F5 BIG-IPの重大な脆弱性、悪用始まる：CVE-2023-46747

佐々山 Tacos

2023.11.01

11月1日：サイバーセキュリティ関連ニュース

F5 BIG-IPの重大な脆弱性、悪用始まる：CVE-2023-46747

SecurityWeek – October 31, 2023

F5は最近、先週金曜に公開されたBIG-IPの脆弱性CVE-2023-46747に関するアドバイザリを更新し、同脆弱性が別の脆弱性CVE-2023-46748とともに悪用されていることを伝えた。週末にかけて、Project DiscoveryがCVE-2023-46747のPoCエクスプロイトをリリースしたり、脆弱性発見者であるPraetorian Securityが新たな技術的詳細を明かしたりしていたが、こうした動きから5日も経たないうちに、悪用が開始されたことになる。

関連記事：F5、BIG-IPの重大なRCE脆弱性について警告：CVE-2023-46747

同脆弱性と連鎖させて利用されているCVE-2023-46748は、BIG-IPの設定ユーティリティに存在するSQLインジェクションの脆弱性で、最悪の場合攻撃者による任意システムコマンドの実行を可能にする恐れがあるもの。ただし悪用には、認証済みであり、BIG-IPのマネージメントポートまたは自らのIPアドレスを通じて設定ユーティリティへのネットワークアクセスが可能な状態であることが求められる模様。F5は、同製品を利用する組織が侵害の兆候を特定できるよう、両脆弱性のIoCを公開している。

カナダ、政府職員モバイル端末での中国アプリWeChatおよびカスペルスキーアプリの利用を禁止に

Security Affairs – October 31, 2023

カナダ政府は、プライバシーおよびセキュリティ上のリスクへの懸念から、中国産メッセージングアプリWeChatとロシアのセキュリティ会社Kasperskyのアンチウイルス製品を政府支給のモバイルデバイス上で利用することを禁じた。この禁止措置は2023年10月30日に発効し、この日以降、両製品のアプリは政府デバイスからアンインストールされ、利用者はこれらのアプリをダウンロードできなくなる。カナダ国家財政委員会事務局のプレスリリースによれば、WeChatとKasperskyのアプリは、そのデータ収集手法によってモバイルデバイスに存在するかなりの量のコンテンツにアクセスできるようになっているという。行財政管理調整委員会のアニータ・アランド委員長は、今回の禁止措置がサイバーセキュリティに対するリスクベースのアプローチである旨を述べ、またこの決定の背後にある狙いが、カナダ政府のネットワークとデータを確実に安全かつ保護された状態におくことと、国際的なパートナーのアプローチと足並みを揃えられるようにすることであると語っている。またアランド委員長は、政府の情報が漏洩したという証拠はないとも指摘している。なお今年3月にも、同国はセキュリティ上の懸念を理由に中国アプリTikTokを政府職員が利用することを禁じると発表していた。

NSO Groupが強力なロビイストを雇う　米国市場を生き抜くため

The Record -November 1st, 2023

悪名高いスパイウェア「Pegasus」の提供元であるNSO Groupが、米政府に対して同社の利益を代弁させるため、国家安全保障局や商務省で経験を積んだロビイスト2名を雇い入れたことが発覚したとの報道。NSOが国家安全保障や輸出規制に関する問題を扱うために雇い入れた新たなロビイストの1人は、米国家安全保障局の元顧問弁護士で、国土安全保障省の元高官でもあったStewart Baker氏。もう1人のJeff Weiss氏は、2017年まで商務省で政策や戦略計画部門の副部門長を務めていた人物だという。NSOがこのような動きに出た背景の1つには、2021年に米商務省が同社を「エンティティリスト」に追加したことが挙げられる。この禁輸対象者リストに掲載された企業は、厳格なライセンス要件や、事業の監視を強化するためのその他の規則に従わなければならない。NSOの場合、このブラックリストに掲載されたことで、同社のソフトウェアに必要な材料を米国の販売業者から調達することが事実上禁止された。また同社のスパイウェア製品Pegasusは世界的な人権侵害との関連が指摘されており、最近では独立系在外ロシアメディア「Meduza」のガリーナ・ティムチェンコ代表の携帯電話が同スパイウェアに感染していたことが話題になった。なおバイデン大統領は、今年3月に連邦政府機関による商用スパイウェアの利用を制限する大統領令を発出している。