Malicious MCP Servers Enable Stealthy Prompt Injection to Drain System Resources
2025/12/09 gbhackers — Model Context Protocol (MCP) のサプリング機能に、深刻な脆弱性が存在することを、Unit 42 のセキュリティ研究者たちが公表した。この脆弱性を悪用する悪意のサーバは、ステルス性の高いプロンプト・インジェクション攻撃を、ユーザーに気付かれることなく実行できる。その結果として、計算リソースの浪費や、LLM アプリケーションの侵害などが可能になる。発見された脆弱性は、プロトコル固有の信頼モデルと堅牢なセキュリティ制御の欠如を悪用する３つの主要な攻撃ベクターを持つ。
Continue reading “MCP で特定された３つの攻撃ベクター：悪意のサーバからの攻撃手法を分析する”Ruby SAML Library Vulnerability Let Attackers Bypass Authentication
2025/12/09 CyberSecurityNews — Ruby が公表したのは、SAML ライブラリに発見された深刻な脆弱性に関する情報である。この脆弱性を悪用する攻撃者は、影響を受けるアプリケーションの認証メカニズムを完全にバイパスする可能性がある。この脆弱性 CVE-2025-66567 が影響を及ぼす範囲はバージョン 1.12.4 以下であり、CVSS スコアは 10.0 (Critical) と評価されている。この脆弱性の原因は、以前に公表された脆弱性 CVE-2025-25292 に対する不完全な修正により、パーサーの解釈差による署名ラッピングが残ってしまった。
Continue reading “Ruby SAML ライブラリの脆弱性 CVE-2025-66567 (CVSS 10.0) が FIX：深刻な認証バイパス”Fortinet warns of critical FortiCloud SSO login auth bypass flaws
2025/12/09 BleepingComputer — Fortinet が発表したセキュリティ・アップデートは、FortiOS／FortiWeb／FortiProxy／FortiSwitchManager の２件の深刻な脆弱性に対処するものである。これらの脆弱性を悪用する攻撃者は、FortiCloud SSO 認証をバイパスする可能性がある。悪意の SAML メッセージを送信する攻撃者は、脆弱な製品の不適切な検証を介して、各製品におけるシグニチャ検証の脆弱性 CVE-2025-59718 (FortiOS／FortiProxy／FortiSwitchManager) と CVE-2025-59719 (FortiWeb) を悪用できる。
Continue reading “Fortinet の脆弱性 CVE-2025-59718／59719 が FIX：FortiCloud SSO に認証バイパスの可能性”CISA Adds Critical React2Shell Vulnerability to KEV Catalog Following Active Exploitation
2025/12/09 CyberSecurityNews — Meta React Server Components に影響を与える、深刻な脆弱性 CVE-2025-55182 が Known Exploited Vulnerabilities (KEV) カタログに追加された。それが意味するのは、米連邦政府においても、この脆弱性 React2Shell が広範に悪用されている状況である。このリモート・コード実行の脆弱性は、React Server Components を利用する組織にとって差し迫った脅威となっている。脆弱性 CVE-2025-55182 は、React Server Function エンドポイントに送信されるペイロードを、React Server Components がデコードする際の方法に起因する。
Continue reading “CISA KEV 警告 25/12/09：React Server Components の RCE 脆弱性 CVE-2025-55182 を登録”Ivanti warns of critical Endpoint Manager code execution flaw
2025/12/09 BleepingComputer — 12月9日に Ivanti が発表したのは、同社の Endpoint Manager (EPM) ソリューションに発見された脆弱性 CVE-2025-10573 に対する、パッチ適用に関する情報である。この脆弱性を悪用する攻撃者は、リモート・コード実行の可能性を得る。Ivanti の System／IT 資産管理ソリューションは、世界の 7,000 社以上の組織ネットワークを通じて、40,000 社以上のエンドユーザー企業に提供されている。同社の EPM ソフトウェアは、Windows／macOS／Linux／Chrome OS／IoT 上のクライアント・デバイスを管理する、オールインワンのエンドポイント管理ツールである。
Continue reading “Ivanti EPM の脆弱性 CVE-2025-10573／13659／13161／13662 が FIX：リモート・コード／XSS などの恐れ”Researchers Find Malicious VS Code, Go, npm, and Rust Packages Stealing Developer Data
2025/12/09 TheHackerNews — Microsoft Visual Studio Code (VS Code) マーケットプレイスに存在し、開発者のマシンに情報窃取型マルウェアを感染させる２つの新たなエクステンションが、サイバー・セキュリティ研究者たちにより発見／報告された。これら悪意の VS Code エクステンションは、プレミアム・ダークテーマや人工知能 (AI) 搭載のコーディング・アシスタントを装うが、実際には追加ペイロードのダウンロード／スクリーンショットの撮影／データ窃取といった隠れた機能を秘めている。それにより収集された情報は、攻撃者が管理するサーバに送信される。
Continue reading “VS Code に悪意のパッケージ：DLL ハイジャックにより開発者の機密情報を盗み出す”Burp Suite Upgrades Scanner With Detection for Critical React2Shell Flaws
2025/12/09 gbhackers — 広く利用されるペンテストツール Burp Suite の、エクステンション ActiveScan++ に対して大幅なアップグレードが行われた。それにより、深刻な脆弱性 React2Shell に対する特別な検出機能が、このスキャナーに追加されることになった。このアップデートは、深刻度の高い２つのセキュリティ脆弱性 CVE-2025-55182／ CVE-2025-66478 に対応するものだ。
Continue reading “脆弱性 React2Shell を検出：Burp Suite が CVE-2025-55182／ CVE-2025-66478 に対応”Google Chrome adds new security layer for Gemini AI agentic browsing
2025/12/09 BleepingComputer — Google が公開したのは、”User Alignment Critic” と呼ばれる新しい防御レイヤーを、Chrome ブラウザに導入する計画である。それにより、Gemini を搭載する今後のエージェント型 AI ブラウジング機能が保護されるという。エージェント型ブラウジングとは、自律的な AI エージェントがユーザーに代わって、Web 上で複数のタスクを実行する新しいモードである。具体的には、サイトのナビゲーション／コンテンツの読み取り／ボタンのクリック／フォームへの入力といった一連のアクションの実行などが自動的に実行される。
Continue reading “Gemini の AI ブラウジングを保護：Chrome に追加された新たなセキュリティ・レイヤーとは？”Akira Group Targets Hyper-V and VMware ESXi with Ransomware Exploiting Vulnerabilities
2025/12/09 gbhackers — 現代の企業 IT において、目に見えないバックボーンとして機能しているハイパーバイザーが、ランサムウェア集団の新たな主戦場となっている。Huntress の最新データによると、ランサムウェアを仕掛ける下準備として、ハイパーバイザーを標的とする攻撃が 2025 年後半に急増している。
Continue reading “Akira が標的にする Hyper-V と ESXi：3% から 25% に急増した攻撃試行”Microsoft December 2025 Patch Tuesday fixes 3 zero-days, 57 flaws
2025/12/09 BleepingComputer — 今日は Microsoft の December 2025 Patch Tuesday の日だ。この月例セキュリティ更新プログラムでは、57 件の脆弱性が修正されている。そこには、現在悪用されている脆弱性１件と、公開済みゼロデイ脆弱性２件が含まれる。また、今回の月例セキュリティ更新プログラムでは、深刻度 Critical のリモート・コード実行の脆弱性３件も修正されている。
Continue reading “Microsoft 2025-12 月例アップデート：３件のゼロデイを含む 57件の脆弱性に対応”CISA Warns of D-Link Routers Buffer Overflow Vulnerability Exploited in Attacks
2025/12/09 CyberSecurityNews — D-Link ルーターに影響を与える深刻なバッファ・オーバーフロー脆弱性 CVE-2022-37055 が、CISA の Known Exploited Vulnerabilities (KEV) カタログに追加された。それが示すのは、すでに米連邦政府内の実環境で、この脆弱性の悪用が確認されていることである。この脆弱性は、影響を受ける D-Link ネットワーク・デバイスに依存する組織のネットワークに深刻なリスクをもたらすものだ。
Continue reading “CISA KEV 警告 25/12/09：D-Link ルータの脆弱性 CVE-2022-37055 を登録”
IoT OT Security News 