kazu y

セキュリティ情報あつめます。 SC/NW/CySA+/Security+/AWSSAP | I work for @AWSCloud & my opinions are my own.

[kazu y @test_user_css]

勉強になる話ばかりで聞き入ってしまって結局X全然してない #jawsug #jawsug_kq

[kazu y @test_user_css]

DevOps Agentと他のサービスの違い。わかりやすい
#jawsug #jawsug_kq

[kazu y @test_user_css]

JAWS-UG KYUSHU QUEST 2026 in Fukuokaはじまった #jawsug #jawsug_kq

[kazu y @test_user_css]

警察庁が注意呼びかけ、不正送金手口の44%が「レジデンシャルプロキシ」の悪用 ～ ストリーミング端末などの確認を https://t.co/GW04rxf46k

[kazu y @test_user_css]

JAWS SONIC 2026 & MIDNIGHT JAWS 2026 に参加を申し込みました！ https://t.co/X49cEKODBb #jawssonic2026

[kazu y @test_user_css]

NIST、ついに“脆弱性の全件分析”を断念　CVE爆増でパンク状態、方針転換(＠IT)
#Yahooニュース
https://t.co/NT2E1bA2ud

[MigawariIV @strinsert1Na]

はぇー知らんかった。今こんなのあるんや
> 1通目にわざと見破りやすい不審なメールを送り、その後に(snip.) 注意喚起を装った巧妙なメールを送りつけ、偽サイトへのリンクを開かせる

警視庁、メール受信者の注意力を逆手に取った「二段階式フィッシングメール」に注意喚起
https://t.co/nl21sVZ444

[yousukezan @yousukezan]

最新安定版NGINX 1.31.0で、新たなゼロデイRCE「nginx-poolslip」が公開された。直前に修正された重大脆弱性「nginx-rift」を回避するASLR突破手法が含まれ、世界規模で影響拡大が懸念されている。

脆弱性はNebSec所属研究者Vega氏が2026年5月21日に公開した。問題はNGINX内部のメモリプール処理に存在し、攻撃者は認証不要でリモートコード実行を達成できる可能性がある。

特に深刻なのは、OSレベル防御機構ASLR（Address Space Layout Randomization）を回避できる点だ。数週間前には、2008年以来存在していたヒープバッファオーバーフロー「CVE-2026-42945」が修正されたばかりだったが、nginx-poolslipはその修正後環境も対象となる。

NGINXは世界Webサーバの30〜40％を占め、APIゲートウェイやロードバランサとしても広く利用されている。今回、最新安定版1.31.0自体が影響対象とされたことで、直前に緊急アップデートした企業も再び危険にさらされる形となった。

現時点でCVE番号や公式パッチは未公開で、NebSecは30日間の責任開示方針に基づき詳細技術情報を伏せている。暫定対策として、ASLR有効化、WAFによる攻撃面制限、rewrite/if/setディレクティブ監査などが推奨されている。
https://t.co/PNPfg4jC8s

[Mokko @Y_Mokko]

激ヤバ過ぎるのよ。こんなの意図的なバックドアだぞ。
"再現方法は簡単で、同氏がGitHub上で公開しているFsTxフォルダの中身を、別途用意したNTFS(FAT32/exFATでも動作する可能性がある)でフォーマットされたUSBメモリの\System Volume Information\FsTxフォルダにコピー。そしてそのUSBメモリを、BitLocker適用済みのPCに接続してWinREを起動(Windows起動後の画面なら、Shiftキーを押しながらマウスでPCの再起動ボタンを押す)。起動時にCtrlキーを押したままにすると、BitLockerで保護されたボリュームへ無制限アクセスできるシェルが起動する"

[yousukezan @yousukezan]

F5は13日、NGINX に深刻な脆弱性「CVE-2026-42945」が存在すると公表した。細工されたURIを送信するだけで、認証不要でヒープベースのバッファオーバーフローを引き起こせる。CVSS v4スコアは9.2で、リモートコード実行につながる恐れがある。

影響を受けるのは、NGINX Open Source 0.6.27〜1.30.0のほか、NGINX Plus、Ingress Controller、WAF製品群など広範囲に及ぶ。脆弱性は18年以上前から存在していたとされる。問題はHTTPリクエスト処理を担う ngx_http_rewrite_module にあり、特定の rewrite 設定で、正規表現キャプチャと「?」を含む置換文字列を組み合わせた場合に発生する。

攻撃者は単一のHTTPリクエストでワーカープロセスをクラッシュさせたり、任意コードを実行できる可能性があり、リバースプロキシやロードバランサとしてNGINXを利用する多数のサービスに影響する恐れがある。F5は修正版としてNGINX 1.31.0および1.30.1などを公開し、速やかなアップデートを呼びかけている。
https://t.co/UCdGPsYi3R

[Masanori Kusunoki / 楠 正憲 @masanork]

もうヤバい脆弱性であっても、公表時点でCVE番号が割り当てられていることを期待できない時代になってしまったんだな

[yousukezan @yousukezan]

Linuxで新たな権限昇格脆弱性「Dirty Frag」が公開、複数の欠陥を組み合わせることで主要ディストリビューションでroot権限奪取が可能と判明した。現時点でパッチは存在せず、広範な影響が懸念されている

この脆弱性はHyunwoo Kimにより報告され、xfrm-ESPとRxRPCのページキャッシュ書き込み欠陥を連鎖させることで成立する。従来のDirty PipeやCopy Failと同系統のバグクラスであり、タイミング依存のレース条件を必要としない決定論的なロジックバグである点が特徴だ。そのため失敗してもカーネルパニックは発生せず、成功率が非常に高いとされる。

影響範囲は2017年以降のxfrm-ESPと2023年以降のRxRPC実装に及び、約9年にわたり潜在していた可能性がある。UbuntuやRHEL、Fedoraなど主要環境で検証済みとされ、広範なLinuxシステムが対象となる。

現時点でCVEは割り当てられておらず修正も未提供で、公開猶予期間も破られた状態にある。暫定対策として該当モジュールの無効化が推奨されているが、根本的には各ディストリビューションのパッチ適用が不可欠となる。

https://t.co/VJNjGvtDUa

[kazu y @test_user_css]

マネーフォワード、銀行連携の停止続く　不正アクセスから約1週間　再開は「安全性の確認が完了次第」(ITmedia NEWS)
#Yahooニュース
https://t.co/MBQi3LZz9m

[kazu y @test_user_css]

GW中であんまり騒がれていなさそうだけど、Copy Fail (CVE-2026-31431)ってそれなりにやばいんじゃないかな
RCEではなくローカルの権限昇格だけど、簡単に権限昇格できるし、コンテナ環境にも影響するし、対象範囲広そう
現時点ではworkaroundの対応しかないか
https://t.co/Z9mr7VXtTJ

[yousukezan @yousukezan]

日本の主要不動産サイト複数が侵害された可能性が浮上し、約240万件規模のユーザーデータが流出したとされる。個人情報や住宅情報が含まれ、データは闇市場で販売されているとの主張もあり、影響は広範に及ぶ恐れがある。

今回名前が挙がったのはSUUMO、CHINTAI、at home、HOME'S、O-uccinoなど複数の不動産プラットフォームで、合計2.78GBのデータが流出したとされる。データには約97万件のメールアドレスを含む個人情報のほか、年収や家族構成、居住状況、物件希望条件など詳細な生活情報が含まれている。

さらに問い合わせ履歴や物件URLなども含まれており、個人の行動や資産状況の推測が可能な内容となっている点が深刻だ。現時点では各サービスから公式な詳細説明は限定的だが、情報の真偽を含め調査が求められる状況にある。利用者への影響は大きく、二次被害への警戒も必要とされる。
https://t.co/foFTqYcAnP

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

axiosサプライチェーン攻撃関連のさらなる続報。「Fastify」「Lodash」「dotenv」「Express」「WebTorrent」など、npmの主要パッケージを支えるメンテナーたちが相次いで、axiosを侵害したのと同じソーシャルエンジニアリングキャンペーンの標的になっていたと名乗り出ています。

Node.js TSC議長のMatteo Collina、「Lodash」作者のJohn-David Dalton、「dotenv」作者のScott Motteらが、自身も標的だったことを公表しました。

手口はいずれも共通しており、偽の企業アカウントからSlackやLinkedInで接触が始まる形。
偽企業名には「Openfort」などが使われていたことが確認されています。

Collinaはソフトウェアのインストールを求められた時点で不審に感じ、多忙で対応しなかったことが幸いしたと述べています。

「mocha」等のメンテナーであるPelle Wessmanは、偽のポッドキャスト収録に誘われた末に偽ビデオ通話サイトへ案内され、アプリのインストールを促された段階で攻撃と気づいて実行を拒否。
ダウンロード済みのファイルからは情報窃取型マルウェアが検出されたと報告されています。

axios侵害からわずか数日で、npmの主要パッケージ群のメンテナーが一斉に同一手口の標的だったと名乗り出た展開。
攻撃側がOSSサプライチェーンへの侵入口としてメンテナー個人を体系的に狙っている実態が、当事者たちの証言で具体的に裏付けられた状況です。

【要点の整理】

・出典はSocket社が4月3日に公開したブログ記事。axios侵害後に名乗り出た複数メンテナーの証言を集約した内容

・標的となったパッケージ群の合計ダウンロード数は月間で数十億回規模。axiosが単発の事案ではなく、npmの書き込み権限そのものを狙う組織的キャンペーンだったことが裏付けられた形

・攻撃インフラは進化を続けており、今週新たにSlack Huddles向けの偽プラットフォームも確認されたとのこと。半年前にはMS Teamsの偽装すらなかったという指摘

・ExpressコントリビューターのBurellierは3月5日から接触が始まり、2つの偽Slackワークスペースへ招待。偽Teams会議では数秒でソフトウェア更新を求められたが拒否し、直後にSlackから除名され会話もすべて削除されたと報告

・OIDCベースのパブリッシュはマシン自体を掌握されると防御にならない点が指摘。マシンが侵害された状態ではあらゆるパブリッシュ保護が無効化されうるとの警告

https://t.co/vsDbU5bUAy

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

axiosサプライチェーン攻撃関連の続報ですが、被害を受けたメンテナー本人がGitHub上でポストモーテム（事後検証報告）を公開し、どのようにだまされたかを具体的に語っており興味深く貴重な情報です。

コメント欄での本人の説明によれば、攻撃者は実在企業の創業者になりすまし、偽のSlackワークスペースやMS Teamsでの複数人の打ち合わせを通じて信頼関係を築いたうえで、会議中に「システムのコンポーネントが古い」と指摘されたため更新ソフトをインストールしたところ、それがRAT（遠隔操作マルウェア）だったとのことです。
npm・GitHubともに二要素認証は有効でしたが、RATでマシンを掌握されていたためソフトウェア方式のワンタイムパスワードでは防げなかったと説明されています。

本人もGTIGが文書化したUNC1069の手口と合致すると述べており、前回ポストしたGTIGの帰属分析と整合する内容です。

【要点の整理】

・axiosリードメンテナーがGitHub Issueにポストモーテムを公開。攻撃タイムライン・再発防止策に加え、コメント欄でソーシャルエンジニアリングの詳細を説明

・攻撃の起点は約2週間にわたるソーシャルエンジニアリング。偽Slackにはその企業のブランドを模したチャンネルやLinkedIn投稿、他のOSSメンテナーの偽プロフィールまで用意され、非常に作り込まれた環境だったとの報告

・コミュニティが侵害を報告するイシューを立てたものの、攻撃者が乗っ取ったアカウントの権限で削除。協力者のDigitalBrainJSが非推奨化のプルリクエストを起こしnpmに直接連絡、約3時間で悪意あるバージョンの除去に至った経緯

・再発防止策として、OIDC（OpenID Connect）フローによるパブリッシュの厳格適用、改変不能なリリース環境の構築、全デバイスの初期化と全資格情報のリセットを実施中とのこと

・v1.xには出所証明（provenance）の仕組みが導入されており、直近の正規リリースはすべてGitHub Actions経由で公開されていたが、npmにはCI経由以外のパブリッシュを拒否する設定が存在しないため迂回を防げなかったとコメント欄で指摘。ハードウェアセキュリティキーの利用やリリース後の待機期間（クールダウン）の導入が今後の課題として挙がっている状況

https://t.co/EaZNHN4nlB

[The Hacker News @TheHackersNews]

⚡ It turns out Axios npm was compromised via a targeted UNC1069 social engineering attack.

Attackers used a fake Slack + Teams setup to install malware, steal npm credentials, and publish trojanized versions (1.14.1, 0.30.4).

🔗 Details here → https://t.co/JdBXZheTfC

[狩野英孝 @kano9x]

大阪へやってきました(^_^)v久しぶりにジャルジャルさんと仕事です(#^_^#)

[yousukezan @yousukezan]

Pythonの人気ライブラリLiteLLMが改ざんされ、認証情報窃取とKubernetes侵害を伴う大規模サプライチェーン攻撃が発覚した。数十万台規模の感染が主張され、別案件から連鎖する深刻な被害拡大が懸念されている。

攻撃はハッカー集団TeamPCPによるもので、PyPIに公開されたLiteLLM 1.82.7および1.82.8に悪性コードが仕込まれていた。Endor Labsによれば、proxy_server.pyに埋め込まれたBase64ペイロードが読み込み時に実行され、さらに1.82.8ではlitellm_init.pthによりPython起動のたびに自動実行される仕組みが追加された。これにより利用有無に関係なく感染が拡大する構造となっていた。ペイロードはTeamPCP Cloud Stealerの亜種で、SSH鍵、クラウド認証情報、Kubernetesシークレット、.envやDB資格情報、暗号資産ウォレットなど広範な機密を収集し、暗号化してhttps://t.co/Rk3OxoWYDTへ送信する。加えてkube-systemへ特権Podを展開して横展開を図り、systemdサービスとしてバックドアを常駐させる。さらに特定条件では破壊的挙動も確認されている。被害規模は約50万件とされるが独立検証はされていない。現在不正バージョンは削除済みで、1.82.6が安全版とされる。
https://t.co/SjzQa3fLb0