セキュリティ脅威情報

Progress MarkLogic Serverにおいて、認可不備、XQueryインジェクション、権限昇格、不正なスコープでのバックアップ・リストア操作、およびセッション状態の分離不十分に関する複数の重大な脆弱性が存在し、計5件のCVEが確認されている。CVSS基本値が最高9.9を示す脆弱性では、権限を持つリモート攻撃者が永続的な不正管理者アカウントを作成し、サーバーに対する完全な管理権限を掌握するおそれがある。

Red Hat Quarkus REST Data Panacheにセキュリティ制御のバイパスに関する脆弱性が存在する。開発者が@MethodPropertiesを用いて特定の操作をカスタマイズする際、セキュリティロールを明示的に再宣言しないと、コードジェネレータがクラスレベルのセキュリティ要件を暗黙的にドロップしてしまう。これにより、影響を受けるエンドポイントがデフォルトで認証不要のアクセス許可状態となり、攻撃者が認証なしで不正にアクセスすることが可能となる。

ロシア語圏のサイバー犯罪グループ「CyberXero」が、AIエージェントやClaude Codeを活用してWordPressやウクライナの重要インフラなどを狙う初期アクセスキャンペーンを展開していると報じられました。本キャンペーンにより、ウクライナの個人に関する62万8,000件以上の記録が流出したとみられています。

JPCERT/CCは10月9日、国内組織で相次ぐ不正アクセスに関する注意喚起を発表しました。既知の脆弱性の探索やAPIの悪用、MetabaseのSQLインジェクション、WebサーバへのWebシェル設置などの確認されている攻撃手口と、それに対する対策を推奨しています。

ローソンは、「ローソンID」および「ローソンアプリ予約」が不正アクセスを受けたと発表しました。アプリ関連のシステムが不正利用され、利用者本人に情報を表示するためのセキュリティ機構を第三者に不正利用されたことで情報が流出したとしています。ローソンIDではメールアドレスや氏名など約215万件、アプリ予約では氏名や電話番号、クレジットカード番号の一部などが対象となったとのことです。

教育産業株式会社は、従業員のMicrosoft 365アカウントへの不正アクセスに関する最終報を発表しました。フィッシングメールにより認証情報が窃取されたと推測されており、メール情報の一部が閲覧された可能性や、取引先担当者の情報が漏えいした可能性があるとしています。

株式会社関西新生活互助会が運営するサンパレス六甲は、商品制作管理に利用しているIDCフロンティアのクラウドサービス「IDCFクラウド」において第三者によるランサムウェア攻撃が発生したと公表しました。これにより、商品制作に用いる撮影データや顧客等の個人情報が外部へ流出した可能性を否定できない状況となっていますが、現時点で情報の流出や二次被害は確認されていません。

ヤマハ発動機は、運営するコミュニティーサイト「YAMAHA PAS Life」の基盤システムを提供するコミューン社から、同社管理のサーバーへの不正アクセスにより、約1,600名分の会員情報が閲覧・取得された可能性があるとの報告を受けたと発表しました。自社システムへの不正アクセスは確認されていません。