脆弱性情報定期配信6/22(水)

71293295_security

今回の報告における脆弱性情報は３件です。

  1. ペルーのプジョー公式サイトから機密情報が含まれる環境ファイルが漏洩

  2. Contiki-NGのAntelope DB管理システムに領域外読み込みの可能性

  3. Hyundai, Kia, Genesisの一部IVIにファームウェア改ざんに繋がるか可能性

  1. ペルーのプジョー公式サイトから機密情報が含まれる環境ファイルが漏洩
    【概要】
    ペルーのプジョー公式サイトから環境ファイル（.env）が公開されていることをCybernewsの調査チームが発見した。環境ファイル内には複数の機密情報が記載されており、他システムへ水平方向への権限昇格攻撃に用いられる恐れがあるとして、警鐘を鳴らしている。

【内容】
ペルーのプジョー公式サイトに環境ファイル（.env）が公開されていることをCybernewsの調査チームが発見した。環境ファイル内には以下の情報が含まれている。
・MySQLデータベースへ完全なアクセスをするためのユーザ名とパスワード
・JSON Web Tokenのパスふえーずとプライベート証明書、秘密鍵と公開鍵の場所
・Gitレポジトリ（サイト内ソースコード開発先）
・Symfony（車両管理ソフト）に関わるクッキーやセッションIDなど過去にデータの暗号化、及び復号に用いられた機密情報Cybernewsは、公開された機密情報が他システムへ水平方向への権限昇格に用いられるとして、警鐘を鳴らしている。また自動車会社サイトなどで機密情報が記載されたファイルが公開設定にされたままになっている事例は少なくなく、過去の事例としてBMWやトヨタの例を挙げている。
本件に関してCybernewsがプジョーへ報告を行なったかは不明である。

＜リファレンス＞
Peugeot leaks access to user information in South America | Cybernews
<https://cybernews.com/security/peugeot-user-data-leak-south-america/>


2．Contiki-NGのAntelope DB管理システムに領域外読み込みの脆弱性
　【概要】
　オープンソースのオペレーティングシステムContiki-NGに領域外読み込みの脆弱性が報告された。影響として情報漏洩やサービス拒否が発生する可能性がある。修正はバージョン4.9に含まれる予定である。

【内容】
オープンソースのオペレーティングシステムであるContiki-NGのデータベース(DB)管理システム、Antelope(DBフォーマットの1つ)にOff-by-oneエラーが発生する可能性がある。DBでのインデックスの文字列操作において、文字列をマージするためのバッファをOff-by-oneエラーで、本来より１倍と少ないサイズで確保してしまい、次の処理でバッファ領域外の読み込みを引き起こす。開発者チームは、この脆弱性を用いて、シェルコマンドなど不正なDB操作を注入することは難しいと論じている。(CVE-2023-30546, CVSSv3.1: 9.8)
この脆弱性はContiki-NGの「develop」burannti(4.8の開発版)で修正されており、パッチを手動で適用することで是正できる。また、次の正式版4.9バージョンにも修正が含まれる予定である。

＜リファレンス＞
Off-by-one error in Antelope DBMS・Advisory・contiki-ng/contiki-ng・Github

antelope, storage-cfs: Fix length of filename array by szsam・Pull Request #2425・contiki -ng/contiki-ng・Github

NVD - CVE-2023-30546
https://nvd.nist.gov/vuln/detail/CVE-2023-30546


3. Hyundai, Kia, Genesisの一部IVIにファームウェア改ざんに繋がる脆弱性

【内容】
イタリアの国立科学博物館IIT(Instituto di Informatica e Telematica)に所属する研究者グループが、Hyundai自動車グループ(Hyundai, Kia, Genesis)に搭載された車載インフォテイメントシステムに複数の脆弱性があるというレポート[2]を発表した。メモリリークの脆弱性を利用し公開鍵を抽出、暗号化・複合化アルゴリズムを特定、改造ファームウェアを作成し、デジタル署名チェックを回避し正規ファームウェアになりすまして実装できることを実証した。

＜リファレンス＞
[1] Can work / CHIMAERA・GitLab
　https://sowhat.iit.cnr.it:8443/can-work/chimaera

[2]Report/IIT-01-2023.pdf・main・Can work / CHIMAERA・GitLab
　https://sowhat.iit.cnr.it:8443/can-work/chimaera/-/tree/main/Report

[3]NVD - CVE-2023-26243
　https://nvd.nist.gov/vuln/detail/CVE-2023-26243



この記事が気に入ったらサポートをしてみませんか？