Sassyブログ

埼玉県在住のシステムエンジニアです。基本的にはIT技術関連の内容を中心に発信していきます。たまにゲーム関連ネタも載せます

Web Security情報PickUp!(20210515 - 20210521)

f:id:y_saiki:20210315230255j:plain

20210515 ~ 20210521の間で海外サイトで取り上げられたWebに関連しそうなセキュリティ記事をPickUpして共有していこうと思います。

掲載された記事は以下です。

1. Magecart Hackers Now hide PHP-Based Backdoor In Website Favicons(MagecartハッカーPHPベースのバックドアをWebサイトのファビコンに隠すようになりました)

ファビコン画像に悪意のあるPHPベースのプログラムを隠して、カード情報を盗むJavaScriptコードを標的のWebサイトに仕込みカード情報を盗み取るようです。

ちなみにMagecartとはMagentoなどのオンラインショッピングサイトを構築するCMSを標的としたクラッカー集団です。主にクレジットカード情報を目当てに盗みます。

thehackernews.com

2. Mozilla starts rolling out Site Isolation to all Firefox channels(MozillaはすべてのFirefoxチャネルへのサイト分離の展開を開始します)

FireFoxがサイト分離セキュリティ機能をリリースするようです。

これは記事を読むにサイト毎にプロセスを分離するようです。

ドメインレベルでプロセスを分離するので悪意のあるサイトAから標的のサイトBにアクセスして機密情報が盗まれるのことを保護することができるように読めました。

なのでWebページとその中でiframeで読み込まれているページも分離されてしまうのでiframeを使って細かいことをやっているサービスはこの設定が有効の時の挙動を確認した方が良さそうですね。

www.bleepingcomputer.com

3. Spammers flood PyPI with pirated movie links and bogus packages(スパマー海賊版の映画リンクと偽のパッケージでPyPIを氾濫させます)

PyPiにスパムパッケージがたくさん存在しているようです。

Pythonを業務で使用されている方は長くて怪しい名前のパッケージには気を付けましょう(笑

www.bleepingcomputer.com

4. Object Injection Vulnerability Affects WordPress Versions 3.7 to 5.7.1(オブジェクト注入の脆弱性WordPressバージョン3.7から5.7.1に影響します)

WordPressバージョン3.7から5.7.1のサイトに影響を与える脆弱性があるため、早急に5.7.2へのアップデートを行ってくださいと書かれています。

原因が6.1.8から6.4.0までのPHPMailerライブラリのバージョンにあるようです。

このPHPMailerの脆弱性を悪用してコードインジェクション、SQLインジェクションパストラバーサル、アプリケーションサービス拒否などのさまざまな種類の悪意のある攻撃を実行できてしまうようです。

blog.sucuri.net

5. Fake Microsoft Authenticator extension discovered in Chrome Store(Chromeストアで発見された偽のMicrosoftAuthenticator拡張機能

MicrosoftAuthenticatorをインストールしようとしている人は注意が必要です。

ChromeストアのMicrosoftAuthenticatorに行き着いた人はインストールしないでください。

それが偽のMicrosoftAuthenticatorであり、通常MicrosoftAuthenticatorはAndroidiOSのアプリとして提供されているそうです。

hotforsecurity.bitdefender.com

6. Google Chrome Makes It Easier to Update Compromised Passwords(Google Chromeにより、侵害されたパスワードの更新が容易になります)

Google Chromeにてパスワードが侵害されたときの更新プロセスが容易になるそうです。

www.darkreading.com

7. Blind SQL Injection flaw in WP Statistics impacted 600K+ sites(WP統計のブラインドSQLインジェクションの欠陥が60万以上のサイトに影響を与えた)

「WP Statistics」というWordPressプラグインSQLインジェクション脆弱性があり、13.0.8より前のプラグインバージョンに影響があるようです。

securityaffairs.co