April 2025 – IoT OT Security News

CISA KEV 警告 25/04/29：SAP NetWeaver のゼロデイ脆弱性 CVE-2025-31324 を登録

CISA Adds SAP NetWeaver Zero-Day CVE-2025-31324 to KEV Database

2025/04/30 SecurityOnline — SAP NetWeaver の深刻なセキュリティ脆弱性が積極的に悪用され、世界中の組織に重大な脅威をもたらしている。Cybersecurity and Infrastructure Security Agency (CISA) は、この脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、迅速な対応の必要性を強調している。

Zimbra Collaboration の CSRF 脆弱性 CVE-2025-32354 が FIX：GraphQL の欠陥が甚大な被害を招く

Zimbra Collaboration GraphQL Flaw Lets Hackers Steal User Information

2025/04/30 gbhackers — Zimbra Collaboration Suite (ZCS) に存在する深刻なクロスサイト・リクエスト・フォージェリ (CSRF) の脆弱性 CVE-2025-32354 により、メール・サーバとユーザー・データに悪用のリスクが生じている。この脆弱性の影響が及ぶ範囲はバージョン 9.0 〜 10.1 であり、その悪用に成功した攻撃者は、認証済みセッションの乗っ取りや、パスワード／連絡先／メールの内容などの機密情報の窃取を可能にするという。

Chrome の脆弱性 CVE-2025-4096 などが FIX：任意のコード実行とシステム制御奪取の可能性

Chrome Update Fixes High-Severity Security Flaw (CVE-2025-4096)

2025/04/30 SecurityOnline — Chrome チームが公表したのは、Windows／Mac／Linux 向けのバージョン 136 を提供する、最新のステイブル・チャネル・アップデートのリリースである。このアップデートでは、通常どおりに内部的な改善が施されているが、注目すべきは、同梱されている８つの重要なセキュリティ修正である。

AI プロトコル MCP／A2A に潜む脅威：新たな視点から AI ツールとデータ流出を考える

Researchers Demonstrate How MCP Prompt Injection Can Be Used for Both Attack and Defense

2025/04/30 thehackernews — AI 分野が急速に進化する中で、Model Context Protocol (MCP) の悪用方法が分析され、プロンプト・インジェクション攻撃だけではなく、セキュリティ・ツールの開発や悪意のツールの特定などもカバーできそうなことが、Tenable の調査により明らかになった。Anthropic が 2024年11月に発表した、新しいプロトコル MCP は、大規模言語モデル (LLM：Large Language Models) と外部のデータソース／サービスを接続するために設計されたものだ。その目的は、LLM が選ぶ外部ツールを通じて、それらのシステムと連携し、AI アプリケーションの精度／関連性／実用性などを高めるところにある。

OAuth ミスコンフィグの脆弱性：YesWeHack バグ・バウンティで判明した際限のない PII の抽出

Researchers Exploit OAuth Misconfigurations to Gain Unrestricted Access to Sensitive Data

2025/04/30 gbhackers — 先日に実施された YesWeHack バグ・バウンティ・キャンペーンにおいて、OAuth2 認証情報のミスコンフィグに起因する深刻な脆弱性が、あるセキュリティ研究者により発見された。Web アプリケーションを詳細に分析した結果として、この認証フレームワークにおける些細な見落としが深刻なリスクをもたらすという、驚くべき状況が明らかになった。

Windows LNK の脆弱性と NTLM ハッシュ抽出：PoC の提供と MOTW 依存の Microsoft

Unpatched Windows LNK Vulnerability Allows Attacker to Capture NTLM Hash

2025/04/30 SecurityOnline — Windows の LNK ファイル (ショートカット) に影響を及ぼす未修正の脆弱性を、セキュリティ研究者である Nafiez が公開した。この問題は、ユーザーによる明示的なショートカットの起動を必要とせずに、UNC パスを介して NTLM ハッシュを盗み取ることが可能になるというものだ。すでに PoC エクスプロイトが機能しているが、Mark of the Web (MOTW) が十分な保護手段であるとする Microsoft は、この脆弱性への修正を拒否している。

Docker Desktop macOS 版の脆弱性 CVE-2025-4095 が FIX：コンテナ・イメージへの不正アクセスの恐れ

Docker Registry Vulnerability Lets macOS Users Access Any Registry Without Authorization

2025/04/30 gbhackers — 先日に発見された Docker Desktop macOS 版の脆弱性が、開発者やセキュリティ・コミュニティの間で懸念を引き起こしている。この脆弱性は、Registry Access Management (RAM) ポリシーの、特定の状況下での不適切な適用に起因しており、悪意の可能性のあるコンテナ・イメージへの不正アクセスを許す可能性がある。それにより、サプライチェーン攻撃のリスクに、ユーザー組織が直面する可能性が生じる。

PowerDNS DNSdist の脆弱性 CVE-2025-30194 が FIX：サービス拒否の可能性

High-Severity DoS Vulnerability Found in PowerDNS DNSdist (CVE-2025-30194)

2025/04/30 SecurityOnline — PowerDNS チームが公開したのは、同社の DNS ロード・バランサーである DNSdist に存在する、サービス拒否 (DoS) 脆弱性 CVE-2025-30194 (CVSS：7.5) に関するセキュリティ・アドバイザリである。この脆弱性は、DNS over HTTPS (DoH) の nghttp2 プロバイダーが設定されているバージョン 1.9.0〜1.9.8 に影響を及ぼし、悪意の DoH エクスチェンジにより悪用される可能性がある。

Apple AirPlay の脆弱性群が FIX：Wi-Fi を介した RCE とデバイス・ハイジャック

Wormable AirPlay Zero-Click RCE Flaw Allows Remote Device Hijack via Wi-Fi

2025/04/30 gbhackers — Apple AirPlay のプロトコルと SDK に存在し、Airborne と総称される一連の深刻な脆弱性が明らかになった。それらの脆弱性により、さまざまな攻撃経路が現実のものになるという。これらの脆弱性の中で最も深刻なことは、”wormable” なゼロクリックのリモート・コード実行 (RCE) が可能になることだ。つまり、攻撃者はユーザーの操作なしに、Wi-Fi 経由で Apple およびサードパーティ・デバイスの乗っ取りが可能になる。その影響の範囲は広大であり、Mac／iPhone／iPad／Apple TV／CarPlay システムや、サードパーティの AirPlay 対応スピーカーなどの、世界中の数十億台のデバイスに及ぶ。

Rancher の脆弱性 CVE-2024-22031 が FIX：プロジェクトの名前空間の衝突による権限昇格

Rancher Releases Patch for CVE-2024-22031 Privilege Escalation Vulnerability

2025/04/30 SecurityOnline — SUSE Rancher セキュリティ・チームが発行したのは、人気の OSS コンテナ管理プラットフォーム Rancher の複数バージョンに影響を与える、新たな脆弱性に関するセキュリティ・アドバイザリである。この脆弱性 CVE-2024-22031 (CVSS：8.6) を悪用する攻撃者は、Kubernetes クラスター間での権限昇格を達成し、コンテナ化されたアプリケーションを本番環境で実行するエンタープライズ環境に対して、深刻なリスクをもたらすという。

SonicWall SMA100 VPN の脆弱性 CVE-2023-44221／CVE-2024-38475：積極的な悪用が警告される

SonicWall: SMA100 VPN vulnerabilities now exploited in attacks

2025/04/30 BleepingComputer — SonicWall が公表したのは、同社の Secure Mobile Access (SMA) アプライアンスに影響を与える複数の脆弱性が、現時点で攻撃に積極的に悪用されているという注意喚起である。4月29日 (火) に SonicWall は、脆弱性 CVE-2023-44221／CVE-2024-38475 に対するセキュリティ・アドバイザリを更新し、これら２つの脆弱性について、潜在的に悪用されている可能性があると説明した。

2024年に発生したゼロデイ攻撃は 97件：50%以上がスパイウェア攻撃に関連 – Google 調査

Google: 97 zero-days exploited in 2024, over 50% in spyware attacks

2025/04/29 BleepingComputer — Google Threat Intelligence Group (GTIG) によると、2024年には 75件のゼロデイ脆弱性が実際の攻撃で悪用され、そのうちの半数以上がスパイウェアによる攻撃に関連していたという。この数値は、2023年の 97件から減少しているが、2022年の 63件からは増加している。GTIG のアナリストたちは、この変動について、「ゼロデイ脆弱性の悪用件数は全体として増加傾向にあり、このばらつきは想定内である」と分析している。なお、Google によるゼロデイ脆弱性の定義は、「ベンダーがパッチを公開する前に実環境で悪用された脆弱性」である。

Gen AI とジェイルブレイク：各種の AI ツールに存在するリスクと影響について – CERT/CC

New Reports Uncover Jailbreaks, Unsafe Code, and Data Theft Risks in Leading AI Systems

2025/04/29 TheHackerNews — さまざまな GenAI サービスが抱える、２種類のジェイルブレイク攻撃に対して脆弱な特性により、違法／危険なコンテンツの生成を可能になることが判明した。この２つの手法のうちの１つ目は、”Inception” というコードネームで呼ばれ、AI ツールに架空のシナリオを想像させるように指示するものだ。このシナリオは、安全ガードレールが存在しない１つのシナリオで指示され、それが２つ目のシナリオに適応されるものだ。

レガシー Windows の NTLM バイパスの 0-Click 脆弱性：侵入口は Telnet Server で No Patch／Yes PoC

0-Click NTLM Authentication Bypass Hits Microsoft Telnet Server, PoC Releases, No Patch

2025/04/29 SecurityOnline — Microsoft Telnet Server に影響を及ぼす、深刻な脆弱性が発見された。この脆弱性を悪用するリモートの攻撃者は、認証を完全にバイパスし、有効な認証情報を必要とせずに管理者権限を取得する可能性を得る。Hacker Fantastic のレポートで詳細が説明されているように、この脆弱性は、Microsoft Telnet 認証プロトコル (MS-TNAP) に関連するものであり、また、レガシー Windows システムに対する深刻なセキュリティ脅威であるが、現時点において公式のパッチは提供されていない。

Linux Kernel の脆弱性 CVE-2025-21756 が FIX：完全な Root アクセスと PoC エクスプロイト

CVE-2025-21756: How a Tiny Linux Kernel Bug Led to a Full Root Exploit, PoC Releases

2025/04/29 SecurityOnline — Linux Kernel の vsock サブシステムに影響を与える、解放後使用 (UAF) の脆弱性 CVE-2025-21756 の全容が、セキュリティ研究者である Michael Hoefler の分析で、を明らかになった。当初は、vsock_remove_sock() の動作を数行で変更する単純なコード調整から始まり、最終的には、ローカル権限昇格 (LPE) とカーネル・コード実行へと至るものだという。

Apache Tomcat の脆弱性 CVE-2025-31650／31651 が FIX：DoS とルール・バイパスの恐れ

Apache Tomcat Security Update Fixes DoS and Rewrite Rule Bypass Flaws

2025/04/29 SecurityOnline — Apache Software Foundation が発表したのは、広く使用されている OSS Java サーブレット・コンテナである Apache Tomcat の、複数のバージョンに影響を与える２つの脆弱性に対処する重要なアップデートのリリースである。これらの脆弱性 CVE-2025-31650／CVE-2025-31651 に対して、パッチを適用せずに放置すると、サービス拒否状態やセキュリティ・ルールのバイパスにつながる可能性がある。

CISA KEV 警告 25/04/28：Active! Mail／Brocade Fabric OS／Commvault Web Server を登録

U.S. CISA adds Qualitia Active! Mail, Broadcom Brocade Fabric OS, and Commvault Web Server flaws to its Known Exploited Vulnerabilities catalog

2925/04/29 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Qualitia Active! Mail／Broadcom Brocade Fabric OS／Commvault Web Server の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。

Broadcom Brocade Fabric OS：CVE-2025-1976
Qualitia Active! Mail：CVE-2025-42599
Commvault Web Server：CVE-2025-3928

Com-Server++ の深刻な脆弱性 CVE-2025-3200 が FIX：TLS 1.0／1.1 に対する中間者攻撃

CVE-2025-3200: Wiesemann & Theis Com-Server Devices Exposed by Deprecated TLS Protocols

2025/04/29 SecurityOnline — Com-Server++および関連モデルを含む、複数の Wiesemann & Theis 製品に深刻な脆弱性が存在することが、CERT@VDE とWiesemann & Theis GmbH の共同セキュリティ・アドバイザリにより明らかになった。その脆弱性 CVE-2025-3200 は、非推奨である TLS 1.0／TLS 1.1 プロトコルの使用に起因し、暗号化された通信に対する傍受／改竄などが懸念されるものだ。

Ricoh 複合機における複数の脆弱性が FIX：懸念されるオフィス・ワークフローへの影響

Critical Vulnerabilities in Quick Agent Software Expose Ricoh MFPs to Remote Attacks

2025/04/28 SecurityOnline — Ricoh の MFP (multifunction printers) 向けに、SIOS Technology により開発された Windows アプリケーション Quick Agent に、複数の深刻な脆弱性が発見されたとして、JPCERT/CC が注意喚起を発表した。これらの脆弱性は、Quick Agent のバージョン 3.2.1／2.9.8 以下に影響を及ぼすものであり、その悪用に攻撃者に対して、任意のコード実行／ファイルの窃取／不正ログイン試行などを許す可能性があるという。

Hitachi Vantara がシャットダウン：Akira ランサムウェアによる攻撃の可能性

Hitachi Vantara takes servers offline after Akira ransomware attack

2025/04/28 BleepingComputer — 日本の日立製作所の子会社 Hitachi Vantara だが、４月の最後の週末にかけて、Akira ランサムウェア攻撃を封じ込めるために、サーバのオフライン化を余儀なくされたようだ。同社は、政府機関に加えて、BMW／Telefonica／T-Mobile／China Telecom などの世界有数の企業に対して、データ・ストレージ／インフラ・システム／クラウド管理／ランサムウェア復旧サービスを提供している。

DDoS 2025 Q1 – Cloudflare：急増するネットワーク層攻撃と CLDAP／ESP リフレクション攻撃

Cloudflare mitigates record number of DDoS attacks in 2025

2025/04/28 BleepingComputer — インターネット・サービス大手の Cloudflare は、2024年に過去最多となる DDoS 攻撃を緩和したと発表した。攻撃件数は前年比で 358%、前四半期比で 198%と、いずれも大幅な増加となっている。この数字は、Cloudflare が公開した 2025 Q1 DDoS レポートに基づくものであり、2024 年を通じて合計 2,130 万件の DDoS 攻撃を緩和したと、同社は報告している。しかし、2025 年はオンライン企業や組織にとって、さらに深刻な年となる兆しを見せている。Cloudflare は、2025 Q1 だけで、すでに 2,050 万件の DDoS 攻撃に対応したと報告している。

Linux セキュリティ・ツールの盲点：検出不能な io_uring のみを用いる攻撃とは？

Critical Flaw Exposes Linux Security Blind Spot: io_uring Bypasses Detection

2025/04/28 SecurityOnline — ARMO の研究者たちが、Linux ランタイム・セキュリティ・ツールに存在する、深刻な脆弱性を発見した。明らかにされたのは、従来の監視ソリューションでは検知されないルート・キットの動作を、io_uring インターフェイスが可能にするという仕組みである。この発見が示すのは、Falco／Tetragon などに加えて、Microsoft Defender for Endpoint などの広く使用されている多くのツールが、このメカニズムを悪用する攻撃を、検知できないという現実である。

React Router の脆弱性 CVE-2025-43864／43865 が FIX：ポイズニングとスプーフィング

React Router Vulnerabilities CVE-2025-43864 and CVE-2025-43865 Expose Web Applications to Attack

2025/04/28 SecurityOnline — React Router チームが公開したのは、フレームワーク・モードで実行されるアプリケーションに影響を及ぼす、２つの脆弱性 CVE-2025-43864／CVE-2025-43865 に対処するためのアドバイザリである。React Router は、約 1,400万回／週のペースでダウンロードされ、広範なアプリケーションで利用されるため、これらの脆弱性は整合性と可用性に深刻なリスクをもたらすと懸念されている。

GoSearch は OSS の OSINT ツール：Hudson Rock などのデータを解析／視覚化

GoSearch: Open-source OSINT tool for uncovering digital footprints

2025/04/28 HelpNetSecurity — GoSearch が提供するものは、Hudson Rock のサイバー犯罪データベースのデータを取り入れ、サイバー犯罪との関連性に示す詳細な情報である。また、BreachDirectory.org と ProxyNova のデータベースも活用し、ユーザー名に関連付けられたプレーン・テキストやハッシュ化されたパスワードなどの、侵害されたデータへの広範なアクセスを提供している。不要な複雑さを避け、信頼性の高い結果を求める捜査官にとって、GoSearch は最適なツールとなっている。

FastCGI Library の脆弱性 CVE-2025-23016 が FIX：ヒープ・オーバーフローの恐れ

Critical FastCGI Library Flaw Exposes Embedded Devices to Code Execution

2025/04/28 gbhackers — ライトウェイトな Web サーバ通信のコア・コンポーネントである、FastCGI ライブラリに発見された深刻な脆弱性 CVE-2025-23016 により、多数の組み込みデバイスや IoT デバイスにリモート・コード実行の脅威が生じている。

NETSCOUT nGeniusONE の複数の脆弱性が FIX：認証に関連する深刻な問題に対処

Multiple Vulnerabilities in NETSCOUT nGeniusONE Threaten Infrastructure Visibility Platforms

2025/04/28 SecurityOnline — NETSCOUT が公開したのは、主力インフラ監視プラットフォーム nGeniusONE に存在する、一連のセキュリティ脆弱性に対処するためのアドバイザリである。NETSCOUT の nGeniusONE ソリューションは、データセンター／クラウド環境／リモート・オフィスなどの多様なインフラ環境を、リアルタイムで可視化するパワフルなツールである。

サイバー犯罪フォーラム BreachForums の突然の消失：MyBB の脆弱性との決別を主張

BreachForums Displays Message About Shutdown, Cites MyBB 0day Flaw

2025/04/28 hackread — BreachForums 投稿した PGP 署名付きのメッセージは、2025年4月の突然の閉鎖を説明するものだ。その管理者は、MyBB のゼロデイ脆弱性が、自身のサイトに影響を与えていることを理由に挙げ、差し押さえを否定し、復旧の計画とクローンの存在を警告している。2025年4月の初旬に、サイバー犯罪とデータ漏洩に関する著名フォーラムである BreachForums が、何の説明もなくインターネットから姿を消した。ハッカー集団 ShinyHunters が管理／所有するフォーラムは、終了の説明もなくオフラインとなり、法執行機関による差し押さえの可能性について、さまざまな憶測が飛び交った。

Brave の Cookiecrumbler が OSS 化：AI を用いて Cookie 同意通知をブロック

Brave’s Cookiecrumbler tool taps community to help block cookie notices

2025/04/27 BleepingComputer — Brave の Cookiecrumbler という新しいツールが、オープンソース化された。このツールは、大規模言語モデル (LLM) を用いて Cookie 同意通知を検出し、コミュニティ主導のレビューに基づき、サイトの機能に支障をきたさない通知をブロックするものだ。

Python の h11 HTTP Library の脆弱性 CVE-2025-43859 が FIX：リクエスト・スマグリングの恐れ

CVE-2025-43859: Request Smuggling Vulnerability in Python’s h11 HTTP Library

2025/04/27 SecurityOnline — Python で記述され、最小限の機能だけを持ち、I/O に依存しない、HTTP/1.1 プロトコル・ライブラリ h11 に、深刻な脆弱性 CVE-2025-43859 (CVSS：9.1) が発見された。この脆弱性により、不適切なコンフィグやバグのある HTTP プロキシと連携するアプリケーションにおいて、h11 に対するリクエスト・スマグリング攻撃の可能性が生じている。

ScreenConnect の脆弱性 CVE-2025-3935 が FIX：ASP.NET ViewState での RCE

ConnectWise Patches Critical ViewState RCE Vulnerability in ScreenConnect

2025/04/26 SecurityOnline — ConnectWise が発表したのは、ScreenConnect のバージョン 25.2.3 以下に存在する、コード・インジェクションの脆弱性 CVE-2025-3935 (CVSS：8.1) に対処する、セキュリティ情報である。この脆弱性は、ASP.NET の ViewState メカニズムに関連するものであり、マシンキーが侵害された場合において、影響を受けるサーバ上でのリモート・コード実行 (RCE) の可能性が生じる。

WooCommerce 管理者を標的とする偽のセキュリティ警告：フェイク・パッチへの誘導に要注意

WooCommerce Users Targeted by Fake Security Vulnerability Alerts

2025/04/25 gbhackers — WooCommerce ユーザーを標的とする、大規模なフィッシング・キャンペーンの存在を、Patchstack セキュリティ・チームが発見した。このキャンペーンは、きわめて洗練されたメールと Web ベースのフィッシング・テンプレートを用いて、Web サイト所有者を欺いていく。

Windows Update を止めてしまう “inetpub” フォルダ削除：沈黙を貫く Microsoft

Microsoft’s Patch for Symlink Exploit Introduces New Windows Update DoS Flaw

2025/04/25 SecurityOnline — 2025年4月に Microsoft は、Windows に存在するセキュリティ脆弱性 CVE-2025–21204 に対する修正の一環として、SYSTEM ルート・ディレクトリに “inetpub” という空のフォルダを作成した。このディレクトリの用途は、Internet Information Services (IIS) が Web サイトのファイルを保存するためのものだが、なんの説明もなく出現したことで、多くのユーザーがバグだと思い込み、手動で削除したケースもあるという。

Craft CMS の脆弱性 CVE-2025-32432 の悪用を検出：Yii の脆弱性との連鎖が発生

Craft CMS RCE exploit chain used in zero-day attacks to steal data

2025/04/25 BleepingComputer — Craft CMS に影響を及ぼす２件の脆弱性が、ゼロデイ攻撃で連鎖的に利用され、サーバへの侵入ベクターとなり、データ窃取にいたるという攻撃が発生し、現在も悪用が続いていると、CERT Orange Cyberdefense が警告している。これらの脆弱性は、侵害を受けたサーバの調査に招集された、Orange Cyberdefense の CSIRT により発見されたものだ。

Chrome の解放後メモリ使用の脆弱性：新たな MiraclePtr 防御メカニズムで撃退

Chrome UAF Process Vulnerabilities Actively Exploited

2025/04/25 gbhackers — Google Chrome ブラウザ・プロセスに存在する、２つの深刻な解放後メモリ使用 (UAF) 脆弱性が実際に悪用され、サンドボックス・エスケープや任意のコード実行の危険が生じていることが、セキュリティ研究者たちにより明らかにされた。その一方で Google は、MiraclePtr 防御メカニズムを導入しており、これらの脆弱性の悪用の道が閉ざされるという、ブラウザ・セキュリティにおける重要なマイルストーンが達成された。

SAP NetWeaver の脆弱性 CVE-2025-31324 が FIX：すでに悪用を観測

New Critical SAP NetWeaver Flaw Exploited to Drop Web Shell, Brute Ratel Framework

2025/04/25 TheHackerNews — SAP NetWeaver の新たな脆弱性を悪用する攻撃者が、 JSP Web シェルを展開し、不正ファイルのアップロードやコード実行を試みているようだ。2025年4月22日に ReliaQuest が公開したレポートによると、「この攻撃は、以前に開示された “脆弱性 CVE-2017-9844” もしくは “未報告のリモート・ファイル・インクルージョン (RFI) 脆弱性” の、いずれかと関連している可能性が高い」という。すでに最新のパッチが適用されたシステムの一部が影響を受けていることから、この攻撃がゼロデイ攻撃である可能性が高いと、同社は指摘している。

Apple Archive の脆弱性 CVE-2024-27876 が FIX：任意のファイル書込と Gatekeeper バイパスと PoC

CVE-2024-2787: Apple Archive Flaw Enables Arbitrary File Write and Gatekeeper Bypass, PoC Releases

2025/04/25 SecurityOnline — Apple 独自の libAppleArchive ライブラリで発見された、脆弱性 CVE-2024-27876 (CVSS：8.1) を悪用する攻撃者は、macOS／iOS システム上で任意のファイルへの書き込みを達成するため、Apple Gatekeeper 保護を回避する可能性を手にすると指摘されている。この深刻な脆弱性は、セキュリティ研究者である Snoolie Keffaber により発見されたものであり、技術的分析と PoC エクスプロイトにより武器化が実証されている。

Spring Security の脆弱性 CVE-2025-22234 が FIX：タイミング攻撃を可能にするバグが混入

Spring Security Vulnerability Exposes Valid Usernames to Attackers

2025/04/25 gbhackers — Spring Security で発見されたセキュリティ脆弱性 CVE-2025-22234 により、広く使用されているフレームワークの深刻な弱点が露呈した。この脆弱性は spring-security-crypto パッケージの複数のバージョンに影響するものであり、ログイン応答時間の顕著な差を分析する攻撃者が、有効なユーザー名を判別できるようになるため、タイミング攻撃の攻撃経路となると、HeroDevs のレポートが指摘している。

CVE プログラムの今後：CISA が再確認する継続的なサポートの約束とは？

CISA Clarifies CVE Program’s Stability Amid Funding Concerns

2025/04/24 SecurityOnline — CVE (Common Vulnerabilities and Exposures) プログラムの不安定さを懸念する、最近のメディア報道を受けるかたちで CISA は、最も重要なサイバー・セキュリティ・インフラの一つである CVE を維持するコミットメントを、強い声明で再確認している。

Redis の脆弱性 CVE-2025-21605 が FIX：サービス拒否 (DoS) 攻撃の可能性

Redis Vulnerability Exposes Servers to Denial-of-Service Attacks

2024/04/24 SecurityOnline — 広く利用される OSS のインメモリ・データ・ストア Redis に、深刻な脆弱性が発見された。この脆弱性を悪用する未認証の攻撃者により、サーバ・メモリの枯渇と、サービス拒否 (DoS) 状態が引き起こされる可能性がある。脆弱性 CVE-2025-21605 (CVSS：7.5) は、Redis のバージョン 2.6 以降に影響を及ぼすものだ。

Cisco 製品群に影響を及ぼす Erlang/OTP SSH の脆弱性 CVE-2025-32433：暫定アドバイザリが公開

Multiple Cisco Tools at Risk from Erlang/OTP SSH Remote Code Execution Flaw

2024/04/24 gbhackers — Cisco が発行したのは、Erlang/OTP の SSH サーバを使用する製品群に存在する、深刻なリモート・コード実行 (RCE) の脆弱性に関する、重要なアドバイザリ (cisco-sa-erlang-otp-ssh-xyZZy) である。この脆弱性 CVE-2025-32433 (CVSS：10.0) の悪用に成功した未認証の攻撃者は、脆弱なデバイス上で任意のコード実行を達成し、企業のネットワーク／クラウド・インフラ／通信システムにリスクをもたらす。

GitLab の XSS の脆弱性 CVE-2025-1763／2443 などが FIX：XSS によるアカウント乗っ取りの恐れ

GitLab Releases Security Update to Patch XSS and Account Takeover Flaws

2024/04/24 SecurityOnline — GitLab が発表したのは、セルフ・マネージド GitLab 環境の速やかなアップグレードを、ユーザーに求めるセキュリティ・アドバイザリである。このアドバイザリで取り上げられるのは、GitLab Community Edition (CE)／Enterprise Edition (EE) のバージョン 17.11.1／17.10.5／17.9.7 のリリースであり、重要なバグとセキュリティ修正が提供されている。

SonicWall SSLVPN の脆弱性 CVE-2025-32818 が FIX：ファイアウォール・クラッシュの恐れ

High-Severity SonicWall SSLVPN Vulnerability Allows Firewall Crashing

2024/04/24 SecurityOnline — SonicWall が公開したのは、SonicOS SSLVPN Virtual Office インターフェイスに影響を及ぼす脆弱性に関する情報である。この脆弱性を悪用するリモートの攻撃者は、ファイアウォール・アプライアンスをクラッシュさせる可能性を手にする。この脆弱性 CVE-2025-32818 (CVSS：7.5) は、SonicWall Gen7 デバイスを用いてセキュアなネットワーク・アクセスを実現している企業にとって、深刻度の高い問題となっている。

Ivanti Connect Secure の脆弱性 CVE-2025-0282 が標的：DslogdRAT の展開を検証 – JPCERT/CC

Hackers Exploit Ivanti Connect Secure 0-Day to Deploy DslogdRAT and Web Shell

2025/04/24 gbhackers — Ivanti Connect Secure のゼロデイ脆弱性 CVE-2025-0282 を悪用する脅威アクターが、Web シェルや DslogdRAT などの、高度な悪意のツールを展開している。JPCERT/CC の詳細な分析によると、これらの攻撃が浮き彫りにするのは、サイバー犯罪者たちに頻繁に標的化される、Ivanti 製品における執拗かつ最新のリスクである。

2025 Q1 に悪用された CVE は 159件：１日以内に攻撃が始まったのは 28.3% – VulnCheck 調査

159 CVEs Exploited in Q1 2025 — 28.3% Within 24 Hours of Disclosure

2025/04/24 TheHackerNews — 2025 Q1 において、実環境で悪用された CVE は 159件にのぼり、2024 Q4 の 151件から増加していることが明らかになった。セキュリティ企業 VulnCheck は、「脆弱性の情報が公開されてから、悪用されるまでの時間の短縮という傾向が続いており、CVE 公開から 1 日以内に悪用された脆弱性は、28.3% に達している」と、The Hacker News に共有したレポートで述べている。

NVIDIA NeMo の脆弱性 CVE-2025-23249／23250／23251 が FIX：RCE の恐れ

NVIDIA NeMo Vulnerability Enables Remote Exploits

2025/04/24 gbhackers — NVIDIA が発表したのは、AI 搭載アプリケーションの開発に広く使用される NeMo Framework に存在する、深刻度の高い３件の脆弱性に対処する緊急セキュリティ・アドバイザリである。

Commvault Command Center の脆弱性 CVE-2025-34028 (CVSS 10.0) が FIX：ただちにパッチを！

CVE-2025-34028: Critical RCE Flaw in Commvault Command Center Scores CVSS 10

2024/04/24 SecurityOnline — Commvault が公開したのは、Command Center に影響を与える、深刻な脆弱性 CVE-2025-34028 (CVSS：10.0) に関する情報である。この脆弱性を悪用する未認証のリモート攻撃者は、任意のコード実行を達成し、システム全体でセキュリティ侵害を引き起こす可能性を手にする。公式アドバイザリには、「Command Center に重大なセキュリティ脆弱性が発見された。この脆弱性により、リモート攻撃者が、認証を必要とすることなく、任意のコード実行を引き起こす可能性がある」と記されている。

NetScaler Console の脆弱性 CVE-2024-6235：2024/07 のパッチ適用と PoC のリリース

CVE-2024-6235: NetScaler Console Flaw Enables Admin Access, PoC Publishes

2025/04/24 SecurityOnline — Citrix NetScaler Console に発見された、深刻な脆弱性 CVE-2024-6235 (CVSSv4：9.4) の詳細が、セキュリティ研究者である chutton-r7 により解析され、認証を必要としないセッション乗っ取りにいたることが判明した。この脆弱性を悪用する攻撃者は、内部 API を介して管理者アカウントを作成できる。この脆弱性は情報漏洩に分類されており、きわめて深刻な影響を、実環境に及ぼすとされる。

Verizon DBIR 2025：脆弱性悪用とサードパーティ経由による侵害が急増

Verizon DBIR 2025: Vulnerability Exploitation Surges, Third-Party Breaches Double

2025/04/24 SecurityOnline — Verizon のデータ漏洩調査報告書 2025年版 (Data Breach Investigations Report：DBIR) が明らかにするのは、組織が注意を払うべき、サイバー脅威の状況における重要な変化である。このレポートでは、データ侵害が確認された 12,195 件のインシデントが分析されており、攻撃者による脆弱性の悪用が、主要なイニシャル・アクセスポイントとして増加している状況が示されている。

Grafana の脆弱性 CVE-2025-3260／2703／3454 が FIX：ダッシュボード権限バイパスなどの恐れ

Grafana Patches CVE-2025-3260 and More in Critical Security Update

2025/04/24 SecurityOnline — Grafana Labs が公表したのは、複数の製品バージョンにまたがる、セキュリティ・アップデートのリリースである。このアップデートでは、Grafana OSS／Enterprise エディションに影響を及ぼす、深刻度が High 脆弱性１件と、Medium の脆弱性２件が修正されている。最も深刻な脆弱性 CVE-2025-3260 (CVSS：8.3：High) に関しては、最小権限のユーザーであっても、それを悪用することで、ダッシュボードに対する不正なアクセスや変更の機会を得るという。

AI によるエクスプロイト開発の自動化：Erlang の脆弱性 CVE-2025-32433 が数時間で武器化

AI Turns CVEs into Exploits in Hours: The Case of CVE-2025-32433

2025/04/23 SecurityExpress — エクスプロイト開発の自動化は、もはや遠い未来の話ではなく、現実の世界のものである。適切なプロンプトとオープンソース・データへのアクセスがあれば、人工知能は脆弱性に関する説明を、わずか数時間で実用的なエクスプロイトに変換できる。それを実証したのは ProDefense のエキスパート Matthew Keeley であり、Erlang SSH ライブラリの深刻な脆弱性 CVE-2025-32433 のエクスプロイトを、僅か一晩で作成することに成功したのだ。