デイリーブリーフィング
Brotliデコーダーの脆弱性によりNode.jsのリモートコード実行が可能になり、Bun、Python、その他広く使われている言語にも影響が及ぶ…
本日のブリーフィングでは、広範囲にわたるBrotliデコーダーのバグ、LiteLLMにおけるサプライチェーン漏洩、およびCISAが指摘した新たなアクティブなエクスプロイトについて説明します。
5件のニュース読了時間 1分
ソフトウェアサプライチェーンのリスクと、パッチ未適用のインフラストラクチャの欠陥は、今日のセキュリティ開発における主要な課題となっている。オープンソースコンポーネントやエンタープライズアプライアンスに依存する組織は、緊急のメンテナンス作業に直面している。
まず、GoogleのBrotliデコーダーにおけるメモリ破損の脆弱性は、Node.js、Bun、Python、Envoyなど、広く利用されているソフトウェアエコシステムに影響を与えます。同時に、CISAは、Collabora OnlineとArista VeloCloud Orchestratorで実際に悪用されている脆弱性を、既知の悪用された脆弱性カタログに追加しました。
セキュリティチームは、開発者リポジトリで漏洩した機密情報を直ちに監査し、CISAカタログに記載されている境界システムに対してベンダーのパッチを適用し、環境全体でBrotliの依存関係を更新する必要があります。
流出したLiteLLMマスターキーにより、攻撃者がGitHubトークンを盗み、リリースパイプラインを乗っ取ることが可能に
2026年5月下旬、公開されているGitHubリポジトリ（LiteLLM-Labs/lite-harness）にAgent Platformのマスターキーが流出し、攻撃者がGitHubトークンを盗み出すことが可能になった。攻撃者はその後、盗んだアクセス権を利用してLiteLLMのリリースパイプラインを乗っ取り、悪意のあるバージョンのPythonパッケージを公開した。
- 取るべき対応
- 公開されているAPIキーとGitHubトークンをローテーションし、CI/CDリリースパイプラインを監査し、LiteLLMパッケージの整合性を検証する。
CISAは、Collabora OnlineとArista VeloCloudに存在する2つの重大な脆弱性を指摘し、これらの脆弱性は実際に悪用されていると警告した。
CISAは、実際に悪用が確認されたことを受け、Collabora Onlineの組み込みCODE ServerにおけるCVE-2026-110447と、Arista VeloCloud OrchestratorにおけるCVE-2026-114625を既知の悪用脆弱性カタログに追加しました。これらの脆弱性により、それぞれOSコマンドインジェクションとSQLインジェクションが可能になります。
- 取るべき対応
- Collabora Onlineの組み込みCODEサーバーをバージョン26.4.303以降にアップデートし、Arista VeloCloud Orchestratorのパッチを適用してください。
Brotliデコーダーの脆弱性がNode.jsのリモートコード実行の脆弱性につながり、Bun、Python、その他広く使われているソフトウェアにも影響を与える。
GoogleのBrotliデコーダーに存在するメモリ破損の脆弱性は、Brotliで圧縮されたデータを解凍する多くのプログラムに存在し、その中にはBun、PythonのBrotliおよびbrotlicffiパッケージ、そしてBrotliを解凍するように設定されたEnvoyプロキシなどが含まれる。
- 重要な理由
- 影響を受ける各アプリケーションは、GoogleのBrotliデコーダーの独自のコピーをバンドルしているため、これらのランタイムやプロキシに依存する組織は、コード実行を防ぐために、ベンダーごとのアップデートを追跡して適用する必要があります。
- 取るべき対応
- Bun、Envoy、Python Brotliの依存関係を含む、影響を受けるランタイムとパッケージをパッチ適用済みのバージョンに更新してください。
Googleは、AI検索と共有されるGmailと写真のデータが、ターゲット広告に利用される可能性があると述べている。
Googleは2026年10月16日付けでプライバシーポリシーを更新し、Googleフォト、Gmail、ドライブから検索アプリやGeminiアプリのAI機能と共有されるデータは、ターゲット広告の配信のために処理される可能性があることを明確にした。
- 重要な理由
- 個人データやワークスペースデータをGoogle検索やGemini AI機能に統合するユーザーや組織は、Gmail、フォト、ドライブのコンテンツをパーソナライズされた広告ターゲティングに公開する可能性があります。
- 取るべき対応
- Googleアカウントのプライバシー設定を確認し、Workspaceアプリと検索/Gemini間のサービス間データ共有を制限してください。
研究者らは、ボットネットを助長する可能性のあるPopcorn Time Updaterをリモートで無効化するために、200万件以上のアップデートを配信した。
オランダのセキュリティ企業Eye Securityは、オペレーションIXIMを実施し、開発が停止されたTime4Popcornアプリケーション内の脆弱なバックグラウンドアップデーター（Updater.exe）を無効にするため、200万件以上のリモートアップデートを配信した。このアップデーターが照会する未登録ドメインは、大規模なボットネットに悪用される危険性があった。
- 取るべき対応
- Time4Popcornのような不正な旧式ソフトウェアを探し出して削除し、未確認の更新ドメインへの接続をブロックする。
要点
- Node.js、Bun、Python、およびEnvoyにおけるBrotliデコーダの実装を更新し、メモリ破損の脆弱性CVE-2026-111497を修正します。
- CISAの警告に従い、Collabora Onlineの組み込みCODEサーバー（CVE-2026-110447）およびArista VeloCloud Orchestrator（CVE-2026-114625）にパッチを適用してください。