Aiototsec

npm で新たなリポジトリ汚染：人気パッケージ “rand-user-agent” が標的にされた

Supply chain attack hits npm package with 45,000 weekly downloads

2025/05/08 BleepingComputer — npm パッケージ “rand-user-agent” がサプライチェーン攻撃を受け、難読化されたコードを注入されたことが判明した。このコードは、ユーザーのシステム上で RAT(Remote Access Trojan) を起動させるよう設計されている。“rand-user-agent” パッケージは、ランダムなユーザー・エージェント文字列を生成するツールであり、Web スクレイピング／自動テスト／セキュリティ研究などに役立つものだ。このパッケージは、現在では非推奨となっているが、週平均で 45,000 件ものダウンロード数を誇っている。

MirrorFace という脅威：強力なカスタム・マルウェアを武器に日本と台湾の組織を狙う

MirrorFace Targets Japan and Taiwan with ROAMINGMOUSE and Upgraded ANEL Malware

2025/05/08 TheHackerNews — MirrorFace として知られる国家主導の脅威アクターが、日本と台湾の政府機関および公的機関を標的とするサイバー・スパイ活動の一環として、ROAMINGMOUSE と呼ばれるマルウェアを展開していることが確認された。2025年3月の時点で Trend Micro が検知した活動は、スピアフィッシングのルアーを用いて、ANEL と呼ばれるバックドアの最新バージョンを配信するものだ。

SonicWall SMA 100 の脆弱性 CVE-2025-32819／32820／32821 が FIX：SSLVPN アカウントに関連

Multi Vulnerabilities Found in SonicWall SMA 100 Series Prompt Urgent Security Update

2025/05/08 SecurityOnline — SonicWall が公開したのは、Secure Mobile Access (SMA) 100 Series に影響を及ぼす、複数の脆弱性に関するセキュリティ・アドバイザリである。このアドバイザリで取り上げられるのは、影響を受けるシステムへの侵入を、攻撃者がに許す可能性のある、深刻な３つの脆弱性である。

Apache ActiveMQ の脆弱性 CVE-2025-27533 が FIX：メモリ割り当ての問題と DoS 攻撃

CVE-2025-27533: Apache ActiveMQ Memory Allocation Bug Could Lead to Denial of Service

2025/05/08 SecurityOnline — 複数のプロトコルとクロス・プラットフォーム統合を強力にサポートする、OSS のメッセージ・ブローカー Apache ActiveMQ に、深刻なメモリ割り当ての脆弱性 CVE-2025-27533 が発見され、サービス拒否 (DoS) 攻撃が引き起こされる可能性が生じている。

IGEL OS の脆弱性 CVE-N/A が FIX：ネットワーク・コンフィグの欠陥による権限昇格

Critical Privilege Escalation Flaw in IGEL OS Exposes Systems to Root Access Risks

2025/05/08 SecurityOnline —IGEL Technology が発行したのは、Linux ベースのオペレーティング・システム IGEL OS に存在する、深刻な権限昇格の脆弱性に関するセキュリティ・アドバイザリである。この脆弱性を悪用する攻撃者は、影響を受けるシステム上で root レベルのアクセス権限を取得する可能性を手にする。IGEL のアドバイザリには、「IGEL OS のネットワーク・コンフィグ・メカニズムに、権限昇格型の脆弱性が発見された。この脆弱性を悪用する、適切な権限を持たないユーザーが、root としてコマンドを実行する可能性がある」と記されている。

AI と NHI：増え続ける非人間 ID の管理がセキュリティの強化と効率化のカギになる

How agentic AI and non-human identities are transforming cybersecurity

2025/05/08 HelpNetSecurity — 平均的な企業において、NHI (non-human identities) の数と、従業員／請負業者／顧客の数を比較すると、10対1 〜 92対1 の割合で、前者が上回っているという。それに加えて、人間のアイデンティティ管理における断片化という問題もある。具体的に言うと、オンプレミス／クラウド／ハイブリッドなど複数の環境へのアクセスを、１人の人物に対して許可することで生じる問題であり、それにより、企業の IAM (identity and access management) は、きわめて困難な時代を迎えている。

Cisco IOS XE Wireless LAN の脆弱性 CVE-2025-20188 が FIX：完全な制御奪取の恐れ

Cisco IOS XE Wireless Controllers Vulnerability Lets Attackers Seize Full Control

2025/05/08 gbhackers — Cisco IOS XE Wireless LAN Controllers (WLC) に存在する、深刻なセキュリティ上の欠陥が明らかにされた。この脆弱性を悪用する未認証のリモート攻撃者は、影響を受けるデバイスの完全な制御の可能性を手にする。この脆弱性 CVE-2025-20188 が悪用されると、任意のファイルがアップロードされ、ルート権限でのコマンド実行が達成されるため、世界中の企業のワイヤレ・スネットワークに重大な脅威を生じる恐れがある。

SysAid の４つの脆弱性が FIX：XXE インジェクションと PoC の提供

SysAid Patches 4 Critical Flaws Enabling Pre-Auth RCE in On-Premise Version

2025/05/07 TheHackerNews — SysAid のオンプレミス版に、複数のセキュリティ上の欠陥があることを、サイバー・セキュリティ研究者たちが明らかにした。これらの脆弱性を悪用されると、昇格された権限を介して、認証を必要としないリモートコード実行が可能となり、この IT サポート・ソフトウェアに深刻なリスクが生じる。一連の脆弱性 CVE-2025-2775／CVE-2025-2776／CVE-2025-2777 は、XML External Entity (XXE) インジェクションと説明されており、アプリケーションによる XML 入力の解析に、攻撃者が干渉した場合に発生する。

Microsoft CLFS の脆弱性 CVE-2025-29824：ランサムウェア攻撃での積極的な悪用を観測

Zero-Day CLFS Vulnerability (CVE-2025-29824) Exploited in Ransomware Attacks

2025/05/07 SecurityOnline — Microsoft の Common Log File System (CLFS) ドライバに存在する、ゼロデイの権限昇格の脆弱性 CVE-2025-29824 を悪用する高度な攻撃を、Symantec の Threat Hunter Team が発見した。この脆弱性を積極的に悪用するのは、Play ランサムウェア (PlayCrypt) を背後で操る、脅威グループ Balloonfly である。2025年4月8日の時点で、脆弱性 CVE-2025-29824 には公式パッチがリリースされているが、それに先行して、この活動は発生していた。

Elastic Kibana の脆弱性 CVE-2025-25014 (CVSS：9.1) ：任意のコード実行にいたる恐れ

Severe Kibana Flaw Allowed Attackers to Run Arbitrary Code

2025/05/07 gbhackers — Elastic Kibana プラットフォームに発見された、新たなセキュリティ脆弱性により、数千の企業がリスクにさらされている。この脆弱性の悪用に成功した攻撃者は、標的とするシステム上において、任意のコード実行の可能性を手にする。この脆弱性 CVE-2025-25014 の CVSS スコアは 9.1 と非常に高いため、ユーザー組織に求められるのは、速やかなデプロイメントの更新となる。Elastic のアナウンスメント (ESA-2025-07) によると、脆弱性 CVE-2025-25014 はプロトタイプ汚染に起因するものであり、攻撃者に対し、リモートからの任意のコード実行を許す可能性があるという。

GeoVision の製造中止 IoT 機器の脆弱性 CVE-2024-6047／11120：ボットネット LZRD による悪用を観測

Botnet Exploits Old GeoVision IoT Devices via CVE-2024-6047 & CVE-2024-11120

2025/05/07 SecurityOnline — GeoVision の製造中止となった IoT デバイスに存在する、２つのコマンド・インジェクション脆弱性が積極的に悪用されていることを、Akamai の Security Intelligence and Response Team (SIRT) が特定した。Akamai は、「2024年6月／11月に公開された、脆弱性 CVE-2024-6047／CVE-2024-11120 が、積極的に悪用された初めての事例となる」と述べている。

cpp-httplib の脆弱性 CVE-2025-46728 が FIX：メモリ枯渇と DoS 攻撃の可能性

CVE-2025-46728: cpp-httplib Vulnerability Exposes Servers to Denial of Service

2025/05/07 SecurityOnline — C++11 のファイル・ヘッダーのみで構成され、セットアップの容易さで知られている、クロス・プラットフォーム HTTP/HTTPS ライブラリである cpp-httplib が、深刻なセキュリティ脆弱性に直面している。先日に確認された、脆弱性 CVE-2025-46728 を悪用する脅威アクターは、このライブラリを使用するアプリケーションに対して、サービス拒否 (DoS) 攻撃を仕掛ける可能性を手にする。

CISA KEV 警告 25/05/06：FreeType の脆弱性 CVE-2025-27363 を登録

U.S. CISA adds FreeType flaw to its Known Exploited Vulnerabilities catalog

2025/05/07 SecurityAffairs — Cybersecurity and Infrastructure Security Agency (CISA) は、FreeType の脆弱性 CVE-2025-27363 (CVSS：8.1) を Known Exploited Vulnerabilities (KEV) カタログに追加した。2025年3月中旬に Meta は、この境界外書き込みの脆弱性が、攻撃で悪用されている可能性があると警告していた。

フェイク Discord パッケージと RAT：PyPI から 11,500+ のダウンロード

Researchers Uncover Malware in Fake Discord PyPI Package Downloaded 11,500+ Times

2025/05/07 TheHackerNews — Python Package Index (PyPI) リポジトリ上で、無害な Discord 関連ユーティリティを装いながら、リモートアクセス型トロイの木馬 (RAT) を取り込んでいる悪意のパッケージを、サイバー・セキュリティ研究者たちが発見した。この問題のパッケージは “discordpydebug” であり、2022年3月21日に PyPI にアップロードされている。すでに、このパッケージは 11,574回もダウンロードされており、PyPI レジストリ上で引き続き提供されている。興味深いことに、このパッケージは、それ以降において更新されていない。

Browser Use の脆弱性 CVE-2025-47241 が FIX：内部サービスへの不正アクセスの恐れ

CVE-2025-47241: Critical Whitelist Bypass in Browser Use Exposes Internal Services

2025/05/07 SecurityOnline — AI エージェントに対してブラウザ自動化機能を提供するツール Browser Use プロジェクトに、深刻な脆弱性が存在することを、ARIMLABS.AI のセキュリティ研究者たちが明らかにした。この CVE-2025-47241 (CVSS：9.3) を悪用する攻撃者は、URL の HTTP 認証ユーザー名パートに偽のドメインを埋め込むことで、ドメイン・ホワイトリスト保護を回避していくという。

OpenCTI の脆弱性 CVE-2025-24977 が FIX：Root-Level 攻撃の可能性

CVE-2025-24977: Critical RCE Flaw in OpenCTI Platform Exposes Infrastructure to Root-Level Attacks

2025/05/07 SecurityOnline — サイバー脅威インテリジェンスの管理に用いられる OSS ソリューション OpenCTI プラットフォームに、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-24977 (CVSS：9.1) を悪用する攻撃者は、ホスティング・インフラ上でコマンドを実行し、機密情報へのアクセスを可能にするという。

AWS Amplify Studio 脆弱性 CVE-2025-4318 (CVSS v4：9.5) が FIX：直ちにアップデートを！

Critical AWS Amplify Studio Flaw Allows Code Execution – Update Now!

2025/05/07 SecurityOnline — AWS Amplify Studio の amplify-codegen-ui パッケージに、深刻なセキュリティ脆弱性が発見された。この脆弱性は CVE-2025-4318 として追跡されており、CVSS v4 におけるスコアは 9.5 であり Critical と評価されている。この脆弱性を悪用する攻撃者は、任意の JavaScript コード実行を達成するため、深刻なセキュリティ侵害の可能性が生じている。

Samsung MagicINFO の脆弱性 CVE-2024-7399：PoC 公開と悪用の観測

Samsung MagicINFO flaw exploited days after PoC exploit publication

2025/05/06 SecurityAffairs — Samsung の CMS (Content management system) である MagicINFO の脆弱性が、PoC エクスプロイトの公開からわずか数日で、攻撃者たちにより悪用され始めたことが判明した。この脆弱性 CVE-2024-7399 (CVSS：8.8) は、Samsung MagicINFO 9 Server 21.1050 未満に存在し、制限されたディレクトリへのパス名の不適切な制限に起因する。この脆弱性の悪用に成功した攻撃者は、システム権限で任意のファイルを書き込む可能性を手にすると、Arctic Wolf の研究者たちは指摘している。

SAP NetWeaver の脆弱性 CVE-2025-31324：第二波の攻撃を観測

Second Wave of Attacks Hitting SAP NetWeaver After Zero-Day Compromise

2025/05/06 SecurityWeek — SAP NetWeaver インスタンスに存在する、ゼロデイ脆弱性を悪用する脅威アクターたちが、第二波の攻撃を開始していると、エンタープライズ・アプリケーション・セキュリティ Onapsis が警告している。このゼロデイ脆弱性 CVE-2025-31324 (CVSS：10.0) は、2025年4月の Security Patch Day の速報を SAP が更新し、この脆弱性に対処する新たな注記を追加した後の、4月24日に公開されたものだ。

Google の FreeType on Android の脆弱性 CVE-2025-27363 が FIX：任意のコード実行の恐れ

Google fixes actively exploited FreeType flaw on Android

2025/05/06 BleepingComputer — Google は、Android 向けの 2025年5月セキュリティ・アップデートをリリースした。このアップデートでは、45件のセキュリティ脆弱性が修正されているが、その中には、現在も悪用されている FreeType 2 のゼロクリック・コード実行の欠陥も含まれる。FreeType は、人気の OSS フォント・レンダリング・ライブラリであり、画像の表示や、プログラムによるテキストの追加にも対応している。この脆弱性 CVE-2025-27363 は、深刻度の高い任意のコード実行を許すものであり、Facebook のセキュリティ研究者たちにより、2025年3月に発見された。

Apache Pinot のミスコンフィグ：Kubernetes との組み合わせで生じる欠陥への攻撃 – Microsoft

Microsoft Warns of Attackers Exploiting Misconfigured Apache Pinot Installations

2025/05/06 SecurityWeek — Kubernetes のセキュリティについて Microsoft が実施した調査により、Apache Pinot のミスコンフィグのあるインスタンスを、脅威アクターたちが標的にしていることが明らかになった。Apache Pinot は、大規模なデータセットを高速かつ低レイテンシでクエリできるように設計された、OSS のリアルタイム分析プラットフォームである。それが評価され、Walmart／Uber／Slack／LinkedIn／Wix／Stripe などの世界有数の企業で、Pinot は使用されている。

WordPress OttoKit Plugin の脆弱性 CVE-2025-27007 が FIX：すでに悪用が始まっている

CVE-2025-27007: Critical OttoKit WordPress Plugin Flaw Exploited After Disclosure, 100K+ Sites at Risk

2025/05/06 SecurityOnline — 10万件以上のアクティブ・インストール数を誇る、人気の WordPress プラグイン OttoKit に発見された深刻な脆弱性により、無数の Web サイトがセキュリティ侵害の危険にさらされている。この脆弱性 CVE-2025-27007 (CVSS 9.8) は、Denver Jackson により発見され、Patchstack ゼロデイ・バグ報奨金プログラムを通じて公開された。そして、公開から１時間も経たないうちに悪用が始まってしまったという。

Windows Deployment Services (WDS) のサービス拒否の脆弱性：未承認／ゼロクリック／未パッチ

Unauthenticated DoS Vulnerability Crashes Windows Deployment Services, No Patch

2025/05/06 SecurityOnline — Windows Deployment Services (WDS) に発見されたサービス拒否 (DoS) の脆弱性を悪用する、認証を必要としないリモートの攻撃者により、企業ネットワークのクラッシュにいたる恐れがあると、セキュリティ研究者の Zhiniang Peng が詳細な技術分析を提供している。

WSO2 API Manager の脆弱性 CVE-2025-2905 が FIX：XXE 攻撃にいたる恐れ

CVE-2025-2905 (CVSS 9.1): Critical XXE Vulnerability Found in WSO2 API Manager

2025/05/06 SecurityOnline — WSO2 API Manager 2.0.0 以下のバージョンに、XML 外部エンティティ (XXE) の脆弱性が発見された。この脆弱性 CVE-2025-2905 (CVSS：9.1) は、ゲートウェイ・コンポーネントに存在する。同社のアドバイザリによると、この脆弱性は、細工された URL パスを処理する際の、XML 入力の検証不備に起因するとのことだ。WSO2 は、「ユーザーから提供された XML が、十分な制限をかけずに解析されるため、XML 外部エンティティ (XXE) 解決が可能な状況にある」と詳述している。

Digigram PYKO-OUT AoIP の脆弱性 CVE-2025-3927：デフォルト・コンフィグの問題と EOL

Digigram PYKO-OUT AoIP Devices Exposed to Attacks Due to Missing Default Password

2025/05/06 SecurityOnline — Digigram の PYKO-OUT audio-over-IP (AoIP) 製品にセキュリティ上の脆弱性が発見され、BGM やライブ・アナウンスなどのアプリケーションでの使用に懸念が生じている。この脆弱性 CVE-2025-3927 は、ログイン情報やパスワードを必要としないデバイスの、デフォルト・コンフィグレーションに起因するものだ。

Regex Filter の脆弱性：正規表現に対するバックエンド再検証が不可欠な理由とは？

Researcher Exploits Regex Filter Flaw to Gain Remote Code Execution

2025/05/06 gbhackers — フロントエンドの正規表現フィルタ（/^[a-zA-Z0-9]{1,20}$/）により制限されるユーザー名フィールドが、対象となるアプリケーションには含まれており、英数字だけを受け入れるように設計されていた。当初、この方式は堅牢に見えたが、正規表現チェック後に、バックエンドが入力を再検証していないことを、研究者たちが発見した。この見落としにより、特別に細工されたペイロードがクライアント側の制御をバイパスし、サーバ上で任意のコマンドを実行できる状態になっていた。

IBM Cognos Analytics の脆弱性 CVE-2024-51466／40695 が FIX：機密データの漏洩などの恐れ

Critical IBM Cognos Analytics Vulnerabilities Demand Urgent Patching

2025/05/06 SecurityOnline — IBM が公表したのは、主力 BI プラットフォーム Cognos Analytics に存在する、２件の深刻な脆弱性に対処するセキュリティ・アップデートをリリースである。同社のアドバイザリは、これらの脆弱性を悪用する攻撃者は、システムの侵害／機密データの漏洩／サーバー・クラッシュなどを引き起こす可能性があると警告している。

CISA KEV 警告 25/05/05：Langflow の脆弱性 CVE-2025-3248 を登録

CISA Issues Alert on Langflow Vulnerability Actively Exploited in Attacks

2025/05/06 gbhackers — 米国 CISA (Cybersecurity and Infrastructure Security Agency) は、Langflow の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性 CVE-2025-3248 の悪用に成功した未認証の攻撃者は、リモートからの悪意のコード実行の可能性を手にするという。したがって、この OSS フレームワークを、Language Model アプリケーションの構築に使用する組織において、深刻なリスクが生じている。

BeyondTrust PRA の脆弱性 CVE-2025-0217 が FIX：特権セッション乗っ取りの恐れ

BeyondTrust PRA Vulnerability (CVE-2025-0217) Enables Session Hijacking via Authentication Bypass

2025/05/05 securityonline — BeyondTrust の Privileged Remote Access (PRA) に、深刻なセキュリティ脆弱性が発見された。PRA を用いて特権セッションを管理する組織にとって、この脆弱性は深刻なリスクとなり得る。同社のアドバイザリによると、この脆弱性はローカル認証のバイパスに関するものであり、CVE-2025-0217 として追跡されている。

MediaTek Chipset の複数の脆弱性が FIX：OEM からのアップデート通知をチェック

MediaTek Fixes Multiple Security Flaws in Smartphone, Tablet, and TV Chipsets

2025/05/05 gbhackers — SmartPhone／Tablet／AIoT／Smart TV 向けチップセット技術のプロバイダーである MediaTek は、製品ポートフォリオの全体にわたる、複数のセキュリティ脆弱性に対処する、重要なパッチをリリースした。新たに公開された MediaTek 製品のセキュリティ速報が説明するのは、脆弱性および、影響を受けるデバイスの範囲、潜在的な影響などの詳細である。

Tenda RX2 Pro に複数の深刻な脆弱性：管理者権限の不正取得の恐れとパッチ未適用の状況

Multiple Flaws in Tenda RX2 Pro Let Attackers Gain Admin Access

2025/05/05 gbhackers — Tenda RX2 Pro Dual-Band Gigabit Wi-Fi 6 Router (ファームウェア V16.03.30.14) に、一連の深刻な脆弱性が存在することを、セキュリティ研究者が発見した。これらの脆弱性の悪用に成功したリモート攻撃者は、デバイスの管理者権限を取得し、多くのケースにおいて、完全なルート権限を取得するとされる。すでに研究者たちが通知を行っているが、Tenda は対応しておらず、パッチも提供されていない。Tenda の Web 管理ポータル／ファームウェア／内部サービスで発見された、11 件の脆弱性には個別の CVE が割り当てられている。

ADOdb PHP Library の脆弱性 CVE-2025-46337 (CVSS 10.0) が FIX：深刻な SQLi の恐れ

Critical SQL Injection Vulnerability Found in ADOdb PHP Library – CVE-2025-46337 (CVSS 10.0)

2025/05/05 SecurityOnline — 世界中で 280万件以上のインストール数を誇る PHP データベースの抽象化ライブラリ ADOdb に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-46337 は、PostgreSQL ドライバの pg_insert_id() メソッドに存在し、脆弱なアプリケーション上での任意の SQL コマンド実行を、攻撃者に許す可能性があるものだ。

Apache Parquet Java の脆弱性 CVE-2025-46762 が FIX：メタデータに埋め込まれた悪意のコードの自動実行

Apache Parquet Java Vulnerability Enables Remote Code Execution

2025/05/05 gbhackers — Apache Parquet Java に、深刻度の高い脆弱性 CVE-2025-46762 が発見された。この脆弱性により、parquet-avro モジュールを使用するシステムに、リモート・コード実行 (RCE) 攻撃の可能性が生じている。この脆弱性は、Apache Parquet のバージョン 1.15.1 以下に影響を及ぼすものであり、2025年5月2日に、コントリビューターである Gang Wu により公開された。

SonicWall の脆弱性 CVE-2023-44221／CVE-2024-38475：任意のコード実行を実証する PoC が登場

SonicWall Exploit Chain Exposes Admin Hijack Risk via CVE-2023-44221 and CVE-2024-38475

2025/05/05 SecurityOnline — SonicWall の Secure Mobile Access (SMA) アプライアンスを標的とする、新たな PoC エクスプロイト・チェーンが公開された。この、watchTowr Labs が公開した技術情報は、脆弱性 CVE-2023-44221／CVE-2024-38475 を組み合わせることで、未認証のリモート攻撃者が管理者セッションを乗っ取り、任意のコード実行を達成する仕組みが解説されている。

macOS App Sandbox エスケープの脆弱性 CVE-2025-31191 が FIX：不正なコード実行の可能性

CVE-2025-31191: Microsoft Exposes macOS Vulnerability Allowing App Sandbox Escape

2025/05/05 SecurityOnline — macOS に存在する深刻な脆弱性について、Microsoft Threat Intelligence が明らかにした。この脆弱性を悪用する攻撃者は、App Sandbox を回避し、影響を受けるシステム上で不正なコード実行の可能性を得る。この脆弱性 CVE-2025-31191 により、サンド・ボックス化されたアプリ内のセキュリティ・スコープ・ブックマークの悪用と、ユーザーの操作を必要としない App Sandbox エスケープが、攻撃者に対して許されるため、深刻なリスクがもたらされる。

Webmin の脆弱性 CVE-2025-2774 が FIX：Root-Level の権限昇格

CVE-2025-2774: Webmin Vulnerability Allows Root-Level Privilege Escalation

2025/05/04 SecurityOnline — Unix 系サーバや各種サービスの管理に利用され、世界中で年間約 100万件も導入される、人気の Web ベース・システム管理ツール Webmin に、深刻なセキュリティ脆弱性が存在することが判明した。この脆弱性を悪用するリモートの攻撃者は、権限を昇格させ、影響を受けるシステムから大半の制御を奪い取るとされる。

Linux が標的の Go モジュール・マルウェア：ディスク完全削除でサプライチェーンを狙う

Malicious Go Modules Deliver Disk-Wiping Linux Malware in Advanced Supply Chain Attack

2025/05/03 TheHackerNews — サイバー・セキュリティ研究者たちが発見した、３つの悪意のある Go モジュールは、次段階のペイロードを取得する難読化コードにより、Linux システムのプライマリ・ディスクを永久に上書きし、起動不能にする可能性があるものだ。それらのパッケージ名は、以下の通りである：

github[.]com/truthfulpharm/prototransform
github[.]com/blankloggia/go-mcp
github[.]com/steelpoor/tlsproxy

Couchbase Server for Windows の脆弱性 CVE-2025-46619 が FIX：システム・ファイル・アクセスの可能性

CVE-2025-46619: LFI Vulnerability Affects Multiple Versions of Couchbase Server for Windows

2025/05/02 SecurityOnline — 高性能でインタラクティブなアプリケーション向けに設計され、広く利用されている NoSQL ドキュメント・データベース Couchbase Server に、深刻な脆弱性 CVE-2025-46619 (CVSS：8.7) が発見された。この、Windows 版 Couchbase Server に影響を及ぼす、ローカル・ファイル・インクルード (LFI：Local File Inclusion) の脆弱性を悪用する攻撃者は、機密性の高いシステム・ファイルへのアクセスを手にする可能性があるという。

パスワードへの向き合い方：BB／X／Y／Z 世代ごとの感覚の違いと共有と再利用におけるギャップ

People know password reuse is risky but keep doing it anyway

2025/05/02 HelpNetSecurity — Bitwarden によると、Z世代の 35% は、自身のアカウントに影響を及ぼすデータ侵害の後であっても、”ほとんど” あるいは “まったく” パスワードを更新しないと回答しているようだ。侵害されたパスワードを、常に更新していると回答したのは、わずか 10% に過ぎないとのことだ。

Magento エクステンションを狙うサプライチェーン攻撃：６年前から Tigren／Meetanshi／MGS が標的化？

Magento supply chain attack compromises hundreds of e-stores

2025/05/02 BleepingComputer — Magento エクステンション 21種類を狙うサプライチェーン攻撃により、500～1,000 件の eコマース・ストアが侵害を受けており、その中には、$40 billion 規模の多国籍企業のものも含まれている。この攻撃を発見した Sansec の研究者によると、2019年から一部のエクステンションにはバックドアが仕掛けられていたが、悪意のあるコードが有効化されたのは、2025年4月になってからだという。

脆弱性対応のためのワークフロー・オーケストレーション：Tines を活用する効率化ガイド

How to Automate CVE and Vulnerability Advisory Response with Tines

2025/05/02 TheHackerNews — ワークフロー・オーケストレーションと AI プラットフォームのチームが運営する、Tines ライブラリに収録されるのは、あらかじめ構築されたワークフローであり、コミュニティのセキュリティ専門家たちが共有してきたものである。それらの全ては、Community Edition を通じて提供されており、無料でのインポート／デプロイが可能だ。

SonicWall SMA1000 Series アプライアンスの SSRF 脆弱性 CVE-2025-2170 が FIX：不正リクエストなどの恐れ

SonicWall Issues Patch for SSRF Vulnerability in SMA1000 Appliances

2025/05/02 SecurityOnline — SonicWall の PSIRT が公表したのは、SMA1000 Series アプライアンスで発見された、サーバ・サイド・リクエスト・フォージェリ (SSRF) の脆弱性 CVE-2025-2170 (CVSS：7.2) を修正するアップデートのリリースである。この脆弱性は、SMA1000 アプライアンスの WorkPlace インターフェイスに存在し、特定の状況下における未認証のリモート攻撃者に悪用を許すことで、任意の宛先への不正な送信リクエストがトリガーされるという。

CISA KEV 警告 25/05/01：SonicWall CVE-2023-44221／Apache HTTP Server CVE-2024-38475 を登録

U.S. CISA adds SonicWall SMA100 and Apache HTTP Server flaws to its Known Exploited Vulnerabilities catalog

2025/05/02 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、SonicWall SMA100／Apache HTTP Server の脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに登録した。これらの脆弱性の概要は、以下の通りである：

PyPI に７つの悪意のパッケージ：Gmail SMTP への信用を悪用する新たな手口

Seven Malicious Packages Exploit Gmail SMTP to Run Harmful Commands

2025/05/02 gbhackers — Python Package Index (PyPI) に公開された７つのパッケージに、相互に関連する悪意が潜んでいることが、Socket 脅威調査チームの研究者たちにより発見された。それは、Python オープンソース・コミュニティを揺るがす、大規模なサプライチェーン・セキュリティ・インシデントを示すものだ。

NVIDIA TensorRT-LLM の脆弱性 CVE-2025-23245 が FIX：コード実行／情報漏洩／データ改竄の可能性

NVIDIA Fixes High-Severity Vulnerability in TensorRT-LLM

2025/05/02 SecurityOnline — NVIDIA が公表したのは、TensorRT-LLMフレームワークの脆弱性 CVE-2025-23245 (CVSS：8.8：High) に対応する、セキュリティ・アップデートのリリースである。この脆弱性の悪用に成功した攻撃者は、リモート・コード実行／データ改竄／情報漏洩などの深刻なセキュリティ・リスクに、ユーザーをさらす可能性があるとされる。TensorRT-LLM フレームワークの Python Executor コンポーネントに、この脆弱性が影響を及ぼす。

トランプ政権の安全保障会議：攻撃的ハッキングの可能性について述べる – RSAC 2025

Top NSC official wants to normalize offensive hacking as tool of US might

2025/05/01 nextgov — SAN FRANCISCO ― 国家安全保障会議 (NSC：National Security Council) サイバー・セキュリティ担当トップとして、初めての重要な議論に臨んだ Alexei Bulazel は、米国の国家権力の手段としての攻撃的なサイバー活動の利用を常態化させたいと述べた。ドナルド・トランプ大統領の１期目において NSC サイバー政策局長を務めた Alexei Bulazel は、全米の重要インフラシステムを標的とする、中国をはじめとする敵対勢力からのサイバー攻撃に対して “同等の対応” を講じることが可能だと、サンフランシスコで開催された RSAC Conference でサイバー・セキュリティ専門家たちに述べた。