Hanko: Open-source authentication and user management
2025/05/19 HelpNetSecurity — Hanko の CEO である Felix Magedanz は、「私たちは、開発者や組織の認証フローを近代化するために、ユーザーを Passkeys へと移行させることに重点を置いている。それと同時に、eMail/Password／MFA／OAuth／SAML SSO といった、従来からの認証方法もサポートしていく。私たちの真の強みは、開発者エクスペリエンスへのコミットメントである」と Help Net Security に語った。
Continue reading “Hanko という OSS の認証管理システム：クリーンな API Surface と SDK で Passkeys への移行をサポート”Ransomware Gangs Use Skitnet Malware for Stealthy Data Theft and Remote Access
2025/05/19 TheHackerNews — Skitnetと呼ばれるマルウェアを、ポスト・エクスプロイトで使用する複数のランサムウェア・グループが、機密データを窃取し、侵害したホストをリモート制御しようとしている。スイスのサイバー・セキュリティ企業 PRODAFT は、「Skitnet は、RAMP などのアンダーグラウンド・フォーラムで、2024年4月から販売されている。さらに、2025年の初頭以降においては、複数のランサムウェア攻撃者が、実際の攻撃で Skitnet を使用しているのを確認している」と、The Hacker News に述べている。
Continue reading “Skitnet という多段型インフォ・スティーラーに注意：ステルス性を備え Black Basta ランサムウェアなどを配信”Active Exploitation of Ivanti EPMM Zero-Day Vulnerability in the Wild
2025/05/19 gbhackers — Ivanti の Enterprise Mobility Management (EPMM) プラットフォームに存在する、深刻なゼロデイ脆弱性を狙う継続的な攻撃を、Shadowserver Foundation のセキュリティ研究者たちが確認している。その脆弱性 CVE-2025-4427 が、もう一方の CVE-2025-4428 と連鎖することで、リモートコード実行 (RCE) にいたる可能性があり、パッチ未適用のシステムにとって、重大な脅威が生じている。すでに、これらの脆弱性の情報は公開されているが、最近の監視でも、依然として多くの脆弱なインスタンスが露出しており、攻撃者たちによる悪用の試みも止まっていない。
Continue reading “Ivanti EPMM の脆弱性 CVE-2025-4427／4428：依然として悪用の試行が止まらない – Shadowserver”Japan passed a law allowing preemptive offensive cyber actions
2024/05/19 SecurityAffairs — 日本が制定した Active Cyberdefense Law は、被害が発生する前に脅威に対抗するための、先制的な攻撃的サイバー作戦を可能にするものだ。それが示すのは、憲法第９条に基づく日本の平和主義的な立場からの転換であり、サイバー防衛力を西側主要国と同等に高め、同盟国への広範な軍事支援を可能にすることを目指している。
Continue reading “日本の Active Cyberdefense Law が制定：先制的な攻撃的サイバー作戦を可能に”PoC Released: iOS Kernel Flaw Allows File System Modification Without Jailbreak
2025/05/19 SecurityOnline — すでにパッチ適用されたカーネルの脆弱性 CVE-2025-24203 が、Apple エコシステム内のセキュリティ・コミュニティおよびジェイルブレイク・コミュニティで、大きな注目を集めている。この脆弱性は、“dirtyZero“ および “mdc0“ と命名されており、ファイル・システムの保護領域の改変を、アプリに対して許してしまうものだ。したがって、この脆弱性の悪用に成功した攻撃者は、ジェイルブレイクを必要とせずに、システム・カスタマイズの可能性を手にする。
2025/05/19：gbhackers — インターネットに公開される Atlassian Confluence サーバの、テンプレート・インジェクションの脆弱性 CVE-2023-22527 が、攻撃者により悪用されていることが判明した。この脆弱性を悪用する攻撃者は、リモート・コード実行 (RCE) を達成し、標的のネットワークへのイニシャル・アクセスと足場を確立していた。最初の侵害は、IP アドレス 45.227.254.124 からの、”whoami” コマンドを実行するネットワーク・トラフィックを通じて検出された。その直後には、別の IP アドレス 91.191.209.46 から Meterpreter 経由で Metasploit ペイロードが展開され、C2 (command-and-control) チャネルの確立が急速に拡大した。
Continue reading “Atlassian Confluence の脆弱性 CVE-2023-22527 の悪用を観測：パッチ未適用のシステムが標的”Critical Risk (CVSS 9.1): Auth0-PHP SDK Flaw Threatens 16M+ Downloads
2025/05/19 SecurityOnline — Auth0-PHP SDK を使用する開発者および企業に対して Okta が公開したのは、セッション Cookie に対するブルートフォース攻撃により不正アクセスを許してしまう、深刻な脆弱性に関するセキュリティ・アドバイザリである。この脆弱性 CVE-2025-47275 (CVSS 9.1) は、セッション管理に CookieStore を使用するようにコンフィグされた Auth0-PHP SDK および、それを統合するダウンストリームに影響を及ぼす。
Continue reading “Auth0-PHP SDK の脆弱性 CVE-2025-47275 が FIX：約1,600 万回ダウンロードと影響の範囲”High DoS Risk: Tornado’s Default Parser Exposes Apps (CVE-2025-47287)
2025/05/19 SecurityOnline — Tornado Python Web フレームワークに新たに発見された、脆弱性 CVE-2025-47287 を悪用する攻撃者は、過剰なログ出力を引き起こし、アプリケーションをサービス拒否 (DoS) 攻撃にさらす可能性を手にする。この脆弱性の CVSS スコア 7.5 であり、深刻度 High に分類されている。Tornado のアドバイザリには、「Tornado の multipart/form-data パーサーは、特定のエラーに遭遇すると警告をログに記録するが、残されるデータの解析が継続されてしまう」と記されている。
Continue reading “Tornado の脆弱性 CVE-2025-47287 が FIX：不適切なログ処理によるリソースの枯渇”Mozilla fixes Firefox zero-days exploited at hacking contest
2025/05/19 BleepingComputer — Mozilla が公表したのは、先日に開催された Pwn2Own Berlin 2025 ハッキング・コンテストで実証された、Firefox の２件のゼロデイ脆弱性に対処するための、緊急セキュリティ・アップデートのリリースである。これらの修正の対象には、Firefox の Desktop／Android および、２つの Extended Support Releases (ESR) が含まれる。これらの脆弱性が報告された、5月17日 (土) の Pwn2Own から、わずか数時間後に修正版はリリースされている。
Continue reading “Mozilla Firefox のゼロデイ脆弱性 CVE-2025-4918／4919 が FIX：Pwn2Own Berlin 2025 で公表”XSS Vulnerability Discovered in Label Studio: Update Now!
2025/05/19 SecurityOnline — 機械学習モデルのデータセットにアノテーションを付与するために、広く用いられる OSS データ・ラベリング・ツール Label Studio に、反射型クロスサイト・スクリプティング (XSS) の脆弱性が存在することを、研究者たちが明らかにした。Label Studio のバージョン 1.18.0 未満に影響を及ぼす、脆弱性 CVE-2025-47783 を悪用する攻撃者は、ユーザー・セッションのコンテキストで、任意の JavaScript 挿入／実行の可能性を得るという。
Continue reading “Label Studio の XSS 脆弱性 CVE-2025-47783 が FIX：任意の JavaScript の挿入／実行”glibc Vulnerability Puts Millions of Linux Systems at Risk of Code Execution
2025/05/19 SecurityOnline — 数多くの Linux アプリケーションにおいて、基本コンポーネントとして活用される GNU C Library (glibc) で、新たな脆弱性が報告された。この脆弱性が示すのは、静的 setuid バイナリの共有ライブラリ読込みメカニズムに存在する、潜在的に悪用が可能な欠陥の詳細である。この脆弱性 CVE-2025-4802 は、静的 setuid バイナリが dlopen() を介して動的ライブラリを呼び出す際に、LD_LIBRARY_PATH 環境変数を不適切に使用することに起因する。
Continue reading “GNU C Library (glibc) の脆弱性 CVE-2025-4802 が FIX：各種の Linux ディストロにコード実行の可能性”Race Condition in Windows Remote Desktop Gateway Enables RCE – PoC Demonstrates Exploitability
2025/05/19 SecurityOnline — Microsoft の Remote Desktop Gateway (RD Gateway) で発見された脆弱性により、リモートコード実行 (RCE) につながる可能性のある、きわめて危険な競合状態の存在が明らかになった。この脆弱性 CVE-2025-21297 は、Kunlun Lab の VictorV (Tang Tianwen) が報告したものであり、Microsoft により正式に認知されている。この脆弱性は、サービスの初期化中に発生する、コンカレント・ソケット接続の解放後メモリ使用 (UAF：use-after-free) のバグに起因する。
Continue reading “Windows RD Gateway の脆弱性 CVE-2025-21297：RCE – PoC エクスプロイトが登場”High-Risk Flaw in Python Web Framework Reflex Could Lead to Account Takeover
2025/05/19 SecurityOnline — インタラクティブな Web アプリを構築するための、Python ベースの OSS フレームワーク Reflex に、深刻なセキュリティ上の欠陥が発見された。この脆弱性は CVE-2025-47425 の CVSS スコアは 8.1 であり、深刻度が高いことを示している。Reflex の人気は、JavaScript を必要とせずに、Python のみフルスタック Web アプリの構築が可能なところにある。その使いやすさと、パワフルな状態管理のための機能により、最先端のアプリ開発において Reflex は人気を博している。
Continue reading “Python Web Framework Reflex の脆弱性 CVE-2025-47425 が FIX：Admin アカウント乗っ取りの恐れ”AI in the Cloud: The Rising Tide of Security and Privacy Risks
2025/05/16 SecurityAffairs — 企業における業務の効率化と意思決定の迅速化を図るために、人工知能 (AI) の導入が進むにつれて、Azure OpenAI／AWS Bedrock／Google Bard といったクラウド・ベースのプラットフォームを利用する企業が増えている。2024年だけでも、半数以上の組織がカスタム・アプリケーションの構築に AI を導入したという。これらのツールにより、明らかに生産性は向上するが、その一方において、特にデータのセキュリティとプライバシーに関する、複雑かつ新たなリスクが生じている。
Continue reading “AI in the Cloud：セキュリティとプライバシーの潮流に向き合うための方策は？”
IoT OT Security News 