セキュリティ脅威情報

Splunk Enterpriseに存在するアクセス制御に関する深刻な脆弱性である。埋め込みレポートトークンを持つ認証されていないユーザーが、REST APIを介して検索ジョブのディスパッチアーカイブをダウンロードできる不備に起因する。攻撃者はこれによりセッション情報を復元し、レポート所有者がアクセス可能なすべてのデータに不正アクセスできる可能性がある。特に所有者が管理者権限（adminロール）を持つ場合、管理者権限での操作が実行される恐れがある。

Android 版 Google Chrome のグラフィックスライブラリ Dawn において、ヒープベースのバッファオーバーフローの脆弱性が報告された。この問題は、細工された HTML ページをユーザーが閲覧することによって、遠隔の攻撃者がブラウザのセキュリティ境界（サンドボックス）を越えて任意のコードを実行することを可能にするものである。Chromium プロジェクトの自己評価において最高度の「Critical」に分類されており、悪用された際の影響が極めて大きい。

Mozilla Firefox および Thunderbird において、複数の内部的なバグに起因するメモリ破損の脆弱性が確認された。これらの問題は Thunderbird 153 などにおいて発見され、メモリ破損やその他のセキュリティに関連する欠陥の証拠が示されている。Mozilla Foundation によれば、十分な解析と努力があれば、これらの欠陥が悪用される可能性があると推測されている。CVSS スコアが 9.8 と極めて高く、広範囲のユーザーに影響を及ぼす可能性がある。

Zabbix 7.4.0から7.4.10までのバージョンにおいて、フロントエンドセッションの署名用暗号鍵がデータベースのシードに誤って書き込まれる不具合が存在します。特定の認証条件が揃った環境下でセッションCookieが偽造されるおそれがあります。

個人情報保護委員会は、KDDIが提供するISP向けメールシステムへの不正アクセス事案に関し、システム構成ソフトウェアの脆弱性悪用やパスワードの平文保存など技術的安全管理措置に不備があったとして、KDDIおよび関係プロバイダに対して行政上の対応（行政指導）を発表しました。メールサービス利用者約1,223万人のIDと約761万人のパスワードが平文保存されており、二次被害への注意喚起も行われています。

株式会社ソディックは、同社サーバへの不正アクセスに関する最終報を発表しました。海外拠点のネットワーク機器の脆弱性を悪用した侵入が確認されましたが、現時点で情報漏えいの痕跡は確認されていないとのことです。

学研メディカルサポートは、同社Web制作事業部が管理するWordPressサイトにて不正アクセスの発生を確認したと発表しました。対象となったのは78サイトで、不正なアカウント生成や既存アカウントのパスワード書き換えが行われましたが、現時点で閲覧障害や情報流出は確認されていません。

東芝テックは、クラウド型専門店向け本部システム「ShopCraft」において、他のユーザーの顧客情報が閲覧可能な状態になっていたと発表しました。特定ユーザー向け手順書への管理者アカウント情報の誤記載が原因で、当該アカウントを用いたことで約38万名分の顧客情報が閲覧可能な状態となっていました。なお、該当ユーザーによる情報の閲覧は確認されていないとしています。

京都府は、委託して設置しているオンデマンド学習サイト「KYO育tv.」において、システムの不備により会員の氏名などがインターネット上で閲覧できる状態になっていたと発表しました。利用企業からの連絡により発覚し、最大1,338名分の情報が影響を受けた可能性があり、全サービスが停止されています。