April 30, 2025 – IoT OT Security News

CISA KEV 警告 25/04/29：SAP NetWeaver のゼロデイ脆弱性 CVE-2025-31324 を登録

CISA Adds SAP NetWeaver Zero-Day CVE-2025-31324 to KEV Database

2025/04/30 SecurityOnline — SAP NetWeaver の深刻なセキュリティ脆弱性が積極的に悪用され、世界中の組織に重大な脅威をもたらしている。Cybersecurity and Infrastructure Security Agency (CISA) は、この脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、迅速な対応の必要性を強調している。

Zimbra Collaboration の CSRF 脆弱性 CVE-2025-32354 が FIX：GraphQL の欠陥が甚大な被害を招く

Zimbra Collaboration GraphQL Flaw Lets Hackers Steal User Information

2025/04/30 gbhackers — Zimbra Collaboration Suite (ZCS) に存在する深刻なクロスサイト・リクエスト・フォージェリ (CSRF) の脆弱性 CVE-2025-32354 により、メール・サーバとユーザー・データに悪用のリスクが生じている。この脆弱性の影響が及ぶ範囲はバージョン 9.0 〜 10.1 であり、その悪用に成功した攻撃者は、認証済みセッションの乗っ取りや、パスワード／連絡先／メールの内容などの機密情報の窃取を可能にするという。

Chrome の脆弱性 CVE-2025-4096 などが FIX：任意のコード実行とシステム制御奪取の可能性

Chrome Update Fixes High-Severity Security Flaw (CVE-2025-4096)

2025/04/30 SecurityOnline — Chrome チームが公表したのは、Windows／Mac／Linux 向けのバージョン 136 を提供する、最新のステイブル・チャネル・アップデートのリリースである。このアップデートでは、通常どおりに内部的な改善が施されているが、注目すべきは、同梱されている８つの重要なセキュリティ修正である。

AI プロトコル MCP／A2A に潜む脅威：新たな視点から AI ツールとデータ流出を考える

Researchers Demonstrate How MCP Prompt Injection Can Be Used for Both Attack and Defense

2025/04/30 thehackernews — AI 分野が急速に進化する中で、Model Context Protocol (MCP) の悪用方法が分析され、プロンプト・インジェクション攻撃だけではなく、セキュリティ・ツールの開発や悪意のツールの特定などもカバーできそうなことが、Tenable の調査により明らかになった。Anthropic が 2024年11月に発表した、新しいプロトコル MCP は、大規模言語モデル (LLM：Large Language Models) と外部のデータソース／サービスを接続するために設計されたものだ。その目的は、LLM が選ぶ外部ツールを通じて、それらのシステムと連携し、AI アプリケーションの精度／関連性／実用性などを高めるところにある。

OAuth ミスコンフィグの脆弱性：YesWeHack バグ・バウンティで判明した際限のない PII の抽出

Researchers Exploit OAuth Misconfigurations to Gain Unrestricted Access to Sensitive Data

2025/04/30 gbhackers — 先日に実施された YesWeHack バグ・バウンティ・キャンペーンにおいて、OAuth2 認証情報のミスコンフィグに起因する深刻な脆弱性が、あるセキュリティ研究者により発見された。Web アプリケーションを詳細に分析した結果として、この認証フレームワークにおける些細な見落としが深刻なリスクをもたらすという、驚くべき状況が明らかになった。

Windows LNK の脆弱性と NTLM ハッシュ抽出：PoC の提供と MOTW 依存の Microsoft

Unpatched Windows LNK Vulnerability Allows Attacker to Capture NTLM Hash

2025/04/30 SecurityOnline — Windows の LNK ファイル (ショートカット) に影響を及ぼす未修正の脆弱性を、セキュリティ研究者である Nafiez が公開した。この問題は、ユーザーによる明示的なショートカットの起動を必要とせずに、UNC パスを介して NTLM ハッシュを盗み取ることが可能になるというものだ。すでに PoC エクスプロイトが機能しているが、Mark of the Web (MOTW) が十分な保護手段であるとする Microsoft は、この脆弱性への修正を拒否している。

Docker Desktop macOS 版の脆弱性 CVE-2025-4095 が FIX：コンテナ・イメージへの不正アクセスの恐れ

Docker Registry Vulnerability Lets macOS Users Access Any Registry Without Authorization

2025/04/30 gbhackers — 先日に発見された Docker Desktop macOS 版の脆弱性が、開発者やセキュリティ・コミュニティの間で懸念を引き起こしている。この脆弱性は、Registry Access Management (RAM) ポリシーの、特定の状況下での不適切な適用に起因しており、悪意の可能性のあるコンテナ・イメージへの不正アクセスを許す可能性がある。それにより、サプライチェーン攻撃のリスクに、ユーザー組織が直面する可能性が生じる。

PowerDNS DNSdist の脆弱性 CVE-2025-30194 が FIX：サービス拒否の可能性

High-Severity DoS Vulnerability Found in PowerDNS DNSdist (CVE-2025-30194)

2025/04/30 SecurityOnline — PowerDNS チームが公開したのは、同社の DNS ロード・バランサーである DNSdist に存在する、サービス拒否 (DoS) 脆弱性 CVE-2025-30194 (CVSS：7.5) に関するセキュリティ・アドバイザリである。この脆弱性は、DNS over HTTPS (DoH) の nghttp2 プロバイダーが設定されているバージョン 1.9.0〜1.9.8 に影響を及ぼし、悪意の DoH エクスチェンジにより悪用される可能性がある。

Apple AirPlay の脆弱性群が FIX：Wi-Fi を介した RCE とデバイス・ハイジャック

Wormable AirPlay Zero-Click RCE Flaw Allows Remote Device Hijack via Wi-Fi

2025/04/30 gbhackers — Apple AirPlay のプロトコルと SDK に存在し、Airborne と総称される一連の深刻な脆弱性が明らかになった。それらの脆弱性により、さまざまな攻撃経路が現実のものになるという。これらの脆弱性の中で最も深刻なことは、”wormable” なゼロクリックのリモート・コード実行 (RCE) が可能になることだ。つまり、攻撃者はユーザーの操作なしに、Wi-Fi 経由で Apple およびサードパーティ・デバイスの乗っ取りが可能になる。その影響の範囲は広大であり、Mac／iPhone／iPad／Apple TV／CarPlay システムや、サードパーティの AirPlay 対応スピーカーなどの、世界中の数十億台のデバイスに及ぶ。

Rancher の脆弱性 CVE-2024-22031 が FIX：プロジェクトの名前空間の衝突による権限昇格

Rancher Releases Patch for CVE-2024-22031 Privilege Escalation Vulnerability

2025/04/30 SecurityOnline — SUSE Rancher セキュリティ・チームが発行したのは、人気の OSS コンテナ管理プラットフォーム Rancher の複数バージョンに影響を与える、新たな脆弱性に関するセキュリティ・アドバイザリである。この脆弱性 CVE-2024-22031 (CVSS：8.6) を悪用する攻撃者は、Kubernetes クラスター間での権限昇格を達成し、コンテナ化されたアプリケーションを本番環境で実行するエンタープライズ環境に対して、深刻なリスクをもたらすという。

SonicWall SMA100 VPN の脆弱性 CVE-2023-44221／CVE-2024-38475：積極的な悪用が警告される

SonicWall: SMA100 VPN vulnerabilities now exploited in attacks

2025/04/30 BleepingComputer — SonicWall が公表したのは、同社の Secure Mobile Access (SMA) アプライアンスに影響を与える複数の脆弱性が、現時点で攻撃に積極的に悪用されているという注意喚起である。4月29日 (火) に SonicWall は、脆弱性 CVE-2023-44221／CVE-2024-38475 に対するセキュリティ・アドバイザリを更新し、これら２つの脆弱性について、潜在的に悪用されている可能性があると説明した。