CVE-2024-11477: 7-Zip Vulnerability Allows Remote Code Execution, Update Now!by do son · November 24, 2024 A high-severity vulnerability (CVE-2024-11477) has been discovered in the popular file archiver 7-Zip, potentially allowing attackers to execute malicious code on vulnerable systems. The flaw, identified by Nicholas Zubrisky of Trend Micro Security Research, resides in the program’s Zstandard
セキュリティ企業Rapid7のスティーブン・フューア氏（プリンシパル・セキュリティリサーチャー）のブログ投稿によると（注1）、研究者たちが再現したSolarWindsのファイル転送サービス「Serv-U」の脆弱（ぜいじゃく）性は、非常に悪用しやすい重大なものだという。同氏は、2024年6月11日（現地時間、以下同）に「企業はこの脆弱性に直ちにパッチを当てるべきだ」と主張した。 Sunburstの悪夢再び？ SolarWindsのファイル転送サービスに重大な脆弱性 ディレクトリトラバーサルの脆弱性である「CVE-2024-28995」は（注2）、認証されていない攻撃者がサーバの機密ファイルを読み取ることを可能にする。この脆弱性の共通脆弱性評価システム（CVSS）におけるスコアは8.6だ。 同脆弱性の悪用は現状確認されていないが、Rapid7の研究者は「状況はすぐにでも変わる可能性がある」と警
Fortinetの複数製品における管理画面の脆弱性（CVE-2022-40684）が話題を集めています。既にサイバー攻撃についてのPoCも公開されているため、喫緊の対策が求められています。企業が今すぐできることとは何でしょうか。 「攻撃者の視点に立つ」ことは、セキュリティ対策の第一歩だと思っています。攻撃者は無駄なことをせず、より有効で「もうかる」攻撃を仕掛けてくるはずですのでその視点で対策を考える必要があるでしょう。 攻撃側は時間を選ばず、豊富なマシンリソースとあらゆる手段で攻撃を仕掛けてきます。近年は「RaaS」（Ransomware as a Service）といったサイバー攻撃用に最適化されたプラットフォームが出回っており、スキルがなくても容易に攻撃を実行できるようになってきています。 つまり、IPアドレスの端から端までサイバー攻撃を実行し、その中の一つでも攻撃に成功すれば、それが
家具大手のニトリは9月20日、スマートフォンアプリ「ニトリアプリ」において不正アクセスが発生したと発表した。約13万2000アカウントが不正ログインを受け、個人情報の一部が流出した可能性があるとしている。 不正ログインは9月15日から20日まで発生。19日に流出が判明したという。対象ユーザーは、ニトリネット／ニトリアプリ／シマホアプリで会員登録したユーザーの他、シマホネットでニトリポイントの利用手続きをしたユーザー。 攻撃手法は、ニトリ以外のサービスから流出したユーザーIDとパスワードを使って不正ログインを仕掛ける「リスト型アカウントハッキング」（リスト型攻撃）と推測。ニトリネットのニトリアプリ認証プログラムに対して仕掛けられたとする。 流出した可能性のある個人情報は、メールアドレス、パスワード、会員番号、氏名、住所、電話番号、性別、生年月日、建物種別（戸建／集合住宅）、エレベーターの有無
Two days ago, on May 27th 2022, Nao_sec identified an odd looking Word document in the wild, uploaded from an IP address in Belarus. This turned out to be a zero day vulnerability in Office and/or Windows. The document uses the Word remote template feature to retrieve a HTML file from a remote webserver, which in turn uses the ms-msdt MSProtocol URI scheme to load some code and execute some PowerS
MELSEC iQ-Fシリーズ FX5U(C) CPUユニット 全機種 全バージョン FX5UJ CPUユニット 全機種 全バージョン MELSEC iQ-Rシリーズ R00/01/02CPU 全バージョン R04/08/16/32/120(EN)CPU 全バージョン R08/16/32/120SFCPU 全バージョン R08/16/32/120PCPU 全バージョン R08/16/32/120PSFCPU 全バージョン R16/32/64MTCPU 全バージョン RJ71GN11-T2 全バージョン RJ71GN11-EIP 全バージョン RJ71C24(-R2/R4) 全バージョン RJ71EN71 全バージョン RJ71GF11-T2 全バージョン RJ71GP21(S)-SX 全バージョン RJ72GF15-T2 全バージョン MELSEC Qシリーズ Q03UDECPU、Q04/
Exploit code for Spring core RCE aka Spring4Shell dropped online. Update as of 31st March: Spring has Confirmed the RCE in Spring Framework. The team has just published the statement along with the mitigation guides for the issue. Now, this vulnerability can be tracked as CVE-2022-22965. Initially, it was started on 30th March, the first notification of the vulnerability was hinted at by the leade
IoTや産業用デバイス向けにセキュリティソリューションを提供するForescoutが、「NAME：WRECK」と呼ばれる数百万台のIoTや産業用デバイスに影響をおよぼす可能性のある脆弱性の存在を報告しています。 NAME:WRECK - Forescout https://www.forescout.com/research-labs/namewreck/ NAME:WRECK vulnerabilities impact millions of smart and industrial devices | The Record by Recorded Future https://therecord.media/namewreck-vulnerabilities-impact-millions-of-smart-and-industrial-devices/ How the NAME:W
Linuxディストリビューションとしてトップシェアを誇るUbuntuに、標準ユーザーから特権ユーザーを簡単に作成できてしまう脆弱性が見つかりました。 How to get root on Ubuntu 20.04 by pretending nobody’s /home - GitHub Security Lab https://securitylab.github.com/research/Ubuntu-gdm3-accountsservice-LPE Ubuntu fixes bugs that standard users could use to become root | Ars Technica https://arstechnica.com/information-technology/2020/11/ubuntu-fixes-bugs-that-standard-users
Apple、バグ報酬金プログラムを全ユーザーに公開〜報酬は最大1億6,000万円 2019 12/21 Apple製品の未発見の脆弱性を見つけると報酬金がもらえるAppleのバグ報酬金プログラムは、これまで招待制となっていましたが、誰でもバグの報告を行い、報酬がもらえるようになりました。プログラムの対象となっているのは、標準構成のiOS、iPadOS、macOS、tvOS、watchOSと、一般向けに販売されている最新のハードウェアです。 特定のベータ版内のバグ発見には報酬が50%増 Appleのセキュリティ報酬金を受け取るには、次の条件が必要となります。 その脆弱性の、Apple製品セキュリティ（Apple Product Security）への第一報告者であること 修正されていない脆弱性の証明を含む明確な報告書を提出すること Appleがバグ修正のための関連アップデートを含むセキュリテ
JPCERT-AT-2019-0033 JPCERT/CC 2019-09-02(新規) 2019-09-06(更新) I. 概要JPCERT/CC では、複数の SSL VPN 製品の脆弱性について、脆弱性に対する実証コードなどの詳細な情報が公表されていることを確認しています。 - Palo Alto Networks (CVE-2019-1579) - Fortinet (CVE-2018-13379) - Pulse Secure (CVE-2019-11510) これらの脆弱性を悪用された場合に、攻撃者がリモートから任意のコードを実行できる可能性 (CVE-2019-1579) や、任意のファイルを読み取り、認証情報などの機微な情報を取得する可能性 (CVE-2018-13379, CVE-2019-11510) があります。なお、脆弱性の報告者からは、それぞれの製品について、上記
Fossbytesは7月25日(米国時間)、「1 Million+ ProFTPD Servers Vulnerable To Remote Code Execution Attacks」において、FTPサーバ「ProFTPd」に脆弱性が存在すると伝えた。 ドイツのセキュリティ研究者であるTobias Madel氏が、mod_copyモジュールに脆弱性が存在しており、書き込み権限を持っていないユーザーが権限を超えた操作ができてしまうことを明らかにした。。脆弱性に関する情報は次のページにまとまっている。 ProFTPd CVE-2019-12815 - tbspace.de ProFTPd CVE-2019-12815 - tbspace.de ProFTPdは人気の高いFTPサーバの1つで、デフォルトのFTPサーバとして含まれていることが多い。また、脆弱性が存在するとされるmod_copy
ITU-Tが定めたFAX通信規格「T.30」に存在する脆弱性を利用すれば、ターゲットのFAX番号を知っているだけでバッファオーバーフローを引き起こし、デジタル複合機（MFP）を乗っ取ることができる。さらにランサムウェア「WannaCry」でも使われた脆弱性攻撃ツールなどを組み合わせれば、複合機を踏み台にしてオフィスネットワーク内のPCやサーバーにも侵入を拡大し、機密データを盗み出すことなども可能になる――。 2018年8月12日、米国ラスベガスで開催されたハッカーイベント「DEF CON 26」では、こうした攻撃手法を紹介する講演「What the Fax!?」が行われた（講演タイトルはネットスラング「WTF＝What the Fuck」のもじりだ）。講演を行ったCheck Point Software Technologiesのセキュリティリサーチャー、ヤニフ・バルマス氏とエイヤル・イト
脆弱性診断ツール「OWASP ZAP」は、脆弱性だらけのWebアプリケーション「EasyBuggy」の脆弱性をどの程度検出できるでしょうか？ 今回は次の基本的な機能で検証してみました。 簡易スキャン：WebアプリケーションのルートのURLを入力すると、OWASP ZAPがその配下をクロールして脆弱性があるか診断する。 静的スキャン：ブラウザ上でWebアプリケーションの基本的な機能を一通り手作業で動かすと、OWASP ZAPがレスポンスの内容などを検査する。 動的スキャン：静的スキャンで行った操作を、OWASP ZAPがリクエストパラメータを変えるなどして再実行し、診断する。 なお、検証で行った作業内容もこのページ載せていますので、OWASP ZAPを試してみたい方は参考にしてみて下さい。 はじめに OWASP ZAPとは その前にOWASP ZAPについて簡単に説明しておきます。「OWAS
Charlie Osborne （Special to ZDNET.com） 翻訳校正： 編集部 2018-01-04 10:54 Huawei（ファーウェイ）のルータを標的として実行可能なエクスプロイトコードが、あるハッカーによってホリデーシーズン中に公開された。このコードは、同ルータを標的にしたい、あるいはボットのネットワークを増強したいと考えているサイバー攻撃者に対して無償で公開された。同コードは「Satori」ボットネットによって実際に利用されている。 NewSky SecurityのプリンシパルリサーチャーであるAnkit Anubhav氏によると、このエクスプロイトコードはホリデーシーズン中にPastebinに投稿されたという。 日本語の「悟り」に由来する名前を持つSatoriはまったく新しいマルウェアというわけではなく、 IoT機器などに感染する、より悪名高い「Mirai」ボ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く