June 25, 2025 – IoT OT Security News

Kubernetes NodeRestriction の脆弱性 CVE-2025-4563 が FIX：認証バイパスと権限昇格

Kubernetes NodeRestriction Flaw Lets Nodes Bypass Resource Authorization

2025/06/25 gbhackers — Kubernetes の深刻なセキュリティ脆弱性 CVE-2025-4563 により、動的リソース割り当ての認証チェックをバイパスするノードが、影響を受けるクラスター上での権限昇格の可能性を得ることが明らかになった。この脆弱性は NodeRestriction アドミッション・コントローラに存在し、DynamicResourceAllocation 機能が有効化されている場合において、ポッド作成時のリソース・リクエスト・ステータスの検証に失敗するというものだ。

PoshC2／Chisel／Classroom Spy を悪用：セキュリティ OSS ツールによる攻撃フレームを解析

Hackers Abuse Open-Source Tools PoshC2, Chisel & Classroom Spy to Establish Their Attack Framework

2025/06/25 CyberSecurityNews — アフリカの金融セクターを標的とする、高度なサイバー犯罪活動が出現した。この活動は、正規の OSS ペンテスト・ツールを組み合わせて悪用し、アフリカ大陸全体の銀行ネットワークへの持続的なアクセスを確立している。CL-CRI-1014 という名で活動する脅威アクターは、PoshC2／Chisel／Classroom Spy といった、無料で入手できるセキュリティ・ツールを再利用し、金融機関に対する複雑な多段階攻撃を仕掛けることで、驚くべき適応力を発揮している。

Realtek Bluetooth の脆弱性 CVE-2024-48290：No Patch／Yes PoC の状態が続いている

Realtek Bluetooth Flaw Allows Attackers to Launch DoS Attacks During Pairing

2025/06/25 gbhackers — Realtek の Bluetooth Low Energy (BLE) に存在する、深刻な脆弱性を悪用する攻撃者は、デバイスのペアリング中にサービス拒否 (DoS) 攻撃を仕掛けられる。Realtek RTL8762E BLE SDK v1.4.0 に影響を及ぼす、この脆弱性 CVE-2024-48290 は、プロトコルの不整合を悪用する攻撃者に対して、接続の妨害を許すものである。細工した ll_terminate_ind パケットの送信や、不完全なペアリング・データの挿入を仕掛ける攻撃者は、対象デバイスの Bluetooth スタックをクラッシュさせ、正当な接続をブロックする可能性を手にする。

npm リポジトリを舞台とする新たなキャンペーン：リクルーターを装い開発者に悪意のコードを実行させる

North Korean Hackers as Recruiters Attacking Developers With 35 New Malicious npm Packages

2025/06/25 CyberSecurityNews — 高度なサプライチェーン攻撃キャンペーンを、北朝鮮の脅威アクターが開始した。侵害済みの 24のアカウントに、悪意の npm パッケージ 35個を埋め込み、巧妙なフェイク・リクルートを介して、ソフトウェア開発者を標的としている。このキャンペーンは、OSS エコシステムを標的とする、国家支援のサイバースパイ活動の著しいエスカレーションを示しており、いまも続いている、伝染面接 (Contagious Interview) 作戦の延長とみられている。

Windows 11 の Config バグ：更新プロセス停止に対する恒久的な対策とは？

Windows 11 Configuration Bug Freezes Update Scanning Process

2025/06/25 gbhackers — 前日に発見された Windows 11 のバグにより、OS の更新プログラムのスキャン・プロセスが予期せずフリーズするという事態が生じている。それにより、重要な更新プログラムの確認やインストールが不能となり、数多くのユーザーが大きな問題に遭遇している。すでに Microsoft は、この問題をオフィシャルに認めており、世界中の影響を受けるデバイスに対して、修正プログラムを提供している。この、“Scan for Updates” 機能へのレスポンスが失われる問題は、Windows 11 バージョン 24H2 を実行するユーザーに影響をおよぼすものだ。

Brother 製デバイス群に複数の脆弱性：４社 742機種のプリンター／複合機に影響

Multiple Brother Devices Vulnerabilities Open Devices for Hacking

2025/06/25 CyberSecurityNews — ４社の主要メーカーが製造する、742機種のプリンター／複合機に影響を及ぼす、８件の深刻な脆弱性が発見された。サイバー・セキュリティ企業 Rapid7 が実施した、ゼロデイ研究プロジェクトにより検出された、これらの脆弱性は、Brother のプリンター・エコシステムに存在する、深刻なセキュリティ欠陥を明らかにしている。これらの脆弱性の影響は、Brother 製品に留まらず、FUJIFILM／Ricoh／Toshiba の製品群にも波及するという。

Elastic Kibana の脆弱性 CVE-2025-2135 (CVSS：9.9) が FIX：ヒープ破損／RCE の可能性

Critical Kibana Flaws Enable Heap Corruption and Remote Code Execution

2025/06/25 gbhackers — Elastic Stack の Kibana に、セキュリティ脆弱性 CVE-2025-2135 (CVSS：9.9：Critical) が発見された。この人気のデータ可視化プラットフォームに、ヒープ破損／リモート・コード実行の可能性が生じるため、セルフホスト／クラウド・ユーザーの、いずれにおいても速やかな対応が必要とされる。

Chrome 138 アップデート：悪意のコード実行につながる 11件の脆弱性を修正

Chrome Security Update: Patch for 11 Vulnerabilities Enabling Malicious Code Execution

2025/06/25 CyberSecurityNews — Google が公表したのは、Chrome に存在する 11 件の脆弱性を修正する、重要なセキュリティ・アップデートのリリースであり、それらの欠陥の中には、ユーザーのシステム上での悪意のコード実行を引き起こす可能性を持つものも含まれるという。2025年6月24日 (火) に発表された、Chrome 138.0.7204.49 ステイブル・チャネル・アップデートは、高度なサイバー脅威への防御力を強化し続ける、Chrome ブラウザ・セキュリティにおける重要なマイルストーンとなるものだ。

NVIDIA Megatron-LM の脆弱性 CVE-2025-23264／23265 がFIX：悪意のコード注入

NVIDIA Megatron LM Flaw Allows Attackers to Inject Malicious Code

2025/06/25 gbhackers — NVIDIA が公表したのは、オープンソースの Megatron-LM フレームワークに対する緊急のセキュリティ・アップデートのリリースである。この２つの脆弱性を悪用する攻撃者は、影響を受けるシステムに悪意のコードを注入し、実行できるという。この、CVE-2025-23264／CVE-2025-23265 として追跡される脆弱性は、Megatron-LM のバージョン 0.12.0 以下に影響を及ぼす。

TeamViewer for Windows の脆弱性 CVE-2025-36537 が FIX：SYSTEM 権限でのファイル削除

TeamViewer for Windows Vulnerability Let Attackers Delete Files Using SYSTEM Privileges

2025/06/25 CyberSecurityNews — TeamViewer Remote Management for Windows に、深刻なセキュリティ脆弱性が発見された。この脆弱性を悪用するローカル・アクセスを持つ攻撃者は、SYSTEM 権限での任意のファイル削除を達成し、権限昇格を引き起こす可能性を手にする。この脆弱性 CVE-2025-36537 (CVSS：7.0：High) が発表されたのは、2025年6月24日のことである。すでに TeamViewer はパッチをリリースし、このリスクを軽減している。ユーザーに強く推奨されるのは、最新バージョンへと速やかにアップデートすることだ。

CentOS Web Panel の脆弱性 CVE-2025-48703 が FIX：リモート・コード実行を証明する PoC も登場

CentOS Web Panel Vulnerability Allows Remote Code Execution – PoC Released

2025/06/25 gbhackers — 広く利用されている Web ホスティングのための管理ソリューション CentOS Web Panel (CWP) に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-48703 の悪用に成功した未認証の攻撃者は、影響を受けるシステム上で任意のコマンド実行を達成し、サーバ全体でセキュリティ侵害を引き起こすという。さらに、リモート・コード実行 (RCE) を実証する PoC エクスプロイトが公開され、世界中の CWP 搭載サーバ管理者に懸念が生じている。

Citrix NetScaler ADC の脆弱性 CVE-2025-6543 が FIX：すでに攻撃を確認

Citrix Releases Emergency Patches for Actively Exploited CVE-2025-6543 in NetScaler ADC

2025/06/25 TheHackerNews — Citrix が公表したのは、NetScaler ADC に存在する深刻な脆弱性に対処する、セキュリティ・アップデートのリリースである。この脆弱性については、実際の悪用が報告されている。この脆弱性 CVE-2025-6543 の CVSS スコアは 9.2 と評価されている。