April 10, 2025 – IoT OT Security News

SonicWall NetExtender VPN クライアントの脆弱性 CVE-2025-23008 などが FIX：だたちにパッチを！

SonicWall Patches Multi Vulnerabilities in NetExtender VPN Client

2025/04/10 SecurityOnline — SonicWall が発表したのは、社内ネットワークへ向けた安全なリモート・アクセスのために組織内で広く利用される、VPN ツール NetExtender Windows クライアントで発見された、３つの脆弱性に関するセキュリティ・アドバイザリである。

CISA KEV 警告 25/04/09：Linux Kernel の脆弱性 CVE-2024-53197／53150 を登録

CISA Warns of Actively Exploited Linux Kernel Vulnerabilities (CVE-2024-53197, CVE-2024-53150)

2025/04/10 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Linux Kernel で新たに発見された２つの脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに追加し、それぞれの脆弱性の武器化について警告を発している。

Cisco の脆弱性 CVE-2018-0171 は危険：７年前から公開され続ける脆弱なデバイスとは？

Seven Years Later: Cisco CVE-2018-0171 Still Exposes Thousands to RCE

2024/04/10 SecurityOnline — 長年にわたり存在してきた Cisco の脆弱性 CVE-2018-0171 だが、最新の知見と実環境におけるテストにより、その全容が明らかにされた。Smart Install のリモートコード実行 (RCE) の脆弱性は、７年前に公開されたものだが、いまも 1,200台以上の Cisco デバイスが、この脆弱なサービスをインターネットに公開し続けている。この記事では、シニア・セキュリティ・コンサルタントであり、元ネットワーク・エンジニアでもある Guy Bruneau が公開した、詳細なレポートを紹介していく。

WordPress SureTriggers プラグインの脆弱性 CVE-2025-3102 が FIX：PoC も提供

Rogue Account‑Creation Flaw Leaves 100 K WordPress Sites Exposed

2025/04/10 gbhackers — WordPress のプラグイン SureTriggers に、深刻な脆弱性 CVE-2025-3102 が発見された。この脆弱性により、10万以上の Web サイトが危険にさらされると懸念されている。この問題により、SureTriggers プラグインが適切にコンフィグされていないサイトにおける、不正な管理者ユーザーの作成を、攻撃者は可能にするとされる。なお、この脆弱性は、セキュリティ研究者である mikemyers により発見されたものである。

Dell PowerScale OneFS の脆弱性 CVE-2025-27690 などが FIX：速やかな対応が必須

Dell Addresses Security Vulnerabilities in PowerScale OneFS

2025/04/10 SecurityOnline — Dell が発表したのは、同社のスケールアウト NAS (Network-Attached Storage) オペレーティング・システム PowerScale OneFS における、複数の脆弱性に対処するセキュリティ・アドバイザリである。これらの脆弱性が脅威アクターにより悪用されると、影響を受けるシステムへの侵入を許すことになるという。

NATS Server の脆弱性 CVE-2025-30215 が FIX：JetStream API におけるアクセス制御の欠如

NATS Server Vulnerability: Missing Access Controls in JetStream API

2025/04/10 SecurityOnline — シンプルなデジタル・コミュニケーションのためのシステム／サービス／デバイスを提供する NATS Server に、セキュリティ上の脆弱性が発見された。この脆弱性 CVE-2025-30215 の脆弱性は、JetStream (JS) API におけるアクセス制御の欠如に起因する。

NAKIVO の脆弱性 CVE-2025-32406 が FIX：深刻な XXE による不正アクセスと情報漏洩

High-Severity XXE Vulnerability Found in NAKIVO Backup & Replication

2025/04/10 SecurityOnline — 広く普及しているデータ保護ソリューション NAKIVO Backup & Replication に、深刻度の高いセキュリティ脆弱性が発見された。この XML External Entity (XXE) の脆弱性 CVE-2025-32406 は、影響を受けるバージョンを使用するシステムに重大なリスクをもたらす。

MCP に潜む脆弱性：AI 時代の新たな脅威として浮上するツール・ポイズニング攻撃

Tool Poisoning Attacks: Critical Vulnerability Discovered in Model Context Protocol (MCP)

2025/04/10 SecurityOnline — Model Context Protocol (MCP) に存在する深刻な脆弱性は、ツール・ポイズニング攻撃 (TPA：Tool Poisoning Attacks) を可能にするものだと、Invariant Labs が明らかにした。AI エージェントが利用する、無害に見えるツールを悪用する TPA により、機密データの流出／AI の挙動の乗っ取り／リモート・コード実行などが引き起こされる恐れがある。Invariant のセキュリティ・チームは、ユーザーに対して、「サードパーティの MCP サーバに接続する際には十分な注意を払い、機密情報を保護するためのセキュリティ対策を実施してほしい」と促している。