5,300超のGitLabサーバーに、ゼロクリック・アカウント乗っ取り攻撃受けるリスク：CVE-2023-7028

1月24~25日： サイバーセキュリティ関連ニュース

5,300超のGitLabサーバーに、ゼロクリック・アカウント乗っ取り攻撃受けるリスク：CVE-2023-7028

BleepingComputer – January 24, 2024

最近開示されたGitLabにおける重大な脆弱性CVE-2023-7028に対し、5,300超のインターネットに公開されたインスタンスが脆弱であるとShadowserverが報告。CVE-2023-7028はパスワードリセット機能における脆弱性で、CVSSスコアは10.0と最高値。悪用された場合、任意のユーザーアカウントのパスワードが第三者によりリセットされ、多要素認証を有効にしていない環境ではアカウントの乗っ取りに繋がる可能性があるとされる。

パッチは1月11日にリリースされているが、Shadowserverが共有したデータによると、1月23日の時点でネット接続された脆弱なGitLabインスタンスは「5,379」存在し、うち多くは米国（964）、ドイツ（730）、ロシア（721）、中国（503）などの国々にあるサーバー。日本の件数は「149」とされている。

ソフトウェア開発やプロジェクトプランニングプラットフォームにおけるGitLabの重要性や、脆弱性のタイプおよび深刻度を踏まえると、これら5,300超のサーバーはサプライチェーン攻撃や専有コードの暴露、APIキーの流出といった悪意ある活動に晒されるリスクがあるとされ、パッチ適用が急がれる。またこれら未パッチのサーバーは既に侵害されている可能性もあることから、利用者はGitLab提供のインシデントレスポンスガイドに従って侵害の兆候がないか確認する必要がある。

ランサムウェア被害組織の心理：身代金支払いの決断や金額を左右する要因について研究者が調査

The Record – January 25th, 2024

ランサムウェア攻撃の被害者は要求された身代金を支払う組織と支払わずに対処しようとする組織に分かれるが、この決断を左右する要因は何なのだろうか？この疑問に対する答えを見つけようと、オランダ・トウェンテ大学のサイバー犯罪研究者Tom Meurs氏らが過去4年間にオランダで発生したランサムウェアインシデント481件の分析を実施。その結果、以下のような発見があったという：

・被害組織のうち28%が身代金を支払ったと報告。その平均額は431,000ユーロ超で、中央値は35,000ユーロだった。

・保険に加入していた被害組織の場合、平均支払額は708,105ユーロと上記よりかなり高額だった。

・データのバックアップを取っていた組織は取っていない組織に比べて身代金を支払う割合が低かったものの、支払った場合の平均額はバックアップを持たない組織よりも高額だった。

・データ窃取を伴うランサムウェア被害に遭った組織が身代金を支払う場合、金額はより高額となり、平均支払額は120万ユーロだった。これは、データ窃取なしの被害組織の平均額の13倍以上に相当。

・外部のインシデントレスポンス会社を雇った被害組織は、そうでない組織と比べて身代金を支払う割合が大幅に高かった。

ソフトウェアをコンテナ化するGoogleの技術に「重大なセキュリティループホール」が見つかる

The Record – January 25th, 2024

GoogleはOrca Securityからの報告を受け、「コンテナ化」されたアプリケーションをデプロイ、スケーリング、運用する際に使われるクラウドプラットフォームGoogle Kubernetes Engine（GKE）に影響を与えるループホール「Sys:All」を修正した。

Googleが管理するKubernetesオープンソースプロジェクトのGKEは、医療、教育、小売、金融サービスといった業界でデータ処理や人工知能、機械学習の運用に広く使用されている。Orca Securityの研究者らは今回見つかったループホールにより、公開企業を含む多くの組織のシステムがシステム全体のセキュリティ侵害に脆弱な状態だったことを突き止めていた。

同社の研究者は、この問題によって「Googleアカウントを持つ攻撃者は誤って構成されたKubernetesクラスタを乗っ取ることが可能になり、クリプトマイニング、サービス拒否攻撃、機微データの侵害といった重大なセキュリティインシデントを引き起こす可能性がある」と説明した。