_OpenSource – Page 2 – IoT OT Security News

Cloudflare のビデオ通話アプリ Orange Meets：MLS による End-to-End 暗号化を OSS として公開

Cloudflare open-sources Orange Meets with End-to-End encryption

2025/06/29 BleepingComputer — Cloudflare が公表した内容は、ビデオ通話アプリ Orange Meets に E2EE (end-to-end encryption) を実装し、透明性を確保するためにオープンソース化するというものだ。このアプリケーションは、昨年に Cloudflare Calls (現Realtime) のデモとしてリリースされたものであり、現在も利用できる状態にある。E2EE の導入と、信頼性および検証の問題が解決されたことで、強力な暗号化保証に関心のあるユーザーは、リサーチ／プロトタイプ環境におけるセキュアなビデオ通話の基盤として、Orange Meets の採用を検討できる。

PoshC2／Chisel／Classroom Spy を悪用：セキュリティ OSS ツールによる攻撃フレームを解析

Hackers Abuse Open-Source Tools PoshC2, Chisel & Classroom Spy to Establish Their Attack Framework

2025/06/25 CyberSecurityNews — アフリカの金融セクターを標的とする、高度なサイバー犯罪活動が出現した。この活動は、正規の OSS ペンテスト・ツールを組み合わせて悪用し、アフリカ大陸全体の銀行ネットワークへの持続的なアクセスを確立している。CL-CRI-1014 という名で活動する脅威アクターは、PoshC2／Chisel／Classroom Spy といった、無料で入手できるセキュリティ・ツールを再利用し、金融機関に対する複雑な多段階攻撃を仕掛けることで、驚くべき適応力を発揮している。

npm リポジトリを舞台とする新たなキャンペーン：リクルーターを装い開発者に悪意のコードを実行させる

North Korean Hackers as Recruiters Attacking Developers With 35 New Malicious npm Packages

2025/06/25 CyberSecurityNews — 高度なサプライチェーン攻撃キャンペーンを、北朝鮮の脅威アクターが開始した。侵害済みの 24のアカウントに、悪意の npm パッケージ 35個を埋め込み、巧妙なフェイク・リクルートを介して、ソフトウェア開発者を標的としている。このキャンペーンは、OSS エコシステムを標的とする、国家支援のサイバースパイ活動の著しいエスカレーションを示しており、いまも続いている、伝染面接 (Contagious Interview) 作戦の延長とみられている。

CentOS Web Panel の脆弱性 CVE-2025-48703 が FIX：リモート・コード実行を証明する PoC も登場

CentOS Web Panel Vulnerability Allows Remote Code Execution – PoC Released

2025/06/25 gbhackers — 広く利用されている Web ホスティングのための管理ソリューション CentOS Web Panel (CWP) に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-48703 の悪用に成功した未認証の攻撃者は、影響を受けるシステム上で任意のコマンド実行を達成し、サーバ全体でセキュリティ侵害を引き起こすという。さらに、リモート・コード実行 (RCE) を実証する PoC エクスプロイトが公開され、世界中の CWP 搭載サーバ管理者に懸念が生じている。

Teleport の脆弱性 CVE-2025-49825 が FIX：リモート認証バイパスの可能性

Critical Teleport Vulnerability Let Attackers Remotely Bypass Authentication Controls

2025/06/23 CyberSecurityNews — Teleport に存在する深刻な脆弱性 CVE-2025-49825 を悪用する攻撃者は、この広く普及しているセキュア・アクセス・プラットフォームの認証制御に対する、リモート・バイパスを可能にする。この脆弱性が影響を及ぼす範囲は、Teleport インフラの複数バージョンであるため、すべての導入環境において速やかに対策を講じる必要がある。独自のエージェントを管理している組織は、速やかなセキュリティ・アップデートにより、潜在的なセキュリティ侵害を防ぐ必要がある。その一方で、クラウド・ユーザーは、コントロール・プレーンのバージョンが自動的に更新されている。

ClamAV の脆弱性 CVE-2025-20260／20234 が FIX：DoS と RCE への対応

ClamAV 1.4.3 and 1.0.9 Released with Fixes for Critical Remote Code Execution Vulnerability

2025/06/19 gbhackers — ClamAV 開発チームが公表したのは、システムの整合性を損なう可能性のある深刻な脆弱性を解決するための、２つの重要なセキュリティ・パッチリリース (Ver 1.4.3／1.0.9) のリリースである。さらに、1.4 LTS リリース向けに、Linux aarch64 (ARM64) RPM／インストーラー・パッケージを導入し、ARM ベースのアーキテクチャにおける互換性が高められている。

GitLab Community／Enterprise の複数の脆弱性が FIX：アカウントを乗っ取りなどの恐れ

GitLab patches high severity account takeover, missing auth issues

2025/06/12 BleepingComputer — GitLab が公表したのは、同社の DevSecOps プラットフォームに存在する複数の脆弱性に対処するための、セキュリティ更新プログラムのリリースである。これらの脆弱性を悪用する攻撃者は、アカウントを乗っ取った後に、悪意のジョブのパイプラインへの注入を可能にするという。すでに GitLab は、GitLab Community／Enterprise のバージョン 18.0.2／17.11.4／17.10.8 をリリースし、これらのセキュリティ欠陥に対処している。すべての管理者に対して強く推奨されるのは、早急なアップグレードの実施である。

Apache Tomcat Manager を標的とするブルートフォース攻撃を検出：約 400 の悪意の IP アドレスが関与

Brute-force attacks target Apache Tomcat management panels

2025/06/11 BleepingComputer — オンラインで公開されている Apache Tomcat Managerインターフェイスを標的として、数百の固有 IP アドレスを用いる組織的なブルートフォース攻撃キャンペーンが検出された。Tomcat は人気のオープンソース Web サーバであり、エンタープライズや SaaS プロバイダーで広く使用されている。その一方で、Tomcat Manager は、Tomcat サーバにバンドルされる Web ベースの管理ツールであり、GUI を介した Web アプリ管理を、Admin たちに提供するものだ。

Qtap – Linux システムの暗号化されたトラフィックを可視化：新たな OSS ツールの登場

Qtap – An Open-Source Tool to See Through Encrypted Traffic in Linux systems

2025/06/10 CyberSecurityNews — Qpoint が公表したのは、Linux システム上のネットワーク・トラフィックを監視する、オープンソース eBPF エージェントである Qtap のリリースだ。TLS／SSL 機能にフックして暗号化前後のデータをキャプチャする Qtap は、プロセス／コンテナ／ホスト／ユーザー／プロトコルといった詳細情報と共に、平文のトラフィックを可視化する。

React Native Package 16種類に RAT：一晩で仕込まれた組織的な悪意とは？

Developers Beware! 16 React Native Packages With Million of Download Compromised Overnight

2025/06/09 CyberSecurityNews — 一週間のダウンロード数が合計で 100万回以上に達するという、人気の React Nativeパッケージ 16件が、巧妙なサプライチェーン攻撃により侵害され、NPM エコシステムに対する脅威が深刻化している。この、2025年6月6日に開始された攻撃では、React Native Aria エコシステムと GlueStack フレームワーク内のパッケージに体系的なバックドアが仕掛けられ、持続的なシステム制御とデータ窃取機能を確立する、高度なリモートアクセス型トロイの木馬 (RAT) が展開された。

Jenkins Gatling Plugin の脆弱性 CVE-2025-5806：パッチ未適用とダウングレード推奨

Jenkins Gatling Plugin Vulnerability Let Attackers Bypass Content-Security-Policy Protection

2025/06/09 CyberSecurityNews — 人気の Jenkins Gatling プラグインにおいて、深刻な XSS (cross-site scripting) 脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、CSP (Content-Security-Policy) 保護の回避を可能にする。この脆弱性 CVE-2025-5806 は、Gatling Plugin バージョン 136.vb_9009b_3d33a_e に影響を及ぼし、このパフォーマンス・テスト統合ツールを使用する Jenkins 環境に対して重大なリスクをもたらす。

WordPress の分散型 Plugin Manager の発表：Linux Foundation が後押しする理由は何処に？

Linux Foundation unveils decentralized WordPress plugin manager

2025/06/09 BleepingComputer — WordPress の元開発者やコントリビューターで構成される団体が、Linux Foundation の支援を受けるかたちで、信頼性の高い WordPress プラグイン／テーマを提供する、新たな独立系ディストリビューション・システム FAIR Package Manager を発表した。その背景にあるのは、商用 WordPress ホスティング・プロバイダーである Automattic と WP Engine の間で発生した法的な対立である。具体的に言うと、プラグイン／テーマのアップデートを管理するために使用される、 WordPress.org プラットフォームへの WP Engine のアクセスを、Automattic が制限したことに端を発する問題である。

npm／PyPI エコシステムが標的：新たなサプライチェーン・マルウェア攻撃の詳細が判明

New Supply Chain Malware Operation Hits npm and PyPI Ecosystems, Targeting Millions Globally

2025/06/08 TheHackerNews — GlueStack 関連の 12以上のパッケージを標的とする、マルウェア拡散を目的としたサプライチェーン攻撃の存在を、サイバー・セキュリティ研究者たちが指摘している。Aikido Security は、「”lib/commonjs/index.js” への変更時に侵入した、このマルウェアを操作する攻撃者は、シェル・コマンドの実行／スクリーン・ショットの撮影／感染マシンへのファイル・アップロードが可能にする。これらのパッケージのダウンロード数は、合計で毎週約 100万回に達している」と、The Hacker News に述べている。

Apache Tomcat の DoS 脆弱性 CVE-2025-31650：12件の PoC エクスプロイトが公開

PoC Exploit Released for Apache Tomcat DoS Vulnerability

2025/06/06 gbhackers — Apache Tomcat の深刻なメモリ・リークの脆弱性 CVE-2025-31650 が悪用され、未認証の攻撃者たちがサービス拒否攻撃の機会を手にしている。この脆弱性は、HTTP/2 実装における不正な優先度ヘッダーに起因するものであり、すでに 12件のエクスプロイトが公開されている。この脆弱性の影響が及ぶ範囲は、Tomcat のバージョン 9.0.76～9.0.102／10.1.10～10.1.39／11.0.0-M2～11.0.5 である。

GitHub を悪用する新たなサプライチェーン攻撃：ゲームチーターや経験の浅い脅威アクターが標的

Backdoored Open Source Malware Repositories Target Novice Cybercriminals

2025/06/05 SecurityWeek — デベロッパー／エンタープライズ／エンドユーザーを標的とし、情報窃取型のマルウェアやバックドアを展開するサプライチェーン攻撃が、今年だけでも数十件に達していることが明らかになった。その多くは、悪意の NPM パッケージを介して行われている。そして、6月4日 (水) に Sophos が明らかにしたのは、GitHub リポジトリを悪用することで、ゲームチーターや経験の浅い脅威アクターを標的とし、同様のバックドアを仕込むという攻撃行動である。

WordPress Admin は要注意：偽装キャッシュ・プラグインによるログイン情報窃取

WordPress Admins Beware! Fake Cache Plugin that Steals Admin Logins

2025/06/05 CyberSecurityNews — WordPress 管理者を標的とする、高度なマルウェア攻撃が発見された。この攻撃は、偽装キャッシュ・プラグインを利用してログイン情報を盗み出し、Web サイトのセキュリティを侵害するものだ。セキュリティ研究者たちが特定したのは、“wp-runtime-cache” を装う悪意のプラグインである。このプラグインは管理者権限を持つユーザーを主な標的とし、機密性の高い認証データを、サイバー犯罪者が管理する外部サーバへと流出させるものだ。

Meta が提供する OSS の AI Tool：LLM による機密ラベルを自動的にドキュメントに添付

Meta open-sources AI tool to automatically classify sensitive documents

2025/06/05 HelpNetSecurity — Meta がリリースしたのは、機密文書の自動分類を行うための Automated Sensitive Document Classification という、オープンソースの AI ツールである。このツールのオリジナルは、社内使用向けに開発されたものであり、文書内の機密情報の検出と、セキュリティ・ラベルを自動的に適用するために設計されている。このツールは、カスタマイズ可能な分類ルールを使用することで、テキストを取り込んでいるファイルに対応している。ラベル付けされた文書は、不正アクセスからの保護や、検索拡張生成 (RAG) を使用する AI システムからの除外が可能になる。

Ubuntu／RHEL／Fedora のコアダンプに問題：Linux 上の機密情報の抽出の恐れ

New Linux Flaws Allow Password Hash Theft via Core Dumps in Ubuntu, RHEL, Fedora

2025/05/31 TheHackerNews — Ubuntu／Fedora／Red Hat Enterprise Linux のコアダンプ・ハンドラである apport と systemd-coredump に、２件の情報漏洩の脆弱性が存在することが、Qualys の Threat Research Unit (TRU) により特定された。

semantic-types という悪意のパッケージ：Solana の秘密鍵を盗むサプライチェーン攻撃を展開

Weaponized PyPI Package Steals Solana Private Keys Via Supply Chain Attack

2025/05/30 CyberSecurityNews — Solana 開発者を狙った高度なサプライチェーン攻撃により、25,900件以上のダウンロードにおいて侵害が生じ、Python パッケージ経由で暗号資産の秘密鍵が静かに盗まれていたことが明らかになった。この攻撃キャンペーンは、semantic-types というパッケージを中心に展開され、トランジティブ依存関係とブロックチェーンを使った情報の外部送信により、従来のセキュリティ制御を回避するという、新たなソフトウェア・サプライチェーン攻撃の形態を示している。

Bitdefender のフェイク・サイト：OSS マルウェアによる階層化された侵入アプローチを採用

Fake Bitdefender Site Spreads Trio of Malware Tools

2025/05/28 InfoSecurity — 偽装された Bitdefender Web サイトを介したマルウェア・キャンペーンにより、VenomRAT などの悪意のツールが配布され、被害者システムの深層への攻撃が生じているようだ。”DOWNLOAD FOR WINDOWS” というタイトルの偽サイトは、Bitdefender の正規のウイルス対策ダウンロード・ページを模倣しているが、訪問者がリダイレクトされる先は、Bitbucket Amazon S3 にホストされている悪意のサイトである。

WordPress Wishlist Pluginの脆弱性 CVE-2025-47577：パッチ適用までの緩和策は削除のみ

WordPress TI WooCommerce Wishlist Plugin Flaw Puts Over 100,000 Websites at Risk of Cyberattack

2025/05/27 gbhackers — 10万件以上のアクティブ・インストール数を誇る、人気の WordPress プラグイン TI WooCommerce Wishlist に、深刻なセキュリティ脆弱性 CVE-2025-47577 が発見された。このプラグインは、WooCommerce ストアの運営者がオンライン・ショップに、ウィッシュ・リスト機能を追加するためのものであり、WC Fields Factory などのエクステンションと組み合わせて、フォームのカスタマイズ強化に使用されるケースが多い。

GIMP の RCE 脆弱性 CVE-2025-2760／2761 が FIX：2025年3月にすでに FIX

GIMP Image Editor Vulnerability Let Remote Attackers Arbitrary Code

2025/05/27 CyberSecurityNews — 人気の画像編集ソフト GIMP に、２つの重大なセキュリティ脆弱性が発見された。これらの脆弱性の悪用に成功したリモート攻撃者は、影響を受けるシステム上での任意のコード実行の可能性を手にする。これらの脆弱性 CVE-2025-2760／CVE-2025-2761 は、バージョン 3.0.0 未満の GIMP に影響する。いずれの脆弱性も、悪意のファイルのオープンや、侵害済み Web ページへの訪問といった、ユーザーの操作を必要とする。

Tenable Network Monitor の脆弱性 CVE-2025-24916／24917 が FIX：主要 OSS コンポーネントも刷新

Privilege Escalation Flaws Found in Tenable Network Monitor

2025/05/26 gbhackers — Tenable における、パッシブ脆弱性スキャン・ソリューションの主要製品である、Network Monitor のバージョン 6.5.1 がリリースされた。このバージョンでは、自社コードベースおよびバンドルされているサードパーティ・ライブラリに存在する、複数の深刻な脆弱性への対処が行われている。このアップデートは、OpenSSL／expat／curl／libpcap／libxml2 といった、広く使用される OSS コンポーネントに脆弱性が発見されたことを受けて、実施されたものである。

Apache Tomcat の RCE 脆弱性 CVE-2025-24813 が FIX：悪意のスキャンと PoC の登場

Apache Tomcat RCE Vulnerability Exposed with PoC Released

2025/05/26 gbhackers — 広く使用されているオープンソースの Java Servlet Container／Web Server である Apache Tomcat に、深刻な脆弱性 CVE-2025-24813 が発見された。この脆弱性は、内部にドットを含むファイルパス (例：file.Name) の不適切な処理に起因する。この脆弱性を悪用する攻撃者は、セキュリティ制御を回避し、リモート・コード実行 (RCE)／情報漏洩／悪意のコンテンツの挿入を引き起こす機会を得るという。

GNOME RDP の脆弱性 CVE-2025-5024：Red Hat／Debian などでの回避策について

GNOME RDP Vulnerability Let Attackers Exhaust System Resources & Crash Process

2025/05/26 CyberSecurityNews — GNOME RDP に影響を及ぼす、深刻なセキュリティ脆弱性が発見された。この脆弱性を悪用する未認証の攻撃者は、システムリ・ソースを枯渇させ、重要なプロセスをクラッシュさせる可能性を手にする。2025年5月21日に公開された脆弱性 CVE-2025-5024 は、すべての Red Hat Enterprise Linux 環境において、Remote Desktop サービスを利用する組織に重大なリスクをもたらす。

Ghostscript の脆弱性 CVE-2025-48708 が FIX：暗号化された PDF に平文パスワードが取り込まれる

Ghostscript Flaw Leaks Plaintext Passwords in Encrypted PDFs

2025/05/25 SecurityOnline — 広く使用される PDF／PostScript プロセッサ Artifex Ghostscript の脆弱性により、意図しない平文パスワードが暗号化されたPDF ファイルに埋め込まれ、ユーザー・データが危険に直面するという。この脆弱性 CVE-2025-48708 は、バージョン 10.05.1 以下における、セキュリティ上の欠陥を露呈している。CVE org は、「作成された PDF 文書には、平文のパスワードが取り込まれている、PDF 暗号化の本来の目的を、完全に損なうリスクが浮き彫りになっている」と述べている。

NPM 上の悪意のパッケージがネットワーク情報を収集：60 件のマルウェア・パッケージを発見

Dozens of malicious packages on NPM collect host and network data

2025/05/23 BleepingComputer — NPM インデックスで発見されたのは、機密性の高いホスト／ネットワークのデータを収集し、脅威アクターが制御する Discord Web フックへと送信する、60 件の悪意のパッケージである。Socket の脅威調査チームによると、これらのパッケージは、5月12日以降において、３つのパブリッシャー・アカウントから NPM リポジトリにアップロードされたものだという。

ModSecurity の DoS 脆弱性 CVE-2025-47947：No Patch／Yes PoC

ModSecurity DoS Flaw: PoC Available for Apache Vulnerability (No Workaround, Patch Pending)

2025/05/23 SecurityOnline — ModSecurity の Apache モジュールで発見された、新たな脆弱性 CVE-2025-47947 (CVSS：7.5) が特定の条件下で悪用されると、Web サーバに深刻なサービス拒否 (DoS) 攻撃が生じる可能性がある。この脆弱性は、Swiss Post の代理人である、Netnea の Simon Studer (@studersi) が報告したものだ。

GitLab の複数の脆弱性が FIX：サービス拒否状態や二要素認証の回避など

GitLab Patches High-Severity Flaws: DoS and 2FA Bypass Fixed

2025/05/22 SecurityOnline — GitLab が公表したのは、Community Edition (CE)／Enterprise Edition (EE) に存在する、さまざまな深刻度のセキュリティ脆弱性に、幅広く対応するバージョン 18.0.1／17.11.3／17.10.7 のリリースである。

Langroid の脆弱性 CVE-2025-46724／46725 が FIX：LLM Apps における RCE の可能性

Langroid Flaws (CVSS 9.8) Expose LLM Apps to RCE

2025/05/22 ScurityOnline — LLM アプリ構築用に設計された、人気の Python フレームワークである Langroid に存在する、２つの深刻な脆弱性ついて、研究者たちが明らかにした。カーネギーメロン大学とウィスコンシン大学マディソン校の研究者たちが開発した Langroid は、データ分析やチャット自動化のためのモジュール型 LLM エージェント構築に広く利用されるものであり、PyPI では毎月 15,000件以上のダウンロード数を誇っている。

OpenPGP.js の脆弱性 CVE-2025-47934 が FIX：メッセージへの偽装署名の恐れ

Critical OpenPGP.js Flaw Allows Message Signature Spoofing

2025/05/21 SecurityOnline — 安全なメッセージングと暗号化のために広く利用される、JavaScript ライブラリを提供する OpenPGP.js プロジェクトが、深刻な脆弱性 CVE-2025-47934 を修正した。この脆弱性を悪用する攻撃者は、メッセージの署名を偽装し、本物を装いながらコンテンツ操作を可能にするという。この脆弱性は、ブラウザベースのメール・クライアント／エクステンション／Web サービスなどの、OpenPGP.js を利用する広範なアプリケーションにおける、署名付き通信と暗号化された通信の整合性を脅かすものだ。

PyPI に新たな悪意のパッケージ：Instagram／TikTok などをユーザー・アカウントを盗み出す？

Malicious PyPI Packages Exploit Instagram and TikTok APIs to Validate User Accounts

2025/05/20 TheHackerNews — Python Package Index (PyPI) リポジトリにアップロードされた悪意のパッケージを、サイバー・セキュリティ研究者たちが発見した。これらのパッケージは、盗み出したメール・アドレスを、TikTok／Instagram の APIで検証するための、チェッカー・ツールとして機能する。問題となっている３つのパッケージは、現時点の PyPI では提供されていない。それらの Python パッケージ名は、以下の通りである。

RAGFlow の脆弱性 CVE-2025-48187 (CVSS 9.1)：アカウント乗っ取りに No Patch／Yes PoC

High-Risk RAGFlow Flaw: Account Takeover Possible (No Patch, PoC Available)

2025/05/20 SecurityOnline — Infiniflow が開発したオープンソースの RAG (Retrieval-Augmented Generation) プラットフォーム RAGFlow に、深刻なアカウント乗っ取りの脆弱性が発見された。この脆弱性 CVE-2025-48187 (CVSS：9.1) を悪用する攻撃者は、ブルートフォース攻撃によるメール認証コードの不正取得を達成し、ユーザー登録／ログイン／パスワードに対するリセット攻撃などの可能性を得る。

pfSense Firewall に複数の脆弱性：beta／early-access の FIX と stable の Non FIX

Can Your Firewall Be Hacked? Severe Flaws Found in pfSense

2025/05/20 SecurityOnline — 人気の OSS ファイアウォール・プラットフォーム pfSense に影響を及ぼす、３つの深刻な脆弱性を詳述する技術調査レポートを、セキュリティ研究者である Navy Titanium が公開した。これらの脆弱性は、pfSense CE／Plus builds 2.8.0 beta 未満に影響を及ぼし、それを悪用する攻撃者に対して、バックアップの乗っ取り／システムコマンドの挿入／コア・コンフィグの破壊などを許すという。

Hanko という OSS の認証管理システム：クリーンな API Surface と SDK で Passkeys への移行をサポート

Hanko: Open-source authentication and user management

2025/05/19 HelpNetSecurity — Hanko の CEO である Felix Magedanz は、「私たちは、開発者や組織の認証フローを近代化するために、ユーザーを Passkeys へと移行させることに重点を置いている。それと同時に、eMail/Password／MFA／OAuth／SAML SSO といった、従来からの認証方法もサポートしていく。私たちの真の強みは、開発者エクスペリエンスへのコミットメントである」と Help Net Security に語った。

Mozilla Firefox のゼロデイ脆弱性 CVE-2025-4918／4919 が FIX：Pwn2Own Berlin 2025 で公表

Mozilla fixes Firefox zero-days exploited at hacking contest

2025/05/19 BleepingComputer — Mozilla が公表したのは、先日に開催された Pwn2Own Berlin 2025 ハッキング・コンテストで実証された、Firefox の２件のゼロデイ脆弱性に対処するための、緊急セキュリティ・アップデートのリリースである。これらの修正の対象には、Firefox の Desktop／Android および、２つの Extended Support Releases (ESR) が含まれる。これらの脆弱性が報告された、5月17日 (土) の Pwn2Own から、わずか数時間後に修正版はリリースされている。

Label Studio の XSS 脆弱性 CVE-2025-47783 が FIX：任意の JavaScript の挿入／実行

XSS Vulnerability Discovered in Label Studio: Update Now!

2025/05/19 SecurityOnline — 機械学習モデルのデータセットにアノテーションを付与するために、広く用いられる OSS データ・ラベリング・ツール Label Studio に、反射型クロスサイト・スクリプティング (XSS) の脆弱性が存在することを、研究者たちが明らかにした。Label Studio のバージョン 1.18.0 未満に影響を及ぼす、脆弱性 CVE-2025-47783 を悪用する攻撃者は、ユーザー・セッションのコンテキストで、任意の JavaScript 挿入／実行の可能性を得るという。

GNU C Library (glibc) の脆弱性 CVE-2025-4802 が FIX：各種の Linux ディストロにコード実行の可能性

glibc Vulnerability Puts Millions of Linux Systems at Risk of Code Execution

2025/05/19 SecurityOnline — 数多くの Linux アプリケーションにおいて、基本コンポーネントとして活用される GNU C Library (glibc) で、新たな脆弱性が報告された。この脆弱性が示すのは、静的 setuid バイナリの共有ライブラリ読込みメカニズムに存在する、潜在的に悪用が可能な欠陥の詳細である。この脆弱性 CVE-2025-4802 は、静的 setuid バイナリが dlopen() を介して動的ライブラリを呼び出す際に、LD_LIBRARY_PATH 環境変数を不適切に使用することに起因する。

Python Web Framework Reflex の脆弱性 CVE-2025-47425 が FIX：Admin アカウント乗っ取りの恐れ

High-Risk Flaw in Python Web Framework Reflex Could Lead to Account Takeover

2025/05/19 SecurityOnline — インタラクティブな Web アプリを構築するための、Python ベースの OSS フレームワーク Reflex に、深刻なセキュリティ上の欠陥が発見された。この脆弱性は CVE-2025-47425 の CVSS スコアは 8.1 であり、深刻度が高いことを示している。Reflex の人気は、JavaScript を必要とせずに、Python のみフルスタック Web アプリの構築が可能なところにある。その使いやすさと、パワフルな状態管理のための機能により、最先端のアプリ開発において Reflex は人気を博している。

WordPress Eventin の脆弱性 CVE-2025-47539 が FIX：深刻な権限昇格

CVE-2025-47539: Critical Privilege Escalation Flaw Hits 10K+ WordPress Eventin Sites

2025/05/16 SecurityOnline — WordPress で人気を誇る Eventin 管理プラグインに深刻な脆弱性が発見され、それを修正するプログラムが公開されている。このプラグインを利用することで、出欠確認／チケット販売などの、カレンダー・ベースのイベントを管理するサイトは、10,000+ に達すると言われている。

WebDriverManager の脆弱性 CVE-2025-4641 が FIX：Java ライブラリに XXE 情報漏洩と不正アクセス

2025/05/16 SecurityOnline — Selenium ベースの自動化フレームワークで広く使用されている重要な Java ライブラリ、WebDriverManager に、重大な XML 外部エンティティ (XXE) の脆弱性 CVE-2025-4641 が発見された。この脆弱性は、CVSS スコアで 9.3 と評価されており、Windows／macOS／Linux を含む複数のプラットフォームに深刻な影響を及ぼす可能性がある。

Pgpool-II の脆弱性 CVE-2025-46801 が FIX：ミスコンフィグによる認証バイパス

Pgpool-II Hit by Critical CVE-2025-46801: CVSS 9.8 Risk Lets Attackers Bypass Authentication

2025/05/16 SecurityOnline — PgPool Global Development Group が発行したのは、PostgreSQL サーバとデータベース・クライアントの間で使用されるミドルウェア Pgpool-II に存在する、深刻度の高い脆弱性に対するセキュリティ・アドバイザリの発行である。この脆弱性 CVE-2025-46801 は、特定のミスコンフィグにより認証バイパスを許すものであり、CVSS スコアは 9.8 となっている。

2024年の脆弱性を分析：Linux の発生件数は 967% 増／全体的な悪用件数は 96% 増

New Linux Vulnerabilities Surge 967% in a Year

2025/05/15 InfoSecurity — 2024年に Linux と macOS で発見された脆弱性の件数が劇的に増加したと、Action1 の最新分析が語っている。サイバー・セキュリティ・ベンダーである Action1 の、2025 Software Vulnerability Ratings Report は、National Vulnerability Database (NVD) とSecurityScorecard の CVEdetails.com サイトの詳細分析をベースにしたものだ。Action1 の推計によると、2024年に発見された脆弱性の総数は、前年比で 61% 増の 6,761件となるが、Linux の脆弱性は “前例のない” 967%増の 3,329件に達したという。

Node.js の脆弱性 CVE-2025-23166 などが FIX：システム・クラッシュなどの恐れ

Node.js Alerts: High-Severity Flaw (CVE-2025-23166) Risks Remote System Crashes! Update Immediately!

2025/05/15 SecurityOnline — Node.js チームの最新のセキュリティ情報で公開されたのは、24.x／23.x／22.x／20.x リリース・ライン向けの重要な更新プログラムである。これらのパッチは、深刻度が Low から High までの、複数の脆弱性を修正するものだ。

OpenPubkey／OPKSSH の認証バイパスの脆弱性 CVE-2025-3757／4658 が FIX：不正リモート・アクセスのリスク

Critical Authentication Bypass in OpenPubkey and OPKSSH Exposes Systems to Remote Access Risks

2025/05/15 SecurityOnline — OpenPubkey 認証プロトコルと関連ツールである OPKSSH に、２件の深刻な脆弱性が発見された。これらの脆弱性を悪用する攻撃者は、認証メカニズムの回避を達成し、不正アクセスの可能性を得る。ユーザーまたはワークロードが生成する公開鍵を、OpenID Connect (OIDC) に統合するためのプロトコル OpenPubkey は、暗号検証プロセスに深刻な欠陥があることを、最近になって明らかにした。これらの脆弱性 CVE-2025-3757／CVE-2025-4658 (CVSS v4：9.3) は、深刻度 Critical と評価されている。

Xerox のセキュリティ速報 XRX25-009：iGen5 Press／Baltoro HF／Brenva HD などに対応

Xerox Patches Dozens of Vulnerabilities in FreeFlow Print Server with April 2025 Security Update

2025/05/15 SecurityOnline — 2025年5月12日に Xerox が発表したのは、セキュリティ速報 XRX25-009 の公開と、Windows 10上で動作する FreeFlow Print Server v2 向けの、2025年4月のセキュリティ・パッチ・アップデートのリリースである。Xerox の主要プロダクション・プリンターである、iGen5 Press／Baltoro HF／Brenva HD などをサポートする、このアップデートは、数十の深刻な脆弱性に対処し、更新された OSS コンポーネントを統合し、強化された暗号化標準を導入するものだ。

Varnish の脆弱性 CVE-2025-47905 が FIX：HTTP リクエスト・スマグリングの恐れ

Varnish Vulnerability Exposes Cache to HTTP Request Smuggling

2025/05/14 SecurityOnline — Varnish Software が公開したのは、Varnish Cache と Varnish Enterprise のクライアント・サイドにおける、非同期化に関連する脆弱性 CVE-2025-47905 の存在である。この脆弱性を悪用する攻撃者は、特定の不正な HTTP/1 チャンク・リクエストという条件下で、HTTP リクエスト・スマグリング攻撃の可能性を得るという。この脆弱性の深刻度は Low〜Medium と評価されているが、パッチを適用せずに放置すると、キャッシュ・ポイズニング／WAFバイパスなどに加えて、下流におけるセキュリティ・リスクにつながる可能性がある。