セキュリティアップデート

Appleのセキュリティ公告によると、iOSおよびiPadOS 27.2.1の更新は複数のセキュリティ脆弱性を修正しました。その中の1つのMessagesの脆弱性は、リモート攻撃者がiMessageのグループチャットに参加し、メッセージを受信できる可能性があります。もう1つのMessagesの脆弱性は、新しくグループチャットに参加したユーザーが参加前のメッセージを読むことができる可能性があります。Appleはまた、悪意のあるBluetoothデバイスがユーザーの相互作用なしにペアリングできる可能性や、Bluetooth範囲内の攻撃者がペアリングコードの試行回数制限を回避できる問題を修正しました。Appleは、上記の更新が11月9日にリリースされたと述べています。

イーサリアムのコンセンサスクライアントLighthouseの開発チームSigma Primeは、高優先度のセキュリティアップデートを発表し、ノードオペレーターに対して早急にアップグレードを完了するよう推奨しています。公式は、オペレーターが十分な時間を得てアップグレードを完了した後に、具体的な脆弱性の詳細を発表すると述べています。今回のアップデートでは、破壊的な変更は導入されていません。Lighthouseはイーサリアムのコンセンサスレイヤーの主流クライアントの一つであり、Sigma Primeチームによって開発・維持されています。

ビットコインウォレット Electrum が X プラットフォームで 4.8.4 バージョンを発表し、これは再度のセキュリティ更新であると述べています。GitHub の更新ログによると、このバージョンのリリース日は 11 月 6 日で、ライトニングネットワークのオニオンメッセージに関連する脆弱性を修正しました：任意のソースからの異常なオニオンメッセージが Electrum とそのチャネルのピアノードとの接続を切断する可能性があります。Electrum は現在、実際の使用シナリオが実現するまで、すべての受信オニオンメッセージを破棄します。さらに、新しいバージョンでは、2 バージョン以前の一部のニーモニックの復元失敗などの問題も修正されています。Electrum の前のバージョン 4.8.3 は 10 月下旬にリリースされ、既に悪用されている高危険度の脆弱性を修正しました。

インドの証明書発行機関eMudhraの暗号セキュリティの脆弱性が、EthereumクライアントTekuとBesuに影響を及ぼしています。研究者は、eMudhra傘下の8つの中間証明書発行機関の秘密鍵がランダム性不足のために推測される可能性があることを発見しました。攻撃者はこれにより証明書を偽造し、修正されていないソフトウェアを利用して悪意のあるサービスを信頼させることができます。Tekuは26.1.3バージョンをリリースし、Besuは26.1.2バージョンをリリースしました。どちらもDockerイメージ内で関連証明書への信頼を削除しました。攻撃者が中間者攻撃を実施した場合、一部のバリデーターがブロック手数料の報酬を攻撃者のアドレスに送信するよう誘導される可能性があります。外部署名器を使用する特定の構成では、リスクがさらに高まる可能性があります。Tekuチームは、デフォルト構成のEthereumメインネットTekuノードは影響を受けず、行動を取る必要はないと述べており、現在のところ脆弱性が悪用されたという報告はありません。ホスト上で直接TekuまたはBesuを実行し、Dockerを使用していないオペレーターは、クライアントを更新するだけでは不十分な場合があり、Javaおよびその信頼された証明書リストを手動で更新する必要があります。サポートが終了したJava 26を使用しているオペレーターは、Java 25に移行する必要があります。

Bitcoin News の監視によると、Lightning Development Kit（LDK）がセキュリティアップデートを発表し、悪意のあるノードが資金を盗む可能性のある脆弱性を修正しました。最も深刻な脆弱性は、Lightning チャネルの再接続に関するものです。Bitcoin Optech によると、悪意のあるノードは以前に確認されたチャネルの更新を受け取っていないと虚偽の主張をする可能性があります。脆弱性のある LDK ソフトウェアは、その後、関連する取引を正しく記録せずに矛盾する約束取引に署名する可能性があり、攻撃者は支払いの転送が完了した後にビットコインを再取得することができます。LDK 0.2.7 および 0.1.13 バージョンはこの脆弱性を修正しました。レビューされた情報によると、これらの特定の脆弱性によって引き起こされた確認済みの損失はまだ発見されていません。

Ethereum Classicは最近、Core-Gethクライアントに関するソーシャルエンジニアリング事件が発生しました。既存のメンテナーによるレビューを受けていないethereumclassic/core-geth v1.13.0が9月14日にリリースされ、安全な更新として宣伝されましたが、少数のマイニングプールノードが一時的にこのバージョンに切り替えた後、長期サポートのetclabscore/core-geth v1.12.23に戻りました。この未審査のバージョンは、チェーン選択やノード発見などの重要なロジックを変更しており、ネットワーク分裂を引き起こす潜在的なリスクがあります。この事件によってブロックの損失、チェーンの再構成、資金の損失、またはサービスの中断は発生しませんでした。

Bitcoin News は X プラットフォームで、Core Lightning 26.06.7 バージョンがリリースされたことを発表し、過去三週間にわたる責任ある開示によって発見された複数の脆弱性が修正されたと述べています。オープンソースのビットコインプロジェクトに対する AI 生成のセキュリティレポートが最近増加しており、具体的な脆弱性情報は、ノードオペレーターがアップグレードを完了するまでの二週間、暫定的に秘密にされます。その後、技術的詳細とソースコードが公開される予定です。開発者は、修正内容を直ちに公開することが攻撃者による脆弱性の逆解析を可能にし、まだ更新されていないノードに対する攻撃を引き起こす可能性があると警告しています。すべての Core Lightning ノードオペレーターは、直ちにアップグレードを行うべきです。現在、Docker イメージは利用できず、開発者はユーザーに対して Docker イメージを待たないよう明確に警告しています。

Decrypt の報道によると、スイスのハードウェアウォレットメーカー BitBox は内部 AI 監査でファームウェアに二つの深刻な脆弱性と一つのブートローダーの問題を発見し、Dixence セキュリティアップデートを公開しました。脆弱性を悪用するにはフィッシング攻撃とユーザーが改ざんされたデバイスのロックを解除する必要がありますが、BitBox はユーザーの資金が盗まれたことはないと述べています。ブートローダーの脆弱性は旧型 BitBox02 に影響を与え、攻撃者は悪意のあるファームウェアをロードして資産を盗むことができます。この問題は 7 月の Oeschinen アップデートで部分的に修正されました。二つ目の深刻な脆弱性は Multi バージョンデバイスの初期化前の段階に影響を与え、任意のコード実行を許可する可能性があります。三つ目の問題はサイレントペイメント機能に関するもので、直接的にコインを盗むことはできませんが、資金をロックする可能性があります。新型 Nova バージョンは影響を受けません。BitBox は旧ファームウェアのユーザーに早急にアップデートをインストールするよう警告しており、現在のところユーザーの資金損失の報告はありません。

Zcash財団は、ノードクライアントZebra 4.5.0のバージョンアップデートを発表しました。今回のバージョンには、複数のセキュリティ修正が含まれており、その中には共通の重要な脆弱性と複数の高リスクなサービス拒否（DoS）問題が含まれています。すべてのノード運営者に対し、直ちにアップグレードすることを強く推奨します。今回のコア修正には、P2SHスクリプト解析におけるsigopカウントエラー（zcashdとのコンセンサスフォークを引き起こす可能性がある）、NU5ブロック検証キャッシュロジックの欠陥、透明アドレスの残高オーバーフローによるクラッシュリスク、さらに複数のRPCインターフェースおよびメモリプール処理におけるクラッシュとリソース枯渇の脆弱性が含まれています。さらに、一部の脆弱性は悪意のあるノードによって利用され、ノードがフリーズしたり、再起動ループに陥ったり、さらには永久に動作を停止する可能性があります。

Fusionがセキュリティアップデートを発表：IPOR USDC Fusion OptimizerにArbitrum Vaultの脆弱性が存在し、IPORチームは33.6万ドルのUSDC損失を引き起こす脆弱性を発見したとの通知を受けました。この脆弱性は特定の古いバージョンのFusion Vaultを対象としています。その独自の構成により、この特定の攻撃経路の影響を受けやすい唯一の保管庫です。損失はFusionが保証する資金総額の1%未満に過ぎません。現在、Security Allianceと協力して資金の追跡と回収を行っています。IPOR DAOは財庫から資金の穴埋めを行います。すべての影響を受けた預金者は全額補償を受けます。

ChainCatcher のメッセージ、Binance の創設者である赵长鹏が X で安全警告を発表しました。「Intel チップベースの Macbook を使用している場合は、早急に更新してください！安全を保ちましょう！」報道によると、Apple は macOS システムがゼロデイ攻撃を受けていることを確認し、広く悪用されている二つの脆弱性を修正するために、主要な macOS および iOS のセキュリティアップデートを緊急にリリースしました。Apple は発表の中で、これらの脆弱性が Intel ベースの macOS システムで広く悪用されていることを確認し、エコシステム全体のユーザーに対して、iOS 18.1.1、macOS Sequoia 15.1.1、および古い iOS 17.7.2 の緊急適用を促しました。

ChainCatcher のメッセージ、Dogecoin Core 1.14.8 がまもなくリリースされます。このアップデートの重点は、コンパイルプロセスの再現性を強化することであり、これはネットワークのセキュリティと信頼性を強化するための重要なステップです。Dogecoin チームの初級開発者がソーシャルメディアで発表しました、Dogecoin Core 1.14.8 は、重要なテスト「複数の開発者が信頼性を持ってコンパイルプロセスの同じ出力を再現できるかどうか」を通過しました。

ChainCatcher のメッセージによると、セキュリティ会社 BleepingComputer の報告で、Google は緊急セキュリティアップデートを発表し、今年初めから攻撃に利用されていた4つ目の Chrome ゼロデイ脆弱性を修正しました。現在、CVE-2023-4863 に対する実際の攻撃が発生しています。新しいバージョンは、安定版および拡張安定版チャネルのユーザーに向けて展開されており、今後数日または数週間以内に全ユーザーに行き渡る予定です。Chrome ユーザーには、Web ブラウザを 116.0.5845.187（Mac および Linux）および 116.0.5845.187/.188（Windows）にアップグレードすることをお勧めします。