セキュリティ脅威情報

i18next-http-middlewareのmissingKeyHandlerにおいて、プロトタイプ汚染を招くキーの検証が不十分である脆弱性が存在する。従来は特定の文字列のみをブロックしていたが、ドット区切りのバリエーション（例: "__proto__.polluted"）を適切に拒否できていなかった。特にi18next-fs-backendと組み合わせて使用する場合、攻撃者が細工したリクエストを送信することで、Object.prototypeを汚染し、アプリケーションのクラッシュや設定の改ざん、セキュリティチェックのバイパスを引き起こす可能性がある。CVSSスコアが9.1と極めて高く、深刻な脅威である。

Lemur 1.9.0以前のバージョンにおいて、SSO認証済みユーザーがSSRF、IDOR、および不適切な権限管理を組み合わせることで、AWS IAM認証情報の窃取およびPKI秘密鍵への永続的なアクセスが可能になる重大な脆弱性が存在します。攻撃者は、ACME認証局の設定におけるSSRFを利用してAWSインスタンスメタデータサービス（IMDS）から認証情報を取得し、さらに証明書作成者の権限が所有権移転後も維持されるIDORの欠陥を悪用して秘密鍵を不正に取得できます。この連鎖的な攻撃により、クラウド環境の侵害や証明書の不正利用が引き起こされるリスクがあります。

golang.org/x/crypto/ssh ライブラリにおいて、FIDO/U2Fセキュリティキーの物理的な存在確認（User Presence）が適切に行われない脆弱性が発見された。具体的には、Verify() メソッドが物理的なタッチを必要とするフラグを検証しないため、攻撃者は物理的な操作なしに署名を生成し、ハードウェアセキュリティキーを不正に利用できる可能性がある。認証の根幹に関わる重大な問題であり、早急な対応が必要である。

GoogleはChromeのセキュリティアップデートをリリースし、重要度「高」の脆弱性3件を修正しました。前回アップデートからわずか2日後の対応となります。

NTTコミュニケーションズ（現NTTドコモビジネス）が過去に経験した不正アクセス事案について、当時の対応責任者が語りました。攻撃者は海外拠点の管理ネットワークを経由して侵入しており、その足掛かりとして、役目を終えていたにもかかわらず撤去されずに残されていた旧システムが利用されていたことが判明しました。

プリマハムは、同社が利用するメール配信システム「める配くん」への第三者による不正アクセスにより、メールマガジン登録者のメールアドレスが漏洩した可能性があると公表しました。同社は現在、当該サービスの登録受付を停止しています。

KDDI株式会社への不正アクセスにより、同社サービスを利用するインターネットプロバイダにおいて、ユーザーのメールアドレスおよびパスワードが漏洩した可能性があるとして、三好市が市民へ注意喚起を行いました。対象プロバイダ利用者に対し、速やかなパスワード変更を呼びかけています。

山一電機は、フィリピン子会社で発生したランサムウェア被害の調査結果と対応完了を公表しました。攻撃者によるログの暗号化・削除により侵入経路の特定には至りませんでしたが、情報の流出は確認されず、システム復旧も完了しています。

株式会社佐嘉平川屋が運営するオンラインショップにて、第三者による不正アクセスが発生しました。システムの一部脆弱性が悪用され、ペイメントアプリケーションが改ざんされたことで、顧客のクレジットカード情報および個人情報が漏えいした可能性があると公表されています。