害に関して米国証券取引委員会に提出した文書によると、11月25日頃、悪意あるアクターがアプリケーションプログラミングインタフェース（API）を介してデータを取得したとのこと。この侵入は1月5日まで発見されず、翌日6日に、同社はAPIへのアクセスを遮断。

盗まれた情報には、名前、請求先住所、メールアドレス、電話番号、生年月日が含まれていた。悪意あるアクターは、顧客のペイメントカード情報、社会保障番号、ID、パスワード、およびその他のアカウントデータにはアクセスしなかったという。

2018年以降、T-モバイルでは5,6件ほどのデータ侵害が発生している（回数はソースによって異なり、Bleeping Computerは8件とみている）。

ハッカーグループが有害WebサイトキャンペーンでDNSハイジャッキングを利用

ArsTechnica – Jan 20 2023 00:51

ルーターに接続した全ての機器を有害サイトにアクセスさせるようルーターに手を加える、有害なAndroidアプリをカスペルスキー社の研究者が発見した。

このアプリは「Wroba.o」と呼ばれる。Wroba.oはインストール後、ルーターの管理者アカウントに、脆弱なパスワード（例えば、admin:admin）を利用してログインしようとする。ログインに成功すると、同アプリはDNSサーバーを、攻撃者が管理する有害なサーバーにすり替える。その後、ネットワーク上の機器はマルウェア拡散や情報窃取に使われるなりすましサイトにリダイレクトされる。

カスペルスキー社の研究者によると、Wroba.oに感染したAndroidデバイスが脆弱なフリーWi-Fiや公共Wi-Fiに接続した場合、それらのルーターは侵害され、他のデバイスにも影響が及ぶという。Wroba.oは日本を含む様々な国で長年使用されてきたが、上記のDNSハイジャッキング技術は、2022年の暮れ以降、ほぼ韓国でのみ使用されている。攻撃者はセキュリティ業界で「Roaming Mantis」と呼ばれている。

Wroba.oにはHTTPSに対応していないという弱点がある。また対策の1つとしては、ルーターの管理者アカウントをデフォルトのものではない強力なものに変更することが挙げられる。

2023年1月20日

ハイライト

ここに掲載されている内容は、信頼できる情報源に基づいて作成されていますが、その正確性、完全性、網羅性、品質を保証するものではなく、Silobreakerはそのような内容について一切の責任を負いません。読者の皆様におかれましては、ここに掲載されている内容をどのように評価するかは、ご自身で判断していただく必要があります。