セキュリティ脅威情報

Fluentdにおいて、ログ出力先のパス設定に使用される「${tag}」プレースホルダーの検証が不十分であることに起因する脆弱性が発見された。攻撃者は、信頼できないソースからのログ送信を通じてパス・トラバーサル（../）を注入できる。これにより、システム上の任意のファイルを上書きすることが可能となり、最終的にリモートコード実行（RCE）へ至る恐れがある。認証を必要とせず、Fluentdの実行権限で任意のコードが実行されるため、極めて深刻な影響を及ぼす。

Incusのクライアントにおいて、悪意のあるイメージサーバーから提供される細工された「Incus-Image-Hash」ヘッダーを処理する際に、パストラバーサルを伴う任意のファイル書き込みが発生する脆弱性が存在します。攻撃者はこの脆弱性を悪用することで、サーバー上でroot権限での任意のコマンド実行が可能となる恐れがあります。本脆弱性は、ダウンロードされたイメージのハッシュ値検証がファイル作成後に行われるという設計上の不備に起因しており、非常に重大です。

backpropagateのWeb UI機能において、認証が正しく実装されていない脆弱性が存在します。CLIで「--auth」オプションを指定しても、バックエンド側で認証処理が読み込まれないため、認証が有効であるかのように見せかけて実際には認証がバイパスされます。特に「--share」オプションを使用して公開設定にしている場合、外部から誰でもUIにアクセス可能となり、トレーニングデータの閲覧、モデルの操作、HuggingFace Hubへの不正なプッシュなどが実行される危険性があります。

ウクライナ保安庁（SSU）は、ロシアの諜報機関が政府関係者や軍関係者らを標的に、メッセンジャーアプリの認証情報を盗み出すキャンペーンを展開していると警告しました。攻撃者はサポートボットを装ったSMSを送信し、ユーザーに認証情報の入力を促す手口を用いています。

東京ケーブルネットワークは、利用しているKDDIのメールシステムへの不正アクセスにより、同社のメールアカウント利用者約7,500件の情報が漏洩した可能性があると発表しました。流出した情報はメールアドレスおよびパスワード（またはハッシュ値）で、対象アカウントのパスワード一斉リセットが実施されます。