HashiCorp Nomad ACL Lookup Flaw Allows Privilege Escalation
2025/06/13 gbhackers — ワークロード・オーケストレーション・ツールである HashiCorp Nomad に、深刻なセキュリティ脆弱性 CVE-2025-4922 が発見された。この脆弱性は、ACL ポリシーの不適切な適用に起因するものであり、クラスタを特権昇格のリスクにさらす可能性がある。この脆弱性の深刻度は CVSS 値 8.1 と評価されており、悪用に成功した攻撃者は、戦略的なジョブ命名により、ネームスペース制限を回避する機会を手にする。
Continue reading “HashiCorp Nomad の脆弱性 CVE-2025-4922 が FIX：特権昇格の可能性”PoC Exploit Unveiled for Windows Disk Cleanup Elevation Vulnerability
2025/06/13 gbhackers — Microsoft Windows Disk Cleanup Utility (cleanmgr.exe) に存在する特権昇格の脆弱性 CVE-2025-21420 (CVSS：7.8) が、2025年2月の Patch Tuesday で修正された。この脆弱性の悪用に成功した攻撃者は、DLL サイドローディングとディレクトリ・トラバーサルにより、SYSTEM 権限で悪意のコードを実行する可能性を手にする。
Continue reading “Windows Disk Cleanup の権限昇格の脆弱性 CVE-2025-21420：PoC が提供”Palo Alto Networks PAN-OS Vulnerability Let Attacker Run Arbitrary Commands as Root User
2025/06/12 CyberSecurityNews — Palo Alto Networks の PAN-OS に発見されたコマンド・インジェクションの脆弱性は、世界中の企業のファイアウォール・インフラに対して、重大なセキュリティ・リスクをもたらすものだ。この脆弱性 CVE-2025-4230 により、CLI にアクセスできる認証済みの管理者であれば、ルート・レベル権限で任意のコマンド実行が可能になるため、ネットワーク・セキュリティ全体が侵害される恐れが生じる。
Continue reading “Palo Alto Networks PAN-OS の脆弱性 CVE-2025-4230 が FIX：コマンド・インジェクションと root 実行”OpenPGP.js Vulnerability Let Attackers Spoof Message Signature Verification
2025/06/12 CyberSecurityNews — 広く使用されている OpenPGP.js ライブラリに、深刻な脆弱性が発見された。この脆弱性を悪用する攻撃者は、悪意のコンテンツのデジタル署名を偽造することで、信頼できるソースによる正当な署名を装い、ユーザーを欺くことが可能になる。この脆弱性 CVE-2025-47934 は、暗号の信頼性を根本的に侵害するものであり、一般的な JavaScript 実装において OpenPGP 標準に依存する、多数の Web ベース・アプリケーションやメール・クライアントとの間の、安全な通信が損なわれる可能性が生じている。
Continue reading “OpenPGP.js の脆弱性 CVE-2025-47934 が FIX：デジタル署名の偽造と悪意のコンテンツ注入”Trend Micro fixes critical vulnerabilities in multiple products
2025/96/12 BleepingComputer — Trend Micro が公表したのは、Endpoint Encryption PolicyServer および Apex Central に影響を及ぼす、深刻度 Critical のリモート・コード実行および認証バイパスの脆弱性に対処する、セキュリティ・アップデートのリリースである。これらの脆弱性が、実際に悪用されたという証拠は確認されていないと、Trend Micro は強調しているが、セキュリティ・アップデートの速やかな適用と、リスクへの対処が推奨される。
Continue reading “Trend Micro の EE PolicyServer／Apex Central の深刻な脆弱性が FIX：RCE や認証バイパスの恐れ”GitLab patches high severity account takeover, missing auth issues
2025/06/12 BleepingComputer — GitLab が公表したのは、同社の DevSecOps プラットフォームに存在する複数の脆弱性に対処するための、セキュリティ更新プログラムのリリースである。これらの脆弱性を悪用する攻撃者は、アカウントを乗っ取った後に、悪意のジョブのパイプラインへの注入を可能にするという。すでに GitLab は、GitLab Community／Enterprise のバージョン 18.0.2／17.11.4／17.10.8 をリリースし、これらのセキュリティ欠陥に対処している。すべての管理者に対して強く推奨されるのは、早急なアップグレードの実施である。
Continue reading “GitLab Community／Enterprise の複数の脆弱性が FIX：アカウントを乗っ取りなどの恐れ”U.S. CISA adds Wazuh, and WebDAV flaws to its Known Exploited Vulnerabilities catalog
2025/06/12 SecurityAffairs — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、実環境での悪用が確認されたことを受け、以下の２件の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに登録した。
OneLogin AD Connector Vulnerabilities Exposes Authentication Credentials
2025/06/12 CyberSecurityNews — OneLogin の Active Directory (AD) Connector サービスに、複数の深刻な脆弱性が発見された。これらの脆弱性が悪用されると、認証情報の漏洩や、攻撃者による正規ユーザーへの成りすましなどの可能性が生じる。これらの脆弱性が影響を及ぼす範囲は、広く利用されている OneLogin の IAM (Identity and Access Management) プラットフォームである。これらの脆弱性を悪用する攻撃者は、漏洩した認証情報を悪用して有効な JSON Web Token (JWT) を生成し、顧客システムへの不正アクセスの可能性を手にする。
Continue reading “OneLogin AD コネクターに脆弱性：認証情報の漏洩とフェデレーション侵害の恐れ”Windows SMB Client Zero-Day Vulnerability Exploited via Reflective Kerberos Relay Attack
2025/06/12 gbhackers — 新たに公開された “Reflective Kerberos Relay Attack” と呼ばれる脆弱性 CVE-2025-33073 により、Windows のセキュリティ状況が揺らいでいる。この脆弱性は、 RedTeam Pentesting により発見され、Microsoft が2025年6月10日の Patch Tuesday で修正プログラムを公開したものだ。この脆弱性により、SMB 署名を強制しないドメイン参加 Windows システムにおいて、低権限の Active Directory ユーザーが、NT AUTHORITY\SYSTEM へと権限を昇格できることが判明した。
Continue reading “Windows SMB Client のゼロデイ脆弱性 CVE-2025-33073 が FIX：Kerberos リレー攻撃とは？”Palo Alto Networks PAN-OS Vulnerability Enables Admin to Execute Root User Actions
2025/06/12 CyberSecurityNews — Palo Alto Networks PAN-OS に存在する、深刻なコマンド・インジェクション脆弱性により、権限を昇格した認証済みの管理ユーザーが、ルート・ユーザーとしてコマンドを実行する可能性が生じている。この脆弱性 CVE-2025-4231 の深刻度は Medium レベルであるが、同社のファイアウォール OS の複数バージョンに影響を及ぼす。管理インターフェイスが、信頼できないネットワークに公開されている場合には、重大なセキュリティ・リスクがもたらされるという。
Continue reading “Palo Alto PAN-OS の脆弱性 CVE-2025-4231 が FIX：ルート権限によるコマンド・インジェクションの恐れ”Chrome, Firefox Updates Resolve High-Severity Memory Bugs
2025/06/11 SecurityWeek — 6月10日 (火) にリリースされた Chrome 137 と Firefox 139 のアップデートでは、それぞれ２件ずつ、合計で４件の、深刻度の高いメモリ・バグが修正されている。Chrome のアップデートでは、Media における解放後メモリ使用の脆弱性 CVE-2025-5958 と、V8 JavaScript エンジンのタイプ・コンヒュージョンの脆弱性 CVE-2025-5959 が修正されている。どちらも、外部の研究者により報告されたものである。
Continue reading “Chrome／Firefox の深刻な脆弱性４件が FIX：情報漏洩／リモート・コード実行などの恐れ”Windows Task Scheduler Vulnerability Let Attackers Escalate Privileges
2025/06/11 CyberSecurityNews — Windows Task Scheduler に存在する、深刻なセキュリティ脆弱性を悪用する攻撃者は、管理者権限を必要とすることなく、システム・レベルのアクセス権限へと昇格する可能性を手にする。この脆弱性 CVE-2025-33067 (CVSS：8.4：Important) は、Windows オペレーティング・システムの複数バージョンに影響を及ぼす。この脆弱性は、Windows カーネルの Task Scheduler コンポーネントにおける不適切な権限管理に起因し、権限のないローカル攻撃者に対して、システムの完全な制御を許す可能性がある。
Continue reading “Windows Task Scheduler の脆弱性 CVE-2025-33067：ローカル権限昇格の可能性”Microsoft Office Vulnerabilities Let Attackers Execute Remote Code
2025/06/11 cybersecuritynews — Microsoft Office で発見された、複数の重大な脆弱性を悪用する攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を手にする。これらの脆弱性は、CVE-2025-47162／CVE-2025-47953／CVE-2025-47164／CVE-2025-47167 として追跡されており、CVSS スコアに関しては 8.4 と評価されている。その影響範囲は、Windows／macOS／Android プラットフォーム上の、多数の Office バージョンに及ぶという。
Continue reading “Microsoft Office の４件の脆弱性が FIX：ヒープバッファ・オーバーフローなどの恐れ”CoreDNS Vulnerability Let Attackers Exhaust Server Memory Via Amplification Attack
2025/06/11 CyberSecurityNews — クラウド・ネイティブ環境において、特に Kubernetes クラスタにおいて、広く使用される DNS サーバの１つである CoreDNS に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-47950 の悪用に成功したリモートの攻撃者は、DNS-over-QUIC (DoQ) ストリーム増幅攻撃を通じて、コンテナ化のための環境でサーバ・メモリを枯渇させ、サービス停止を引き起こす可能性を手にする。
Continue reading “CoreDNS の脆弱性 CVE-2025-47950 が FIX：メモリ枯渇に至る可能性”Outlook Vulnerability Allows Remote Execution of Arbitrary Code by Attackers
2025/06/11 gbhackers — Microsoft Office Outlook で発見された、深刻なセキュリティ脆弱性 CVE-2025-47176 の悪用に成功した攻撃者は、任意のコード実行の可能性を手にする。この脆弱性の攻撃ベクターはローカルであり、攻撃者によるコード実行は、被害者のマシン上から行われるものとなる。この脆弱性を悪用されると、データの機密性／完全性／可用性が侵害される可能性があるため、組織にとっての影響は深刻である。
Continue reading “Outlook の脆弱性 CVE-2025-47176：任意のコード実行の恐れとパッチ未適用の状況”HPE Aruba Network Vulnerability Exposes Sensitive Information to Hackers
2026/06/11 CyberSecurityNews — HPE Aruba の Networking Private 5G Core プラットフォームに、深刻度の高いセキュリティ脆弱性が発見された。この脆弱性を悪用する攻撃者は、不正な操作を介して、機密システム・ファイルに関連するアクセスとダウンロードの可能性を手にする。この脆弱性 CVE-2025-37100 (CVSS：7.7) は、プライベート 5G ネットワークを展開する企業が用いる、重要なインフラ・コンポーネントに影響を及ぼす。このセキュリティ欠陥が影響を及ぼす範囲は、ソフトウェア・バージョン 1.24.1.0〜1.25.1.0 であり、API を悪用する攻撃者に対して、機密データの漏洩を許す可能性がある。
Continue reading “HPE Aruba Network の脆弱性 CVE-2025-37100 が FIX：機密データ漏洩の可能性”Apache CloudStack Flaw Allows Attackers to Execute Privileged Actions
2025/06/11 gbhackers — OSS のクラウド管理プラットフォームとして業界をリードする Apache CloudStack が発表したのは、複数の深刻なセキュリティ脆弱性に対処する、新たな Long-Term Support (LTS) リリースのバージョン 4.19.3.0／4.20.1.0 の緊急リリースである。2025年6月10日に、Apache PMC (Project Management Committee) メンバーである Pearl Dsilva が公開したアドバイザリでは、５つの脆弱性が指摘されており、そのうち２つは Crutical と評価され、ユーザー・データとインフラストラクチャの整合性に重大なリスクをもたらすという。
Continue reading “Apache CloudStack の脆弱性 CVE-2025-26521／47713 などが FIX：特権アクション実行とパスワード・リセット”Windows Common Log File System Driver Vulnerability Let Attackers Escalate Privileges
2025/06/11 CyberSecurityNews — Windows の Common Log File System (CLFS) ドライバー に存在する深刻なセキュリティ脆弱性により、攻撃者はシステム・レベルへの権限昇格を達成するという。この脆弱性 CVE-2025-32713 は、2025年6月10日の Patch Tuesday で公開されたものであり、旧バージョンから最新の Windows 11／Windows Server 2025 までの、複数の Windows オペレーティング・システムに影響を及ぼす。この欠陥は、Windows の CLFS ドライバー のヒープバッファ・オーバーフローに起因し、CWE-122 に分類される。
Continue reading “Windows CLFS Driver の脆弱性 CVE-2025-32713 が FIX：SYSTEM レベル権限昇格の恐れ”Windows Remote Desktop Services Vulnerability Allows Remote Code Execution
2025/06/11 CyberSecurityNews — Windows Remote Desktop Services に存在する深刻なセキュリティ脆弱性 CVE-2025-32710 (CVSS：8.1) により、未認証の攻撃者による任意のリモート・コード実行の可能性が生じている。この脆弱性は、2025年6月10日の Patch Tuesday で修正されたものであるが、複数の Windows Server バージョンに影響を及ぼし、深刻なシステム侵害を引き起こす可能性を持つ。
Continue reading “Windows RDP Service の脆弱性 CVE-2025-32710 が FIX：広範なサーバ製品群に影響”Salesforce OmniStudio Vulnerabilities Exposes Sensitive Customer Data in Plain Text
2025/06/11 CyberSecurityNews — Salesforce OmniStudio に発見された深刻なセキュリティ脆弱性は、平文形式で保存された顧客の機密情報への不正アクセスを許すものである。この脆弱性により、世界中の数千の組織に影響を受ける可能性が生じている。この脆弱性は、プラットフォーム内のデジタル・エクスペリエンス管理システム内における、不十分なデータ暗号化プロトコルに起因するものであり、エンタープライズ顧客にとってプライバシー／コンプライアンス上の重大なリスクをもたらす。
Continue reading “Salesforce OmniStudio の脆弱性が FIX ：顧客情報などの漏洩の可能性”FortiOS SSL-VPN Vulnerability Let Attackers Access full SSL-VPN settings
2025/06/10 CyberSecurityNews — Fortinet が公開したのは、FortiOS SSL-VPN の Web モードに影響を及ぼす、新たなセキュリティ脆弱性の存在である。この脆弱性を悪用する認証されたユーザーは、特別に作成された URL を通じて、SSL-VPN コンフィグ全体への不正アクセスの可能性を得る。広く使用されている Fortinet ネットワーク・セキュリティ・プラットフォームの、複数バージョンに影響を与える、この脆弱性 CVE-2025-25250 は、CWE (Common Weakness Enumeration) の CWE-200 (未承認の攻撃者への機密情報の漏えい) に分類される。
Continue reading “FortiOS SSL-VPN の脆弱性 CVE-2025-25250 が FIX：情報漏えいの可能性”Ivanti Workspace Control Vulnerability Lets Attackers Remotely Exploit To Steal the Credential
2025/06/10 gbhackers — Ivanti が公表したのは、Workspace Control ソフトウェアに対する、重要なセキュリティ更新プログラムをリリースである。この更新プログラムでは、攻撃者に対して認証情報への侵害を許す可能性のある、深刻度の高い３件の脆弱性が修正されている。それらの脆弱性 CVE-2025-5353／CVE-2025-22463／CVE-2025-22455 は、Ivanti Workspace Control のバージョン 10.19.10.0 未満に影響を及ぼすものだ。
Continue reading “Ivanti Workspace Control の脆弱性 CVE-2025-5353／22463／22455 が FIX：認証情報窃取の恐れ”2025/06/10 CyberSecurityNews — Fortinet が公表したのは、OS コマンド・インジェクションの脆弱性 CVE-2023-42788 (CWE-78) として分類される、深刻なセキュリティ欠陥への対処である。この脆弱性は、FortiManager／FortiAnalyzer など、複数の製品に既に影響を及ぼすものだ。しかし、今日になって Fortinet は、この脆弱性の影響が FortiAnalyzer-Cloud にも波及し、低権限のローカル攻撃者による、不正なコード実行のリスクがあることを確認した。
Continue reading “Fortinet の OS Command Injection の脆弱性 CVE-2023-42788：PoC のリリースと影響範囲の拡大”Adobe Releases Patch Fixing 254 Vulnerabilities, Closing High-Severity Security Gaps
2025/06/10 TheHackerNews — 6月10日 (火) に Adobe は、ソフトウェア製品に影響を与える合計で 254件のセキュリティ脆弱性に対処する、セキュリティ・アップデートを公開した。これらの脆弱性の大部分は、Adobe Experience Manager (AEM) に影響するものだ。254件の脆弱性のうち、225件は AEM に存在し、AEM Cloud Service (CS) とバージョン 6.5.22 以下に影響を及ぼす。すでに Adobe は、AEM Cloud Service Release 2025.5 および バージョン6.5.23 で、これらの問題を修正している。
Continue reading “Adobe の脆弱性 254件が FIX：225件は AEM に存在する XSS の欠陥”Microsoft June 2025 Patch Tuesday fixes exploited zero-day, 66 flaws
2025/06/10 BleepingComputer — 今日は、Microsoft June 2025 Patch Tuesday の日だ。このパッチにより、66件の脆弱性に対するセキュリティ・アップデートが提供されるが、その中には、現時点で悪用されている脆弱性１件と、すでに情報が公開されている脆弱性１件が含まれる。今回の月例パッチでは、10件の Critical 脆弱性が修正されている。そのうちの８件はリモート・コード実行の脆弱性であり、２件は権限昇格の脆弱性である。
Continue reading “Microsoft 2025-06 月例アップデート：２件のゼロデイを含む 66件の脆弱性に対応”Fortinet Security Update: Critical Patch Addressing Multiple Vulnerabilities Across Products
2025/06/10 CyberSecurityNews — Fortinet が公開したのは、FortiOS／FortiAnalyzer／FortiProxy／FortiWeb などの製品群に影響を及ぼす、複数の脆弱性に対処するセキュリティ・アップデートである。同社の PSIRT (Product Security Incident Response Team) によると、一連の脆弱性に含まれるものには、権限昇格やコマンド・インジェクションなどがあり、企業ネットワークのセキュリティが侵害される可能性が生じている。
Continue reading “Fortinet 製品群の複数の脆弱性が FIX：権限昇格やコマンド・インジェクションなどの恐れ”ManageEngine Exchange Reporter Plus Vulnerability Enables Remote Code Execution
2025/06/10 gbhackers — 広く普及しているメールに関する監視／報告のソリューション ManageEngine Exchange Reporter Plus に、重大なセキュリティ脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、標的サーバ上での任意のコマンド実行の可能性を手にする。この脆弱性 CVE-2025-3835 の影響が及ぶ範囲は、バージョン 5721 以下の全ビルドであり、また、2025年5月29日にリリースされた、緊急セキュリティ・アップデートにより修正されている。
Continue reading “ManageEngine Exchange Reporter Plus の脆弱性 CVE-2025-3835 が FIX：RCE の恐れ”Google Vulnerability Let Attackers Access Any Google User’s Phone Number
2025/06/10 CyberSecurityNews — Google のアカウント復旧システムに存在していた、深刻なセキュリティ脆弱性を悪用する攻撃者が、高度なブルートフォース攻撃を介して、任意の Google ユーザーの電話番号を取得できる状態にあったことが、BruteCat のセキュリティ研究者により明かされた。この脆弱性は、Google の No-JavaScript Username Recovery Form の悪用により、通常のセキュリティ保護の回避と、機密情報の抽出を許すものだ。なお、この脆弱性は、すでに修正されている。
Continue reading “Google のレガシー・アカウント復旧機能の脆弱性：ユーザーの電話番号が漏洩？”CISA Adds Erlang SSH and Roundcube Flaws to Known Exploited Vulnerabilities Catalog
2025/06/10 TheHackerNews — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、Erlang/Open Telecom Platform (OTP) SSH および Roundcube に影響を与える２つの脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに追加した。
Continue reading “CISA KEV 警告 25/06/09：Erlang SSH／Roundcube の脆弱性を登録”Critical Wazuh Server RCE Vulnerability Exploited to Deploy Mirai Variants
2025/06/09 CyberSecurityNews — Wazuh サーバに存在する深刻なリモート・コード実行の脆弱性が悪用されていることを、Akamai のセキュリティ研究者たちが発見した。この OSS セキュリティ・プラットフォームの脆弱性 CVE-2025-24016 (CVSS：9.9) は、今年の初めに公表されたものだが、実環境での攻撃が報告されたのは初めてのことである。この脆弱性を悪用する API アクセス権を持つリモート攻撃者は、悪意を持って作成された JSON ファイルを通じて、任意のコードを実行できるようになる。なお、この脆弱性が影響を及ぼす範囲は、Wazuh のバージョン 4.4.0〜4.9.0 である。
Continue reading “Wazuh Server RCE 脆弱性 CVE-2025-24016：Mirai 亜種による攻撃を観測”Multiple QNAP Flaws Allow Remote Attackers to Hijack User Accounts
2025/06/09 gbhackers — QNAP 製の NAS デバイス／クライアント間でファイルの同期を担う QNAP Qsync Central に、２件の深刻な脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、機密データへの不正アクセスや悪意のコード実行の可能性を手にする。
Continue reading “QNAP Qsync Central の脆弱性 CVE-2025-22482／29892 が FIX：情報漏洩や SQLi などの可能性”Jenkins Gatling Plugin Vulnerability Let Attackers Bypass Content-Security-Policy Protection
2025/06/09 CyberSecurityNews — 人気の Jenkins Gatling プラグインにおいて、深刻な XSS (cross-site scripting) 脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、CSP (Content-Security-Policy) 保護の回避を可能にする。この脆弱性 CVE-2025-5806 は、Gatling Plugin バージョン 136.vb_9009b_3d33a_e に影響を及ぼし、このパフォーマンス・テスト統合ツールを使用する Jenkins 環境に対して重大なリスクをもたらす。
Continue reading “Jenkins Gatling Plugin の脆弱性 CVE-2025-5806：パッチ未適用とダウングレード推奨”Critical Salesforce Vulnerability Exposes Global Users to SOQL Injection Attacks
2025/06/09 gbhackers — Salesforce Aura コントローラーの、デフォルト・コンフィグに存在する SOQL (Salesforce Object Query Language) インジェクションの脆弱性を、あるセキュリティ研究者が発見した。この脆弱性により、数千のデプロイメントおよび、数百万のユーザーレコードに影響が生じる可能性がある。この発見が浮き彫りにするのは、動的なクエリ構築のリスクと、エンタープラ イズ・クラウドプラット・フォームにおける、セキュア・コーディングの重要性である。
Continue reading “Salesforce の SOQL インジェクション脆弱性 CVE-N/A：数百万のユーザーに影響をおよぼす可能性”Attackers exploit Fortinet flaws to deploy Qilin ransomware
2025/06/06 SecurityAffairs — 2025年5月〜6月に Qilinランサムウェア (別名 Phantom Mantis) グループが、FortiGate の脆弱性 CVE-2024-21762／CVE-2024-55591 などを悪用し、複数の組織を標的にしていると、脅威インテリジェンス企業 PRODAFT が警告している。同社が発表したレポートには、「Phantom Mantis は、2025年5月から6月にかけて、複数の組織を標的とする組織的な侵入キャンペーンを展開している。イニシャル・アクセスで悪用されるのは、FortiGate の脆弱性 CVE-2024-21762／CVE-2024-55591 などである」と記載されている。
Continue reading “Qilin ランサムウェア：FortiGate の脆弱性 CVE-2024-21762／55591 を悪用”Critical RCE Vulnerability in AWS Amplify Studio – PoC Now Public
2025/06/06 gbhackers — 2025年5月に AWS が公開した、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2025-4318 (CVSS：9.5) は、AWS Amplify Studio のUI コード生成パイプラインとコア依存関係を持つ、@aws-amplify/codegen-ui パッケージに存在するものだ。この脆弱性は、UI コンポーネント・スキーマ内の、ユーザー定義 JavaScript 式を処理する、式バインディング・ロジックにおける不適切な入力検証に起因する。
Continue reading “AWS Amplify Studio の脆弱性 CVE-2025-4318 (CVSS：9.5)：PoC がリリース”Critical RCE Flaw Found in HPE Insight Remote Support Tool
2025/06/06 gbhackers — HPE (Hewlett-Packard Enterprise) が公開したセキュリティ・アドバイザリは、Insight Remote Support (IRS) ソフトウェアのバージョン 7.15.0.646 未満に存在する、複数の深刻な脆弱性に対処するものだ。これらの脆弱性は、外部の研究者によって発見され、HPE に報告されたものである。一連の脆弱性の悪用に成功したリモートの攻撃者は、影響を受けるシステム上における、任意のコード実行／ディレクトリ・トラバーサル／機密情報の漏洩などを引き起こす可能性を得る。
Continue reading “HPE IRS の脆弱性 CVE-2025-37097／37098／37099 が FIX：RCE や情報漏洩などの恐れ”Dell PowerScale Vulnerability Let Attackers Gain Unauthorized Filesystem Access
2025/06/06 CyberSecurityNews — Dell PowerScale OneFS ストレージ OS に影響を与える、２件の脆弱性 CVE-2024-53298／CVE-2025-32753 が発見された。脆弱性 CVE-2024-53298 (CVSS：9.8) の悪用に成功した未認証の攻撃者は、企業のファイル・システム・データへの不正アクセスの可能性を手にする。この脆弱性は PowerScale OneFS バージョン 9.5.0.0〜9.10.0.1 に影響を及ぼすものであり、組織のデータ・セキュリティに対して、きわめて高いリスクとなる。
Continue reading “Dell PowerScale の脆弱性 CVE-2024-53298／32753 が FIX：企業データへの不正アクセスの恐れ”PoC Exploit Released for Apache Tomcat DoS Vulnerability
2025/06/06 gbhackers — Apache Tomcat の深刻なメモリ・リークの脆弱性 CVE-2025-31650 が悪用され、未認証の攻撃者たちがサービス拒否攻撃の機会を手にしている。この脆弱性は、HTTP/2 実装における不正な優先度ヘッダーに起因するものであり、すでに 12件のエクスプロイトが公開されている。この脆弱性の影響が及ぶ範囲は、Tomcat のバージョン 9.0.76～9.0.102／10.1.10～10.1.39／11.0.0-M2～11.0.5 である。
Continue reading “Apache Tomcat の DoS 脆弱性 CVE-2025-31650：12件の PoC エクスプロイトが公開”U.S. CISA adds Google Chromium V8 flaw to its Known Exploited Vulnerabilities catalog
2025/06/06 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Google Chromium V8 に存在する境界外 Read/Write の脆弱性 CVE-2025-5419 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。先日に Google は、Chrome ブラウザの３つの脆弱性を修正する、定例外アップデートをリリースしたが、そこに含まれる CVE-2025-5419 は、現時点で悪用されている欠陥である。
Continue reading “CISA KEV 警告 25/06/05：Google Chromium V8 の CVE-2025-5419 を登録”Critical Cisco Nexus Dashboard Vulnerability Lets Attackers Impersonate Managed Devices
2025/06/05 gbhackers — Cisco が発行したのは、Nexus Dashboard Fabric Controller (NDFC) に存在する、深刻な SSH ホスト・キー検証の脆弱性に対する、セキュリティ・アドバイザリ “ID: cisco-sa-ndfc-shkv-snQJtjrp” である。この脆弱性 CVE-2025-20163 (CVSS3.1：8.7) を悪用する、未認証のリモート攻撃者は、Cisco NDFC 管理対象デバイスへの成りすましを達成し、データセンター・インフラに重大なリスクをもたらす可能性を手にする。
Continue reading “Cisco Nexus Dashboard の脆弱性 CVE-2025-20163 が FIX：SSH ホスト・キーに対する不十分な検証”VMware NSX XSS Vulnerability Exposes Systems to Malicious Code Injection
2025/06/05 gbhackers — Broadcom が発行したのは、VMware NSX で発見された３件の蓄積型クロスサイト・スクリプティング (XSS) の脆弱性 CVE-2025-22243／CVE-2025-22244／CVE-2025-22245 に対する、セキュリティ・アドバイザリ (VMSA-2025-0012) である。これらの深刻な脆弱性は、NSX Manager UI／Gateway Firewall／Router Port コンポーネントに影響を及ぼし、パッチを適用せずに放置するユーザー組織は、コード・インジェクション攻撃の脅威に直面するとされる。
Continue reading “VMware NSX の XSS 脆弱性 CVE-2025-22243／22244／22245 が FIX：コード・インジェクションの恐れ”Hacker selling critical Roundcube webmail exploit as tech info disclosed
2025/06/05 BleepingComputer — 広く使用される OSS の Web メール・アプリケーション Roundcube に存在する、深刻なリモート・コード実行の脆弱性 CVE-2025-49113 を、ハッカーたちが悪用し始めているようだ。この脆弱性は、Roundcube 内に10年以上にわたり存在し、バージョン 1.1.0〜1.6.10 に対して影響を及ぼすものだ。すでに Roundcube は、2025年6月1日にパッチを適用している。その一方で攻撃者は、今回の修正内容に対するリバース・エンジニアリングを達成し、この脆弱性を武器化している。その結果として、わずか数日で、少なくとも１つのハッカー・フォーラムにおいて、実際に動作するエクスプロイトが販売されるに至っている。
Continue reading “Roundcube Web メールの脆弱性 CVE-2025-49113：悪用可能な PoC がハッカーフォーラムで公開”Cisco IMC Vulnerability Attackers to Access Internal Services with Elevated Privileges
2025/06/05 CyberSecurityNews — Cisco の Integrated Management Controller (IMC) に存在する、深刻な脆弱性を悪用する攻撃者は、適切な認証を必要とすることなく、権限を昇格させ内部サービスへアクセスを手にするという。この脆弱性は、Cisco のサーバ管理インフラに依存する企業ネットワークに対して深刻なリスクをもたらし、攻撃者は、重要なシステムや機密データへの不正アクセスの機会を得る。
Continue reading “Cisco IMC の脆弱性 CVE-2025-20261 (CVSS：9.8) が FIX：権限昇格と内部アクセスの可能性”Wireshark Vulnerability Enables DoS Attack Through Malicious Packet Injection
2025/06/05 CyberSecurityNews — 広く普及しているネットワーク・プロトコル・アナライザ Wireshark に、深刻な脆弱性が発見された。この脆弱性を悪用する攻撃者は、パケット・インジェクションや不正なキャプチャ・ファイルを介して、サービス拒否 (DoS) 攻撃を仕掛ける機会を手にする。この脆弱性 CVE-2025-5601 は、ネットワークのトラブル・シューティングと分析において、Wireshark を利用する世界中の数百万のユーザーに影響を及ぼすものだ。
Continue reading “Wireshark の脆弱性 CVE-2025-5601 が FIX：悪意のパケット・インジェクションとキャプチャ・ファイル”Critical Cisco ISE Auth Bypass Flaw Impacts Cloud Deployments on AWS, Azure, and OCI
2025/06/05 TheHackerNews — Cisco が公表したのは、Identity Services Engine (ISE) に影響を及ぼす、深刻なセキュリティ欠陥を修正する、セキュリティ・パッチのリリースである。この脆弱性を悪用する未認証の攻撃者は、脆弱なシステム上で悪意のある操作を実行できるようになるという。この脆弱性 CVE-2025-20286 (CVSS：9.9) は、静的認証情報の欠陥と説明されている。
Continue reading “Cisco ISE の脆弱性 CVE-2025-20286 が FIX：AWS／Azure／OCI クラウド・デプロイメントで認証バイパス”IBM QRadar Vulnerabilities Let Attackers Access Sensitive Configuration Files
2025/06/04 CyberSecurityNews — IBM QRadar スイート・ソフトウェアに、複数の重大な脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、機密性の高いコンフィグにアクセスし、企業インフラに対するセキュリティ侵害の可能性を手にする。その中でも、最も深刻な脆弱性 CVE-2025-25022 (CVSS：9.6) は、未認証のユーザーに対して、コンフィグ・ファイルからの機密情報の窃取を許すものである。
Continue reading “IBM QRadar の脆弱性 CVE-2025-25022 などが FIX：情報漏洩／Dos などの可能性”HPE Issues Security Patch for StoreOnce Bug Allowing Remote Authentication Bypass
2025/06/04 TheHackerNews — Hewlett Packard Enterprise (HPE) が公表したのは、StoreOnce のデータ・バックアップ／重複排除のソリューションに存在する、認証バイパスやリモート・コード実行の可能性を引き起こす、８件の脆弱性に対処するためのセキュリティ・アップデートのリリースである。
Continue reading “HPE IStoreOnce の８件の脆弱性が FIX：認証バイパスや RCE の恐れ”Splunk Universal Forwarder on Windows Lets Non-Admin Users Access All Contents
2025/06/03 CyberSecurityNews — Splunk Universal Forwarder for Windows に発見された、深刻度の高い脆弱性 CVE-2025-20298 (CVSSv3.1：8.0) は、ディレクトリ・アクセス制御の侵害を許すものである。この脆弱性が影響を及ぼす範囲は、複数のバージョンのソフトウェアに広がっており、Splunk のデータ転送機能を利用するエンタープライズ環境に、重大なセキュリティ・リスクをもたらしている。この脆弱性は、Universal Forwarder for Windows のインストールまたはアップグレード時に、権限が正しく割り当てられないことに起因する。
Continue reading “Splunk の脆弱性 CVE-2025-20298 が FIX：重要リソースに対する不適切な権限割当”New Safari XSS Flaw Leverages JavaScript Error Handling to Execute Arbitrary Code
2025/06/03 CyberSecurityNews — Safari にクロスサイト・スクリプティング (XSS) の脆弱性が、新たに発見された。この脆弱性を悪用する攻撃者は、ブラウザの TypeError 例外処理メカニズムを介して、任意の JavaScript コードを実行できるという。この脆弱性は、Gareth Heyes による、ペイロード隠蔽技術の研究中に発見されたものだ。TypeError メッセージ内の引用符エスケープを、Safari が不適切に処理することで、コード実行に悪用される可能性が生じるという。
Continue reading “Safari の XSS 脆弱性 CVE-N/A：エラー・メッセージ内の特殊文字と不適切な無効化”New ModSecurity WAF Vulnerability Let Attackers Crash the Syste
2024/06/03 CyberSecurityNews — ModSecurity に深刻なサービス拒否 (DoS) の脆弱性が発見された。Apache／IIS／Nginx Web サーバの保護に使用される ModSecurity は、最も広く導入されている OSS の WAF エンジンの１つである。この脆弱性 CVE-2025-48866 は、ModSecurity のバージョン 2.9.10 以下に影響し、sanitiseArg／sanitizeArg アクションを悪用する攻撃者に対して、システム・クラッシュを引き起こす機会を与えるものだ。
Continue reading “ModSecurity WAF の脆弱性 CVE-2025-48866 が FIX：リソース消費に起因するシステム・クラッシュ”
IoT OT Security News 
You must be logged in to post a comment.