Threat Report

Silobreaker-CyberAlert

Deadboltランサムウェアによる悪用が懸念される新たな脆弱性について、QNAPが注意喚起（CVE-2022-27596）

佐々山 Tacos

2023.02.03

サイバーアラートについて

サイバーセキュリティ最新ニュースのまとめを平日毎日更新。

各見出しの末尾に、情報源のWebサイトへのリンク（赤字）が貼られています。

なお、リンク先のほとんどが、英語のニュースサイトやブログですが、クリックについてはあくまで自己責任で行っていただくようお願いいたします。

注目のニュースをピックアップ

2023年2月3日のサイバーアラートの中から、注目のニュースを3つピックアップしました（その他のニュースはページ後半に記載）。

Deadboltランサムウェアによる悪用が懸念される新たな脆弱性について、QNAPが注意喚起（CVE-2022-27596）

The Record – Feb 02 2023 15:54

多数の人を攻撃リスクに晒す脆弱性CVE-2022-27596（CVSSスコア：9.8/10）が発見されたことを受け、QNAPは顧客にデバイスをアップデートするよう警告している。この脆弱性による影響を受けるのは、独自のソフトウェアQTS 5.0.1とQuTS hero h5.0.1を実行するQNAPデバイス。

QNAPはThe Recordに対し、同脆弱性は盛んに悪用されてはいないと伝えた。ただ、これまでに多数のQNAPデバイスがDeadboltランサムウェアの被害に遭ってきた経緯を踏まえると、QNAPユーザーは警戒を怠るべきではないという。

また、QNAPがこの問題を「認証が不要で攻撃の複雑度が低く、遠隔で悪用できる重大な脆弱性」だとみなしていることについて、Censysの研究者をはじめとする複数の研究者が懸念を表明した。Censysの研究者は自身の分析結果を踏まえ、「QNAPのアドバイザリの内容が正しいのであれば、Censysによって特定されたQNAPデバイスの98％以上がこの攻撃に脆弱だということになる」と述べたとのこと。Censysによると、脆弱なホストの数が最も多い国は米国で、これにイタリア、台湾、ドイツ、日本が続いているという。

QNAPのアドバイザリはこちら：Vulnerability in QTS and QuTS hero

CISAアラート：Oracle E-Business SuiteとSugarCRMの脆弱性が攻撃で悪用される（CVE-2022-21587、CVE-2023-22952）

The Hacker News – Feb 03 2023 05:23

米国CISAは2月2日、「悪用を確認済みの脆弱性（Known Exploited Vulnerabilities：KEV）」カタログに、以下2件のセキュリティ欠陥を追加した。

・CVE-2022-21587（CVSSスコアは9.8）

脆弱性名：Oracle E-Business Suiteにおける詳細不明の脆弱性

影響を受けるバージョン：Oracle Web Applications Desktop Integrator 12.2.3〜12.2.11

概要：Oracle E-Business Suiteには、HTTPによるネットワークアクセス権を持つ認証されていない攻撃者が、同脆弱性を利用してOracle Web Applications Desktop Integratorを侵害することを許す、詳細不明の脆弱性が存在する。

Oracleは、2022年10月にリリースの「Critical Patch Update」内で同脆弱性に対処済み。

・CVE-2023-22952（CVSSスコアは8.8）

脆弱性名：複数のSugarCRM製品におけるリモートコード実行の脆弱性

影響を受けるバージョン：

SugarCRM 11.0 Professional, Enterprise, Ultimate, Sell, Serve 11.0.5

SugarCRM 12.0 Enterprise, Sell, Serve 12.0.2

概要：複数のSugarCRM製品に、EmailTemplatesにおけるリモートコード実行の脆弱性が存在する。特別に作られたリクエストを用いて、カスタムのPHPコードがEmailTemplates経由でインジェクトされる恐れあり。

SugarCRMは2023年1月11日に修正版をリリースしている。

米国の交通信号制御装置15万台超に重大な脆弱性（CVE-2023-0452）

Bitdefender – Feb 02 2023 15:40

米国本土の至る所に設置された15万台を超える交通信号機が、修正されていない脆弱性を抱えたソフトウェアを実行していることが分かった。

セキュリティ研究者のRustam Amin氏は、米国内にある交通信号機の制御装置15万台超がEconolite社のソフトウェア「EOS」の古いバージョンを実行しているため、脆弱なままになっていることを発見した。Amin氏は米国CISAに脆弱性を報告。CISAは1月26日のアドバイザリで同脆弱性について注意喚起した。

また、The Stackの1月27日の報道によると、Econolite社は当初、CISAからの通知に返答しなかったという。2月3日現在のCISAのアドバイザリによれば、Econolite社はパッチを準備中とのことで、返答した模様。

CISAが注意喚起した脆弱性は以下の2件。CISAによる脆弱性の詳細情報は以下の通り。

・CVE-2023-0451（CWE-284、CVSS v3スコアは7.5）

影響を受ける製品は、ログファイル、特定のデータベース、構成ファイルへの「READONLY」のアクセス権を得るためのパスワード要件を欠いている。このようなファイルの1つには、MD5ハッシュや、制御ソフトウェアの定義済みユーザー全員（管理者や技術者など）のユーザー名が入ったテーブルが含まれている。

・CVE-2023-0452（CWE-328、CVSS v3スコアは9.8）

影響を受ける製品は、脆弱なハッシュアルゴリズムを使って、特権ユーザーの認証情報を暗号化している。認証なしでアクセスできる構成ファイルはMD5ハッシュを使用して、管理者や技術者らの認証情報を暗号化している。

2023年2月3日

ハイライト

CISAアラート：Oracle E-Business SuiteとSugarCRMの脆弱性が攻撃で悪用される（CVE-2022-21587、CVE-2023-22952）

The Hacker News – Feb 03 2023 05:23

米国の交通信号制御装置15万台超に重大な脆弱性（CVE-2023-0452）

Bitdefender – Feb 02 2023 15:40

シリアライゼーションの脆弱性（JAVA）（解説し、悪用してみた）

Medium Cybersecurity – Feb 03 2023 03:03

コンテナセキュリティの脆弱性の4カテゴリー（およびリスク軽減のためのベストプラクティス）

Veracode Blog – Feb 02 2023 19:16

脆弱性CVE-2022-27596により、3万台超のインターネットに接続されたQNAP製NASホストが影響受ける

Security Affairs – Feb 02 2023 06:19

ここに掲載されている内容は、信頼できる情報源に基づいて作成されていますが、その正確性、完全性、網羅性、品質を保証するものではなく、Silobreakerはそのような内容について一切の責任を負いません。読者の皆様におかれましては、ここに掲載されている内容をどのように評価するかは、ご自身で判断していただく必要があります。