セキュリティ脅威情報

FissionのEnvironment CRDにおいて、PodSpecの検証不足および更新時のWebhookバイパスにより、悪意のあるPodSpecが注入される脆弱性が存在する。攻撃者は、特権付きPodをスケジュールし、ホストパスへのアクセス権を取得することで、クラスタCA秘密鍵を読み取ることが可能である。これにより、攻撃者はkubelet証明書を偽造し、クラスタ全体を乗っ取ることができる。この問題は、検証ロジックの強化、Webhookの更新処理の修正、およびマージ時の危険なフィールドの除去によって修正された。

Erlang向けQUICライブラリにおいて、TLS 1.3ハンドシェイク時のサーバー認証が適切に行われない脆弱性が存在する。証明書の署名検証、チェーン検証、およびホスト名確認が実行されないため、クライアント側の検証機能が実質的に無効化されている。この脆弱性を悪用されると、ネットワーク上の攻撃者が中間者攻撃（MitM）を行い、任意の証明書を提示してサーバーになりすますことが可能となる。その結果、通信の機密性と完全性が損なわれる重大なリスクがある。なお、PSK（セッション再開）による認証を行うハンドシェイクは影響を受けない。

Rancher Managerのクラスターインポートエンドポイントにおいて、YAMLパラメータのサニタイズ不足に起因する重大なコマンドインジェクションの脆弱性が確認された。攻撃者は、細工したURLを通じて悪意のあるYAML設定を注入し、DaemonSetを介して制御プレーンノード上で任意のコマンドを実行できる可能性がある。本脆弱性を悪用されると、Kubernetesクラスターの完全な制御権の奪取や、機密情報の窃取、クラスター運用の妨害を招く恐れがある。攻撃には有効なクラスター登録トークンの入手と、被害者による細工されたマニフェストの適用が必要となる。

Ghostのフロントエンドにおいて、x-ghost-previewヘッダーを悪用したキャッシュポイズニングおよびクロスサイトスクリプティング（XSS）の脆弱性が存在する。FastlyやCloudflare、nginx等の共有キャッシュ層を利用している環境において、認証されていない攻撃者が細工したヘッダーを送信することで、キャッシュされたコンテンツを改ざんし、後続の閲覧者に悪意のあるスクリプトを配信することが可能である。特にフロントエンドと管理画面を同一ドメインで運用している場合、スタッフアカウントの乗っ取りに繋がるリスクがあり、深刻度は極めて高い。

IBM Storage Protect ClientおよびSnapshot For WindowsのFlashCopy Manager (FCM) 認証機構において、ハードコードされた認証情報が使用されている脆弱性が存在する。本脆弱性は、複数の認証経路に静的な資格情報が埋め込まれており、認証応答の検証が不適切であることに起因する。リモートの攻撃者は、この脆弱性を悪用することで認証を回避し、信頼されたセッションを確立して保護されたサービスへ不正にアクセスすることが可能である。CVSSスコアが9.1と極めて高く、攻撃者が正当なクライアントを偽装してシステムリソースへアクセスできるため、深刻な脅威となる。

Ousaban（別名：Javali）は、ブラジルを拠点とする「Tetrade」と呼ばれるマルウェアファミリーの一種です。偽のPDFや「ClickFix」詐欺を入り口とし、地域制限（ジオフェンシング）やステガノグラフィを用いて検知を回避しながらWindows端末に感染します。

VEIL#DROPは、Bloggerを悪用してペイロードを配布する多段階の攻撃チェーンです。難読化、メモリ内実行、LOLBins（正規のシステムバイナリ）の活用により、セキュリティ対策を回避しながらPureLogs情報窃取マルウェアを感染させます。

SEO汚染（検索エンジン最適化の悪用）により、人気ソフトウェアを装った偽サイトへユーザーを誘導し、AsyncRATを配布するキャンペーンが確認されました。正規の署名済みバイナリと悪意のあるDLLを組み合わせる手法で、セキュリティ製品の検知を回避しています。

株式会社キャリアデザインセンターは、運営する転職サイト「女の転職 type」で発生した不正アクセスに関する調査結果を公表しました。外部専門機関によるフォレンジック調査の結果、社内調査と同様にリスト型アカウントハッキングによる被害であり、約3.8万件のアカウントが不正ログインされたことが確認されています。

加賀ソルネットが運営するECサイト「アカデミコナビ」において、第三者による不正アクセスが発生しました。2021年10月から2026年4月までに登録されたユーザーの氏名、住所、連絡先、メールアドレス、暗号化パスワードなど、最大約17万件の個人情報が流出した可能性があります。

ダイキョーニシカワは、インドネシアの連結子会社で不正アクセスが発生し、データの一部が外部に送信されたことを確認したと発表しました。3月下旬に異常を検知して以降、専門機関と連携し調査と復旧作業を進めています。