#20260307 Rust悪意あるクレート＆EC-CUBE脆弱性

■ 今日のハイライト 本日は、サプライチェーン攻撃や身近なシステムの脆弱性など、4つの重要トピックをお届けします。 ▼ 1. Rustクレート「time-sync」のマルウェア混入 Rustのパッケージマネージャに登録された「time-sync」というクレートに、環境変数ファイル（.env）を窃取して外部サーバーに送信する悪意のあるコードが含まれていました。 ・影響：データベースのパスワードやAPIキーなどの機密情報の漏洩 ・対策：不正なパッケージの依存関係確認とタイポスクワッティングへの注意 ▼ 2. EC-CUBEにおけるMFAバイパスの脆弱性 国内で人気のEC構築プラットフォーム「EC-CUBE」にて、管理画面の多要素認証（MFA）を迂回できる脆弱性が発覚しました。 ・影響バージョン：4.1.0から4.3.1 ・影響：管理者のID・パスワードが漏洩している場合、2段階認証を突破され管理画面が乗っ取られる危険性 ・対策：公式の最新パッチの適用とアップデート ▼ 3. Nginx-UIの認証回避とバックアップキー漏洩（CVE-2026-27944） NginxのGUI管理ツールで、認証なしでシステムのバックアップがダウンロードできる脆弱性が見つかりました。 ・影響：バックアップの復号キーがレスポンスヘッダーで漏洩し、システム内のすべてのパスワードや設定ファイルが読み取られる ・対策：最新バージョンへのアップデートと、既存の認証情報のリセット ▼ 4. Pingoraの複数の脆弱性（CVE-2026-2833, CVE-2026-2835, CVE-2026-2836） Cloudflareが開発したRust製プロキシ「Pingora」で、リクエストスマグリングやキャッシュポイズニングの脆弱性が修正されました。 ・影響：不正なリクエストがバックエンドに送り込まれたり、キャッシュが汚染されユーザーに不正なデータが返される ・対策：Pingora 0.8.0以降へのアップデート ■ その他の脆弱性情報 ・【Plane】CVE-2026-30244：未認証でのワークスペースメンバー情報漏洩 ・【Fastify】CVE-2026-3419：Content-Typeの不正な検証 ・【MimeKit】CVE-2026-30227：SMTPコマンドインジェクション #セキュリティ #エンジニア #ITニュース #Rust #ECCUBE #脆弱性 Data sources: GitHub Advisory Database (CC-BY 4.0) --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793