セキュリティ脅威情報

PHP 用ライブラリ jmespath.php の CompilerRuntime において、エスケープ処理の不備に起因するコードインジェクションの脆弱性が発見された。攻撃者が制御可能な JMESPath 式が CompilerRuntime または JP_PHP_COMPILE オプションが有効な状態で評価されると、不適切にエスケープされた関数名が PHP ソースコードとしてキャッシュファイルに書き込まれる。このキャッシュファイルが実行時にロードされることで、攻撃者が注入した任意の PHP コードが実行される仕組みである。デフォルトの AstRuntime を使用している場合は影響を受けないが、高速化のためにコンパイラ機能を利用している場合にリスクが生じる。

Apache AlluraのWebhook機能に起因するサーバサイドリクエストフォージェリ（SSRF）の脆弱性です。攻撃者がこの脆弱性を悪用することで、影響を受けるシステムが置かれた内部ネットワーク内のURLに対して、意図しないリクエストを送信することが可能になります。

サカタのタネは、国内外のサーバーで発生した不正アクセスに関する調査が完了したと公表しました。国内サーバーでは約5.6万件の個人情報漏洩の可能性が確認され、米国連結子会社でも一部システムへの不正アクセスが判明しています。両事案ともに侵入経路は異なり、外部専門会社によるフォレンジック調査等を経て対策が実施されています。

アフラック生命保険は、システムへの不正アクセスに関する調査結果を発表しました。オンライン相談および契約者専用サイトにおいて、短時間に大量のデータ照会が行われた際の監視・制御が不十分だったことが原因とされ、約440万人の顧客情報や代理店情報が漏えいしたとしています。

株式会社イノベーションは、同社が利用するGitHubアカウントが不正アクセスを受け、リポジトリ内に含まれていた最大62,691名分の顧客情報が漏えいしたと発表しました。原因は認証情報の不適切な管理および個人情報のリポジトリ内への保存であり、同社は該当トークンの無効化や再発防止策を実施したとしています。

ニデック株式会社は、運営するWebサイトが不正アクセスを受けたと発表しました。調査の結果、Webサイトで使用していたソフトウェアの脆弱性が悪用されたことが判明しています。会員や問い合わせをした顧客の個人情報が閲覧または取得された可能性があるとして、個別の連絡や対応が進められています。

東京都中小企業振興公社は、1月に発生した「TOKYO UPGRADE SQUARE」公式サイトに対する不正アクセスおよびWebサイト改ざんに関する調査結果（最終報）を公表しました。外部専門機関による調査の結果、個人情報の漏えいや持ち出しの事実は確認されていないとしています。