【テックラジオ】巷のセキュリティ 2022年01月17日

その日に起こった脆弱性報告、セキュリティニュース、インシデント・障害情報などをできるだけ毎日まとめています。

本日の巷のニュース 

• 三菱電機製MELSECシリーズのWEBサーバに認証回避の脆弱性
• pgAdmin 4にオープンリダイレクトの脆弱性
• Linux Kernelに特権エスカレーションの脆弱性

三菱電機製MELSECシリーズのWEBサーバに認証回避の脆弱性

MELSEC iQ-F/iQ-R シリーズの WEB サーバ機能には、認証回避の脆弱性が存在します。

影響をうける対象

• MELSEC iQ-Fシリーズ
  • FX5U-xMy/z x=32,64,80, y=T,R, z=ES,DS,ESS,DSS　製造番号 17X****およびそれ以降
    • バージョン 1.280およびそれ以前
  • FX5U-xMy/z x=32,64,80, y=T,R, z=ES,DS,ESS,DSS　製造番号 179****およびそれ以前
    • バージョン 1.074およびそれ以前
  • FX5UC-xMy/z x=32,64,96, y=T, z=D,DSS　製造番号 17X****およびそれ以降
    • バージョン 1.280およびそれ以前
  • FX5UC-xMy/z x=32,64,96, y=T, z=D,DSS　製造番号 179****およびそれ以前
    • バージョン 1.074およびそれ以前
  • FX5UC-32MT/DS-TS, FX5UC-32MT/DSS-TS, FX5UC-32MR/DS-TS
    • バージョン 1.280およびそれ以前
• MELSEC iQ-Rシリーズ
  • R00/01/02CPU 全バージョン
  • R04/08/16/32/120(EN)CPU 全バージョン

対処方法

• 公式サイトから配布されているファームウェアのアップデート
• IPフィルタやファイヤーウォールでの

一次情報

• https://jvn.jp/vu/JVNVU99673580/index.html
• https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2022-019.pdf

pgAdmin 4にオープンリダイレクトの脆弱性

OSSの管理および開発プラットフォームであるpgAdmin4には、リモートの認証されていない攻撃者がユーザーを任意の Web サイトにリダイレクトし、特別に細工された URL にアクセスさせることでフィッシング攻撃を行うことができるオープンリダイレクトの脆弱性が存在します。

影響をうける対象

• v6.14より低いバージョン

対処方法

• v6.14、またはそれ以上へのアップデート

一次情報

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-22298

Linux Kernelに特権エスカレーションの脆弱性

セキュリティ研究者の Davide Ornaghi(ダビデ・オルナギ) さんが、Linux カーネルに特権昇格の脆弱性を発見しました。ローカル攻撃者が影響を受けるシステム上で昇格した特権でコードを実行でき、このPoC と write-up を公開しました。

影響をうける対象

• Linux カーネル 6.2.0-rc1

対処方法

• パッチの適応(未対応のOSは多い)
• 非特権ユーザーの名前空間を無効にする
  • sysctl -w kernel.unprivileged_userns_clone = 0

一次情報

• https://securityonline.info/cve-2023-0179-linux-kernel-privilege-escalation-vulnerability/