最新の注目セキュリティニュースをまとめてチェック！【2024年12月8日週】
マイクロソフト、2024年12月の月例セキュリティ更新プログラムを公開
12月11日、マイクロソフト社は月例のセキュリティ更新プログラムをリリースした。この更新プログラムの適用により、「クリティカル（Critical）」と判断された17件を含む71件の脆弱性が修正される。
このうち、「CVE-2024-49112」については、共通脆弱性評価システム「CVSSv3」におけるベーススコアが9.8と非常に高いことから、できるだけ早急に適用することが推奨されている。
参考：Security Update Guide – Microsoft Security Response Center
トレンドマイクロ社のセキュリティ対策製品「Trend Micro Deep Security」「Trend Vision One」などのエージェントに脆弱性を確認
12月10日、トレンドマイクロ社が提供するセキュリティ対策製品「Trend Micro Deep Security」「Trend Vision One」などのエージェントに脆弱性が確認された。
システムにログイン可能な場合、SYSTEM権限で任意のコードを実行できることが特徴。また、特定の条件下でドメインへのアクセス権を持つ場合、同一ドメイン内の他システムをリモートから攻撃することが可能となっている。
同社は、「Deep Security Agent 20.0.1-21510」で脆弱性を修正しており、最新ビルドへ更新するよう呼びかけている。また、「Deep Security Notifier」については、「Deep Security Notifier 20.0.0-8438」のみ影響があり、アップデートの用意はないとのこと。そのため、過去のビルドを利用するか、「Deep Security Agent」を利用するよう通知している。
CISAがWindowsの脆弱性について注意喚起を実施 すでに悪用の事実を確認済み
12月11日、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、「Windows 共通ログファイルシステム（CLFS）ドライバー」の脆弱性が悪用されていることを確認し、注意喚起を行った。
該当の脆弱性は、「Windows CLFS ドライバ」における権限昇格の脆弱性によるものである。ヒープベースのバッファオーバーフローにより、ローカル環境から「SYSTEM 権限」を取得されるおそれがある。
Microsoft 社は、同日に公開した月例セキュリティ更新プログラムを適用することで、本脆弱性が修正可能であると発表している。CISA は、米国内の行政機関に対して指定期間内に脆弱性対策を講じるよう促すとともに、広く悪用されるおそれがあるとして注意を呼びかけている。
大手レストランチェーンで個人情報流出の可能性 取引先の関係者や従業員など約6万件が対象
12月11日 大手レストランチェーンが外部からサイバー攻撃を受け、取引先や従業員の個人情報 約６万件が漏えいした可能性があることを報告した。
10月13日に同社の複数のサーバでシステム障害が発生し、調査の結果、第三者によるランサムウェア攻撃が原因であることが確認された。漏えいされたとされる情報には、取引先関係者の氏名、住所、電話番号などに加え、退職者を含む従業員やその家族の氏名、住所、電話番号など約6万件が含まれる。
現時点では、二次被害は確認されていない。問題の発覚を受け、同社は個人情報保護委員会への報告を行うとともに、警察に相談をしている。
iPhone、iPadなどのOSのアップデートをリリース 21件の脆弱性を解消
12月11日、Apple社はiPhoneやiPadなどスマートデバイス向けのOSのアップデートをリリースした。
カーネルで確認された3件や「WebKit」に関する5件の脆弱性をはじめ、「Safari」「Passwords」「VoiceOver」「Audio」などの脆弱性に対処した。また、ファイル、フォント、画像処理に関する脆弱性も解消している。
また、iPadについては、14件の脆弱性を解消した「iPadOS 17.7.3」を提供した。ほかにも「watchOS 11.2」「tvOS 18.2」「visionOS 2.2」も併せてリリースしている。
世界を震撼させたCrowdStrike障害｜原因と企業が学ぶべきレジリエンスの重要性
2024年7月に発生した大規模障害では、CrowdStrike社のセキュリティ製品「Falcon」の更新ミスが原因で、約850万台のWindows PCが停止し、経済的損失は約50億ドルに及んだとされている。
この反省を踏まえ、同社は「レジリエント・バイ・デザイン」を導入した。これはセキュア・バイ・デザインを発展させ、障害への迅速な復旧力を強化するフレームワークで、3つの柱「基盤要素化」「顧客対応」「継続改善」に基づいている。
このレジリエント・バイ・デザインという考え方は、ITシステムの提供企業のみならず、ITシステムのユーザー企業にとっても有用だと考えられており、デジタル技術が重要視される現代において、ニューノーマルになるかもしれない。
▼詳細は以下をチェック！
