セキュリティ脅威情報

Apache MINAのcodec moduleに含まれるJavaNativeMessageDecoderにおいて、クラスフィルターを使用せずにフレームバイトに対してObjectInputStream.readObject()を呼び出す問題が存在する。これにより、信頼できないピアの前に同モジュールを配置しているアプリケーションは、ガジェットチェーンを用いたリモートコード実行（RCE）の脆弱性につながるおそれがある。なお、3.0.0ブランチは非アクティブとなっており、修正バージョンのリリース予定はない。

シスコのTalosが、AI統合レイヤーを備えた高度な情報窃取マルウェア「VOLTA」の分析結果を公表しました。VOLTAは認証情報やウォレット等の窃取に加え、収集したデータをもとに大規模言語モデルを活用して被害者の資産価値や収益性を自動でランキング評価する機能を持っています。

セキュリティ企業Parameterの研究者が、悪意あるChatGPTの共有リンクを開くことで、被害者のセッション内で攻撃者のコードが実行され、プライベートな会話が読み取られる脆弱性を発見しました。この脆弱性はOpenAIのバグバウンティプログラムを通じて報告され、OpenAIによって修正されました。

KDDIおよびライフネット生命保険は、ライフネット生命と連携するシステムが不正アクセスを受け、KDDIのシステムが保有するお客さま情報の一部が外部に漏えいした可能性があることを確認しました。連携するLNシステムの一部機能の脆弱性を通じて、お客さま情報が取得された可能性があるとして調査と影響範囲の特定が進められています。

株式会社ティータイムは、運営する「ゴルフスクールガイド」の管理画面に第三者による不正アクセスがあり、利用者や掲載スクールの情報の一部が閲覧された可能性があると公表しました。情報の持ち出しや書き換えは確認されておらず、判明後に不正アクセスの経路を遮断しています。

米ブロックチェーン分析企業のChainalysisは、外部の攻撃者による不正アクセスを受け、ユーザーIDや氏名、メールアドレスなどの非機密の顧客識別データがアクセスされたと公表しました。同社は、調査コンテンツや認証情報、セッション・トークンへの不正アクセスはなかったとしており、脆弱性の修正やシステムの強化を進めています。

株式会社クレディセゾンは、「セゾンのスマート不動産投資」に関する外部委託先の会員管理プラットフォームが第三者による不正アクセスを受け、顧客の個人情報が漏えいしたことを公表しました。委託先の認証の仕組みの不備が悪用されたもので、顧客1,889名の氏名や購入口数などの情報が漏えいしています。保有資産の書き換えやクレジットカード情報の漏えいは確認されていません。

山梨県は、富士山吉田ルート通行予約システムの業務受託企業である株式会社JapanTicketから、同社が利用する外部分析ツールへの不正アクセスにより保有する個人情報が外部へ漏洩したとの報告を受けたと公表しました。令和6年度の利用者情報約7万件が含まれているかは現在調査中です。