April 2025 – Page 3 – IoT OT Security News

NIST NVD が運用体制を刷新：CVE バックログの解消に向けた改革とは？

NVD Revamps Operations as Vulnerability Reporting Surges

2025/04/11 InfoSecurity — 内部の混乱と脆弱性のバックログの増加に揺れた激動の１年を経て、米国 NIST (National Institute of Standards and Technology) 内の NVD (National Vulnerability Database) チームはようやく安定を取り戻した。しかし、いまの NVD は、新たな課題に直面している。つまり、報告される脆弱性の急増により膨れ上がったバックログが、再建されたチームの努力を上回る勢いを見せているのだ。

WordPress OttoKit の脆弱性 CVE-2025-3102：パッチのリリースと積極的な悪用の検出

Vulnerability in OttoKit WordPress Plugin Exploited in the Wild

2025/04/11 SecurityWeek — WordPress プラグインである OttoKit の脆弱性を、脅威アクターたちが積極的に悪用しており、多くの Web サイトに深刻な侵害の可能性があると、WordPress セキュリティ企業の Wordfence が警告している。以前には SureTriggers という名称だった OttoKit：All-in-One Automation Platform は、Web サイト管理者によるタスクの自動化と、アプリケーション／Web サイト／WordPress プラグインの連携を担うプラグインである。

Langflow の深刻な脆弱性 CVE-2025-3248 が FIX：未認証のリモート攻撃による完全な侵害

Critical Vulnerability Exposes Langflow Servers to Full Compromise

2025/04/11 SecurityOnline — エージェント型 AI ワークフロー構築ツールとして、人気を博す Langflow に新たに発見された脆弱性により、重大なセキュリティ・リスクが生じると懸念されている。この脆弱性 CVE-2025-3248 は、未認証のリモート攻撃者により容易に悪用され、Langflow サーバの完全な侵害を引き起こす可能性があるという。Horizon3.ai のセキュリティ研究者である Naveen Sunkavally が、この脆弱性を特定した。

IAB たちの戦術転換：イニシャル・アクセスの低価格／大量販売で攻撃を加速 – Check Point 調査

Initial Access Brokers Shift Tactics, Selling More for Less

2025/04/11 TheHackerNews — アンダーグラウンド市場の仲介業者であるイニシャル・アクセス・ブローカー (IAB：Initial Access Broker) は、コンピュータ・システムやネットワークへの不正侵入を専門とし、そのアクセス権を他のサイバー犯罪者に販売することで利益を得ている。この“役割分担”により、IAB はソーシャル・エンジニアリングやブルートフォース攻撃などの手法を使った脆弱性の悪用という、自身の本業に専念できるというわけだ。

Fortinet からの警告：2023年の攻撃で仕込まれたポスト・エクスプロイト手法の生存

Fortinet: Hackers retain access to patched FortiGate VPNs using symlinks

2025/04/11 BleepingComputer — Fortinet が警告するのは、侵害された FortiGate VPN デバイスの、オリジナルの攻撃ベクターが修正された後でも、以前に存在していた読み取り専用アクセスを、脅威アクター維持できるという、ポスト・エクスプロイト手法の現状である。今週の初めに Fortinet は、FortiGuard デバイスから受信したテレメトリに基づき、FortiGate／FortiOS デバイスへの侵害を警告するメールを、顧客へ向けて送信し始めた。

AMD CPU 署名検証の脆弱性 CVE-2024-36347 が FIX：未承認マイクロ・コードの実行

AMD CPU Signature Verification Vulnerability Enables Unauthorized Microcode Execution

2025/04/11 gbhackers — AMD CPU に脆弱性が発見された。この脆弱性の悪用に成功した管理者権限を持つ攻撃者は、マイクロコードの署名検証の回避と、悪意のコード実行の可能性を手にする。脆弱性 CVE-2024-36347 (CVSS：6.4：Medium) は、AMD EPYC サーバ・プロセッサおよび、一部のコンシューマ向け Ryzen チップの、複数の世代に対して影響を及ぼす。

WordPress InstaWP の脆弱性 CVE-2025-2636 が FIX：サーバの制御を奪われる可能性

InstaWP Connect Plugin Exposes WordPress Sites to Critical File Inclusion Vulnerability

2025/04/11 SecurityOnline — WordPress の InstaWP Connect プラグインに深刻なセキュリティ脆弱性が確認され、このツールを使用する Web サイトに重大なリスクが生じている。この脆弱性 CVE-2025-2636 は、未認証のローカル PHP ファイル・インクルードの脆弱性であり、その影響を受ける Web サイトを、攻撃者が完全に制御する可能性がある。

Joomla の脆弱性 CVE-2025-25226／25227 が FIX：SQLi とMFA バイパスの恐れ

Joomla Security Alert: Critical SQL Injection & MFA Bypass Vulnerabilities Uncovered

2025/04/11 SecurityOnline — Joomla プロジェクトが発表したのは、CMS／Database パッケージに影響を及ぼす２つの深刻な脆弱性に対処する、セキュリティ・アナウンスメントである。その内容は、SQL インジェクションの脆弱性 CVE-2025-25226 と、２要素認証バイパスの脆弱性 CVE-2025-25227 である。

Spotfire 製品群の脆弱性 CVE-2025-3114／3115 が FIX：コード実行とシステム侵害の恐れ

Critical Vulnerabilities in Spotfire Products Allow Code Execution (CVE-2025-3114, CVE-2025-3115)

2025/04/11 SecurityOnline — Cloud Software Group が公開したのは、任意のコード実行やシステム侵害を許す可能性のある、Spotfire 製品の深刻な脆弱性に対するセキュリティ・アドバイザリである。このアドバイザリでは、脆弱性 CVE-2025-3114／CVE-2025-3115 ついて、詳細が説明されている。

Palo Alto が警告するブルートフォース試行の増加：前回のログイン・スキャンとの関連性は？

Palo Alto Networks Warns of Brute-Force Attempts Targeting PAN-OS GlobalProtect Gateways

2025/04/11 TheHackerNews — Palo Alto Networks が明らかにしたのは、PAN-OS GlobalProtect ゲートウェイに対する、ブルートフォース攻撃によるログイン試行を観測したという情報である。先日に警告されたのは、同社のアプライアンスを狙う脅威アクターたちの、不審なログイン・スキャン活動の急増だったが、それから数日後に、新たな悪意のアクティビティが観測されている。

Ivanti の脆弱性 CVE-2025-22457：APT による攻撃の解析と PoC の提供

Ivanti 0-Day RCE Flaw Exploitation Details Revealed

2024/04/11 gbhackers — Ivanti が公表した、認証不要の深刻なリモート・コード実行 (RCE) の脆弱性 CVE-2025-22457 により、サイバー・セキュリティ業界全体に懸念が広がっている。この脆弱性は複数の Ivanti 製品に影響を及ぼすものであり、攻撃者に対してリモート・コード実行を許すため、企業の機密環境が危険にさらされる可能性がある。その一方で、Rapid7 の脆弱性対策チームなどの研究者たちが、この脆弱性の悪用の方法と、その修正に必要な手順について、詳細な分析結果を公開している。

DNS Library “c-ares” の深刻な脆弱性 CVE-2025-31498 が FIX：use-after-free の可能性

Critical Vulnerability (CVE-2025-31498) Patched in c-ares DNS Library

2025/04/11 SecurityOnline — DNS (Domain Name System) は、人間が理解しやすいドメイン名を、コンピュータが理解できる数値の IP アドレスに変換するという、重要な役割を果たすものである。そして、この変換を促進する多くのアプリケーションコア核には、堅牢な非同期 DNS リゾルバ・ライブラリである c-ares が存在している。しかし、この最も信頼性の高いツールでさえ、潜在的な脆弱性を抱えている可能性があることを、先日に公開された CVE-2025-31498 が示している。

Jenkins Docker の脆弱性 CVE-2025-32754／32755 が FIX：トラフィック・ハイジャックの可能性

Jenkins Docker Vulnerability Allows Hackers to Hijack Network Traffic

2025/04/11 gbhackers — Jenkins Docker イメージに影響を及ぼす脆弱性が新たに発見され、ネットワーク・セキュリティに関する深刻な懸念が生じている。この脆弱性は、SSH ホストキーの再利用に起因するものであり、それそ悪用する攻撃者は Jenkins ビルド・エージェントを偽装し、機密性の高いネットワーク・トラフィックを乗っ取る機会を得る。

SonicWall NetExtender VPN クライアントの脆弱性 CVE-2025-23008 などが FIX：だたちにパッチを！

SonicWall Patches Multi Vulnerabilities in NetExtender VPN Client

2025/04/10 SecurityOnline — SonicWall が発表したのは、社内ネットワークへ向けた安全なリモート・アクセスのために組織内で広く利用される、VPN ツール NetExtender Windows クライアントで発見された、３つの脆弱性に関するセキュリティ・アドバイザリである。

CISA KEV 警告 25/04/09：Linux Kernel の脆弱性 CVE-2024-53197／53150 を登録

CISA Warns of Actively Exploited Linux Kernel Vulnerabilities (CVE-2024-53197, CVE-2024-53150)

2025/04/10 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Linux Kernel で新たに発見された２つの脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに追加し、それぞれの脆弱性の武器化について警告を発している。

Cisco の脆弱性 CVE-2018-0171 は危険：７年前から公開され続ける脆弱なデバイスとは？

Seven Years Later: Cisco CVE-2018-0171 Still Exposes Thousands to RCE

2024/04/10 SecurityOnline — 長年にわたり存在してきた Cisco の脆弱性 CVE-2018-0171 だが、最新の知見と実環境におけるテストにより、その全容が明らかにされた。Smart Install のリモートコード実行 (RCE) の脆弱性は、７年前に公開されたものだが、いまも 1,200台以上の Cisco デバイスが、この脆弱なサービスをインターネットに公開し続けている。この記事では、シニア・セキュリティ・コンサルタントであり、元ネットワーク・エンジニアでもある Guy Bruneau が公開した、詳細なレポートを紹介していく。

WordPress SureTriggers プラグインの脆弱性 CVE-2025-3102 が FIX：PoC も提供

Rogue Account‑Creation Flaw Leaves 100 K WordPress Sites Exposed

2025/04/10 gbhackers — WordPress のプラグイン SureTriggers に、深刻な脆弱性 CVE-2025-3102 が発見された。この脆弱性により、10万以上の Web サイトが危険にさらされると懸念されている。この問題により、SureTriggers プラグインが適切にコンフィグされていないサイトにおける、不正な管理者ユーザーの作成を、攻撃者は可能にするとされる。なお、この脆弱性は、セキュリティ研究者である mikemyers により発見されたものである。

Dell PowerScale OneFS の脆弱性 CVE-2025-27690 などが FIX：速やかな対応が必須

Dell Addresses Security Vulnerabilities in PowerScale OneFS

2025/04/10 SecurityOnline — Dell が発表したのは、同社のスケールアウト NAS (Network-Attached Storage) オペレーティング・システム PowerScale OneFS における、複数の脆弱性に対処するセキュリティ・アドバイザリである。これらの脆弱性が脅威アクターにより悪用されると、影響を受けるシステムへの侵入を許すことになるという。

NATS Server の脆弱性 CVE-2025-30215 が FIX：JetStream API におけるアクセス制御の欠如

NATS Server Vulnerability: Missing Access Controls in JetStream API

2025/04/10 SecurityOnline — シンプルなデジタル・コミュニケーションのためのシステム／サービス／デバイスを提供する NATS Server に、セキュリティ上の脆弱性が発見された。この脆弱性 CVE-2025-30215 の脆弱性は、JetStream (JS) API におけるアクセス制御の欠如に起因する。

NAKIVO の脆弱性 CVE-2025-32406 が FIX：深刻な XXE による不正アクセスと情報漏洩

High-Severity XXE Vulnerability Found in NAKIVO Backup & Replication

2025/04/10 SecurityOnline — 広く普及しているデータ保護ソリューション NAKIVO Backup & Replication に、深刻度の高いセキュリティ脆弱性が発見された。この XML External Entity (XXE) の脆弱性 CVE-2025-32406 は、影響を受けるバージョンを使用するシステムに重大なリスクをもたらす。

MCP に潜む脆弱性：AI 時代の新たな脅威として浮上するツール・ポイズニング攻撃

Tool Poisoning Attacks: Critical Vulnerability Discovered in Model Context Protocol (MCP)

2025/04/10 SecurityOnline — Model Context Protocol (MCP) に存在する深刻な脆弱性は、ツール・ポイズニング攻撃 (TPA：Tool Poisoning Attacks) を可能にするものだと、Invariant Labs が明らかにした。AI エージェントが利用する、無害に見えるツールを悪用する TPA により、機密データの流出／AI の挙動の乗っ取り／リモート・コード実行などが引き起こされる恐れがある。Invariant のセキュリティ・チームは、ユーザーに対して、「サードパーティの MCP サーバに接続する際には十分な注意を払い、機密情報を保護するためのセキュリティ対策を実施してほしい」と促している。

OpenAI を悪用する AkiraBot：中小企業の Web サイトを解析してフェイク SEO サービスを展開

New AkiraBot Abuses OpenAI API to Spam Website Contact Forms

2025/04/09 HackRead — AkiraBot と呼ばれる AI 搭載ボットによる、新たなスパム攻撃キャンペーンを、サイバー・セキュリティ研究者たちが特定した。AkiraBot は、中小企業の Web サイトを標的にして、カスタマイズされたプロモーション・メッセージを送り付けるものだ。高度なスパム・ツールである AkiraBot は、少なくとも８万件以上の Web サイトの問い合わせフォームや、チャット・ウィジェットへ向けてスパムを送信しており、2024年9月以降において 40万回以上の攻撃を仕掛けてきた。

Windows Active Directory DS の脆弱性 CVE-2025-29810 が FIX：権限昇格とドメイン侵害の可能性

Windows Active Directory Vulnerability Enables Unauthorized Privilege Escalation

2024/04/09 gbhackers — Microsoft が公表したのは、Windows Active Directory Domain Services (AD DS) に存在する、高リスクのセキュリティ脆弱性 CVE-2025-29810 に対する、緊急パッチ・リリースの情報である。この脆弱性を悪用する攻撃者は、権限昇格を達成し、ネットワーク・ドメイン全体を侵害する可能性を手にする。脆弱性 CVE-2025-29810 の深刻度は、CVSS v3.1 スケールは 7.5 (Important) と評価されており、Windows Server 2016 〜 2025 Edition を使用する組織に影響が生じる。

Kibana の脆弱性 CVE-2024-12556 が FIX：コード・インジェクションの恐れ

Kibana Code Injection Vulnerability: Prototype Pollution Threat (CVE-2024-12556)

2025/04/09 SecurityOnline — Elasticsearch が提供する、人気の OSS データ可視化フロントエンド Kibana に、新たに発見された脆弱性 CVE-2024-12556 (CVSS：8.7) には、特定の状況下でリモート・コード・インジェクションを許す可能性がある。この脆弱性は、プロトタイプ汚染の問題に起因するものであり、パス・トラバーサルと無制限のファイル・アップロードが組み合わされると、脆弱な Kibana 環境内で攻撃者にコード実行を許す可能性が生じる。

Chrome の深刻な脆弱性 CVE-2025-3066 が FIX：“Use After Free” の恐れ

Chrome Update Fixes High-Severity “Use After Free” Vulnerability

2025/04/09 SecurityOnline — Chrome の Stable チャネルで公表されたのは、Windows／Mac のバージョン 135.0.7049.84/.85 と、Linux のバージョン 135.0.7049.84 へのアップデートに関する情報である。このアップデートは、今後の数日から数週かけて、ユーザーに公開される予定だという。この最新リリースには、深刻度の高い脆弱性への対処に重点を置いた、重要なセキュリティ修正が取り込まれている。

Windows CLFS の脆弱性 CVE-2025-29824：PipeMagic RAT を介したランサムウェア攻撃で悪用

PipeMagic Trojan Exploits Windows Zero-Day Vulnerability to Deploy Ransomware

2025/04/09 TheHackerNews — Microsoft が明らかにしたのは、Windows Common Log File System (CLFS) に影響を及ぼす、すでに修正済みのセキュリティ脆弱性を、ゼロデイとして悪用するランサムウェア・グループが、標的を絞り込んだ攻撃を仕掛けていることだ。同社は、「この標的には、米国の IT 分野および不動産業界や、ベネズエラの金融業界、スペインのソフトウェア企業、サウジアラビアの小売業界などが含まれる」と述べている。

CISA KEV 警告 25/04/08：Windows CLFS と Gladinet CentreStack の脆弱性を登録

Critical Vulnerabilities: CISA Alerts to Windows CLFS and Gladinet CentreStack Threats

2025/04/09 SecurityOnline — 4月8日付で米国の Cybersecurity and Infrastructure Security Agency (CISA) は、２件の深刻な脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、ユーザーに対して速やかにパッチを適用するよう促している。１つ目は、Microsoft Windows Common Log File System (CLFS) の脆弱性 CVE-2025-29824 であり、２つ目は、Gladinet CentreStack の脆弱性 CVE-2025-30406 である。

Android のゼロデイ脆弱性 CVE-2024-53197／53150 が FIX：実際の攻撃での悪用を確認

Google fixed two actively exploited Android zero-days

2025/04/08 SecurityAffairs — Google が公表した、2025年4月の Android セキュリティ・アップデートは、62件の脆弱性に対処するものである。このアップデートには、標的型攻撃で悪用されている２件のゼロデイ脆弱性 CVE-2024-53197／CVE-2024-53150 が含まれる。脆弱性 CVE-2024-53197 は、Linux カーネルの問題であり、ALSA USB オーディオに影響を与えるものだ。悪意のデバイスにより、設定値を悪用されると、境界外メモリ・アクセスを引き起こす可能性が生じるという。

古い脆弱性は後回しに？ NIST が CVE データ管理の方針転換を発表

NIST Defers Pre-2018 CVEs to Tackle Growing Vulnerability Backlog

2025/04/08 InfoSecurity — NIST (National Institute of Standards and Technology) の正式発表によると、2018年1月1日以前に公開された、すべての CVE に対して、NVD 上で “Deferred” (保留) としてマークされることが決定したようだ。このステータスが付与された CVE は、CISA (Cybersecurity and Infrastructure Security Agency) の KEV (Known Exploited Vulnerabilities) に登録されない限り、詳細情報の更新の優先順位が下げられる。

Zoom Workplace の複数の脆弱性が FIX：XSS 攻撃を介した悪意のスクリプト挿入の可能性

Zoom Workplace Apps Vulnerability Enables Malicious Script Injection Through XSS Flaws

2025/04/08 gbhackers — Zoom Workplaceアプリに新たに発見された脆弱性 CVE-2025-27441／CVE-2025-27442 を悪用する攻撃者は、クロスサイト・スクリプティング (XSS) により悪意のスクリプトを挿入し、世界中の数百万人のユーザーにリスクをもたらすものだ。これらの脆弱性の CVSS スコアは 4.6 Medium と評価されているが、隣接ネットワーク上の未認証の攻撃者に対して、任意のコード実行を許し、整合性を侵害する可能性があるという。

Adobe 製品群の 54件の深刻な脆弱性が FIX：ColdFusion／Commerce などの問題に対処

Adobe Calls Urgent Attention to Critical ColdFusion Flaws

2025/04/08 SecurityWeek — 4月8日 (火) に Adobe がリリースしたのは、コンピュータ・システムに対するリモート制御される可能性がある、深刻な脆弱性に対する大量のセキュリティ・アップデートである。今月の Adobe Patch Tuesday は、ColdFusion／FrameMaker／Photoshop／Commerceといった企業向け製品における、合計で 54件の深刻な脆弱性に対処するものだ。

Microsoft 2025-04 月例アップデート：１件のゼロデイを含む 134件の脆弱性に対応

Microsoft April 2025 Patch Tuesday fixes exploited zero-day, 134 flaws

2025/04/08 BleepingComputer — 今日は Microsoft の April 2025 Patch Tuesday の日だ。今回のパッチでは、134件の脆弱性に対するセキュリティ・アップデートが提供され、その中には、現時点で悪用されているゼロデイ脆弱性１件が含まれる。なお、今回の月例パッチでは、Critical レベルの脆弱性が 11件も修正されているが、そこにはリモートコード実行の脆弱性も含まれている。

WhatsApp for Windows の脆弱性 CVE-2025-30401 が FIX：添付ファイルに対する不正確な判定のバグ

WhatsApp for Windows Flaw Could Let Hackers Sneak In Malicious Files

2025/04/08 HackRead — 先日に発行された Facebook Security のセキュリティ・アドバイザリでは、WhatsApp for Windows に影響を与える、なりすましの脆弱性 CVE-2025-30401 が取り上げられている。この脆弱性を悪用するハッカーは、無防備なユーザーへの悪意の添付ファイル送信の可能性を手にする。これらのファイルは無害に見えるが、WhatsApp アプリ内で開くと、悪意のコード実行を引き起こす可能性があるという。

Fortinet の複数の脆弱性が FIX：FortiAnalyzer／FortiManager／FortiOS などの欠陥に対応

Fortinet Warns of Multiple Vulnerabilities in FortiAnalyzer, FortiManager, & Other Products

2025/04/08 gbhackers — Fortinet が公表したのは、FortiAnalyzer／FortiManager／FortiOS／FortiProxy／FortiVoice／FortiWeb／FortiSwitch などの製品群で発見された、複数の脆弱性の詳細と修正に関するリリースである。これらの脆弱性は、ログ出力の不適切なフィルタリングから、未確認のパスワード変更や、認証情報に対する不十分なセキュリティ保護にいたる多様なものである。すでに Fortinet は、アップデートと対策をリリースし、一連の脆弱性に対処している。

BentoML の深刻な脆弱性 CVE-2025-27520 が FIX：RCE の恐れと PoC の提供

CVE-2025-27520: Critical BentoML Flaw Allows Full Remote Code Execution, Exploit Available

2025/04/08 SecurityOnline — AI アプリケーションやモデル推論向けに最適化された、オンライン・サービス・システムの構築に用いられる、Python ライブラリ BentoML に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-27520 (CVSS：9.8) は、攻撃者にリモート・コード実行 (RCE) を許し、影響を受けるライブラリ・バージョンを使用するシステムに重大なリスクをもたらす。

Pexip の脆弱性 CVE-2024-12084 などが FIX：境界外書き込みとサービス拒否の恐れ

Pexip Issues Urgent Security Update to Address Critical Vulnerabilities

2025/04/08 SecurityOnline — セルフホスト型ビデオ会議プロバイダーである Pexip が発表したのは、Infinity プラットフォームに存在する深刻な脆弱性を詳述するセキュリティ情報である。その内容は、深刻なヒープバッファ・オーバーフローの脆弱性 CVE-2024-12084 と、サービス拒否の脆弱性 CVE-2025-32095／CVE-2025-30080 に関するものである。

Yelp の脆弱性 CVE-2025-3155：URI スキームを悪用する情報窃取 PoC

PoC Released for CVE-2025-3155: Yelp Flaw Can Expose SSH Keys on Ubuntu Systems

2025/04/08 SecurityOnline — Ubuntu デスクトップにプリインストールされる GNOME ユーザーのための、ヘルプ・アプリケーション Yelp に脆弱性 CVE-2025-3155 が発見された。この脆弱性は、Yelp が URIスキームである “ghelp://” を処理する方法に起因している。

CISA KEV 警告 25/04/07：CrushFTP の脆弱性 CVE-2025-31161／2825 を登録

CISA Warns of CrushFTP Vulnerability Exploitation in the Wild

2025/04/08 InfoSecurity — 米国のサイバーセキュリティ最高機関である CISA は、ファイル転送ソリューションの CrushFTP に存在する重大な脆弱性が、実際に悪用されていることを明らかにした。CVE-2025-31161 として追跡されている、この認証バイパスの脆弱性は、2025年4月7日付で CISA (Cybersecurity and Infrastructure Security Agency) の KEV (Known Exploited Vulnerabilities) カタログに追加された。

EncryptHub の悪意と SkorikARI の善意：600+ の組織を侵害し Microsoft にはバグを報告する人物とは？

EncryptHub’s dual life: Cybercriminal vs Windows bug-bounty researcher

2024/04/07 BleepingComputer — 618 の組織に対する情報漏洩インシデントに関与したとされる、悪名高い脅威アクター・グループ EncryptHub は、Microsoft に対しても２件の Windows ゼロデイ脆弱性を報告したとみられ、サイバー犯罪とセキュリティ研究の境界線をまたぐ、矛盾した人物の姿を明らかにしている。

MediaTek チップセットの複数の脆弱性が FIX：April 2025 セキュリティ速報

MediaTek’s April 2025 Security Bulletin: Critical WLAN Vulnerability Exposes Chipsets

2025/04/07 SecurityOnline — MediaTek が公表したのは、2025年4月の製品セキュリティ速報であり、様々なチップセットに影響を与えるセキュリティ脆弱性の詳細を解説するものだ。この速報が対象とするのは、スマートフォン／タブレット／AIoT デバイス／スマートディスプレイ／スマートプラットフォーム／OTT デバイス／コンピュータービジョン／オーディオ／テレビなどに使用されている、チップセットの脆弱性である。

Google の Sec-Gemini が登場：Mandiant のデータと LLM を統合

Google Pushing ‘Sec-Gemini’ AI Model for Threat-Intel Workflows

2025/04/07 SecurityWeek — Google が発表したのは、脅威インテリジェンス部門 Mandiant のインシデント対応および、脅威分析ワークフローを支援するために設計された、実験的な人工知能モデルである。この “Sec-Gemini v1” と呼ばれる AI モデルは、Google の LLM である Gemini の機能と、Google Threat Intelligence (GTI)、Open Source Vulnerability (OSV) データベースなどの社内リソースを統合することで、ほぼリアルタイムのセキュリティ・データとツールを構成するという。

Linux Kernel の脆弱性 CVE-2023-6931：詳細な技術情報と PoC エクスプロイト・コード

Linux Kernel Vulnerability Exposes Local Systems to Privilege Escalation, PoC Published

2025/04/07 SecurityOnline — 先日のことだが、Linux Kernel の Performance Events システム・コンポーネントに存在する、脆弱性 CVE-2023-6931 (CVSS：7.8) の技術的詳細と PoC エクスプロイト・コードを、あるセキュリティ研究者が公開した。この脆弱性は、ヒープ領域外書き込みの欠陥だと説明されており、影響を受ける Linux システムにおいて、ローカル権限昇格に悪用される可能性があるという。

MinIO の脆弱性 CVE-2025-31489 が FIX：不完全な署名検証と不正オブジェクトのアップロード

MinIO Urgently Patches High-Severity Incomplete Signature Validation Vulnerability

2025/04/07 SecurityOnline — Amazon S3 コンパチブルの高性能オブジェクト・ストレージ・サーバ MinIO が公表したのは、深刻なセキュリティ脆弱性を修正するための、パッチのリリースに関する情報である。この脆弱性 CVE-2025-31489 は、unsigned-trailer のアップロードにおける不完全な署名検証に関連するものであり、ユーザーに深刻なリスクをもたらす。

Bitdefender GravityZone Console の脆弱性 CVE-2025-2244 が FIX：任意のコマンド実行にいたる恐れ

Bitdefender GravityZone Console Hit by Critical PHP Deserialization Vulnerability

2024/04/07 SecurityOnline — Bitdefender GravityZone Console に発見された脆弱性の影響を受けるシステムに、深刻なリスクがもたらされる可能性があるという。この脆弱性 CVE-2025-2244 (CVSSv4：9.5) は、PHP における安全が確保されないデシリアライゼーションに起因する。

CISA KEV 警告 25/04/04：Ivanti CS／Policy Secure／ZTA の脆弱性 CVE-2025-22457 を登録

U.S. CISA adds Ivanti Connect Secure, Policy Secure and ZTA Gateways flaw to its Known Exploited Vulnerabilities catalog

2025/04/07 SecurityAffairs — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Ivanti Connect Secure／Policy Secure／ZTA の脆弱性 CVE-2025-22457 を、KEV (Known Exploited Vulnerabilities) カタログに追加した。この脆弱性 CVE-2025-22457 は、スタックバッファ・オーバーフローに起因し、リモート・コード実行 (RCE) を引き起こすという深刻なものである。

pgAdmin 4 の脆弱性 CVE-2025-2945／2946 が FIX：きわめて深刻な RCE と XSS

pgAdmin 4 Vulnerabilities Expose Databases to Remote Code Execution and XSS

2025/04/07 SecurityOnline — 広く利用されている PostgreSQL 管理ツール pgAdmin 4 だが、データベース環境に大きなリスクをもたらす、２つの深刻なセキュリティ脆弱性に対処したところである。最新リリースである、pgAdmin 4 のバージョン 9.2 では、リモート・コード実行 (RCE) 攻撃やクロスサイト・スクリプティング (XSS) 攻撃を許す可能性のある、深刻な欠陥が修正されている。したがって、ユーザーは、速やかにアップデートすべきである。

XZ Utils の脆弱性 CVE-2025-31115 が FIX：マルチスレッド・デコーダーに深刻な影響

CVE-2025-31115: XZ Utils Hit Again with High-Severity Multithreaded Decoder Bug

2025/04/07 SecurityOnline — XZ Utils は、データ圧縮機能を提供する、広く利用されるツールとライブラリのスイートである。効率的な圧縮で知られる XZ Utils は、gzip よりも小さなファイルの作成が必要な場合で多用される。ネイティブ・ファイル・フォーマットは “.xz” だが、従来からの “.lzma” フォーマットもサポートしている。

Dell PowerProtect の脆弱性 CVE-2025-29987 が FIX：ルート権限での任意のコマンド実行の恐れ

Unpatched Dell PowerProtect Systems Vulnerable to Remote Compromise

2025/04/07 SecurityOnline — Dell の PowerProtect Data Domain システムに、深刻なセキュリティ脆弱性が発見され、システム侵害のリスクが生じている。この脆弱性 CVE-2025-29987 は、Data Domain Operating System (DD OS) のバージョン 8.3.0.15 以下を使用する、Dell PowerProtect Data Domain に存在する。問題の原因は、アクセス制御の不十分な粒度にあるとされる。

AMD Ryzen AI Software の複数の脆弱性が FIX：RCE にいたる恐れ

AMD Ryzen AI Software Update Addresses Multi Security Vulnerabilities

2025/04/06 SecurityOnline — AMD が発表したのは、Ryzen AI ソフトウェアに存在する複数のセキュリティ脆弱性に対処するための、アップデート・リリースの情報である。AMD Ryzen AI プロセッサを搭載した PC において、AI 推論を最適化して展開するように設計さる Ryzen AI ソフトウェアは、AMD XDNA アーキテクチャに組み込まれた Neural Processing Unit (NPU) 上でアプリケーションを実行する。新たに発見された脆弱性の悪用に成功したローカル攻撃者は、権限昇格／境界外書込に加えて、任意のコード実行の可能性を手にする。