パロアルト、攻撃で悪用されているファイアウォールのゼロデイ2件にパッチ：CVE-2024-0012、CVE-2024-9474

パロアルト、攻撃で悪用されているファイアウォールのゼロデイ2件にパッチ：CVE-2024-0012、CVE-2024-9474

BleepingComputer – November 18, 2024

パロアルトネットワークス（Palo Alto Networks）がついに、攻撃で悪用されている次世代ファイアウォールのゼロデイCVE-2024-0012に対するセキュリティアップデートをリリース。併せて脆弱性CVE-2024-9474についても開示した。

1件目の脆弱性は、PAN-OSのWeb管理インターフェースにおける認証バイパスのゼロデイ脆弱性。リモートの攻撃者に悪用されると、認証にパスしたりユーザーに何らかの操作をさせたりせずとも管理者権限を取得することが可能になるとされる。11月8日にパロアルトはこの「潜在的なRCE脆弱性」の存在を理由に顧客へファイアウォールへのアクセスを制限するよう警告していたが、CVE-2024-0012という識別子が割り当てられたのは15日になってからだった。

2件目のCVE-2024-9474は、PAN-OSにおける権限昇格の脆弱性。PAN-OSの悪意ある管理者ユーザーが悪用すれば、ファイアウォール上においてroot権限でアクションを実行することが可能になるとされる。

CVE-2024-0012およびCVE-2024-9474、いずれのアドバイザリにおいても、パロアルトは「ネットワークの外部から発信されるインターネットトラフィックに露出した限られた数の管理Webインターフェースに対し、この脆弱性を悪用する脅威アクティビティが観測」されたと記している。同社はまた、CVE-2024-0012に対する初期の悪用アクティビティを「Operation Lunar Peek」の名で追跡。攻撃について現時点でわかっている情報をブログ記事にまとめている。

パロアルト社はこれらのゼロデイにより影響を受けるファイアウォールの台数について「非常に少数」と発言しているものの、脅威モニタリングプラットフォームのShadowserverが15日に報告したところによれば、露出したPAN-OS管理インターフェースはその時点で8,700超見つかっていたという。

両脆弱性は18日にCISAのKEVカタログ（悪用が確認済みの脆弱性カタログ）へも追加済みであり、連邦政府機関には12月9日までの対応が命じられている。

VMware vCenter Serverの重大なRCE脆弱性が悪用される、 Broadcomが確認：CVE-2024-38812

BleepingComputer – November 18, 2024

VMware vCenter Serverの脆弱性CVE-2024-38812およびCVE-2024-38813が、実際の攻撃で悪用されるようになっているという。Broadcomがアドバイザリを更新して報告した。

悪用が確認された1つ目のCVE-2024-38812は、vCenter Server内のDCERPCプロトコルの実装におけるヒープオーバーフローの脆弱性。リモートコード実行に繋がる恐れがあり、CVSSv3スコアは9.8と深刻度が高い。2つ目のCVE-2024-38813（CVSSv3スコア：7.5）は権限昇格の脆弱性で、攻撃者が特別に細工されたネットワークパケットを用いて悪用することでroot権限への昇格が可能になる恐れがある。

いずれの脆弱性に関しても修正のためのセキュリティパッチが今年9月にリリースされたが、その1か月後にBroadcomはセキュリティアドバイザリを更新。9月のCVE-2024-38812に対するパッチでは脆弱性への完全な対処ができていなかったと伝え、新たなパッチの適用を「強く」推奨していた。

そして11月18日、同社は再度アドバイザリを更新し、両脆弱性の攻撃での悪用が確認された旨を追記。ただ、攻撃の詳細や攻撃件数などの情報は記されていない。どの脅威アクターが悪用に関与しているのかも現時点では不明だが、VMware vCenterの脆弱性といえばランサムウェアグループや国家の支援を受けたハッキンググループ（例：中国のUNC3886）など、さまざまなアクターに狙われてきた過去がある。これを踏まえると、利用者には早急な対応が推奨される。

なおCVE-2024-38812およびCVE-2024-38813に関しては有効なワークアラウンドが存在しないため、最新のパッチの適用が唯一の解決策となる。

ランサムウェアレポート＆インテリジェンス要件定義ガイド、無料配布中！

ランサムウェアレポート：『2024 Ransomware? What Ransomware?』

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。

＜レポートの主なトピック＞

• 主なプレーヤーと被害組織
• データリークと被害者による身代金支払い
• ハクティビストからランサムウェアアクターへ
• 暗号化せずにデータを盗むアクターが増加
• 初期アクセス獲得に脆弱性を悪用する事例が増加
• 公に報告された情報、および被害者による情報開示のタイムライン
• ランサムウェアのリークサイト – ダークウェブ上での犯行声明
• 被害者による情報開示で使われる表現
• ランサムウェアに対する法的措置が世界中で増加
• サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
• 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価