AI in the Cloud: The Rising Tide of Security and Privacy Risks
2025/05/16 SecurityAffairs — 企業における業務の効率化と意思決定の迅速化を図るために、人工知能 (AI) の導入が進むにつれて、Azure OpenAI／AWS Bedrock／Google Bard といったクラウド・ベースのプラットフォームを利用する企業が増えている。2024年だけでも、半数以上の組織がカスタム・アプリケーションの構築に AI を導入したという。これらのツールにより、明らかに生産性は向上するが、その一方において、特にデータのセキュリティとプライバシーに関する、複雑かつ新たなリスクが生じている。
Continue reading “AI in the Cloud：セキュリティとプライバシーの潮流に向き合うための方策は？”Critical CVSS 9.4 Flaw in OpenText OBM Exposes Enterprises to Privilege Escalation Risk
2025/05/18 SecurityOnline — OpenText が発表したのは、Operations Bridge Manager (OBM) ソフトウェアに存在する、２つの深刻な脆弱性 CVE-2025-3476／CVE-2025-3272 に対処する緊急セキュリティ・アドバイザリである。これらの脆弱性は、OpenText プラットフォームの複数のバージョンに影響を及ぼす。これらの脆弱性の悪用に成功した認証済のユーザーは、権限の昇格や、パスワード認証プロトコル・バイパスの可能性を得る。
Continue reading “OpenText OBM の脆弱性 CVE-2025-3476／3272 が FIX：権限昇格と認証バイパスの可能性”CVE-2025-47539: Critical Privilege Escalation Flaw Hits 10K+ WordPress Eventin Sites
2025/05/16 SecurityOnline — WordPress で人気を誇る Eventin 管理プラグインに深刻な脆弱性が発見され、それを修正するプログラムが公開されている。このプラグインを利用することで、出欠確認／チケット販売などの、カレンダー・ベースのイベントを管理するサイトは、10,000+ に達すると言われている。
Continue reading “WordPress Eventin の脆弱性 CVE-2025-47539 が FIX：深刻な権限昇格”iOS Kernel Vulnerability Exposed in Public PoC – Potential Jailbreak and Privilege Escalation Risk
2025/05/16 SecurityOnline — Apple が 2023年に修正した深刻な iOS カーネル脆弱性 CVE-2023-41992 が、iOS のセキュリティ研究者 @karzan_0x455 が公開した PoC (Proof of Concept) により、再び注目を集めている。この脆弱性は、複数の Apple プラットフォームに影響するものであり、悪意のアプリが署名検証を回避し、特権昇格を達成する恐れがあるというものだ。
Continue reading “iOS カーネルの脆弱性 CVE-2023-41992：2023年に修正済だが PoC が公開”CISA Flags Actively Exploited Vulnerabilities in Chrome, SAP, and DrayTek Routers
2025/05/16 SecurityOnline — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、実環境での悪用が確認されたことを受け、以下の３件の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに登録した。
Popular Selenium Library WebDriverManager Hit by Critical XXE Bug (CVE-2025-4641, CVSS 9.3)
2025/05/16 SecurityOnline — Selenium ベースの自動化フレームワークで広く使用されている重要な Java ライブラリ、WebDriverManager に、重大な XML 外部エンティティ (XXE) の脆弱性 CVE-2025-4641 が発見された。この脆弱性は、CVSS スコアで 9.3 と評価されており、Windows／macOS／Linux を含む複数のプラットフォームに深刻な影響を及ぼす可能性がある。
Continue reading “WebDriverManager の脆弱性 CVE-2025-4641 が FIX：Java ライブラリに XXE 情報漏洩と不正アクセス”Pgpool-II Hit by Critical CVE-2025-46801: CVSS 9.8 Risk Lets Attackers Bypass Authentication
2025/05/16 SecurityOnline — PgPool Global Development Group が発行したのは、PostgreSQL サーバとデータベース・クライアントの間で使用されるミドルウェア Pgpool-II に存在する、深刻度の高い脆弱性に対するセキュリティ・アドバイザリの発行である。この脆弱性 CVE-2025-46801 は、特定のミスコンフィグにより認証バイパスを許すものであり、CVSS スコアは 9.8 となっている。
Continue reading “Pgpool-II の脆弱性 CVE-2025-46801 が FIX：ミスコンフィグによる認証バイパス”Sophisticated NPM Attack Leverages Google Calendar for Advanced Communication
2025/05/16 gbhackers — npm エコシステムで判明した驚くべき問題は、無害に見えるパッケージ os-info-checker-es6 の中に、きわめて洗練されたマルウェア攻撃が埋め込まれていることだ。2025年3月19日に、このパッケージは初めて公開され、そのイニシャル・バージョンは無害に見えたが、その後に複雑な脅威へと急速に進化している。具体的に言うと、初期のイテレーションは、基本的な OS 情報の収集に重点を置いていたが、3月22日〜23日に行われたアップデートでは、プラットフォーム対応の固コンパイル済み Node.js モジュールと、複雑な難読化技術が導入された。
Continue reading “Google Calendar を C2 サーバに変える：NPM に仕掛けられた高ステルス性のマルウェアとは？”Jenkins Plugin Flaws Expose Critical Risks: CVE-2025-47889 Hits 9.8 CVSS with Auth Bypass
2025/05/16 SecurityOnline — 人気のオープンソース自動化サーバ Jenkins は、多くの開発チームや運用チームにとって不可欠なツールである。最近のセキュリティ・アドバイザリで指摘されたのは、各種の Jenkins プラグインに存在する複数の深刻な脆弱性であり、それらが悪用されると重大なリスクが生じるという。
Continue reading “Jenkins の複数プラグインの脆弱性が FIX：WSO2 Oauth の CVE-2025-47889 は No Patch”Critical NAS Risk: I-O DATA Flaw with 9.8 CVSS Allows Remote Command Execution
2025/05/16 SecurityOnline — 集中管理されたストレージとデータ・アクセスを提供する Network Attached Storage (NAS) は、家庭および企業のネットワークに不可欠なコンポーネントとなっている。先日の JPCERT/CC アドバイザリによると、I-O DATA DEVICE の HDL-T Series NAS デバイスに発見された複数の深刻な脆弱性により、データ・セキュリティとネットワーク整合性に重大なリスクが生じているという。
Continue reading “I-O DATA HDL-T NAS の深刻な脆弱性 CVE-2025-32002 などが FIX：リモート・コマンド実行の恐れ”Patch Now: SonicWall SMA1000 Flaw (CVE-2025-40595) Enables Stealth SSRF Attacks
2025/05/16 SecurityOnline — SonicWall SMA1000 Series アプライアンスで発見された、サーバ・サイド・リクエスト・フォージェリ (SSRF) の脆弱性を悪用するリモート攻撃者は、エンコードされた URL を介して、制限されているはずの内部リソースへのアクセスを得るという。この脆弱性 CVE-2025-40595 (CVSS：7.2) の存在により、セキュア・アクセスのために SMA1000 を利用する企業環境に、深刻なリスクが生じている。
Continue reading “SonicWall SMA1000 の SSRF 脆弱性 CVE-2025-40595 が FIX：ステルス性攻撃の誘発の恐れ”New Linux Vulnerabilities Surge 967% in a Year
2025/05/15 InfoSecurity — 2024年に Linux と macOS で発見された脆弱性の件数が劇的に増加したと、Action1 の最新分析が語っている。サイバー・セキュリティ・ベンダーである Action1 の、2025 Software Vulnerability Ratings Report は、National Vulnerability Database (NVD) とSecurityScorecard の CVEdetails.com サイトの詳細分析をベースにしたものだ。Action1 の推計によると、2024年に発見された脆弱性の総数は、前年比で 61% 増の 6,761件となるが、Linux の脆弱性は “前例のない” 967%増の 3,329件に達したという。
Continue reading “2024年の脆弱性を分析：Linux の発生件数は 967% 増／全体的な悪用件数は 96% 増”High-Risk Flaws in a-blog cms: CVE-2025-36560 Scores Critical 9.2 on CVSS Scale
2025/05/15 SecurityOnline — appleple が開発する、人気の CMS である a-blog cms に、複数のセキュリティ上の欠陥が存在することを、JPCERT/CC が公表した。これらの脆弱性は、パストラバーサル／クロスサイト・スクリプティング (XSS)／サーバ・サイド・リクエスト・フォージェリ (SSRF)／ログ・インジェクションなどの多岐にわたり、Web サイトとユーザーに深刻なリスクをもたらす。
Continue reading “a-blog cms の CVE-2025-36560 などが FIX：XSS や SSRF の組み合わせとセッション乗っ取りの可能性”Pen Testing for Compliance Only? It’s Time to Change Your Approach
2025/05/15 TheHackerNews — 次のような状況を想像してほしい。ある組織が、１月に年次ペネトレーション・テストを完了し、セキュリティ・コンプライアンスで高い評価を得た。そして２月には、開発チームが定期的なソフトウェア・アップデートを導入した。しかし４月には、そのアップデートで混入した脆弱性を悪用する攻撃者が、顧客データにアクセスした。それは、この脆弱性が検知される数週間前のことだった。
U.S. CISA adds a Fortinet flaw to its Known Exploited Vulnerabilities catalog
2025/05/15 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Fortinet の複数製品に存在するスタック・バッファオーバーフロー脆弱性 CVE-2025-32756 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。それに先行するかたちで Fortinet が公表したのは、企業向け電話システムを標的とする攻撃で悪用された、FortiVoice のリモートコード実行の脆弱性 CVE-2025-32756 に対処する、セキュリティ・アップデートのリリースである。
Continue reading “CISA KEV 警告 25/05/14：Fortinet FortiVoice などの RCE 脆弱性 CVE-2025-32756 を登録”Node.js Alerts: High-Severity Flaw (CVE-2025-23166) Risks Remote System Crashes! Update Immediately!
2025/05/15 SecurityOnline — Node.js チームの最新のセキュリティ情報で公開されたのは、24.x／23.x／22.x／20.x リリース・ライン向けの重要な更新プログラムである。これらのパッチは、深刻度が Low から High までの、複数の脆弱性を修正するものだ。
Continue reading “Node.js の脆弱性 CVE-2025-23166 などが FIX：システム・クラッシュなどの恐れ”Fortinet Patches Critical TACACS+ Authentication Bypass (CVE-2025-22252) in FortiOS and FortiProxy
2025/05/15 SecurityOnline — Fortinet が公表したのは、FortiOS／FortiProxy／FortiSwitchManager などの製品に影響を与える、深刻な脆弱性 CVE-2025-22252 (CVSS 9.0) に対するパッチをリリースである。この脆弱性は、TACACS+ の認証タイプを ASCII で使用するようにコンフィグされたシステムにのみ発生する。この CVE-2025-22252 の悪用に成功した攻撃者は、認証をバイパスして管理者権限を取得するとされる。
Continue reading “Fortinet 製品群の脆弱性 CVE-2025-22252 (CVSS 9.0) が FIX：認証バイパスの恐れ”Google Chrome Zero-Day Vulnerability (CVE-2025-4664) Actively Exploited in The Wild
2025/05/15 gbhackers — Chrome の Stable チャネルで公表されたのは、Windows／Mac のバージョン 136.0.7103.113/.114 と、Linux のバージョン 136.0.7103.113 へのアップデートに関する情報である。このアップデートは、今後の数日から数週かけてユーザーに公開され、世界中のユーザーが最新の機能強化を利用できるようになる。
Continue reading “Google Chrome のアップデート：ゼロデイ脆弱性 CVE-2025-4664 などが FIX”2025/05/15 SecurityOnline — Intel の長年にわたる Spectre 対策を無効化し、パッチを完全に適用したシステムであってもメモリ・リークを許す、新たな投機的実行攻撃 Branch Privilege Injection (CVE-2024-45332) を、ETH チューリッヒのセキュリティ研究者たちが公開した。ETH チューリッヒの COMSEC (Computer Security Group) が公表した、この脆弱性は、Intel CPU で新たに発見された競合状態を悪用し、分岐ターゲット・インジェクション (Spectre-BTI) 攻撃の威力を復活させ、さらに強化するものだ。
Continue reading “Intel の Spectre 対策を無効化する CVE-2024-45332：新たな投機的実行攻撃とPoC の提供”Critical Authentication Bypass in OpenPubkey and OPKSSH Exposes Systems to Remote Access Risks
2025/05/15 SecurityOnline — OpenPubkey 認証プロトコルと関連ツールである OPKSSH に、２件の深刻な脆弱性が発見された。これらの脆弱性を悪用する攻撃者は、認証メカニズムの回避を達成し、不正アクセスの可能性を得る。ユーザーまたはワークロードが生成する公開鍵を、OpenID Connect (OIDC) に統合するためのプロトコル OpenPubkey は、暗号検証プロセスに深刻な欠陥があることを、最近になって明らかにした。これらの脆弱性 CVE-2025-3757／CVE-2025-4658 (CVSS v4：9.3) は、深刻度 Critical と評価されている。
Continue reading “OpenPubkey／OPKSSH の認証バイパスの脆弱性 CVE-2025-3757／4658 が FIX：不正リモート・アクセスのリスク”Xerox Patches Dozens of Vulnerabilities in FreeFlow Print Server with April 2025 Security Update
2025/05/15 SecurityOnline — 2025年5月12日に Xerox が発表したのは、セキュリティ速報 XRX25-009 の公開と、Windows 10上で動作する FreeFlow Print Server v2 向けの、2025年4月のセキュリティ・パッチ・アップデートのリリースである。Xerox の主要プロダクション・プリンターである、iGen5 Press／Baltoro HF／Brenva HD などをサポートする、このアップデートは、数十の深刻な脆弱性に対処し、更新された OSS コンポーネントを統合し、強化された暗号化標準を導入するものだ。
Continue reading “Xerox のセキュリティ速報 XRX25-009：iGen5 Press／Baltoro HF／Brenva HD などに対応”Critical Vulnerability in Windows Remote Desktop Gateway Allows Denial-of-Service Attacks
2025/05/14 gbhackers — Microsoft が公表したのは、Remote Desktop Gateway (RDG) に存在する、２つの深刻な脆弱性に関する情報である。これらの脆弱性により、組織のネットワークに重大なリスクが生じる可能性がある。脆弱性 CVE-2025-26677／CVE-2025-29831 は、Microsoft により Important と評価され、それぞれが、サービス拒否 (DoS) 攻撃と、リモート・コード実行 (RCE) を引き起こすと指摘されている。すでに、これらの脆弱性は、Microsoft の May 2025 Path Tuesday のセキュリティ更新プログラムで修正されているが、リモート・アクセス・インフラのセキュリティ確保における、大きな課題を浮き彫りにしている。
Continue reading “Windows RD Gateway の脆弱性 CVE-2025-26677／29831 に注目：2025/05 月例で FIX”Critical Microsoft Outlook Flaw Enables Remote Execution of Arbitrary Code
2025/05/14 gbhackers — Microsoft Outlook で新たに発見された、脆弱性 CVE-2025-32705 を悪用する攻撃者は、メモリ破損を引き起こし、侵害を受けたシステム上での任意のコード実行の機会を得る。
Continue reading “Microsoft Outlook の脆弱性 CVE-2025-32705 に注目：2025/05 月例で FIX”Microsoft Defender Vulnerability Allows Unauthorized Privilege Gain
2025/05/14 gbhackers — Microsoft Defender for Endpoint で新たに発見された脆弱性 CVE-2025-26684 は、ファイル・パスの不適切な処理の悪用という侵害経路を生み出し、システムへのローカル権限昇格攻撃の可能性を生じる。この脆弱性の CVSS スコアは 6.7 で Important と評価されている。この脆弱性を悪用する高権限を持つ認証済みの攻撃者は、ファイル名またはパスを操作し、任意のコード実行の可能性を手にする。この脆弱性は “CWE-73：ファイル名またはパスの外部制御” に起因することを、Microsoft は確認しているが、2025年5月13日の時点で、アクティブな悪用は確認されていないという。
Continue reading “Microsoft Defender の脆弱性 CVE-2025-26684 に注目：2025/05 月例で FIX”Microsoft Alerts on AD CS Flaw Enabling Remote Denial-of-Service Attacks
2025/05/14 gbhackers — Microsoft が公開したのは、Active Directory Certificate Services (AD CS) で新たに確認された、脆弱性 CVE-2025-29968 に関するセキュリティ・アドバイザリである。この脆弱性を悪用する認証済の攻撃者は、ネットワーク上の重要な証明書管理操作を妨害する可能性を手にする。この脆弱性は、不適切な入力検証 (CWE-20) に起因し、CVSS v3.1 スコア は 6.5 で Important と評価され、AD CS サーバに対するサービス拒否 (DoS) 攻撃を引き起こすとされる。現時点において、悪用事例や公開情報は報告されていないが、組織に対して強く推奨されるのは、パッチ適用を優先的に実施して、サービス中断の可能性を軽減することである。
Continue reading “Microsoft Active Directory CS の脆弱性 CVE-2025-29968 に注目：2025/05 月例で FIX”Ivanti Neurons for ITSM Hit by CVSS 9.8 Authentication Bypass Flaw Enabling Full Admin Access
2025/05/14 SecurityOnline — Ivanti が公表したのは、オンプレミスの Neurons for ITSM プラットフォーム向けの、緊急セキュリティ・パッチのリリースである。新たに発見された深刻な脆弱性 CVE-2025-22462 (CVSS：9.8) は、未認証の攻撃者に管理者権限の取得を許す可能性のあるものだ。この脆弱性が悪用されると、推奨されるネットワーク制限や、セキュア・コンフィグを実施していないユーザーに深刻なリスクが生じる。
Continue reading “Ivanti Neurons for ITSM の脆弱性 CVE-2025-22462 が FIX：認証バイパスと管理者権限の不正取得”Varnish Vulnerability Exposes Cache to HTTP Request Smuggling
2025/05/14 SecurityOnline — Varnish Software が公開したのは、Varnish Cache と Varnish Enterprise のクライアント・サイドにおける、非同期化に関連する脆弱性 CVE-2025-47905 の存在である。この脆弱性を悪用する攻撃者は、特定の不正な HTTP/1 チャンク・リクエストという条件下で、HTTP リクエスト・スマグリング攻撃の可能性を得るという。この脆弱性の深刻度は Low〜Medium と評価されているが、パッチを適用せずに放置すると、キャッシュ・ポイズニング／WAFバイパスなどに加えて、下流におけるセキュリティ・リスクにつながる可能性がある。
Continue reading “Varnish の脆弱性 CVE-2025-47905 が FIX：HTTP リクエスト・スマグリングの恐れ”2025/05/14 SecurityOnline — Bitnami Pgpool-II Docker image および bitnami/postgres-ha Kubernetes Helm chart に存在する、深刻なセキュリティ脆弱性が確認された。この脆弱性は CVE-2025-22248 として追跡されており、CVSS v4 スコアは 9.4 と評価されている。この脆弱性を悪用する攻撃者は、認証を必要とすることなく、PostgreSQL データベースへアクセスを手にするようだ。
Continue reading “Bitnami Pgpool の脆弱性 CVE-2025-22248 とミスコンフィグ：PostgreSQL への不正アクセスが可能に”Windows Ancillary for WinSock 0-Day Vulnerability Actively Exploited to Gain Admin Access
2025/05/14 gbhackers — Microsoft が確認したのは、Windows Ancillary Function Driver for WinSock の深刻な特権昇格の脆弱性 CVE-2025-32709 の悪用である。この、use-after-free 脆弱性の悪用に成功した、基本的なユーザー権限を持つローカル攻撃者は、SYSTEM レベルのアクセス権を取得する可能性を手にし、パッチを未適用のシステムに対して重大なリスクをもたらす恐れがある。この脆弱性は 2025年5月13日に初めて公表され、CVSS 基本スコアは 7.8 (High) ／temporal スコアは 6.8 とされている。これらの評価は、パッチの公開前の、実環境での攻撃の確認が反映されたものだ。
Continue reading “Windows Ancillary Function Driver の脆弱性 CVE-2025-32709 が FIX：すでに悪用を観測”Critical CVE-2025-4632 Flaw in Samsung MagicINFO Puts Global Signage Networks at Risk
2025/05/14 SecurityOnline — Samsung MagicINFO サーバに発見された深刻な脆弱性 CVE-2025-4632 (CVSS：9.8) は、小売／運輸／医療／企業環境などの多様な業界のデジタル・サイネージ・インフラに、重大なリスクをもたらしている。この脆弱性は、制限されたディレクトリへ向けたパス名の不適切な制限に起因し、悪用に成功した未認証の攻撃者は、システム・レベル権限での任意のファイル書込みの可能性を手にする。
Continue reading “Samsung MagicINFO の脆弱性 CVE-2025-4632 が FIX：RCE やサーバ乗っ取りの恐れ”New Microsoft Scripting Engine Vulnerability Exposes Systems to Remote Code Attacks
2025/05/14 gbhackers — Microsoft Scripting Engine に存在する、深刻なゼロデイ脆弱性により、ネットワーク経由でのリモートコード実行 (RCE) 攻撃が可能になることが確認され、企業／個人ユーザーにとって喫緊の懸念事項となっている。脆弱性 CVE-2025-30397 はタイプ・コンヒュージョン (CWE-843) に分類されており、このエンジンがメモリ内でデータ型を処理する方法を操作する攻撃者は、セキュリティ・メカニズムを回避できる。Microsoft は、この脆弱性を CVSS v3.1 スコア 7.5 (Important) と評価し、パッチが提供される前に、標的型攻撃で悪用された事例があると認めている。
Continue reading “Microsoft Scripting Engine の脆弱性 CVE-2025-30397 に注目：2025/05 月例で FIX”82,000+ WordPress Sites at Risk: TheGem Theme Vulnerabilities Allow Full Site Takeover
2025/05/14 SecurityOnline — Wordfence が開示した情報によると、ThemeForest で販売され、82,000件以上の実績を持つ、人気のプレミアム WordPress テーマ TheGem に、２つの深刻な脆弱性が発見されたようだ。これらの脆弱性 CVE-2025-4317／CVE-2025-4339 を、サブスクライバー・レベル以上のアクセス権を持つ、認証済みユーザーが悪用すると、影響を受ける Web サイトの完全な制御を奪われる可能性があるという。
Continue reading “WordPress TheGem Theme の脆弱性 CVE-2025-4317／4339 が FIX：連鎖によるサイト乗っ取りの恐れ”New Windows RDP Vulnerability Enables Network-Based Attacks
2025/05/14 gbhackers — Microsoft が公表したのは、Windows RDP サービスに存在する、２件の深刻な脆弱性に関する情報である。これらの脆弱性により、攻撃者はネットワーク経由で脆弱なシステム上で任意のコードを実行できる可能性がある。この脆弱性 CVE-2025-29966／CVE-2025-29967 は、ヒープ・バッファオーバーフローの欠陥であり、それぞれが Windows の Remote Desktop Protocol (RDP) と Remote Desktop Gateway (RD Gateway) サービスに影響を及ぼすという。２つの脆弱性の CVSS v3.1 スコアは 8.8 であり、企業ネットワークやクラウド環境を混乱させる可能性が指摘されている。
Continue reading “Windows RDP の脆弱性 CVE-2025-29966／29967 に注目：2025/05 月例で FIX”2025/05/13 SecurityOnline — Ivanti が発表したのは、Endpoint Manager Mobile (EPMM) に存在する２つの脆弱性 CVE-2025-4427／CVE-2025-4428 に対処する、セキュリティ・アップデートのリリースである。これらの脆弱性が連鎖すると、未認証の攻撃者に対して、リモート・コード実行 (RCE) を許す可能性が生じる。この情報が公開される前に、限られた数の顧客が悪用の被害に遭ったことを、同社は確認している。Ivanti はアドバイザリで、「これらの脆弱性を連鎖させる攻撃者が、その悪用が成功すると、未認証でのリモート・コード実行につながる可能性がある」と述べている。
Continue reading “Ivanti EPMM の脆弱性 CVE-2025-4427／4428 が FIX：すでに悪用を確認”Zoom Workplace Apps Flaws Allow Hackers to Gain Elevated Access
2025/05/13 gbhackers — Zoom が公開したのは、Zoom Workplace アプリで新たに発見された、７件の脆弱性に対処する複数のセキュリティ情報であり、そのうち１件は深刻度が High と評価されるものだ。2025年5月13日に公開された、これらの脆弱性を悪用する攻撃者は、さまざまな攻撃ベクターを通じて権限昇格の可能性を得るという。最も注目すべきは、Time-of-check／Time-of-use (TOCTOU) の脆弱性であり、悪用されると深刻な権限昇格につながる可能性がある。
Continue reading “Zoom Workplace Apps の脆弱性 CVE-2025-30663 などが FIX：深刻な権限昇格の恐れ”Fortinet fixes critical zero-day exploited in FortiVoice attacks
2025/05/13 BleepingComputer — Fortinet が公表したのは、FortiVoice 企業電話システムで発見された、深刻なリモートコード実行の脆弱性 CVE-2025-32756 を修正する、セキュリティ・アップデートのリリースである。この脆弱性は、スタック・オーバーフローの欠陥に起因し、FortiMail／FortiNDR／FortiRecorder／FortiCamera などの影響を及ぼすものであり、すでにゼロデイ攻撃で悪用されている。
Continue reading “Fortinet FortiVoice の脆弱性 CVE-2025-32756 が FIX：ゼロデイ攻撃での悪用を確認”PoC Released: CVE-2025-31258 Sandbox Escape in macOS via RemoteViewServices
2025/05/13 SecurityOnline — Apple が公表したのは、macOS で発見された脆弱性 CVE-2025-31258 に対するパッチのリリースである。この脆弱性により、悪意のアプリケーションがサンドボックスを突破し、システム・リソースへの不正アクセスが許される可能性が生じる。この問題は、macOS Sequoia 15.5で修正されているが、それを追いかけるように、セキュリティ研究者の Seo Hyun-gyu が PoC エクスプロイトを公開している。
Continue reading “macOS の脆弱性 CVE-2025-31258 が FIX：サンドボックス・エスケープによる不正アクセスの恐れ”Multiple CVEs in GNU Screen: Local Root Exploit and TTY Hijacking Discovered
2025/05/13 SecurityOnline — 広く使用されるターミナル・マルチプレクサ GNU Screen に存在する、複数の深刻な脆弱性が、SUSE セキュリティ・チームによる包括的なセキュリティ監査により明らかにされた。その中には、ローカル権限から root 権限への昇格を可能にする脆弱性も含まれるという。これらの脆弱性は、最新の Screen 5.0.0リリースと、広く導入されている Screen 4.9.x に影響を及ぼすが、ディストリビューションのコンフィグに応じて差異が生じるという。
Continue reading “GNU Screen の複数の脆弱性が FIX：ローカル Root の悪用や TTY ハイジャックなど”CVE-2025-1087: Critical Template Injection in Insomnia API Client Enables Remote Code Execution
2025/05/13 SecurityOnline — Kong が提供する人気の OSS API クライアント Insomnia に存在する、深刻な脆弱性 CVE-2025-1087 (CVSS：9.3) を悪用する攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を得るという。したがって、REST／GraphQL／WebSocket／SSE／gRPC エンドポイントとのインタラクションにおいて、Insomnia を利用する開発者／テスター／DevOpsチームにとって、この脆弱性は重大なリスクとなる。
Continue reading “Insomnia API Client の脆弱性 CVE-2025-1087 が FIX：不十分な入力検証が引き起こす RCE”Microsoft May 2025 Patch Tuesday fixes 5 exploited zero-days, 72 flaws
2025/05/13 BleepingComputer — 今日は Microsoft の May 2025 Patch Tuesday の日だ。このパッチでは、72件の脆弱性に対するセキュリティ・アップデートが提供されるが、その中には、現時点で悪用されている５件の脆弱性、すでに公開されている２件のゼロデイ脆弱性が含まれるす。なお、今回の月例パッチでは、深刻度 Critical の脆弱性が６件も修正されている。そのうち５件はリモートコード実行の脆弱性であり、もう１件は情報漏洩の脆弱性である。
Continue reading “Microsoft 2025-05 月例アップデート：５件のゼロデイを含む 72件の脆弱性に対応”2025/05/13 SecurityOnline — アプライアンス・モードで動作中の F5 BIG-IP システムで生じる、高深刻度の脆弱性 CVE-2025-31644 が発見された。この脆弱性の悪用に成功した認証済みの管理ユーザーは、任意の bash コマンドを実行し、ルート権限を取得する可能性を得る。この脆弱性は、iControl REST API／tmsh (Traffic Management Shell) CLI インターフェイスに影響を及ぼすものであり、Deloitte の MatMatei “Mal” Badanoiu により報告されている。
Continue reading “F5 BIG-IP の脆弱性 CVE-2025-31644 が FIX：セキュリティ・バイパスと PoC の提供”FakeUpdates, Remcos, AgentTesla Top Malware Charts in Stealth Attack Surge
2025/05/12 hackread — Check Point Research (CPR) が発表したのは、2025年4月に実施した調査の結果である。それが示すのは、より複雑で巧妙な手法を用いる攻撃者が、有害なソフトウェアを拡散しているという懸念すべき傾向である。一部の著名なマルウェア・ファミリーが依然として活動しているが、システムへの感染手法はというと、より巧妙化しており、検出が困難になっているという。
Continue reading “Check Point のマルウェア・レポート 2025/04：FakeUpdates／Remcos／AgentTesla の蔓延と戦術の高度化”U.S. CISA adds TeleMessage TM SGNL to its Known Exploited Vulnerabilities catalog
2025/05/12 SecurityAffairs — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、TeleMessage TM SGNL の脆弱性 CVE-2025-47729 (CVSS：1.9) を、Known Exploited Vulnerabilities (KEV) カタログに追加した。CISA のアドバイザリには、「2025年5月5日までの TeleMessage のアーカイブ・バックエンドには、TM SGNL (別名 Archive Signal) アプリ・ユーザーによる、メッセージの平文コピーが保存されている。それは、TeleMessage の “End-to-End encryption from the mobile phone through to the corporate archive”ドキュメントで説明されている機能とは異なるものであり、2025年5月に実環境での悪用が確認された」と記されている。
Continue reading “CISA KEV 警告 25/05/12：TeleMessage の脆弱性 CVE-2025-47729 の登録と Mike Waltz の異動”Türkiye-Linked Hackers Exploit Output Messenger Zero-Day (CVE-2025-27920) in Espionage Campaign
2025/05/12 SecurityOnline — Microsoft Threat Intelligence が公表したのは、Output Messenger のゼロデイ脆弱性を悪用する地域的なサイバー諜報キャンペーンと、トルコ由来の脅威アクター Marbled Dust を関連付けたという情報である。この、イラクの組織を標的とするキャンペーンは、2024年4月に初めて観測され、その攻撃対象には、クルド系軍事組織に関係する個人も含まれていた。この攻撃では、ディレクトリ・トラバーサル脆弱性 CVE-2025-27920 を、ゼロデイとして悪用する高度な侵害チェーンが活用されている。
Continue reading “Output Messenger のゼロデイ脆弱性 CVE-2025-27920 が FIX：スパイ・キャンペーンでの悪用を確認”VMware Tools Vulnerability Allows Attackers to Modify Files and Launch Malicious Operations
2025/05/12 gbhackers — Broadcom 傘下の VMware が発表したのは、VMware Tools におけるファイル処理に関する、脆弱性 CVE-2025-22247 (CVSS：6.1) に対処するためのセキュリティ・パッチのリリースである。管理者権限のないユーザーであっても、この脆弱性を悪用することで、Guest VM 内のファイルを不正に操作する可能性を手にする。現時点で、影響を受ける Windows／Linux システム向けの、セキュリティ・アップデートが提供されている。ただし、macOS 環境は、このセキュリティ欠陥の影響を受けないという。
Continue reading “VMware Tools の脆弱性 CVE-2025-22247 が FIX：Guest VM 内での不正なファイル操作とマルチテナントへの影響”Apple Patches Major Security Flaws in iOS, macOS Platforms
2025/05/12 SecurityWeek — 5月12日 (月) に Apple が公表したのは、macOS／iPhone／iPad のソフトウェア・スタック全体にわたるセキュリティ脆弱性に対するパッチのリリースである。一連の脆弱性により、不正な画像／動画／Web サイトを開くだけで、コード実行のバグが引き起こされる可能性があると、同社は警告している。最新の iOS 18.5 アップデートは、AppleJPEG／CoreMedia の深刻なバグを修正するものだ。それらを悪用する攻撃者が、任意のメディア・ファイルを作成し、標的アプリの権限を用いた任意のコード実行の可能性を得ると、Apple は警告している。
Continue reading “Apple iOS／macOS の脆弱性が FIX：AppleJPEG／CoreMedia／WebKit／libexpat などのバグに対応”PoC Released: CVE-2024-26809 Exploits nftables Double-Free to Achieve Root Shell
2025/05/12 SecurityOnline — Linux カーネルの nftables サブシステムにおける、net/netfilter モジュールに脆弱性が発見された。この脆弱性を悪用する攻撃者は、nft_pipapo_destroy()の 二重解放により、ローカル権限昇格の可能性を得る。この脆弱性 CVE-2024-26809 は、カーネル・バージョン 6.1-rc1 以降および 5.15.54 以降に影響を及ぼす。
Continue reading “Linux Kernel nftables の脆弱性 CVE-2024-26809：カーネル・コード実行の PoC が登場”ASUS Patches DriverHub RCE Flaws Exploitable via HTTP and Crafted .ini Files
2025/05/12 TheHackerNews — ASUS が公表したのは、ASUS DriverHub に存在する２つの脆弱性を修正する、アップデートのリリースである。これらの脆弱性の悪用に成功した攻撃者は、リモート・コード実行の可能性を手にする。DriverHub とは、”driverhub.asus[.]com” でホストされている専用サイトと通信することで、コンピューターのマザーボード・モデルを自動的に検出し、その後のインストールに必要なドライバー・アップデートを表示するツールである。
Continue reading “ASUS DriverHub の RCE 脆弱性 CVE-2025-3462／3463 が FIX：”.ini” ファイルの改竄は簡単”VS Code in the Browser at Risk: code-server Security Alert
2025/05/12 SecurityOnline — VS Code をブラウザで実行するために、広く利用される code-server プロジェクトに存在する脆弱性が、新たに公開されたセキュリティ・アドバイザリで明らかにされた。この脆弱性 CVE-2025-47269 (CVSS：8.3) を悪用する攻撃者は、ユーザー・セッションへの不正アクセスの可能性を手にする。
Continue reading “VS Code in the Browser の脆弱性 CVE-2025-47269 が FIX：code-server の乗っ取りの恐れ”Stack Overflow Alert! XML Flaw in libexpat Threatens Widespread Software
2025/05/12 SecurityOnline — libexpat XML 解析ライブラリに存在する、スタック・オーバーフローの脆弱性 CVE-2024-8176 (CVSS：7.5) に関する情報を、CERT/CC が発表した。影響を受ける環境での libexpat ライブラリの導入方法によっては、この脆弱性を悪用する攻撃者は、メモリ破損やアプリケーション・クラッシュなどを引き起こす可能性を手にする。
Continue reading “libexpat XML parser の脆弱性 CVE-2024-8176 が FIX：懸念されるサプライチェーン攻撃”
IoT OT Security News 
You must be logged in to post a comment.