Aiototsec

Apache Solr の脆弱性 CVE-2024-52012／24814 が FIX：ただちにパッチを！

Apache Solr Vulnerabilities CVE-2024-52012 and CVE-2025-24814 Expose Systems to File Write and Code Execution Risks

2025/01/27 SecurityOnline — 信頼性が高くスケーラブルな検索プラットフォームで知られる、Apache Solr プロジェクトがリリースしたのは、２件の深刻な脆弱性に対処するセキュリティ・アップデートである。脆弱性 CVE-2024-52012／CVE-2025-24814 が影響を及ぼす範囲は、Apache Solr のバージョン 6.6 〜 9.7 となる。

7-Zip の MotW バイパスの脆弱性 CVE-2025-0411：PoC が提供される！

PoC for 7-Zip CVE-2025-0411 Lets Attackers Bypass MotW and Run Malicious Code

2025/01/26 SecurityOnline — 7-Zip ファイル・アーカイバに存在する深刻な脆弱性 CVE-2025-0411 (CVSS：7.0) に対する PoC エクスプロイトが、セキュリティ研究者である Dhmos Funk により公開された。この脆弱性の悪用に成功した攻撃者は、Windows の Mark of the Web (MotW) セキュリティ機能を回避し、ネストされたアーカイブから悪意のファイルを抽出し、ユーザーのシステム上でのコード実行の可能性を手にする。

Podman／Buildah の脆弱性 CVE-2024-11218 が FIX：ただちにパッチ適用を！

Podman and Buildah Vulnerable to Container Breakout – CVE-2024-11218

2025/01/26 SecurityOnline — 人気のコンテナ・ツールである Podman と Buildah に、深刻な脆弱性 CVE-2024-11218 (CVSS：8.6) が発見された。この脆弱性の悪用に成功した攻撃者は、コンテナ・エスケープを達成し、ホスト・システム上の機密情報へのアクセスを可能にするという。この脆弱性は競合状態に起因するものであり、”–jobs=2″ フラグを使用して、悪意の Containerfile を構築する際に発生する。それにより攻撃者は、RUN 命令の “–mount” フラグを悪用して、ホスト上のコンテンツをコンテナに公開できるようになる。

Elastic Fleet Server の脆弱性 CVE-2024-52975 (CVSS 9.0) が FIX：情報漏えいの可能性

CVE-2024-52975 (CVSS 9.0): Fleet Server Update Patches Critical Information Exposure Vulnerability

2025/01/26 SecurityOnline — Elastic がリリースしたセキュリティ・アップデートは、Elastic Fleet Server に存在する脆弱性 CVE-2024-52975 (CVSS：9.0) に対処するものだ。この脆弱性が悪用されると、Fleet ポリシー内の機密情報の漏洩につながる可能性がある。

Helldown ランサムウェア：Zyxel の脆弱性を悪用して攻撃を展開

Zyxel Vulnerability Exploited by Helldown Ransomware Group

2025/01/26 SecurityOnline — Zyxel デバイスの脆弱性を悪用する Helldown ランサムウェア・グループの、最新キャンペーンに関するレポートが、インシデント対応者である Claudio Vozza と Yarix Incident Response Team から公開された。Helldown による攻撃チェーンは、Zyxel デバイスの脆弱性の悪用から開始される。その後に攻撃者は、ファイアウォール・コンソールへの管理者アクセス権を獲得し、ドメイン認証情報を収集し、持続的なアクセスを確立していた。

Intel TDX に重大な脆弱性：サイドチャネル攻撃による情報漏えいの可能性

Researchers Expose Critical Isolation Vulnerability in Intel Trust Domain Extensions (TDX)

2025/01/26 securityonline — Intel Trust Domain Extensions (TDX) に重大な脆弱性が存在することが、IIT Kharagpur と Intel の共同チームによる研究で明らかになった。具体的に言うと、安全な仮想化環境のための先進技術として注目されている TDX のコア分離機能に、サイドチャネル攻撃により機密情報が漏洩する危険性があることが判明している。

American National Insurance Company (ANICO) でデータ侵害が発覚：MOVEit の悪用？

American National Insurance Company (ANICO) Data Leaked in MOVEit Breach

2025/01/25 HackRead — American National Insurance Company (ANICO) に属すとされる、279,332 行の機密データを含むデータベースへのリンクが、データ侵害 Web プラットフォーム Breach Forums で共有されていることを、SafetyDetectives のサイバー・セキュリティ・チームが発見した。一連のデータは、2023年に発生したサイバー侵害によるものと思われ、顧客情報に加えて一部の従業員情報も含まれている。

Meta Llama-Stack の脆弱性 CVE-2024-50050 が FIX：PoC も提供

CVE-2024-50050: Critical Security Flaw in Meta’s Llama-Stack Framework

2025/01/25 SecurityOnline — Generative AI (GenAI) アプリケーションの構築と展開において、人気を博している OSS フレームワーク Meta Llama-Stack に、深刻な脆弱性 CVE-2024-50050 が存在することを、Oligo Research チームが報告した。pyzmq ライブラリの、安全が確保されない使用による生じる、この脆弱性を悪用するリモートの攻撃者は、任意のコード実行を達成し、AI モデルのホスティング／データの整合性／システムのセキュリティに対して、重大なリスクをもたらすという。

Apache Wicket の深刻な脆弱性 CVE-2024-53299 が FIX：DoS 攻撃の恐れ

Critical Flaw CVE-2024-53299 in Apache Wicket: Memory Leak Flaw Exposes Web Apps to DoS Attacks

2025/01/25 SecurityOnline — 人気の Java ベースの Web App フレームワーク Apache Wicket に、きわめて深刻な脆弱性 CVE-2024-53299 が存在することが判明した。この脆弱性の悪用に成功した攻撃者は、意図的にメモリ・リークをトリガーし、影響を受ける Web アプリケーションに対してサービス拒否 (DoS) 攻撃を仕掛けられることが分かった。

CISA KEV 警告 25/01/24：SonicWall SMA1000 の脆弱性 CVE-2025-23006 を登録

U.S. CISA adds SonicWall SMA1000 flaw to its Known Exploited Vulnerabilities catalog

2025/01/24 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、SonicWall SMA1000 の Appliance Management Console (AMC／Central Management Console (CMC) に存在する脆弱性 CVE-2025-23006 を、Known Exploited Vulnerabilities (KEV) に登録した。

Subaru Starlink の脆弱性：米／加／日での車両ハイジャックにいたる問題を FIX

Subaru Starlink flaw let hackers hijack cars in US and Canada

2025/01/24 BleepingComputer — Subaru Starlink サービスに存在する、任意のアカウント乗っ取りの脆弱性により、米国／カナダ／日本のナンバープレートを用いて、車両の追跡／制御／ハイジャックが可能なことが、セキュリティ研究者たちにより解明された。2025年1月23日 (木) にバグ・ハンターである Sam Curry 公表した内容は、2024年11月20日の時点で研究者 Shubham Shah の協力を得て発見した、この脆弱性の詳細である。

古い Exchange Server に注意：2023年1月以前のバージョンは緩和策を受信できない

Microsoft: Outdated Exchange servers fail to auto-mitigate security bugs

2024/01/24 BleepingComputer — Microsoft によると、Office Configuration Service 証明書が廃止されるため、古い Exchange サーバは新しい緊急緩和を受信できなくなるとのことだ。この緊急緩和 (EEMS：Emergency Mitigations) は、３年前となる 2021年9月に導入された、Exchange Emergency Mitigation Service (EEMS) を通じて配信されるものだ。

SaaS におけるバックアップとリカバリーを考える：3,700 人を超える IT プロに聞いてみた

2025 State of SaaS Backup and Recovery Report

2025/01/24 TheHackerNews — いまのワークスペースは、劇的な変化を遂げている。ハイブリッド・ワークが標準となり、それを促進する企業により、クラウドベースの Software-as-a-Service (SaaS) アプリケーションが急速に導入されている。Microsoft 365 や Google Workspace などの SaaS アプリケーションは、いまのビジネス・オペレーションのバックボーンとなり、シームレスなコラボレーションと生産性を実現している。その一方で、SaaS ソリューションへの依存がサイバー脅威の急増を招き、ランサムウェアやフィッシングなどのリスクに、重要なビジネスデータがさらされている。

CISA KEV 警告 25/01/23：5年前に発見された jQuery の XSS 脆弱性 CVE-2020-11023 を登録

CISA Adds Five-Year-Old jQuery XSS Flaw to Exploited Vulnerabilities List

2025/01/24 TheHackerNews — 2025年1月23日に米国の CISA は、活発な悪用が確認される jQuery JavaScript の XSS 脆弱性 CVE-2020-11023 (CVSS：6.9) を、KEV (Known Exploited Vulnerabilities) カタログに追加した。この脆弱性は、約５年前に発見されたものであり、すでに修正されている。

Microsoft Configuration Manager の脆弱性 CVE-2024-43468 (CVSS 9.8)：PoC コードが公開

CVE-2024-43468 (CVSS 9.8): Microsoft Configuration Manager Exploit Revealed with PoC Code

2025/01/23 SecurityOnline — Microsoft Configuration Manager (MCM) に存在する深刻な脆弱性 CVE-2024-43468 (CVSS：9.8) に対して、PoC エクスプロイト・コードと技術的な詳細が、Synacktiv のセキュリティ研究者 Mehdi Elyassa から公開された。この SQL インジェクション脆弱性の悪用に成功した未認証の攻撃者は、サーバと基盤となるデータベース上において、任意のコマンド実行の可能性を手にする。

Oracle WebLogic Server の脆弱性 CVE-2025-21535 (CVSS 9.8) が FIX：RCE の可能性

CVE-2025-21535 (CVSS 9.8): Vulnerability in Oracle WebLogic Server Could Lead to Remote Code Execution

2025/01/23 SecurityOnline — Oracle は January 2025 Critical Patch Update の一環として、WebLogic Server の深刻な脆弱性 CVE-2025-21535 (CVSS：9.8) に対処した。この脆弱性の悪用に成功した未認証の攻撃者は、標的のシステム上でリモート・コード実行の可能性を手にする。

Kibana の脆弱性 CVE-2024-43707／43710 が FIX：情報漏えい／SSRF の可能性

CVE-2024-43707: Kibana Patches High Severity Vulnerability Exposing Sensitive Information

2025/01/23 SecurityOnline — データ視覚化／探索のための OSS ツール Kibana がリリースしたセキュリティ・アップデートは、２つの脆弱性 CVE-2024-43707／CVE-2024-43710 に対処するものだ。すべてのユーザーに推奨されるのは、これらの脆弱性が修正されたバージョン 8.15.0へと、直ちにアップグレードすることである。

Palo Alto Firewall で発見された複数の脆弱性 PANdora’s Box：Secure Boot バイパスなどの可能性

Palo Alto Firewalls Found Vulnerable to Secure Boot Bypass and Firmware Exploits

2025/01/23 TheHackerNews — Palo Alto Networks のファイアウォール・アプライアンスである PA-3260／PA-1410／PA-415 に、デバイスのファームウェアに影響を及ぼす複数の既知のセキュリティ欠陥や、誤ったセキュリティ機能が存在することが判明した。これらの脆弱性は、セキュリティ・ベンダー Eclypsium による調査で発見されたものだ。現時点において、PA-1410／PA-415 はサポート対象だが、PA-3260 は 2023年8月31日に販売終了となっている。

phpMyAdmin の XSS の脆弱性 CVE-2025-24529 が FIX：ただちにアップデートを！

phpMyAdmin Patches XSS Vulnerabilities in Latest Release

2025/01/23 SecurityOnline — MySQL／MariaDB データベース管理で人気を博す、Web ベースツールである phpMyAdmin は、最新リリースであるバージョン 5.2.2 で、２件クロス・サイト・スクリプティング (XSS) の脆弱性に対処した。“Check tables” の脆弱性 CVE-2025-24530 および “Insert” 機能の脆弱性 CVE-2025-24529 を悪用する攻撃者は、アプリケーションに対する悪意のスクリプト挿入を達成し、ユーザー・アカウントや機密情報などのデータに、不正アクセスする可能性を手にする。

SonicWall SMA1000 の脆弱性 CVE-2025-23006 (CVSS 9.8) が FIX：悪用も検出

CVE-2025-23006 (CVSS 9.8): SonicWall Warns of Active Exploits, Issues Urgent Update for SMA1000 Users

2025/01/23 SecurityOnline — SonicWall が発行したのは、SMA1000 の Appliance Management Console (AMC) と Central Management Console (CMC) に存在する深刻な脆弱性に関する緊急セキュリティ・アドバイザリである。この、認証を必要としないリモート・コマンド実行の脆弱性 CVE-2025-23006 (CVSS：9.8) により、攻撃者は標的とするデバイスを完全に侵害できるという。

GitLab の XSS の脆弱性 CVE-2025-0314 などが FIX：ただちにアップデートを！

CVE-2025-0314: GitLab Releases Patch for XSS Exploit

2025/01/23 SecurityOnline — GitLab が発行したのは、いくつかの脆弱性に対処する重要なセキュリティ・アップデートであり、その中には深刻度の高いクロス・サイト・スクリプティング (XSS) の欠陥も含まれている。すでに GitLab は、Community Edition (CE) と Enterprise Edition (EE) のバージョン 17.8.1／17.7.3／17.6.4 をリリースし、これらの問題に対処している。

CISA の警告：Ivanti CSA の脆弱性 CVE-2024-8963／8190／9379／9380 の悪用が止まらない

CISA: Hackers still exploiting older Ivanti bugs to breach networks

2025/01/23 BleepingComputer — 2025年1月23日 (木) に CISA と FBI が警告したのは、2024年9月以降に修正された Ivanti Cloud Service Appliances (CSA) のセキュリティ脆弱性を、依然として悪用する攻撃者が脆弱なネットワークに侵入していることである。これらの攻撃で連鎖される脆弱性には、2024年9月に修正された管理者認証バイパスの CVE-2024-8963／リモートコード実行の CVE-2024-8190 に加えて、2024年10月に修正された SQL インジェクションの CVE-2024-9379／リモートコード実行の CVE-2024-9380 が含まれる。

State of Web Exposure 2025：隠された弱点を新たな手法で分析する

New Research: The State of Web Exposure 2025

2025/01/23 TheHackerNews — あなたの Web サイトから、機密データが漏洩していないだろうか？最新の調査によると、サードパーティ製アプリの 45% が、適切な許可なくユーザー情報にアクセスしており、小売業における Web Exposure リスクの 53% は、追跡ツールの過度の使用によるものだという。これらの隠れた脅威とリスクを発見し、軽減していく方法を学ぶべきだ。このフルレポートは、ココからダウンロードできる。

Cisco Meeting Management の脆弱性 CVE-2025-20156 (CVSS 9.9) が FIX：ただちにアップデートを!

CVE-2025-20156 (CVSS 9.9): Cisco Meeting Management Flaw Allows for Privilege Escalation

2025/01/22 SecurityOnline — Cisco が発行したのは、同社の Meeting Management ソフトウェアに存在する、深刻な権限昇格の脆弱性 CVE-2025-20156 (CVSS：9.9) に対処するセキュリティ・アドバイザリである。この脆弱性の悪用に成功した、低権限を持つ認証済みの攻撃者は、リモートから影響を受けるデバイスにアクセスし、管理者レベルへと権限を昇格させる可能性を手にする。

Signal／Discord の位置情報が漏れる：CDN キャッシュの追跡とデータセンターの特定

Signal and Discord Vulnerabilities Exposed: 0-Click Deanonymization Attack Revealed

2025/01/22 SecurityOnline — セキュリティ研究者である Daniel (別名 hackermondev) が明らかにしたのは、ユーザーの位置情報を公開できる、ゼロ・クリックによる匿名化解除の攻撃の可能性である。この攻撃は、Signal や Discord などのアプリケーションをターゲットにするものであり、Cloudflare のインフラのキャッシュ・メカニズムを悪用して、ユーザー操作を必要とすることなく、半径 250 マイル以内のユーザーの位置情報を推測するというものだ。

Google Chrome の脆弱性 CVE-2025-0611／0612 が FIX：ただちにパッチを！

Security Update for Chrome: Protect Against CVE-2025-0611 and CVE-2025-0612

2025/01/22 SecurityOnline — Google が公表したのは、Chrome Web ブラウザにおける、重要なセキュリティ・アップデートのリリース情報である。このアップデートは、３つの脆弱性に対処するものだが、そのうち２つは深刻度 High と評価されている。ユーザーに推奨されるのは、最新バージョン (132.0.6834.110/111) へと、Chrome を速やかに更新することだ。

Cisco ClamAV の DoS 脆弱性 CVE-2025-20128 が FIX：すでに PoC が提供

Cisco warns of denial of service flaw with PoC exploit code

2025/01/22 BleepingComputer — Cisco がリリースしたセキュリティ・アップデートは、すでに PoC エクスプロイト・コードが公開されている、ClamAV の脆弱性 CVE-2025-20128 を修正するものだ。脆弱性 CVE-2025-20128 の原因は、Object Linking and Embedding 2 (OLE2) 復号ルーチンにおけるヒープベース・バッファ・オーバーフローの欠陥にある。この脆弱性の悪用に成功した未認証のリモートの攻撃者は、脆弱性のあるデバイス上でサービス拒否 (DoS) 状態を引き起こせるという。

Cloudflare が過去最大規模の DDoS 攻撃を阻止：ピーク時には 5.6 Tbps に到達

Cloudflare mitigated a record-breaking 5.6 Tbps DDoS attack

2025/01/21 BleepingComputer — セキュリティとコネクションを提供する Cloudflare の報告は、2024年10月下旬から発生した、前例のない大規模分散型サービス拒否 (DDoS) 攻撃を検知／軽減したというものだ。2024年10月29日に発生した UDP ベースの攻撃は、東アジアの ISP (internet service provider) のサービスを標的として、13,000台の感染デバイスで構成される Mirai ベースのボットネットから発信されたものであり、ピーク時には 5.6 Tbps に達したという。

Active Directory 管理者への警鐘：NTLMv1 のグループ・ポリシーと認証バイパス

NTLMv1 Group Policy Bypass Discovered: A Wake-Up Call for Active Directory Administrators

2025/01/21 SecurityOnline — グループ・ポリシーのメカニズムに存在する深刻な欠陥により、古い NTLMv1 認証プロトコルの無効化に失敗することが、Silverfort の調査で明らかになった。具体的に言うと、Active Directory ポリシーにより NTLMv1 をブロックしても、ミスコンフィグの発生により、この制限のバイパスを攻撃者に許す可能性があるという。この欠陥は、依然として旧式の認証システムに依存している企業にとって、深刻なリスクになる。

WordPress AdForest Theme の脆弱性 CVE-2024-12857 が FIX：認証バイパスの可能性

CVE-2024-12857: Critical Flaw in AdForest Theme Allows Complete Account Takeover, Thousands of Sites at Risk

2025/01/21 SecurityOnline — 世界中で 8,743以上の販売実績を誇る、WordPress のプレミアム広告テーマ AdForest に、深刻な脆弱性 CVE-2024-12857 (CVSS 9.8) が発見された。この脆弱性の悪用に成功した攻撃者は、認証メカニズムを完全バイパスする可能性を手にする。

Node.js の脆弱性 CVE-2025-23083 などが FIX：機密のデータ／リソースへの不正アクセス

CVE-2025-23083: Node.js Vulnerability Exposes Sensitive Data and Resources

2025/01/21 SecurityOnline — Node.js プロジェクトがリリースしたのは、攻撃者に対してワーカー権限のバイパスを許す可能性の、深刻度の高い欠陥などの、いくつかのセキュリティ脆弱性に対処するアップデートである。

Fleet は IT／Security チームのための OSS ツール：パッチ適用から MDM にいたるサービス

Fleet: Open-source platform for IT and security teams

2025/01/21 HelpNetSecurity — Fleet は、何千台ものコンピューターを管理する IT／Security チーム向けに提供される OSS プラットフォームである。そのために、API／GitOps／Webhook／YAML コンフィグレーションと、シームレスに連携するように設計されている。

Microsoft Teams を介したソーシャル・エンジニアリング：STAC5143 と STAC5777 の戦術を解析

Ransomware Groups Abuse Microsoft Services for Initial Access

2025/01/21 SecurityWeek — Sophos が警告するのは、２つの脅威グループが Microsoft 365 サービスを侵害し、Microsoft Teams デフォルト・コンフィグレーションを悪用することで、組織内のユーザーとの会話に到達したという問題である。Microsoft 365 テナントを運用する２つのハッキング・グループは、この３ヶ月間に少なくとも 15件の攻撃を仕掛け、ユーザー組織を侵害してランサムウェアを展開し、データ窃取を施行していたという可能性が生じている。

Apache Ambari の脆弱性 CVE-2025-23195／23196 などが FIX：RCE などの可能性

Critical Apache Ambari Security Vulnerabilities Discovered: What You Need to Know

2025/01/21 SecurityOnline — 人気の Hadoop 管理プラットフォーム Apache Ambari に存在する深刻な脆弱性により、リモート・コード実行やデータ侵害の可能性が生じている。先日に Apache Software Foundation が発表したのは、Hadoop クラスターの管理に使用されるプラットフォーム Apache Ambari に影響を及ぼす、３件の深刻なセキュリティ脆弱性に関する情報である。これらの脆弱性の深刻度は Moderate 〜 Important であり、機密データへの不正にアクセスや、悪意のコード実行を、攻撃者に許すものだとされる。

2024年に盗まれたパスワードは 10億個：Redline／Vidar／Raccoon が悪意の Top-3

Redline, Vidar and Raccoon Malware Stole 1 Billion Passwords in 2024

2025/01/21 HackRead — Specops のサイバー・セキュリティ研究者たちが、パスワードに関連する重大な問題について警鐘を鳴らしている。2025年1月21日 (火) に公開された、Specops Software の “2025 Specops Breached Password Report” によると、この１年間で、10億を超えるパスワードが、マルウェアにより盗まれたという。また、盗まれたパスワードのうちの数百万件は、標準的な複雑さの要件を満たしていたとのことだ。

7-Zip の脆弱性 CVE-2025-0411 が FIX：Mark-of-the-Web フラグの欠落

CVE-2025-0411: 7-Zip Security Vulnerability Enables Code Execution – Update Now

2025/01/20 SecurityOnline — 人気のファイル・アーカイバ 7-Zip で発見された脆弱性は、攻撃者に対して Windows セキュリティ防御の回避を許し、マルウェア展開の可能性を持つものである。先日に Trend Micro – Zero Day Initiative のセキュリティ研究者 Peter Girnus が発見したのは、7-Zip の脆弱性 CVE-2025-0411 (CVSS：7.0) であり、Windows の Mark-of-the-Web (MoTW) セキュリティ機能を、攻撃者が回避する可能性を生じるものだという。

HPE がサイバー攻撃について公表：IntelBroker が主張するデータ侵害とは？

HPE investigates breach as hacker claims to steal source code

2025/01/20 BleepingComputer — Hewlett Packard Enterprise (HPE) は、同社の開発環境から文書を盗んだとする脅威アクターの主張を受けて、新たな侵害に関する調査を実施中であると公表した。HPE の広報担当である Clare Loxley は、「セキュリティ侵害の証拠は見つかっていないが、脅威アクターの主張を調査中である。2025年1月16日の時点で、HPE の情報を所有していると、IntelBroker と呼ばれるグループが主張していることを認識した」と、BleepingComputer に語っている。

TP-Link TL-WR940N ルーターの脆弱性 CVE-2024-54887：PoC と技術詳細の提供

TP-Link Vulnerability: PoC Exploit for CVE-2024-54887 Reveals Remote Code Execution Risks

2025/01/20 SecurityOnline — TP-Link TL-WR940N ルーターに影響を及ぼす、深刻な脆弱性 CVE-2024-54887 に対して、詳細な分析と PoC (Proof of Concept) エクスプロイト・コードが、セキュリティ研究者の Joward より公開された。この脆弱性は、デバイスの IPv6 DNS サーバのコンフィグ・パラメータの処理で発見された、バッファ・オーバーフローの欠陥に起因する。その悪用に成功した攻撃者は、任意のコード実行やサービス拒否攻撃を行う可能性を手にする。

Sentry の SAML SSO 脆弱性 CVE-2025-22146 (CVSS 9.1)：アカウント乗っ取りの可能性

CVE-2025-22146 (CVSS 9.1): Critical Sentry Vulnerability Allowed Account Takeovers

2025/01/20 SecurityOnline — エラー追跡／パフォーマンス監視のプラットフォームとして人気を博す Sentry において、深刻な脆弱性 CVE-2025-22146 (CVSS：9.1) に対するパッチが適用された。この脆弱性の悪用に成功した攻撃者は、ユーザー・アカウントの乗っ取りの可能性を手にする。

IBM Sterling Secure Proxy の複数の脆弱性 FIX：緩和策はなくアップデートが必須

IBM Sterling Secure Proxy Faces Multiple Critical Vulnerabilities: A Call for Immediate Action

2025/01/20 SecurityOnline — IBM が公開したのは、ビジネス・ネットワーク間での安全なデータ転送のための、重要なソリューションとして提供される、Sterling Secure Proxy (SSP) に影響を及ぼす複数の重大な脆弱性である。これらの脆弱性の悪用に成功した攻撃者は、コマンドの挿入／機密情報へのアクセス／サービス拒否などを達成する可能性を手にする。

OWASP の Smart Contract 脆弱性 Top-10：2025年の傾向を探る

OWASP Unveils Top 10 Smart Contract Vulnerabilities for 2025

2025/01/20 SecurityOnline — Open Web Application Security Project (OWASP) は、2025年において Smart Contract に影響を与え得る、脆弱性の Top-10 リストを更新した。この包括的なドキュメントは、Smart Contract で最重視されるべき脆弱性を特定し、分散型エコシステムのリスクを軽減するためのロードマップを、開発者とセキュリティ専門家に提供するものである。

Windows のゼロデイ脆弱性 CVE-2024-49138 が FIX： PoC エクスプロイトが提供

Zero-Day Vulnerability in Windows Exploited: CVE-2024-49138 PoC Code Released

2025/01/19 SecurityOnline — Windows の Common Log File System (CLFS) ドライバに影響を与える、ゼロデイ脆弱性 CVE-2024-49138 (CVSS：7.8) の PoC エクスプロイトが、セキュリティ研究者の MrAle_98 により公開された。この脆弱性の悪用に成功した攻撃者は、影響を受けるデバイス上で SYSTEM 特権を獲得できるとされる。

Mongoose の脆弱性 CVE-2025-23061 (CVSS：9.0) が FIX: 直ちにアップデートを！

CVE-2025-2306 (CVSS 9.0): Mongoose Flaw Leaves Millions of Downloads Exposed to Search Injection

2025/01/19 SecurityOnline — 人気の MongoDB オブジェクト・モデリング・ツール Mongoose に、新たな脆弱性が発見された。それにより、検索インジェクション攻撃の影響が、何百万ものユーザーに及ぶ可能性が生じている。この脆弱性 CVE-2025-23061 (CVSS：9.0) は、Mongoose のバージョン 8.9.5 未満の影響を及ぼす。この脆弱性は、populate() マッチングと、ネストされた $where フィルタの不適切な処理に起因しており、攻撃者に対して、検索結果の操作と、機密データへ不正アクセスが許されるという。

BlackBerry QNX の深刻な脆弱性が FIX：悪意のイメージ・ファイル解析から侵害にいたる

Critical Vulnerabilities in QNX Software Development Platform Image Codecs Expose Systems to Attacks

2025/01/19 SecurityOnline — 安全性が重要視される業界において、広範に使用されているリアルタイム・オペレーティング・システム BlackBerry QNX の Software Development Platform (SDP) が、最近のセキュリティ・アドバイザリの対象となっている。このアドバイザリ QNX-2024-003 では、TIFF／PCX イメージ・コーデックの複数の脆弱性について詳細に説明されており、情報漏洩／サービス拒否 (DoS)／リモート・コード実行 (RCE) などの重大なリスクが生じると警告している。