May 20, 2025 – IoT OT Security News

VMware ESXi／vCenter／ Workstation の４件の脆弱性が FIX：RCE／DoS／XSS などの恐れ

Broadcom Fixes RCE, DoS, XSS in VMware ESXi, vCenter, Workstation

2025/05/20 SecurityOnline — Broadcom 傘下の VMware が発表したのは、ESXi／vCenter Server／Workstation Pro／Fusion などの製品群に発見された、４件の脆弱性に対処するセキュリティ・アドバイザリである。これらの脆弱性 CVE-2025-41225／CVE-2025-41226／CVE-2025-41227／CVE-2025-41228 は、コマンド実行／サービス拒否攻撃／反射型 XSS 攻撃などを引き起し、仮想化インフラ全体に広範なリスクをもたらすものだ。

CISA KEV 警告 25/05/19：MDaemon Email Server の脆弱性 CVE-2024-11182 を登録

CISA Includes MDaemon Email Server XSS Flaw in KEV Catalog

2025/05/20 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、2025年5月19日付けで、MDaemon Email Server に影響を及ぼすクロスサイト・スクリプティング (XSS) の脆弱性 CVE-2024-11182 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性が浮き彫りにするのは、細工された HTML メールによる悪意の JavaScript コードの挿入を、攻撃者に許してしまうセキュリティ上の欠陥である。

LEV による KEV と EPSS の強化：CISA と NIST の研究者が新たな指標の計算式を発表

Vulnerability Exploitation Probability Metric Proposed by NIST, CISA Researchers

2025/05/20 SecurityWeek — CISA と NIST の研究者たちが提案するのは、脆弱性が実際に悪用される可能性を算出するための、新たなサイバー・セキュリティ指標である。NIST の Peter Mell と CISA の Jonathan Spring が発表したのは、Likely Exploited Vulnerabilities (LEV) と呼ばれる指標の計算式を解説する論文である。ソフトウェアとハードウェアにおいて、毎年、数千件もの脆弱性が発見されている、実際に悪用されるのは、そのうちのごく一部である。

Chrome Extension ユーザーが標的：100+ の悪意のエクステンションと Web サイトを準備するキャンペーン

100+ Fake Chrome Extensions Found Hijacking Sessions, Stealing Credentials, Injecting Ads

2025/05/20 TheHackerNews — 2024年2月以降において、正体不明の脅威アクターが作成した悪意の Chrome エクステンション群は、無害に見えるユーティリティを装いながら、データの窃取／コマンドの受信／任意コードの実行といった機能を隠し持っている。

samlify SAML ライブラリの脆弱性 CVE-2025-47949 が FIX：SSW 攻撃ベクターの発生とエンタープライズへの影響

Critical Risk (CVSS 9.9): samlify Flaw Exposes SSO in Widely Used Library

2025/05/20 SecurityOnline — 広く使用される samlify ライブラリに新たに公開された、脆弱性 CVE-2025-47949 (CVSSv4：9.9) により、SAML Signature Wrapping (SSW) 攻撃ベクターが取り込まれ、無数の Single Sign-On (SSO) 実装が危険に直面することになった。月間ダウンロード数が 768,000 回を超える samlify であるため、この脆弱性の影響は深刻なものであり、世界中のエンタープライズ・グレードの認証システムに影響が及ぶとされる。

AWS のデフォルト IAM ロール：自動的に付与される過剰な権限とラテラルのリスク

AWS Default IAM Roles Found to Enable Lateral Movement and Cross-Service Exploitation

2025/05/20 TheHackerNews — Amazon Web Services (AWS) に影響を及ぼす、IAM (identity and access management) の高リスクのデフォルト・ロールを、サイバー・セキュリティ研究者たちが発見した。これらのロールを悪用する攻撃者は、権限の昇格や、他の AWS サービスの操作を達成し、AWSアカウントの完全な侵害の可能性を手にするという、きわめて危険なものである。

CISA KEV 警告 25/05/19：Ivanti EPMM の脆弱性 CVE-2025-4427／4428 を登録

CISA Adds Actively Exploited Ivanti EPMM Zero-Day to KEV Catalog

2025/05/20 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Ivanti Endpoint Manager Mobile (EPMM) に影響を及ぼす２件の深刻なゼロデイ脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに追加した。脆弱性 CVE-2025-4427 は認証バイパスを、脆弱性 CVE-2025-4428 はリモートコード実行を可能にするものであり、広く使用されている OSS ライブラリの安全が確保されない実装に起因するものだ。連邦政府機関および民間組織は、拘束的運用指令 22-01 に基づき、2025年6月9日までに緩和策を適用する必要がある。

Microsoft Windows 11 に MCP を統合：OS を AI agentic プラットフォームに変革する？

A New Era for Windows: Microsoft’s Protocol Transforms OS into AI Agent Platform

2025/05/20 SecurityOnline — Microsoft Build 2025 において同社が発表したのは、 Windows 11 への Model Context Protocol (MCP) の統合であり、オペレーティング・システムを AI agentic プラットフォームへと変革する重要な一歩を踏み出した。Microsoft によると、MCP は AI agentic ベース・コンピューティングのための統一プロトコルとして、安全かつ相互運用可能な基盤層を提供するという。

PyPI に新たな悪意のパッケージ：Instagram／TikTok などをユーザー・アカウントを盗み出す？

Malicious PyPI Packages Exploit Instagram and TikTok APIs to Validate User Accounts

2025/05/20 TheHackerNews — Python Package Index (PyPI) リポジトリにアップロードされた悪意のパッケージを、サイバー・セキュリティ研究者たちが発見した。これらのパッケージは、盗み出したメール・アドレスを、TikTok／Instagram の APIで検証するための、チェッカー・ツールとして機能する。問題となっている３つのパッケージは、現時点の PyPI では提供されていない。それらの Python パッケージ名は、以下の通りである。

Multer の脆弱性 CVE-2025-47944／47935 が FIX：Node.js アプリに DoS攻撃攻撃の可能性

High DoS Risk: Multer Flaws Threaten Millions of Node.js Apps

2025/05/20 SecurityOnline — Multer は、Node.js において multipart/form-data を処理する定番ミドルウェアであり、月間ダウンロード数が 2,630万回を超えるものだ。しかし、この人気ライブラリで発見された脆弱性 CVE-2025-47944／CVE-2025-47935 により、それを利用するアプリケーションに深刻なサービス拒否 (DoS) 攻撃のリスクが発生している。Node.js アプリケーションで、Multer を用いてファイルのアップロード処理を行い、バージョン 2.0.0 以降を使用していないケースでは、この脆弱性の影響を受ける可能性が生じる。

SAP NetWeaver の脆弱性 CVE-2025-31324：Qilin ランサムウェアが積極的に悪用か？

SAP NetWeaver RCE: Zero-Day Allows File Uploads, Qilin Ransomware Connection

2025/05/20 SecurityOnline — SAP NetWeaver Visual Composer の深刻な脆弱性 CVE-2025-31324 (CVSS：10) が、情報公開の数週前の時点で、実際に悪用されていたことが、OP Innovate の調査により明らかになった。この脆弱性の悪用については、情報公開後に発生したと考えられていたが、OP Innovate のインシデント対応レポートが、それを覆した。具体的に言うと、ロシア語圏の Ransomware-as-a-Service (RaaS) グループである Qilin が、この攻撃に関与した可能性があるという。

WordPress Motors Theme の脆弱性 CVE-2025-4322 が FIX：サイトの乗っ取りに至る恐れ

High Risk (CVSS 9.8): Motors Theme Flaw Exposes 22,000+ WordPress Sites to Full Takeover

2025/05/20 SecurityOnline — ThemeForest で 22,000件以上の販売実績を持つ、人気のプレミアム WordPress テーマ Motors に、重大な脆弱性が発見された。この脆弱性 CVE-2025-4322 (CVSS：9.8) は、権限昇格の脆弱性に分類されている。Wordfence は、「この脆弱性の悪用に成功した未認証の攻撃者は、管理者などの任意のユーザーのパスワードを、リセットする可能性を手にする。その結果として、アカウントや Web サイトの乗っ取りに至る恐れがある」と警告している。

Day: May 20, 2025