セキュリティ脅威情報

Apache Software Foundation が提供する製品において、複数の重大な脆弱性が確認された。Apache Camel の camel-hazelcast コンポーネントの一部の設定パスにおいて、Java デシリアライゼーションの保護が適用されず制限されない状態となっている問題や、Apache Answer のリアクション API において重要な機能に対する認証が欠落している問題が含まれる。最も深刻度の高い問題では CVSS 基本値 10.0 の重大な評価が下されており、不正なデータの逆シリアル化などを通じてシステムに深刻な影響を及ぼす恐れがある。

GNOME Project等の複数ベンダの製品におけるlibsoupに脆弱性が発見された。permessage-deflate WebSocket拡張機能が非常に大きな送信メッセージを圧縮する際、GByteArrayの拡張に使用される切り詰めサイズの計算がオーバーフローして巻き戻る可能性がある。その結果、zlibが割り当てられたバッファを超えて書き込みを行い、ヒープバッファオーバーフローを引き起こす恐れがある。

Apache Software FoundationのApache CXFにおいて、NettyベースのHTTPクライアントトランスポート（cxf-rt-transports-http-netty-client）に、サーバーのTLS証明書に記載されたホスト名が呼び出し先のホストと一致しているかを検証しない脆弱性が存在する。HTTP/1.1およびHTTP/2の両方に該当し、disableCNCheckがデフォルト値のfalseのままでも同様の問題が発生する。通信を傍受できる攻撃者は、クライアントが信頼する任意の証明書を提示してターゲットサービスをなりすますことが可能である。

セキュリティ研究者が、Broadcom製Wi-Fiルーターのセットアップ機能に未修正の脆弱性を発見しました。無線通信の範囲内にいる攻撃者が、ネットワークパスワードなしでroot権限でのコード実行やメモリ内の情報読み取りを行えるおそれがあると報じられています。

日本レジストリサービス（JPRS）は、Windows DNSにおいてリモートコード実行を含む複数の脆弱性が公開されたと発表しました。該当する脆弱性を修正したバージョンも同時に公開されています。

エイチ・ツー・オー リテイリングおよび株式会社阪急阪神百貨店は、第三者による不正アクセスが発生し、個人情報が漏洩したことを公表しました。

ソースネクストは、会員情報管理システムへの不正アクセスを受けたと発表しました。第三者が会員情報取得APIを不正利用し、約2,252万件の会員情報が流出した可能性のあることが判明しています。

日本経済新聞社は、システム開発に利用するクラウドサービスが不正アクセスを受け、約183万件の個人情報が漏えいしたと発表しました。認証情報が何者かに窃取されたことが原因で、同社は不正に使われた認証情報を無効化し、影響範囲の調査や対象者への連絡を進めています。

ニフティは、同社の回線申し込みや受付管理に関するシステムが不正アクセスを受け、最大54万2513件の情報が漏えいした可能性があると発表しました。対象は2019年以降にWebサイト以外から光回線サービスを申し込んだ顧客の会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレスで、口座情報やクレジットカード情報は対象外としています。

株式会社吉野家ホールディングスは、アルバイト採用業務を委託していた株式会社ApplyNowの採用管理プラットフォームにおいて、データ分析ツールの脆弱性を悪用した不正アクセスが発生し、応募者や採用担当者の個人情報が不正に出力されたと発表しました。契約終了後もデータが消去されていなかったことが判明しています。

西日本鉄道の子会社であるニモカは、交通系ICカード「nimoca」の利用履歴照会サービスがサイバー攻撃を受け、個人情報が流出したと発表しました。攻撃によりサービスの自動送信機能が悪用され、登録情報の含まれるメールが送信されたもので、利用者521件の生年月日やメールアドレス、nimocaのカード番号が流出しました。

株式会社ジグザグは、運営する越境ECサービス「WorldShopping」のシステムに対し第三者による不正アクセスがあり、海外のお客様301名の個人情報が外部に漏えいしたことを確認したと公表しました。クレジットカード情報およびパスワードは含まれておらず、二次被害は確認されていません。

FABRIC TOKYOは、Webページ制作に利用しているサービス「Studio」において第三者による不正アクセスが発生し、過去に制作した一部フォームに入力された顧客の個人情報（氏名・メールアドレス）が外部に流出した可能性があると公表しました。対象は公開を終了している2つのフォームの入力データ計293件で、クレジットカード情報は含まれていません。