セキュリティニュース - Issue #192 から（その２）

重要なお知らせ20241007）【10月7日 17:40更新 復旧】『奉行クラウド』『奉行クラウドEdge』障害発生のお知らせ (obc.co.jp) (10/07)

『【障害発生期間】

2024年 10月 7日（月）10時31分 ～ 13時48分 ・・・

 

【原因と対応】

『奉行クラウド』『奉行クラウドEdge』が稼働するクラウド基盤に対する外部からのサイバー攻撃（DDoS攻撃）が発生し、その影響を受けました。

通信影響のみでありお客様のデータへの影響はありませんので、ご安心ください。

弊社で対処を実施し、サービスの利用再開後も影響が回避できていることを確認しています。

今後についてもファイアウォール（WAF＝Web Application Firewall）サービス提供元と連携して対策を講じてまいります。

』

 

重要なお知らせ20241008）【10月8日　10時35分 更新(復旧)】『奉行クラウド』『奉行クラウドEdge』障害発生のお知らせ (obc.co.jp) (10/08)

『【障害発生期間】・・・

⇒2024年 10月 8日（火）　9時 5分 ごろより　2024年 10月 8日（火） 10時 4分ごろまで

 

【原因と対応】

弊社の利用するファイアウォール（WAF＝Web Application Firewall）サービスの提供元において、

昨日10月7日（月）の事象への対策を講じておりましたが、その対応内容に一部問題がありました。

サービス提供元での対処が完了し、WAFサービスの正常動作を確認しております。

なお、今回は昨日のようなDDoS攻撃は発生しておりません。』

 

重要なお知らせ20241009）『奉行クラウド』『奉行クラウドEdge』2024年10月7日・8日の障害発生のお詫びとご報告 (obc.co.jp) (10/09)

『WAFサービス側での対策と合わせ、弊社での対策として以下を実施いたします。

 

・お客様のサービスへのアクセス経路の変更対応

→10月7日の対処と同様に、万が一WAFサービス側で対処ができない事態の場合には

外部攻撃を回避かつ安全性が確保された状態のアクセス経路へ変更します。

 

・上記対応が迅速にとれる環境への変更

→万が一の際、迅速に対処して早期に復旧できるよう、運用環境を変更します。

』

上記の「外部攻撃を回避かつ安全性が確保された状態のアクセス経路」を常時用いないのは何故? コスト因?

 

Security Advisory Ivanti CSA (Cloud Services Application) (CVE-2024-9379, CVE-2024-9380, CVE-2024-9381) (10/08-21)

『エクスプロイトに成功すると、管理者権限を持つ攻撃者が制限を回避したり、任意のSQLステートメントを実行したり、リモートでコードを実行したりする可能性があります。』

以下二つはK.E.V. Catalogueに掲載された(10/09)。

l  CVE-2024-9379

CVSS Score 6.5 (ver. 3.1), Severity MEDIUM

l  CVE-2024-9380

CVSS Score 7.2 (ver. 3.1), Severity HIGH

 

CISA Adds Three Known Exploited Vulnerabilities to Catalog | CISA (10/08)

『

• CVE-2024-43047 Qualcomm Multiple Chipsets Use-After-Free Vulnerability
• CVE-2024-43572 Microsoft Windows Management Console Remote Code Execution Vulnerability
• CVE-2024-43573 Microsoft Windows MSHTML Platform Spoofing Vulnerability

』

 

CISA Adds Three Known Exploited Vulnerabilities to Catalog | CISA (10/09)

『

• CVE-2024-23113 Fortinet Multiple Products Format String Vulnerability
• CVE-2024-9379 Ivanti Cloud Services Appliance (CSA) SQL Injection Vulnerability
• CVE-2024-9380 Ivanti Cloud Services Appliance (CSA) OS Command Injection Vulnerability

』

 

— nekono_nanomotoni (@nekono_naha) October 10, 2024

『

本日KEVに追加されたFortinet製品のCVE-2024-23113の調査メモです。FortiManagerによりForti製品を一括管理する際に使われるFGFMサービスに起因する脆弱性で、デフォルト無効のサービスのため影響範囲は限定的かと一瞬思いましたが、本サービスはCensysではグローバルで79万台、国内1.6万台が外部に露出しています。

・・・

備考：

Shodanでも多くのFotiGateの541/tcpがヒットしますが、かなりの数が捕捉漏れしているため今回はCensysの結果を参照すべきです

』

 

参考

今週の気になるセキュリティニュース - Issue #192 (10/13)

https://negi.hatenablog.com/entry/2024/10/13/234124