ASUS routers with AiCloud vulnerable to auth bypass exploit
2025/04/18 SecurityAffairs — ASUS が発表したのは、AiCloud 対応ルーターに影響を及ぼす、認証バイパスの脆弱性 CVE-2025-2492 (CVSS v4：9.2) に関する警告である。この脆弱性悪用に成功したリモート攻撃者は、デバイス上で不正な機能を実行する機会を得る。リモート攻撃者は、認証を必要とすることなく、細工されたリクエストの送信により、この脆弱性を悪用できるという。
Continue reading “ASUS の AiCloud 対応ルーターの脆弱性 CVE-2025-2492 が FIX：細工されたリクエストの送信で認証バイパス”CISA warns threat hunting staff of end to Google, Censys contracts as agency cuts set in
2025/04/18 NextGov — Cybersecurity and Infrastructure Security Agency (CISA) が、今週に数百人の職員に対して通知した内容は、サイバー・セキュリティ・ツールの１つを廃止し、脅威ハンティングに特化したツールの廃止も予定しているというものである。事情に詳しい２人の関係者の内部メールを、Nextgov/FCW が確認したことで、この動きが明らかになった。
Continue reading “CISA における予算削減の余波：VirusTotal と Censys との利用契約が終了か？”GCVE: Decentralizing Vulnerability Identification for Greater Agility
2025/04/18 SecurityOnline — 新たな取り組みとして始動した Global CVE (GCVE) 割り当てシステムは、セキュリティ脆弱性の特定と、CVEID の採番という重要な作業に、分散型のアプローチを導入している。このシステムでは、独立した GCVE Numbering Authorities (GNA) が CVE ID を直接的に割り当てられるようになるため、従来の中央集権型の手法と比べて、より高い自律性と迅速さが期待されている。
Continue reading “GCVE という新たな取組：CVE ID 管理を中央集権から分散へと向かわせる”Critical CVE-2025-32433 PoC Released: Erlang/OTP SSH Vulnerability Enables RCE
2025/04/18 SecurityOnline — Erlang/OTP SSH アプリケーションに存在する、深刻な脆弱性 CVE-2025-32433 に対する、PoC エクスプロイト・コードを、匿名のセキュリティ研究者が公開した。この脆弱性により、脆弱なバージョンの Erlang/OTP SSH サーバを実行するシステム上で、認証を必要としないリモート・コード実行が可能になる。この状況は、テレコム・グレードの高可用性インフラを、Erlang に依存する環境にとって大きな懸念事項となる。
Continue reading “Erlang/OTP SSH の深刻な脆弱性 CVE-2025-32433：PoC がリリース”Critical Bubble.io Vulnerability Exposes Apps to Data Theft via Elasticsearch, No Patch
2024/04/18 SecurityOnline — 人気急上昇中のノーコード開発プラットフォーム Bubble.io に、アプリケーションと機密データを危険にさらす、深刻なセキュリティ脆弱性が発見された。この脆弱性は、2024年にセキュリティ研究者たちにより発見されたものであり、その悪用に成功した攻撃者は、プラットフォームの制限を回避し、基盤となる Elasticsearch データベースに対するダイレクトなクエリ実行を可能にする。
Continue reading “Bubble.io の深刻な脆弱性 CVE-N/A：全ユーザー・データの漏洩と No Patch と PoC”2025/04/18 SecurityAffairs — 米国 CISA (Cybersecurity and Infrastructure Security Agency) は、Apple 製品および Microsoft Windows NTLM の脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに追加した。今回、KEV に追加されたのは、以下の３件の脆弱性である。
CVE-2024-53141: Linux Kernel Flaw Enables Privilege Escalation, PoC Releases
2025/04/18 SecurityOnline — Linux Kernel の脆弱性 CVE-2024-53141 (CVSS：7.8) に関する、技術的詳細と PoC エクスプロイトを、あるセキュリティ研究者が公開した。この脆弱性は、netfilter サブシステムの ipset コンポーネントにおける、深刻な境界外アクセス (OOB：out-of-bounds) の欠陥であり、bitmap_ip_uadt 関数の微妙なバグに起因する。そのため、脅威アクターに対して、強力なエクスプロイト・チェーンが提供され、権限昇格／KASLR バイパスに加えて、完全なカーネル・レベルでのコード実行の可能性が生じる。
Continue reading “Linux Kernel の脆弱性 CVE-2024-53141：権限昇格と RCE の PoC がリリース”Hitachi Vantara Patches Critical Resource Injection Flaw in Pentaho
2025/04/18 SecurityOnline — Hitachi Vantara が発表したのは、広く利用される Pentaho Data Integration & Analytics プラットフォームに存在する、深刻な脆弱性に対処するための緊急セキュリティ・アドバイザリである。この脆弱性 CVE-2025-0756 (CVSS：9.1) は、リソース識別子の不適切な制御に起因するリソース・インジェクションを引き起こすものであり、特定の条件下ではリモート・コード実行にいたる可能性もある。
Continue reading “Hitachi Vantara の脆弱性 CVE-2025-0756 が FIX：リソース・インジェクションの可能性”
IoT OT Security News 