セキュリティ脅威情報

Microsoft WindowsのRPCランタイムに境界外書き込みの脆弱性が存在する。この脆弱性は、攻撃者がネットワーク経由で細工したリクエストを送信することで悪用される恐れがある。CVSS基本値は9.8と極めて高く、認証を必要とせず、かつユーザーの操作を介さずにリモートで攻撃が実行される可能性があるため、極めて重大な脅威である。現時点では詳細なパッチ情報は提示されていないが、広範なバージョンのWindowsが影響を受ける。

EdgeConnect SD-WAN Orchestrator の API において、認証制御を回避される深刻な脆弱性が存在する。この脆弱性により、認証を受けていないリモートの攻撃者が、既存の認証プロセスをバイパスして管理者権限を取得できる可能性がある。管理者権限が奪取された場合、攻撃者は管理ホストを完全に乗っ取ることが可能となり、ネットワーク全体の設定変更やデータの盗用といった致命的な影響を及ぼす恐れがある。

Adobe Connect において、SQL コマンドで使用される特殊要素の適切でない無害化に起因する SQL インジェクションの脆弱性が確認された。権限の低い攻撃者がこの脆弱性を悪用することで、任意の SQL コマンドを実行できる可能性がある。本問題はユーザーの操作を介さずに悪用が可能であり、CVSS スコアが 9.9 と極めて高く、深刻な影響を及ぼす恐れがある。

Qualcomm Software Center において、不適切な認可制御に起因する極めて深刻な脆弱性が報告された。本脆弱性は SocketIO インターフェースを介した通信処理に起因するものであり、遠隔の攻撃者が認証を必要とせずに任意のコードを実行できる可能性がある。CVSS v3 の基本スコアは 9.8 と極めて高く、ネットワーク経由で対象のシステムが完全に制御されるリスクがあるため、非常に危険な状態である。

Aruba Networks が提供する Analytics and Location Engine（ALE）において、ハードコードされた認証情報（デフォルトのユーザー名とパスワード）が使用されている極めて深刻な脆弱性が発見された。この問題は、アプリケーションおよび基盤となるオペレーティングシステム（OS）に存在する複数の管理者・システムアカウントに起因する。認証されていないリモートの攻撃者が、既知のデフォルト資格情報を利用してシステムへのログインを試みることで、本脆弱性を悪用できる状態にある。

扶桑電通株式会社は、社外関係者と利用していたクラウドストレージの共有フォルダに対する不正アクセスについて第2報を発表しました。第三者による認証情報の不正利用が原因で、取引先の顧客および担当者の個人情報26,489件が漏えいした可能性があるとしています。

株式会社スマレジは、提供する「スマレジEC・リピート」および「スマレジEC・B2B」の顧客管理画面ログイン機能に存在した脆弱性を悪用され、不正アクセスを受けたと発表しました。4社の顧客環境において、顧客情報や受注情報などの個人データが閲覧または取得された可能性があります。

熊本県が運営する「ワンストップジョブサイトくまもと」が外部からの不正アクセスにより改ざんされました。利用登録画面で会員規約の同意ボタンを押すと、偽の警告を表示して有料アプリへ誘導するフェイクアラートが出る状態となっていました。個人情報の漏えいは確認されていません。

パーク２４の連結子会社であるタイムズモビリティは、運営する「タイムズカー」のWebシステムにおいて第三者による不正アクセスを確認し、会員の氏名や住所、電話番号、運転免許証画像など約660万件分の個人情報が外部に漏洩したことを公表しました。なお、クレジットカード情報は含まれておらず、パスワードは復元不能な形式で保管されていたとしています。

東京大学大学院医学系研究科は、公共健康医学専攻ウェブサイトが不正アクセスを受け、不正プログラムが設置されたと発表しました。当該プログラムにより、閲覧者に対して偽のエラー画面などが表示された可能性があります。