2024.04.19（金）
Apache ソフトウェア財団による Web アプリケーション開発フレームワークで
ある Struts のバージョン 2 系に、REST プラグインに含まれる実装不備を利
用して任意のコードが実行可能となる脆弱性が報告されています。
サイバーセキュリティ対策セミナー「中小企業におけるサイバーリスク事前対策と事故対応」が開催された。
何度も書いているけど、日本のシンポジウムは温泉地での開催が大事。海外のカンファレンスでも、敢えてあちこちの観光地で開催しているケースはたくさんある。簡単に会社に呼び戻せない場所で泊まりで開催すれば、終電も気にしないで安心してガンガン飲みまくれるからね。
ペンテスト・パートナーズはその調査結果を三菱UKに伝えた。いつか? 公表する前にであった。三菱はセキュリティ研究者たちに対して、「それを問題だとは認めていない」し、PTP社が発見した問題を解決する計画はないと語った。Munro氏はこの返答に対して失望を表した。
不正に盗み出されたクレジットカード情報などは、これまでDeep WebやDark Webと呼ばれるアンダーグラウンドの市場で販売されてきた。しかし2015年後半から、FacebookなどメジャーなSNSを利用するサイバー犯罪者が増えている。
WordPress のプラグインである Ninja Forms において、POST パラメータ処理の不備により、遠隔から任意のファイルがアップロードされてしまう脆弱性が報告されています。
弱点や事故のケースを探すには、ある程度整理した分類を元に自社に当て嵌るものはないか探していくといい。以下は筆者の経験上の区分なので、少々乱暴だったり、あっちはこっちだろ的な突っ込みも多々あると思う。区分はあくまで考えるためのヒントだ。
「それまで電力管理システムがセキュリティを念頭に設計されたことはありませんでした。」ラクハーニが語る。「もともとレギュレーターや電圧電流をコントロールするために設計されたもので、それは今も変わっていません。」
オーストラリアの都市パースの大学生達が窮地に陥っている。1人は警察に告発された。この都市の公共交通のスマートカードであるSmartRiderの使用により発生した運賃を巻き戻すため、深刻なセキュリティホールを発見して悪用しようとしたことによる。
Microsoft Windows の Secondary Logon サービスに含まれる不備により、高い権限で任意のコードが実行可能となる脆弱性が報告されています。
