セキュリティ脅威情報

FlowiseのカスタムJavaScript実行機能において、NodeVMのサンドボックス設定を意図せず上書きできてしまう脆弱性が存在する。認証された攻撃者がこの脆弱性を悪用することでサンドボックスを逃れ、ホストサーバー上でroot権限による任意のシステムコマンドを実行することが可能である。具体的には、JavaScriptのスプレッド構文を用いたオプションのマージ処理に不備があり、ブロックされているはずの「child_process」や「fs」などの組み込みモジュールを再有効化できてしまうことが原因である。公開されているPoCでは、暗号化キーやJWT署名秘密鍵の窃取が可能であることも確認されており、影響は極めて重大である。

Nuxt DevToolsの開発モードにおいて、Vite HMR WebSocket経由で提供される双方向RPCチャネルに認証不備が存在する。影響を受けるバージョンでは、接続確立前の認証トークンやオリジンチェックが行われず、任意のクライアントがRPCメソッドを呼び出すことが可能である。攻撃者は、未認証のまま設定を変更した上でエディタ起動機能を利用し、開発者のホストマシン上で任意のプログラムやコマンドを実行することができる。影響は開発環境に限定され、本番ビルドには及ばない。

Google Chromeのバージョン151.0.7922.72より前のANGLEにおける整数オーバーフローの脆弱性である。レンダラプロセスを乗っ化したリモート攻撃者が、細工されたHTMLページを介してサンドボックスを回避する可能性がある。CVSS v3.3の深刻度はCritical（基本値9.6）と評価されている。

カンボジアのポイペトを拠点とする組織的詐欺グループが、ChatGPTなどの生成AIを活用して、投資詐欺、ロマンス詐欺、オンラインギャンブルの偽装、法執行機関のなりすましなどの複数の不正スキームを効率化・大規模化させていた事例です。AIは被害者とのコミュニケーションや偽ドキュメントの作成だけでなく、詐欺拠点の求人広告や内部管理業務にも悪用されていました。

macOSを標的とした「ClickFix」攻撃において、250以上の偽装ドメインがブラウザの指紋認証（Fingerprinting）機能を悪用し、セキュリティスキャナーやサンドボックス環境を検知して身を隠す手口が確認されています。実機のMacユーザーを判定した上で、情報窃取マルウェア（AMOSやMacSyncなど）をダウンロードさせ、ターミナルへのコマンド実行を促します。

明神水産は、同社オンラインショップで利用しているECサイトシステム「ショップサーブ」（運営：Eストアー）において第三者による不正アクセスが発生し、顧客の個人情報およびクレジットカード情報の一部が外部へ漏洩した可能性があると公表しました。

株式会社イノベーションは、ソフトウェア開発・システム管理に利用しているGitHubの認証情報が漏洩し、第三者による不正アクセスを受けたと発表しました。ソースコードやリポジトリ内のファイルに含まれていた最大約60,000件の個人情報（氏名、メールアドレス、一部電話番号）が流出した可能性があります。

三嶋商事は、運営するECサイトの構築サービス「ショップサーブ」（Eストアー）のサーバーにおいて外部からの不正アクセスが発生し、顧客情報が外部へ漏えいしたと公表しました。詳細や対象範囲はサービス提供元の発表を確認するよう案内しています。

株式会社ソディックは、5月に発生したサーバーへの不正アクセスに関する調査が完了したとして、最終報を公表しました。海外拠点のネットワークを経由した不正アクセスが確認されましたが、情報の外部流出を示す痕跡は確認されませんでした。ただし、念のため取引先や従業員等の個人情報漏えいのおそれがある範囲として個別連絡を行っています。

株式会社Saint James Japonが運営するオンラインブティックにおいて、利用しているECサイト構築サービス「ショップサーブ」のサーバーが外部からの不正アクセスを受け、顧客情報の一部が外部に流出したことが確認されました。原因や影響範囲については、サービス運営会社の株式会社Eストアーが調査を進めています。