セキュリティホール memo - 2023.06

Last modified: Fri Oct 27 12:51:39 2023 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2023.06.30

追記

2023 年 6 月のセキュリティ更新プログラム (月例) (2023.06.14)

 複数のセキュリティ製品で不具合が出ていたのだそうで。

いろいろ (2023.06.30)
(various)

Trellix Move / Enterprise Security Manager / Trellix Agent mac-OS


2023.06.29

いろいろ (2023.06.29)
(various)

NVIDIA GPU ドライバー

NetBSD


2023.06.28


2023.06.27

Apple 0-day 方面 (iOS / iPadOS, watchOS, macOS, Safari)
(Apple, 2023.06.21)

 書いてなかった orz。 いずれも RCE。

 fix:

2023.10.27 追記:

 iOS / iPadOS 15.8 が公開された。 CVE-2023-32434 への対応だとされている。 iOS / iPadOS 15.7.7 で対応されたはずなのだが? 何らかの修正漏れがあったのか?

Chrome Stable Channel Update for Desktop
(Google, 2023.06.26)

 Chrome 114.0.5735.198 (Mac / Linux) および Chrome 114.0.5735.198/199 (Windows) 公開。 4 件のセキュリティ修正を含む。


2023.06.26


2023.06.23


2023.06.22


2023.06.21

いろいろ (2023.06.21)
(various)

Node.js

Azure AD Applications

Zoom

Adobe Experience Manager / Commerce / Animate / Substance 3D Designer

追記

Firefox 114.0 / ESR 102.12.0、Thunderbird 102.12.0 公開

 Firefox 114.0.2 出てました。セキュリティ修正はありません。


2023.06.20

いろいろ (2023.06.20)
(various)

Barracuda Email Security Gateway Appliance

  • Barracuda ESG Zero-Day Vulnerability (CVE-2023-2868) Exploited Globally by Aggressive and Skilled Actor, Suspected Links to China (Mandiant, 2023.06.15)

    On May 19, 2023, UNC4841’s actions were first discovered by the Barracuda team and on May 21, 2023, Barracuda began releasing containment and remediation patches with the goal of eradicating UNC4841 from impacted appliances. In response to these efforts, UNC4841 quickly altered their malware and employed additional persistence mechanisms in an attempt to maintain their access.

    Between May 22, 2023 and May 24, 2023, UNC4841 countered with high frequency operations targeting a number of victims located in at least 16 different countries. Overall, Mandiant identified that this campaign has impacted organizations across the public and private sectors worldwide, with almost a third being government agencies (see Figure 5).

    On June 6, 2023, Barracuda reiterated guidance recommending that all impacted Barracuda customers immediately isolate and replace compromised appliances. In addition, Mandiant recommends further investigation and hunting within impacted networks, as the identified threat actor has demonstrated a commitment to maintaining persistence for continued operations and has shown an ability to move laterally from the ESG appliance.
    CVE-2023-2868 is a remote command injection vulnerability present in the Barracuda Email Security Gateway (appliance form factor only) versions 5.1.3.001-9.2.0.006 that exists when screening email attachments.
  • Barracuda Email Security Gateway Appliance (ESG) Vulnerability (Barracuda, 2023.06.15 更新)

  • Barracuda Urges Replacing — Not Patching — Its Email Security Gateways (Krebs on Security, 2023.06.08)

  • https://www.barracuda.co.jp/。 何もなさげ。

2023.08.08 追記:

 2023.08.04 に NISC と気象庁から何か出てるのですが、これが Barracuda ESG Appliance の件だとのもっぱらの噂。

2023.09.07 追記:

 対応したはずの組織で「新たなバックドアが設置されたり、ネットワーク上で横展開したりするなど、攻撃者が永続性を確保しようとする継続的な攻撃活動が確認されている」事例があるそうで。

Apache Struts 2

ASUS ルーター GT6 / GT-AXE16000 / GT-AX11000 PRO / GT-AXE11000 / GT-AX6000 / GT-AX11000 / GS-AX5400 / GS-AX3000 / XT9 / XT8 / XT8 V2 / RT-AX86U PRO / RT-AX86U / RT-AX86S / RT-AX82U / RT-AX58U / RT-AX3000 / TUF-AX6000 / TUF-AX5400

追記

2023 年 6 月のセキュリティ更新プログラム (月例) (2023.06.14)

 今回、Windows Server 2012 / 2012 R2 には Servicing Stack Updates が出ていたのですね。


2023.06.19

追記

2023 年 6 月のセキュリティ更新プログラム (月例) (2023.06.14)

 CVE-2022-38023 対応 (Netlogon) と CVE-2022-37967 対応 (Kerberos) のフェーズが進んだそうで。

  • KB5021130: CVE-2022-38023 に関連する Netlogon プロトコルの変更を管理する方法 (Microsoft)

    2023年6月13日 - 規定での適用

    管理者が明示的に互換モード下になるように設定しない限り、 RequireSeal レジストリ サブキーは強制モードに移行されます。 サードパーティを含むすべてのクライアントからの脆弱な接続は、認証が拒否されます。

    RequireSeal = 1 を設定していない場合は RequireSeal = 2 (強制モード) として扱われるようになったと。

  • KB5020805: CVE-2022-37967 に関連する Kerberos プロトコルの変更を管理する方法 (Microsoft)

    2023 年 6 月 13 日以降にリリースされる Windows 更新プログラムでは、次の処理が行われます。
    • KrbtgtFullPacSignature サブキーを値 0に設定して、PAC 署名の追加を無効にする機能を削除します。

    KrbtgtFullPacSignature の値は

    0 - 無効
    1 - 新しい署名は追加されますが、検証されません。 (既定の設定)
    2 - 監査モード。 新しい署名が追加され、存在する場合は検証されます。 署名が見つからないか無効な場合は、認証が許可され、監査ログが作成されます。
    3 - 強制モード。 新しい署名が追加され、存在する場合は検証されます。 署名が見つからないか無効な場合、認証は拒否され、監査ログが作成されます。

    の 4 つだったのだけど、0 の機能が無くなると。1 と同じ意味になるのかな?

いろいろ (2023.06.19)
(various)

Linux Kernel

  • Learnings from kCTF VRP's 42 Linux kernel exploits submissions (Google, 2023.06.14)

    Since its inception, the program has rewarded researchers with a total of 1.8 million USD, and in the past year, there has been a clear trend: 60% of the submissions exploited the io_uring component of the Linux kernel (we paid out around 1 million USD for io_uring alone). Furthermore, io_uring vulnerabilities were used in all the submissions which bypassed our mitigations.

    To protect our users, we decided to limit the usage of io_uring in Google products:
    • ChromeOS: We disabled io_uring (while we explore new ways to sandbox it).
    • Android: Our seccomp-bpf filter ensures that io_uring is unreachable to apps. Future Android releases will use SELinux to limit io_uring access to a select few system processes.
    • GKE AutoPilot: We are investigating disabling io_uring by default.
    • It is disabled on production Google servers.

Azure Bastion, Azure Container Registry

Jenkins / Jenkins plugins

X.Org libX11


2023.06.14

2023 年 6 月のセキュリティ更新プログラム (月例)
(Microsoft, 2023.06.14)

 出ました。CVE 番号が太字なのは critical (最大深刻度: 緊急) 扱い。

 Windows 10 バージョン 21H2 は、Pro / Home については今回でサポート終了です。 Enterprise / Edutation については 2024 年 6 月までサポートされます。

2023.06.19 追記:

 CVE-2022-38023 対応 (Netlogon) と CVE-2022-37967 対応 (Kerberos) のフェーズが進んだそうで。

2023.06.20 追記:

 今回、Windows Server 2012 / 2012 R2 には Servicing Stack Updates が出ていたのですね。

2023.06.30 追記:

 複数のセキュリティ製品で不具合が出ていたのだそうで。

Chrome Stable Channel Update for Desktop
(Google, 2023.06.13)

 Chrome 114.0.5735.133 (Mac / Linux) および 114.0.5735.133/134 (Windows) 公開。 5 件のセキュリティ修正を含む。

2023.06.19 追記:

 クレカ情報の自動入力機能の“致命的”脆弱性、「Microsoft Edge」にも修正版  バージョンがv114.0.1823.51になっているか確認を (窓の杜, 2023.06.19)


2023.06.13

いろいろ (2023.06.13)
(various)

Fortinet FortiOS / FortiProxy

Progress Software MOVEit

ケービデバイス デジタルビデオレコーダー

Trend Micro Apex One / Apex One SaaS

VMware Aria Operations for Networks


2023.06.12

追記

Firefox 114.0 / ESR 102.12.0、Thunderbird 102.12.0 公開 (2023.06.08)

 Firefox 114.0.1 出てました。セキュリティ修正はありません。

いろいろ (2023.06.12)
(various)

キングソフト WPS Office


2023.06.09


2023.06.08

いろいろ (2023.06.08)
(various)

Go

Android

Firefox 114.0 / ESR 102.12.0、Thunderbird 102.12.0 公開
(Mozilla, 2023.06.06)

 出てました。

2023.06.12 追記:

 Firefox 114.0.1 出てました。セキュリティ修正はありません。

2023.06.21 追記:

 Firefox 114.0.2 出てました。セキュリティ修正はありません。


2023.06.07


2023.06.06

Chrome Stable Channel Update for Desktop
(Google, 2023.06.05)

 Chrome 114.0.5735.106 (Mac / Linux) および 114.0.5735.110 (Windows) 公開。 0-day CVE-2023-3079 を含むセキュリティ欠陥 2 件を修正。


2023.06.05

追記

いろいろ (2023.05.23) KeePass 2.x


2023.06.02


2023.06.01


[セキュリティホール memo]
[私について]