セキュリティホール memo

Last modified: Fri Nov 1 17:10:15 2024 +0900 (JST)


Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。

ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容をくれぐれも鵜飲みにしないように。 間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。

このページの情報を利用される前に、注意書きをお読みください。


[ 定番情報源 ] 過去の記事: 2024 | 2023 | 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[SCAN Security Wire NP Prize 2001]

「Scan Security Wire」 主催の SCAN Security Wire NP Prize 2001 を受賞しました。

 

「ネットランナー」の ベスト・オブ・常習者サイト 2003 で金賞を、ベスト・オブ・常習者サイト 2004 で銀賞を受賞しました。


復刊リクエスト受付中:

ジェイムズ.F.ダニガン「 新・戦争のテクノロジー」(現在58票)
中山信弘「ソフトウェアの法的保護」 (現在112票) (オンデマンド購入可)
陸井三郎訳・編「ベトナム帰還兵の証言」 (現在109票)
林克明「カフカスの小さな国 チェチェン独立運動始末」 (現在175票)
田中徳祐「我ら降伏せず−サイパン玉砕戦の狂気と真実」 (復刊決定)

RSS に対応してみました。 小ネタは含まれていません。「政治ねたウゼェ」という人は RSS ベースで読むと幸せになれるでしょう (ウザくない人は こっちの RSS がよいかもしれません)。 RSS 1.0 ですので、あくまで RDF Site Summary です。 現在は Really Simple Syndication には対応していません。
今すぐ Really Simple Syndication がほしい人は、のいんさんによる Web サイトの RSS を勝手に出力するプロジェクト ……のものがうまくいっていないようなので、 セキュmemoのRSS生成 をご利用ください。Tamo さん情報ありがとうございます。

実用 SSH 第2版: セキュアシェル徹底活用ガイド

2024.11.01

追記

Apple 方面 (iOS / iPadOS, tvOS, watchOS, visionOS, macOS) (2024.10.29)

 そういえば Safari も遅れて出てました。


2024.10.31

Firefox 132.0 / ESR 128.4.0 / ESR 115.17.0, Thunderbird 128.4.0esr 公開
(Mozilla, 2024.10.29)

 出てました。

Chrome Stable Channel Update for Desktop
(Google, 2024.10.29)

 Chrome 130.0.6723.91/.92 (Windows / Mac) および 130.0.6723.91 (Linux) 公開。 2 件のセキュリティ修正を含む。関連:


2024.10.30

FreeBSD 方面 (bhyve, ctl, fetch)
(FreeBSD, 2024.10.29)

 3 件です。いずれも patch が出ています。


2024.10.29

Apple 方面 (iOS / iPadOS, tvOS, watchOS, visionOS, macOS)
(Apple, 2024.10.28)

 出ました。

2024.11.01 追記:

 そういえば Safari も遅れて出てました。


2024.10.28


2024.10.25

いろいろ (2024.10.25)
(various)

Trend Micro Deep Discovery Inspector

トレンドマイクロ Deep Security Agent(Windows版)

Drupal

PowerDNS Recursor

unbound

WeChat MMTLS プロトコル

  • Should We Chat, Too? Security Analysis of WeChat’s MMTLS Encryption Protocol (CitizenLab, 2024.10.15)。CitizenLab が WeChat MMTLS の公開分析を実施。 なかなかにだめだめなようで。

    • We found that MMTLS is a modified version of TLS 1.3, with many of the modifications that WeChat developers made to the cryptography introducing weaknesses.
    • Further analysis revealed that earlier versions of WeChat used a less secure, custom-designed protocol that contains multiple vulnerabilities, which we describe as “Business-layer encryption”. This layer of encryption is still being used in addition to MMTLS in modern WeChat versions.
    • Although we were unable to develop an attack to completely defeat WeChat’s encryption, the implementation is inconsistent with the level of cryptography you would expect in an app used by a billion users, such as its use of deterministic IVs and lack of forward secrecy.

追記

FG-IR-24-423 - Missing authentication in fgfmsd (2024.10.24)

 FG-IR-24-423 - Missing authentication in fgfmsd が更新されている。

2024-10-24: Added workarounds to block the addition of unauthorized devices via syslog or FDS
2024-10-24: Added 195.85.114.78 in IoCs

 195.85.114.78 は Mandiant の観測結果による: Investigating FortiManager Zero-Day Exploitation (CVE-2024-47575) (Mandiant, 2024.10.24)


2024.10.24

いろいろ (2024.10.24)
(various)

NVIDIA GPU ドライバー

FG-IR-24-423 - Missing authentication in fgfmsd
(FortiNet, 2024.10.23)

 FortiManager 6.2 / 6.4 / 7.0 / 7.2 / 7.4 / 7.6 系列、 FortiManager Cloud 6.4 / 7.0 / 7.2 / 7.4 系列に 0-day 欠陥。 FortiManager の fgfmd デーモンにおける「クリティカルな機能」(詳細不明) に認証が行われない欠陥があり、リモートから無認証で任意のコードまたはコマンドを実行できる。CVE-2024-47575

 FortiManager Cloud 7.6 はこの欠陥の影響を受けない。

 古い FortiAnalyzer モデル 1000E, 1000F, 2000E, 3000E, 3000F, 3000G, 3500E, 3500F, 3500G, 3700F, 3700G, 3900E で FortiManager on FortiAnalyzer 機能を有効にしていた場合、 および、少なくとも 1 つのインターフェイスで fgfm サービスを有効にしていた場合にも影響を受ける。 FortiAnalyzer 7.0サポート対象にモデル 1000E、Firmware Version 6.4 が含まれているので、上記バージョン番号に準ずるのだろう。

 FortiManager 6.2 / 6.4 / 7.0 / 7.2 / 7.4 / 7.6 系列、 FortiManager Cloud 7.0 / 7.2 / 7.4 系列には修正版が用意されている。 FortiManager Cloud 6.4 については 7.0 以降にアップグレードする必要がある。

 複数の回避策も提示されているのだが、FortiManager 6.2 / 6.4 系列および 7.0.0〜7.0.11 については回避策がない。7.0.12 以降、あるいは 7.2〜7.6 系列へのアップグレードが必要。

 攻撃を受けた場合の log の例、および既知の攻撃元 IP アドレスも示されている。

Log entries

type=event,subtype=dvm,pri=information,desc="Device,manager,generic,information,log",user="device,...",msg="Unregistered device localhost add succeeded" device="localhost" adom="FortiManager" session_id=0 operation="Add device" performed_on="localhost" changes="Unregistered device localhost add succeeded"

type=event,subtype=dvm,pri=notice,desc="Device,Manager,dvm,log,at,notice,level",user="System",userfrom="",msg="" adom="root" session_id=0 operation="Modify device" performed_on="localhost" changes="Edited device settings (SN FMG-VMTM23017412)"

IP addresses

45.32.41.202
104.238.141.143
158.247.199.37
45.32.63.2

 関連: Fortinet製FortiManagerにおける重要な機能に対する認証の欠如の脆弱性(CVE-2024-47575)等に関する注意喚起 (JPCERT/CC, 2024.10.24)

当アドバイザリではFortiManagerのfgfmdデーモンが悪用される点が問題とされています。なお、本情報との関連性は10月24日時点では不明ですが、Fortinetは本年2月8日に公開したアドバイザリ(FG-IR-24-029)を10月11日に更新し、fgfmdに関するCVE-2024-23113脆弱性の悪用可能性に言及しています。

Fortinet
Format String Bug in fgfmd
https://www.fortiguard.com/psirt/FG-IR-24-029

2024.10.25 追記:

 FG-IR-24-423 - Missing authentication in fgfmsd が更新されている。

2024-10-24: Added workarounds to block the addition of unauthorized devices via syslog or FDS
2024-10-24: Added 195.85.114.78 in IoCs

 195.85.114.78 は Mandiant の観測結果による: Investigating FortiManager Zero-Day Exploitation (CVE-2024-47575) (Mandiant, 2024.10.24)


2024.10.23

Chrome Stable Channel Update for Desktop
(Google, 2024.10.22)

 Chrome 130.0.6723.69/.70 (Windows / Mac) および 130.0.6723.69 (Linux) 公開。 3 件のセキュリティ修正を含む。関連:

追記

Firefox 131.0 / ESR 128.3.0 / ESR 115.16.0 公開 (2024.10.02)

 Thunderbird 128.3.2esr / 128.3.3esr および 115.16.2esr が公開された。 115.16.1esr が 115 の最終じゃなかったんかい。


2024.10.22

Oracle、今年最後の定例セキュリティ更新 ~「Java」「VirtualBox」「MySQL」などで脆弱性334件
(窓の杜, 2024.10.16)

 こちらです: Oracle Critical Patch Update Advisory - October 2024 (Oracle, 2024.10.15)


2024.10.21

Chrome Stable Channel Update for Desktop
(Google, 2024.10.15)

 Chrome 130.0.6723.58/.59 (Windows / Mac) および 130.0.6723.58 (Linux) が stable に。 17 件のセキュリティ修正を含む。

[$36000][367755363] High CVE-2024-9954: Use after free in AI. Reported by DarkNavy on 2024-09-18

 うひょぉ。36000 *149.73 = 5,390,280 円……。 関連:


2024.10.16


2024.10.15

2024 年 10 月のセキュリティ更新プログラム (月例)
(Microsoft, 2024.10.08)

 old news すぎる。119 MS CVE + 4 non-MS CVE。 CVE 番号が太字なのは critical (最大深刻度: 緊急) 扱い。

 直った 0-day は 6 件。

 仕様変更だそうです:

 不具合情報:

 関連:

いろいろ (2024.10.15)
(various)

Adobe Substance 3D Painter / Commerce / Dimension / Animate / Lightroom / InCopy / InDesign / Substance 3D Stager / FrameMaker

Android

Wireshark

追記

Firefox 131.0 / ESR 128.3.0 / ESR 115.16.0 公開 (2024.10.02)

 Firefox 131.0.3、Firefox for Android 130.0.3 公開。セキュリティ修正 1 件を含む。

 また Thunderbird 115.16.1esr が公開された。Thunderbird 115 の最終リリースだ、とされている。 セキュリティ修正は無いようだ。


2024.10.14

追記

Firefox 131.0 / ESR 128.3.0 / ESR 115.16.0 公開 (2024.10.02)

 Thunderbird 131.0.1 (テスト版) / 128.3.1esr / 115.16.0esr 公開。 Mozilla Foundation Security Advisory 2024-51 と同様に CVE-2024-9680 を修正。


2024.10.10

追記

FortiOS / FortiProxy / FortiPAM / FortiSwitchManager 方面 (CVE-2024-21762, CVE-2024-23113)

 CVE-2024-23113、実際に悪用されていることが確認されているそうで。

Firefox 131.0 / ESR 128.3.0 / ESR 115.16.0 公開 (2024.10.02)

 Firefox 131.0.2 / ESR 128.3.1 / ESR 115.16.1 が公開された。 0-day 欠陥 1 件 CVE-2024-9680 を修正。


2024.10.08


2024.10.07


2024.10.04

追記

Firefox 131.0 / ESR 128.3.0 / ESR 115.16.0 公開 (2024.10.02)

 Thunderbird 128.3.0esr 出ました。

About the security content of iOS 18.0.1 and iPadOS 18.0.1
(Apple, 2024.10.03)

 iOS / iPadOS 18.0.1 公開。2 件のセキュリティ欠陥を修正。

 watchOS 11.0.1、visionOS 2.0.1、macOS Sequoia 15.0.1、Safari 18.0.1 も公開されているが、これらには CVE 番号が付与されるようなセキュリティ修正はされていないそうで。


2024.10.03

Chrome Stable Channel Update for Desktop
(Google, 2024.10.01)

 Chrome 129.0.6668.89/.90 (Windows / Mac) および 129.0.6668.89 (Linux) 公開。4 件のセキュリティ修正を含む。関連:


2024.10.02

Firefox 131.0 / ESR 128.3.0 / ESR 115.16.0 公開
(Mozilla, 2024.10.01)

 出ました。

2024.10.04 追記:

 Thunderbird 128.3.0esr 出ました。

2024.10.10 追記:

 Firefox 131.0.2 / ESR 128.3.1 / ESR 115.16.1 が公開された。 0-day 欠陥 1 件 CVE-2024-9680 を修正。

2024.10.14 追記:

 Thunderbird 131.0.1 (テスト版) / 128.3.1esr / 115.16.0esr 公開。 Mozilla Foundation Security Advisory 2024-51 と同様に CVE-2024-9680 を修正。

2024.10.15 追記:

 Firefox 131.0.3、Firefox for Android 130.0.3 公開。セキュリティ修正 1 件を含む。

 また Thunderbird 115.16.1esr が公開された。Thunderbird 115 の最終リリースだ、とされている。 セキュリティ修正は無いようだ。

2024.10.23 追記:

 Thunderbird 128.3.2esr / 128.3.3esr および 115.16.2esr が公開された。 115.16.1esr が 115 の最終じゃなかったんかい。


過去の記事: 2024 | 2023 | 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[セキュリティホール memo]
[私について]