January 7, 2025 – IoT OT Security News

SonicWall SonicOS の複数の脆弱性が FIX：Gen6／Gen7 ファイアウォールに影響

SonicWall Issues Important Security Advisory for Multiple Vulnerabilities in SonicOS

2025/01/07 SecurityOnline — 大手サイバー・セキュリティ・プロバイダー SonicWall が発行したのは、SonicOS オペレーティング・システムに影響を及ぼす、複数の脆弱性に対するセキュリティ・アドバイザリ警告である。これらの脆弱性が影響を及ぼす範囲は、Gen6／Gen7 ファイアウォールであり、対象デバイスがサイバー攻撃にさらされ、認証バイパスから権限昇格にいたる被害が生じるとされている。

CISA KEV 警告 25/01/01：Mitel MiCollab と Oracle WebLogic の脆弱性を登録

CISA Alerts on Actively Exploited Vulnerabilities in Mitel MiCollab and Oracle WebLogic Server

2025/01/07 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発したのは、Mitel／Oracle システムに影響を及ぼす、現時点で悪用されている３件の脆弱性に関する緊急警告である。これらの脆弱性は、連邦政府の組織と民間企業に深刻なリスクをもたらすものとして、ISA の Known Exploited Vulnerabilities (KEV) カタログに登録されている。脆弱性のうちの２件は、統合コミュニケーション・プラットフォーム Mitel MiCollab に、もう１件は Oracle WebLogic Server に、影響を及ぼすものである。

Casio への Underground ランサムウェア攻撃：8,500 人分の個人情報を窃取

Casio says data of 8,500 people exposed in October ransomware attack

2025/01/07 BleepingComputer — 2025年1月7日に電子機器メーカー Casio が発表したのは、2024年10月に発生したランサムウェア・インシデントにより、約8,500人分の個人情報が流出したことだ。主として、Casio の従業員とビジネス・パートナーが被害を受けたが、流出したデータには顧客の個人情報も含まれていたという。

Chrome の深刻な脆弱性 CVE-2025-0291 が FIX：ただちにアップデートを！

Chrome Update Addresses High-Severity Vulnerability: CVE-2025-0291

2025/01/07 SecurityOnline — Google が公表したのは、Chrome Web ブラウザの重要なセキュリティ・アップデートのリリースに関する情報である。このアップデートは、深刻度の高い JavaScript エンジン V8 のタイプ・コンヒュージョンの脆弱性 CVE-2025-0291 に対処するものであり、放置すると攻撃にさらされる可能性が生じるという。今後の数日間に、このアップデートは、Windows／Mac／Linux ユーザーに展開される。

Dell OMSA の認証バイパスの脆弱性 CVE-2024-52316 が FIX：直ちにアップデートを！

Authentication Bypass Vulnerability Found in Dell OpenManage Server Administrator

2025/01/07 SecurityOnline — Dell がリリースしたセキュリティ・アップデートは、OpenManage Server Administrator (OMSA) ソフトウェアに影響を及ぼす、Apache Tomcat の脆弱性 CVE-2024-52316 (CVSS：9.8)に対処するためのものだ。この脆弱性の悪用に成功した攻撃者は、認証をバイパスし、影響を受けるシステムへの不正アクセスの可能性を手にする。

go-git の脆弱性 CVE-2025-21613／21614 が FIX：不正アクセス／DoS の可能性

Secure Your Repos: go-git Patches Critical Vulnerability – CVE-2025-21613 (CVSS 9.8)

2025/01/07 SecurityOnline — Git インタラクションに用いられる、Go ライブラリ go-git がリリースしたのは、２つの深刻な脆弱性を修正したバージョン 5.13.1 である。これらの脆弱性が悪用されると、不正アクセスや DoS にいたる可能性がある。開発者に対して強く推奨されるのは、依存関係を直ちに更新することだ。

CISA が公表する BeyondTrust インシデントの詳細：連邦政府の被害は財務省のみ

CISA: No Federal Agency Beyond Treasury Impacted by BeyondTrust Incident

2025/01/07 SecurityWeek — 2025年1月6日 (月) に米国の CISA が発表したのは、BeyondTrust のクラウドベース・サービスに関連する、最近の大規模なサイバーセキュリティ・インシデントで影響を受けたのは、財務省だけだという調査の結果である。12月31日に公表されたのは、中国政府が支援する APT の攻撃で、BeyondTrust のリモート管理サービスの侵害された API キーが悪用され、財務省のワークステーションと非機密文書への不正アクセスが生じたというものだ。