今宵のサイバーセキュリティについて気になること：F5 BIG-IP 脆弱性 CVSS9.8 Critical、1password Okta環境におけるインシデント、セイコーグループ不正アクセス第３報

F5 BIG-IP 構成ユーティリティの認証されていないリモート コード実行の脆弱性 CVE-2023-46747 CVSS9.8 Critical

K000137353: BIG-IP Configuration utility unauthenticated remote code execution vulnerability CVE-2023-46747

推奨される対処法 

記載されているバージョンをインストールすることで、この脆弱性を排除することができます。バージョンが記載されていない場合、そのブランチには現在アップデート候補が存在しないため、F5 では修正プログラムを含むバージョンへのアップグレードを推奨しています。

2023 年 10 月 30 日 Project Discovery チームはGithub で概念実証をリリースしました。- Refresh: Compromising F5 BIG-IP With Request Smuggling | CVE-2023-46747

1Password Okta環境におけるインシデントレポート

1Password社のOkta環境におけるアクティビティが不審なIPアドレスから発信されていることが判明し、その後、攻撃者が管理者権限で1PasswordのOktaテナントにアクセスしたことが確認された模様です。

HARファイルはチームメンバーのmacOSラップトップで作成され、ホテルが提供するWiFi経由でアップロードされました。
ファイルの作成とアップロード方法、OktaのTLSとHSTSの使用、Oktaへのアクセスに同じブラウザを以前使用していたことなどの分析に基づき、このデータがWiFiネットワークに公開されたり、傍受されたりする可能性はなかったと考えられます。
使用されたITチームメンバーのmacOSラップトップは現在オフラインであり、Malwarebytesの無料版でスキャンされましたが、発見されませんでした。
現時点では、このセッションデータが流出した原因として、このデバイスのマルウェアまたはその他の侵害が有力な説となっています。

1Password Security incident report OCTOBER 19, 2023

セイコーグループ(株)サーバに対する不正アクセスに関するお知らせ（第３報）

ALPHV/Blackcatの4重恐喝に対し、毅然とした態度を示したセイコーウオッチ株式会社及びセイコーインスツル株式会社が保有する約 60,000 件の個人データが外部に漏えいしたことを確認した模様

漏えいを確認した個人データ

  • セイコーウオッチ株式会社のお客様の氏名、住所、電話番号、メールアドレス等（クレジットカード情報は含まれておりません）
  • 当社、セイコーウオッチ株式会社及びセイコーインスツル株式会社の取引先ご担当者の氏名、会社名、役職名、会社住所、会社電話番号、会社メールアドレス等
  • 当社及びセイコーウオッチ株式会社の採用応募者の氏名、住所、電話番号、メールアドレス、学歴等
  • 当社及び当社グループ会社の従業員及び退職者の氏名、人事情報、メールアドレス等

パレスチナを支援するハッカーグループは、日本政府のドメインに対する分散型サービス拒否 (DDoS) 攻撃を宣言

国連安全保障理事会で、日本はイスラエル・ガザ危機での人道的一時停止を求める決議に賛成しましたが、パレスチナを支援するハッカーグループは、OpJapanのキャンペーンに加わり、日本政府のドメインに対する分散型サービス拒否 (DDoS) 攻撃を宣言しました。Webサイトの書き換えなども観測され、政治団体との接触もあり、次の段階に移行したと思われます。

なお、Ｇ７、日本以外の６カ国がイスラエル支持を表明しており、日本は一貫して中東和平に関する多国間協議に向けて「平和と繁栄の回廊」の立場を堅持しています。

65名のファイナリストが制作したGEN:48 映画

未来のGenerative Cinemaを垣間見ることができます。

私も投票しました。

OpenAI 近い将来に開発するモデルからAGIレベルの能力を持つモデルまで、内部レッドチームはリスクの追跡、評価、予測、保護を支援

近い将来に開発するモデルからAGIレベルの能力を持つモデルまで、内部レッドチームはリスクの追跡、評価、予測、保護を支援します。

  • 個人に対する説得（洗脳的な影響力）
  • サイバーセキュリティ
  • 化学、生物、放射線、核(CBRN)の脅威
  • 自律複製と適応(ARA)

致命的な誤用防止のためのAI Preparedness Challengeを開始。上位投稿に 25,000 ドルの API クレジットを提供します。

「生成AI、業務で日常利用」2割に大幅増　活用段階へ

「ChatGPT」などの生成AIを業務で利用する動きが広がっている模様

調査では2割が「日常的に利用している」ことから、この流れで来年はアーリーアダプターからマジョリティへ移行し6割越えか

AIが当たり前の時代へ

令和4年度より高等学校の学習指導要領にデータサイエンス・機械学習などが必修に

これからの新入社員は、AIが、もはや当たり前のものとして育ってくると思います。

令和4年度より高等学校の学習指導要領に「情報II」が新設され、データサイエンス・機械学習などが必修として加わりました。

「高等学校における「情報II」のためのデータサイエンス・データ解析入門」

総務省統計局から、補助教材として「高等学校における「情報II」のためのデータサイエンス・データ解析入門」が公開されました。

  • 第1章　データサイエンス(機械学習のアルゴリズム)によるデータ解析が社会にもたらす変化
  • 第2章　機械学習を用いたデータサイエンスのプロセス
  • 第3章　機械学習(教師あり学習)- 線形回帰、サポートベクターマシン、決定木・ランダムフォレスト、ニューラルネットワーク、ナイーブベイズ法、K近傍法
  • 第4章　機械学習(教師なし学習)- クラスター分析、主成分分析、因子分析、アソシエーション分析
  • 第5章　構造化データ処理の基本
  • 第6章　非構造化データ処理の基本
  • 第7章　プログラミングの基本

投稿者: 二本松 哲也

SPbD:Security&Privacy by Design Founder ー OWASP Member ー ITは人々の生活をあらゆる面でより良い方向に変化させること ー 競争原理から共創原理へ