アメックスの一部顧客データが漏洩の可能性、原因はサードパーティの侵害

3月5日：サイバーセキュリティ関連ニュース

アメリカン・エキスプレス、加盟店処理業者で発生したデータ侵害により一部顧客データが漏洩の可能性

Security Affairs – March 04, 2024

大手クレジットカード会社のアメリカン・エキスプレスは顧客に対し、ある加盟店処理業者で発生したデータ侵害によって一部顧客のカード情報が不正なアクセスを受けた可能性があると警告した。流出した可能性のあるデータには、現在または過去に発行されたカードのアカウント番号や顧客名、有効期限といった情報が含まれる。

今回のセキュリティ侵害は、航空券やホテルなどのオンライン予約を取り扱うサービスプロバイダーで発生したもの。アメリカン・エキスプレスは自社システムが侵害されていない点を強調し、予防措置として顧客への通知を行ったと主張している。

同社は影響を受ける顧客の数を明らかにしていないものの、モバイルアプリの通知機能なども使い、詐欺や不審な取引がないかどうか注意深く監視することを推奨した。ただし、不正利用の被害については責任を負わないとの方針を示している。

TeamCityの新しい認証バイパスの重大なバグに関するエクスプロイトが公開　今すぐパッチを（CVE-2024-27198、CVE-2024-27199）

BleepingComputer – March 4, 2024

JetBrains社のTeamCity On-Premises CI/CDソリューションに重大な認証バイパスの脆弱性CVE-2024-27198がある。悪用が成功すれば、認証されていないリモートの攻撃者であっても管理者権限でサーバーを制御してRCEなどを実施できるようになるという。

Rapid7は4日、この脆弱性を悪用したエクスプロイトを作成するための完全な技術的詳細を公開した。またこの説明の中で、深刻度はやや低くなるものの、同じく注目すべきものとしてCVE-2024-27199（パストラバーサルの脆弱性）についても触れている。

JetBrainsは同日、Rapid7が技術的詳細を公開するより少し前に、ブログでこれらの脆弱性に対処したTeamCity 2023.11.4のリリースを発表。続いて公開した2件目の記事では各脆弱性の深刻さと悪用された場合の影響を明らかにしたほか、Rapid7が後に先述の発表を行う予定だったことから、製品を最新バージョンにアップデートしたり、JetBrainsがリリースしたセキュリティパッチプラグインをインストールしたりするよう管理者に強く推奨していた。なお、サーバーのクラウド版はすでにパッチが適用済みであり、いずれの脆弱性についても脅威アクターが悪用を試みた兆候はなかったという。