Aiototsec

Windows Hyper-V の CVE-2025-21333：2025年1月 Patch Tuesday での対応と PoC のリリース

Windows Hyper-V Zero-Day CVE-2025-21333: PoC Drops, SYSTEM Access Exposed

2025/03/02 SecurityOnline — サイバー攻撃で積極的に悪用されている、Windows Hyper-V のゼロデイ脆弱性 CVE-2025-21333 (CVSS：7.8) の PoC エクスプロイトが、セキュリティ研究者である Alessandro Iandoli により公開された。この脆弱性の悪用に成功した攻撃者は、影響を受ける Windows デバイス上で SYSTEM 権限を取得できるという。

Extreme Networks HiveOS の複数の脆弱性が FIX：権限昇格や任意のコマンド実行の恐れ

Extreme Networks Addresses Critical Security Vulnerabilities in HiveOS

2025/03/02 SecurityOnline — 先日に Extreme Networks がリリースしたのは、IQ Engine (HiveOS) 製品ラインに影響を及ぼす、３つの深刻な脆弱性に対処するセキュリティ・アドバイザリである。これらの脆弱性は、ボン・ライン・ジーク応用科学大学の Lukas Schauer により発見されたものであり、悪用に成功した攻撃者に対して、不正アクセスと権限昇格を許し、脆弱なシステム上での任意のコマンド実行を引き起こすものだ。

Arista EOS の脆弱性 CVE-2025-1259／1260 が FIX：コンフィグ改竄の可能性

Arista EOS Devices Vulnerable to Unauthorized Data Access and Configuration Changes (CVE-2025-1259 & CVE-2025-1260)

2025/03/02 SecurityOnline — ネットワーク・スイッチング・ソリューションのプロバイダーである Arista Networks が発行したのは、同社の Extensible Operating System (EOS) ソフトウェアに影響を及ぼす、２つの脆弱性に対するセキュリティ・アドバイザリと警告である。この脆弱性 CVE-2025-1259／CVE-2025-1260 の悪用に成功した攻撃者は、機密データへの不正アクセスを達成し、脆弱なデバイスのコンフィグ改竄の機会を得るという。

QR Phishing が増加している：身を守るため知っておくべきことは？

The Rise of QR Phishing: How Scammers Exploit QR Codes and How to Stay Safe

2025/03/02 HackRead — QR コードは日常的に便利なものとなり、スキャンするだけで Web サイト／決済プラットフォーム／デジタル・メニューへの素早いアクセスを実現している。しかし、QR コードの人気が高まるにつれ、その悪用の試行へと向けて、サイバー犯罪者の関心も高まっている。”QR Phishing” および “Quishing” と呼ばれる、それほど新しくはないが、あまり知られていないフィッシング攻撃が増加している。この QR フィッシングによりユーザーが騙され、悪意のコードのスキャンへと至り、個人情報の窃取／マルウェアのインストール／詐欺サイトへのリダイレクトなどが引き起こされる。

Mautic の脆弱性 CVE-2024-47051 (CVSS 9.1) が FIX：200,000+ の組織に RCE の恐れ

CVE-2024-47051 (CVSS 9.1): Critical RCE and File Deletion Flaws Expose 200,000+ Organizations

2025/03/02 SecurityOnline — Mautic プロジェクトが公開した、脆弱性 CVE-2024-47051 (CVSS：9.1) は、バージョン 5.2.3 以下に存在する深刻な欠陥である。この脆弱性の悪用に成功した攻撃者は、リモート・コード実行 (RCE) と任意のファイル削除を可能にするという。マーケティングの自動化に Mautic を活用している企業にとって、この脆弱性は深刻なセキュリティ脅威をもたらす。

IBM TXSeries for Multiplatforms の脆弱性が FIX：Apache Derby の LDAP インジェクション

Critical LDAP Injection Flaw in IBM TXSeries for Multiplatforms

2025/03/02 SecurityOnline — IBM がリリースしたのは、IBM TXSeries for Multiplatforms に同梱されている、Apache Derby パッケージに存在する脆弱性に対処するためのセキュリティ情報である。この脆弱性 CVE-2022-46337 の CVSS スコアは 9.1 と評価されており、きわめて深刻度が高いことを示している。

ToDesktop Electron App Bundler の脆弱性 CVE-2025-27554 が FIX：過剰な権限付与の問題

CVE-2025-27554 (CVSS 9.9): Critical Flaw Found in ToDesktop Electron App Bundler

2025/03/01 SecurityOnline — 最近になって公開された、Electron App Bundler Service である ToDesktop の脆弱性を悪用する攻撃者が、ビルド・サーバで任意のコマンドを実行し、このプラットフォームを使用するアプリケーションに対して、不正なアップデートをデプロイする可能性があることが判明した。

HPE Insight RS の脆弱性 CVE-2024-53675：XML インジェクションの PoC がリリース

CVE-2024-53675: PoC Exploit Released for HPE Insight RS XML Injection Flaw

2025/03/01 SecurityOnline — 先日にセキュリティ研究者の Robin が公表したのは、HPE Insight Remote Support (Insight RS) に影響を及ぼす、XML 外部エンティティ・インジェクション (XXE) の脆弱性 CVE-2024-53675 (CVSS：7.3) に関する、詳細情報と PoC エクスプロイト・コードである。この脆弱性の悪用に成功したリモート攻撃者は、認証を必要とすることなく、機密情報を公開する可能性を手にする。

LLM トレーニングに用いられるデータセットの問題：約 12,000 個の API キーの発見

12,000+ API Keys and Passwords Found in Public Datasets Used for LLM Training

2025/02/28 TheHackerNews — LLM のトレーニングに使用されるデータセットに、認証を成功させるライブ・シークレットが約 12,000 個も取り込まれていることが判明した。

Nakivo Backup & Replication の脆弱性 CVE-2024-48248 が FIX：悪用が容易な任意のファイル読み取り

Nakivo Fixes Critical Flaw in Backup & Replication Tool

2025/02/28 DarkReading — データ保護／バックアップを提供する Nakivo は、2024年9月の時点でセキュリティ・ベンダーからセキュリティ問題について通知を受けた後に、自社製品に潜む深刻な脆弱性を秘密裏に修正したようだ。

Krpano 360° の脆弱性 CVE-2020-24901 を悪用：検索結果を操作する大規模な XSS キャンペーン

Over 350 High-Profile Websites Hit by 360XSS Attack

2025/02/28 HackRead — 360XSS と呼ばれるキャンペーンは、Krpano の XSS の脆弱性を悪用することで検索結果を乗っ取り、政府／大学／報道などの 350 以上の Web サイトでスパム広告を配信するものだ。

LLMjacking という新しいサイバー犯罪：Azure AI Abuse スキームを操る脅威アクターを追跡

Microsoft Exposes LLMjacking Cybercriminals Behind Azure AI Abuse Scheme

2025/02/28 TheHackerNews — Microsoft は 2025年2月27日 (木) に、GenAI サービスへの不正アクセスにより不快かつ有害なコンテンツを作成する、Azure Abuse Enterprise スキームを背後で操る４人の人物の正体を明かした。この LLMjacking と呼ばれるキャンペーンは、Microsoft Azure OpenAI サービスなどの各種 AI サービスを標的にするものである。Microsoft は、このサイバー犯罪ネットワークを Storm-2139 として追跡している。

ModSecurity の脆弱性 CVE-2025-27110 が FIX：難読化された攻撃が可能に？

CVE-2025-27110: ModSecurity Vulnerability Leaves Web Applications Exposed

2025/02/28 SecurityOnline — 人気のオープンソース WAF (Web Application Firewall) である ModSecurity に、新たな脆弱性 CVE-2025-27110 (CVSSv4：7.9) が発見された。この脆弱性が影響を及ぼす範囲は、libmodsecurity3 バージョン 3.0.13 であり、無数の Web アプリケーションが、攻撃に対して脆弱になる可能性が生じる。具体的に言うと、HTML エンティティの先頭にゼロを埋め込んだ、悪意のあるペイロードをエンコードさせることで、攻撃者はセキュリティ・ルールを回避できるという。

RDP は諸刃の刃：利便性を損なうことなく安全に使用するには

RDP: a Double-Edged Sword for IT Teams – Essential Yet Exploitable

2025/02/28 TheHackerNews — Remote Desktop Protocol (RDP) は、Microsoft が開発した素晴らしいテクノロジーであり、ネットワーク経由で他のコンピューターにアクセスし、それを制御できる。オフィスに置かれたコンピューターを、どこへでも持ち歩けるようなものだ。企業側から見ると、IT スタッフによるシステムのリモート管理が達成され、自宅にいる従業員であっても、作業が可能になる。つまり、RDP は、いまの仕事の環境における、真のゲーム・チェンジャーである。

BeyondTrust の権限昇格の脆弱性 CVE-2025-0889 が FIX：COM オブジェクトに関連する不適切な処理

BeyondTrust Privilege Management for Windows Vulnerability Allows Local Privilege Escalation

2025/02/28 SecurityOnline — 特権アクセス管理ソリューションのプロバイダーである BeyondTrust が公表したのは、Privilege Management for Windows ソフトウェアに存在する、深刻な脆弱性に対処するセキュリティ・アドバイザリである。この脆弱性 CVE-2025-0889 (CVSSv4：7.2) の悪用に成功したローカルの認証済の攻撃者は、侵害したシステム上で権限昇格の可能性を得る。

Gradle の脆弱性 CVE-2025-27148 が FIX：macOS の旧バージョンが危険

Gradle Build Automation Tool Vulnerable to Privilege Escalation (CVE-2025-27148)

2025/02/27 SecurityOnline — ソフトウェア・アプリケーションの構築／テスト／デプロイに使用される、人気の OSS 自動ビルド・ツール Gradle に、セキュリティ上の脆弱性が発見された。この脆弱性 CVE-2025-27148 (CVSS：8.8) の悪用に成功したローカル攻撃者は、侵害したシステム上での権限昇格の可能性を手にする。

CrowdStrike の 2025 Global Threat Report：高度化する犯罪グループを数値で分析する

Unpatched Vulnerabilities Attract Cybercriminals as EDR Visibility Remains Limited

2025/02/27 gbhackers — CrowdStrike 2025 Global Threat Report によると、サイバー攻撃者たちの集団は、合法的なビジネスの業務効率を模倣し、高度に組織化されたプロ組織へと進化している。このレポートが強調するのは、2024年のサイバー脅威の状況が大きく変化し、高度な戦術を採用する攻撃者が、GenAI などの最新テクノロジーを活用して、そのアクティビティを拡大している状況である。

Ping Identity の脆弱性 CVE-2025-20059 (CVSS 9.2) が FIX：リソースへの不正アクセスの可能性

CVE-2025-20059 (CVSS 9.2): Urgent Action Needed to Patch PingAM Java Agent Vulnerability

2025/02/27 SecurityOnline — Ping Identity が明らかにしたのは、IAM (Identity and Access Management) プラットフォームの主要コンポーネントである PingAM Java Agent に、深刻なセキュリティ脆弱性が存在することだ。

Better Auth Library のオープン・リダイレクトの脆弱性が FIX：CVE は未採番

Account Takeover Vulnerability Found in Better Auth Library

2025/02/07 SecurityOnline — 人気の TypeScript 認証フレームワーク Better Auth ライブラリに、深刻なセキュリティ脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、セキュリティ対策を回避し、ユーザー・アカウント乗っ取りの可能性を手にする。

台湾を攻撃する Silver Fox APT：Winos 4.0 マルウェアと洗練された手口とは？

Silver Fox APT Uses Winos 4.0 Malware in Cyber Attacks Against Taiwanese Organizations

2025/02/27 TheHackerNews — 台湾で新たに発見された攻撃キャンペーンは、同国の国税局を装うフィッシング・メールに潜ませた、Winos 4.0 という名のマルウェアにより、企業を狙うものだ。2025年1月に、この攻撃を検出した Fortinet FortiGuard Labs は、悪意のゲーム関連アプリケーションを介していた、それまでの攻撃チェーンからの脱却を示していると指摘している。

Cisco Nexus 3000／9000 Switch の脆弱性 CVE-2025-20161 が FIX：OS コマンド実行の可能性

Cisco Nexus Vulnerability Allows Attackers to Inject Malicious Commands

2025/02/27 gbhackers — Cisco Systems が発行したのは、スタンドアロン NX-OS モードで動作する Nexus 3000／9000 Series Switches に影響を及ぼす、新たに公開されたコマンド・インジェクション脆弱性に関する、重要なセキュリティ・アドバイザリである。

Phishing トレンド 2024：状況を分析して 2025年の攻撃に備える

2024 phishing trends tell us what to expect in 2025

2025/02/27 HelpNetSecurity — リスク・アドバイザリー企業 Kroll によると、2024年のサイバー犯罪者たちが、標的とする組織へのイニシャル・アクセスを達成するために頻繁に用いた手口はフィッシングであり、この傾向は 2025年も続くようだ。

LibreOffice の脆弱性 CVE-2025-0514 が FIX：悪意の Windows ファイル実行の恐れ

LibreOffice Flaws Allow Attackers to Run Malicious Files on Windows

2025/02/27 gbhackers — 広く使用されている OSS オフィス・スイート LibreOffice に存在する、深刻度の高いセキュリティ脆弱性 CVE-2025-0514 が修正された。そのハイパーリンク処理メカニズムを悪用する攻撃者が、Windows システム上で悪意のファイル実行を達成する可能性があることを、研究者たちが発見した。

GenAI の企業での用方を調査する：可視化されない 89% の利用が新たなリスクを生み出す

89% of Enterprise GenAI Usage Is Invisible to Organizations Exposing Critical Security Risks, New Report Reveals

2025/02/27 TheHackerNews — GenAI に対する組織の立ち位置を整理すると、すでに導入しているケースと、ビジネス・プランに統合する戦略を評価しているケース、あるいは、その両方を推進しているケースに分かれるだろう。その一方で、情報に基づいた意思決定と効果的な計画を推進するには、現実を定量化したデータが不可欠となるが、その種のデータが、GenAI の世界では驚くほど不足している。

F5 BIG-IP の脆弱性 CVE-2025-20029 が FIX：コマンド・インジェクションと PoC のリリース

CVE-2025-20029: Command Injection Flaw Discovered in F5 BIG-IP System, PoC Releases

2025/02/26 SecurityOnline —人気のネットワーク・トラフィック管理／セキュリティ・ソリューションである F5 BIG-IP システムに、コマンド・インジェクションの脆弱性が発見された。この脆弱性 CVE-2025-20029 は、iControl REST API と BIG-IP TMOS Shell (tmsh) に影響を及ぼすものであり、Deloitte の Matei “Mal” Badanoiu が報告したものである。

NVIDIA Jetson AGX／IGX Orin UEFI の脆弱性 CVE-2024-0148 が FIX：悪意のコード実行の可能性

NVIDIA Issues Security Update for Jetson AGX Orin and IGX Orin to Patch UEFI Vulnerability – CVE-2024-0148

2025/02/26 SecurityOnline — NVIDIA が発行したのは、Jetson AGX Orin シリーズおよび IGX Orin デバイスに影響を及ぼす、深刻度の高い脆弱性に対処するためのセキュリティ・アップデートである。この CVE-2024-0148 の悪用に成功した、デバイスへの物理的なアクセスを達成する攻撃者は、悪意のコード実行の可能性を得る。

GitLab の深刻な脆弱性 CVE-2025-0475／0555 などが FIX：XSS の恐れ

CVE-2025-0475 & CVE-2025-0555: GitLab’s High-Risk Patch Now

2025/02/26 SecurityOnline — GitLab はセキュリティ・アドバイザリを発行し、すべてのセルフ・マネージド GitLab インストールを、バージョン 17.9.1／17.8.4／17.7. 6へと、直ちにアップグレードするよう求めている。この緊急対応の要請は、機密性の高いユーザー・データを漏洩する可能性のある、深刻度の高いクロス・サイト・スクリプティング (XSS) などの、複数の脆弱性の発見を受けてのものとなる。

GitHub Copilot に関する疑念：公開したコードと永続的なアクセスの関係性

Private GitHub Repos Still Reachable Through Copilot After Being Made Private

2025/02/26 ghacks — かつては公開されていたが、その後は非公開になった何千もの GitHub リポジトリが、GitHub Copilot などの AI 搭載ツールを通じて、依然としてアクセス可能であることが、セキュリティ研究者たちにより明らかにされた。この問題が浮き彫りにするのは、インターネット上でのデータ露出という相も変わらぬ問題である。インターネットで問題視されるのは、一時的に公開された情報が、方針などの変更により公開が制限された後であっても、生成 AI システムにより保持され、利用されてしまう可能性である。

OpenSSF が Security Baseline をリリース：ベスト・プラクティス実装のためのガイダンス

OpenSSF Releases Security Baseline for Open Source Projects

2025/02/26 SecurityWeek — 2025年2月25 (火) に、Linux Foundation の Open Source Security Foundation (OpenSSF) が発表したのは、オープンソース・ソフトウェアにおける最低限のセキュリティ要件の確立を目的とするプロジェクトのイニシャル・リリースである。

Rsync の脆弱性 CVE-2024-12084／12085 などが FIX：アカウント乗っ取りと PoC のリリース

CVE-2024-12084 & CVE-2024-12085: Rsync Flaws Allow Hackers to Take Over Servers, PoC Published

2025/02/25 SecurityOnline — 広く使用されるファイル同期／データ転送ツール Rsync に、一連の高リスクの脆弱性が発見された。Rsync に存在する５つの深刻な脆弱性 CVE-2024-12084／12085／12086／12087／12088 に関する、技術的な詳細と PoC エクスプロイトを公開したのは、Google Cloud Vulnerability Research のセキュリティ研究者 Simon Scannell／Pedro Gallegos／Jasiel Spelman である。