CVE-2024-55963: Appsmith’s Default PostgreSQL Misconfiguration Leads to RCE, PoC Releases
2025/03/27 SecurityOnline — 先日に Rhino Security Labs が公表したのは、Appsmith 製品のデフォルト・インストールに影響を及ぼす、一連の重大な脆弱性に関する詳細な情報である。これらの脆弱性のうちで、最も深刻なものは CVE-2024-55963 であり、デフォルトで取り込まれている PostgreSQL データベースのミスコンフィグにより、未認証の攻撃者に対してリモート・コード実行を許すものである。
Continue reading “Appsmith の脆弱性 CVE-2024-55963 などが FIX：PostgreSQL ミスコンフィグと RCE PoC”CISA Flags Two Six-Year-Old Sitecore Flaws Amid Active Exploitation Evidence
2025/03/27 TheHackerNews — 米国 CISA (Cybersecurity and Infrastructure Security Agency) は、活発に悪用されているという証拠に基づき、Sitecore CMS および Experience Platform (XP) に影響を与える２つのセキュリティ脆弱性を、KEV (Known Exploited Vulnerabilities) カタログに追加した。これらの脆弱性は、６年前に発見されたものである。
Continue reading “CISA KEV 警告 25/03/26：6年前に発見された Sitecore CMS／XP の脆弱性を登録”CVE-2025-30091: Critical RCE Flaw Found in MoxieManager
2025/03/26 SecurityOnline — メディア・ ファイルのアップロード／整理／保存のプロセスを効率化する MoxieManager は、CMS (content management systems)／Web Hosting controllers／LMS (learning management systems) などのプラットフォームで広く使用されている。この MoxieManager で発見された脆弱性は、任意のコードの挿入／実行を引き起こすものであり、さまざまな環境に重大なリスクをもたらす。
Continue reading “MoxieManager の深刻な脆弱性 CVE-2025-30091 が FIX：インストールに関連する RCE”GitLab Alert: Patch Now! XSS & Privilege Escalation Risks
2025/03/26 SecurityOnline — GitLab はセキュリティ・アドバイザリを発行し、セルフマネージド GitLab Community Edition (CE) および Enterprise Edition (EE) の全ユーザー対して、最新バージョンである 17.10.1／17.9.3／17.8.6 へと、速やかにアップグレードするよう促している。このアップデートは、クロスサイト・スクリプティング (XSS) の欠陥や権限昇格の問題などの、一連の脆弱性に対処するものである。
Continue reading “GitLab の複数の脆弱性 CVE-2025-2255／0811 などが FIX：XSS や権限昇格の恐れ”VMware Tools for Windows Hit by CVE-2025-22230 Auth Bypass Flaw
2025/03/26 SecurityOnline — 先日の Broadcom のセキュリティ・アドバイザリは、VMware Tools for Windows の重要なセキュリティ・アップデートを取り上げるものだ。Windows ゲスト仮想マシン (VM) 上で、管理者権限を持たない悪意のユーザーに対して、対象 VM 内で特定の高権限の操作を許す可能性のある認証バイパスの脆弱性について、このアドバイザリは詳述している。
Continue reading “VMware Tools for Windows の 脆弱性 CVE-2025-22230 が FIX：認証バイパスの恐れ”CrushFTP Warns of HTTP(S) Port Vulnerability Enabling Unauthorized Access
2025/03/26 gbhackers — 人気のファイル転送テクノロジーである CrushFTP と、Web アプリ構築で広く使用される React フレームワークである Next.js だが、どちらも深刻な脆弱性について精査されるという状況にある。これらの問題に注目する Rapid7 は、データ・セキュリティと不正アクセスに関する潜在的な影響を強調している。
Continue reading “CrushFTP の HTTP(S) Port の脆弱性 CVE-2025-2825 が FIX：現時点で悪用の報告は無し”Google fixed the first actively exploited Chrome zero-day since the start of the year
2025/03/26 SecurityAffairs — Google が公表したのは、Windows 版 Chrome ブラウザに存在する、深刻度の高い out-of-band の脆弱性 CVE-2025-2783 に対処する修正のリリースである。この脆弱性は、ロシアの組織を標的とする攻撃で、積極的に悪用されていたという。
Continue reading “Chromium Mojo の脆弱性 CVE-2025-2783 が FIX：ロシア標的の攻撃で積極的に悪用”Apache VCL Hit by SQL Injection (CVE-2024-53678) and XSS (CVE-2024-53679) Vulnerabilities
2025/03/26 SecurityOnline — Apache VCL (Virtual Computing Lab) は、カスタム・コンピューティング環境を提供するために設計された、広く使用される OSS クラウド・プラットフォームだが、深刻なセキュリティ上の欠陥に直面している。最新のアドバイザリで明らかにされた、２つの深刻な脆弱性は、SQL インジェクションとクロスサイト・スクリプティング (XSS) を引き起こすものである。
Continue reading “Apache VCL の深刻な脆弱性が FIX： SQLi CVE-2024-53678 と XSS CVE-2024-53679”Oracle customers confirm data stolen in alleged cloud breach is valid
2025/03/26 BleepingComputer — Oracle Cloud フェデレーション SSO ログイン・サーバの侵害と、600 万人分のアカウント・データの窃取について、同社は否定しているが、BleepingComputer が複数の企業に確認したところ、脅威アクターが共有した関連データ・サンプルは有効だと推定できる。
Continue reading “Oracle Cloud のアカウント情報窃取：ユーザーの証言と脆弱性 CVE-2021-35587 の悪用”New Windows zero-day leaks NTLM hashes, gets unofficial patch
2025/03/25 BleepingComputer — Windows の新たなゼロデイ脆弱性に対する、無料の非公式パッチが提供された。この脆弱性を悪用するリモート攻撃者は、ターゲットを騙して Windows Explorer 上で悪意のファイルを表示させ、NTLM 認証情報を盗み出す機会を手にする。
Continue reading “Windows に NTLM ハッシュ漏洩の脆弱性：0patch がマイクロパッチを提供”IngressNightmare: Four Critical Bugs Found in 40% of Cloud Systems
2025/03/25 InfoSecurity — 人気の Ingress NGINX Controller を使用する Kubernetes ユーザーは、新たに発見された４つのリモート・コード実行 (RCE) の脆弱性 (CVSS：9.8) に対するパッチ適用を求められている。
Continue reading “IngressNightmare という４つの深刻な脆弱性：クラウド環境の 43％ に影響”CVE-2025-0927: Public Exploit Released for Linux Kernel Privilege Escalation Bug
2025/03/25 SecurityOnline — 主として Ubuntu 22.04 ユーザーに影響を及ぼす、Linux カーネル内の重大な脆弱性について、新たに公開された SSD Disclosure のアドバイザリが詳述している。この脆弱性 CVE-2025-0927 は、HFS+ ファイル・システム実装におけるヒープ・オーバーフローの欠陥であり、影響を受けるシステム上で、攻撃者に対してローカル権限の昇格を許す可能性があるものだ。
Continue reading “Linux Kernel の脆弱性 CVE-2025-0927 が FIX：Ubuntu 22.04 ユーザーは要注意”CVE-2025-26633: Water Gamayun Exploits Windows MMC in Active Zero-Day Campaign
2025/03/25 SecurityOnline — Windows の脆弱性 CVE-2025-26633 だが、Water Gamayun として知られるロシア由来の高度な脅威アクターにより積極的に悪用されているという。この脅威アクターは、EncryptHub や Larva-208 といった別名でも活動している。Trend Research が発表したのは、この攻撃者が MSC EvilTwin という手法を用いて、Windows の Microsoft Management Console (MMC) を悪用するキャンペーンに関する情報である。
Continue reading “Windows MMC の脆弱性 CVE-2025-26633 を悪用：Water Gamayun が展開するキャンペーンとは？”WordPress Plugin Vulnerability Opens Door to SQL Injection Exploits
2025/03/24 gbhackers — 人気の WordPress プラグイン GamiPress に発見された、深刻な脆弱性が悪用されると、未認証の脅威アクターによる SQL インジェクション攻撃にいたる可能性がある。この脆弱性 CVE-2024-13496 (CVSS3.1：7.5) の悪用の可能性が懸念されている。
Continue reading “WordPress GamiPress プラグインの脆弱性 CVE-2024-13496 が FIX：SQLi の恐れ”Urgent: Patch Your Next.js for Authorization Bypass (CVE-2025-29927)
2025/03/24 SecurityOnline — フルスタック Web アプリケーションの迅速かつ効率的な構築を支援する、人気の React フレームワーク Next.js の、深刻なセキュリティ脆弱性が対処された。世界の大企業などでも使用される Next.js は、最新の React 機能の拡張と、強力な Rust ベース JavaScript ツールの統合により、フルスタック Web アプリケーションを作成する一方で、ビルドの構築時間を大幅に短縮すると評価されている。
Continue reading “Next.js の深刻な認証バイパスの脆弱性 CVE-2025-29927 が FIX：旧バージョンのための回避策は？”Critical Vulnerability Discovered in Popular WordPress Security Plugin WP Ghost
2025/03/24 SecurityOnline — 人気の WordPress プラグイン WP Ghost に、深刻度の高いセキュリティ脆弱性が発見された。John Darrel により開発された WP Ghost は、広く使用される無料のセキュリティ／ファイアウォール・プラグインであり、そのアクティブ インストール数は 200,000 を超える。このプラグインにより追加されるセキュリティ・レイヤーには、ボットのブロックや、不正アクセスの防止などがあり、WordPress Web サイトのセキュリティ強化が推進される。
Continue reading “WordPress WP Ghost プラグインの脆弱性 CVE-2025-26909 が FIX：LFI から RCE へのチェーン”Critical Remote Code Execution Vulnerability in vLLM via Mooncake Integration
2025/03/24 SecurityOnline — LLM を用いる推論やサービスで人気のライブラリ vLLM は、先日に発見された深刻なセキュリティ脆弱性に対処した。GitHub で 43,000 を超えるスターを獲得している vLLM は、広範なユーザーを抱えているため、重要な問題に発展する可能性もある。その脆弱性 CVE-2025-29783 の CVSS スコアは 9.0 と評価されている。
Continue reading “vLLM の深刻な RCE 脆弱性 CVE-2025-29783 が FIX：Mooncake 統合で問題が拡大”Nuxt Users Beware: CVE-2025-27415 Opens the Door to Cache Poisoning Attacks
2025/03/24 SecurityOnline — 人気の Nuxt フレームワークで発見された脆弱性により、攻撃者に対して CDN キャッシュ・ポイズニングを許し、フルスタックの Vue.js アプリケーションへのアクセスが妨害される可能性が生じている。この Nuxt の脆弱性 CVE-2025-27415 (CVSS：7.5) は、バージョン 3.0.0〜3.16.0 未満に影響を及ぼす。
Continue reading “Nuxt の脆弱性 CVE-2025-27415 が FIX：CDN ポイズニングによる DoS 攻撃の可能性”CVE-2025-27888: Apache Druid Flaw Opens Door to SSRF and XSS Risks in Real-Time Analytics Platforms
2025/03/23 SecurityOnline —Apache が明らかにしたのは、OLAP ダッシュボードや高速集計 API の強化に広く使用されている、リアルタイム分析データベース Apache Druid に存在する深刻なセキュリティ脆弱性に関する情報である。
Continue reading “Apache Druid の脆弱性 CVE-2025-27888 が FIX：SSRF／XSS などの可能性”CVE-2025-1758: Critical Buffer Overflow in Kemp LoadMaster Opens Door to Remote Code Execution
2025/03/23 SecurityOnline — Progress Software の Kemp LoadMaster に、深刻度の高い脆弱性が発見された。人気の ADC (Application Delivery Controller)／Load Balancer である Kemp LoadMaster は、重要な Web アプリケーションのパフォーマンスとセキュリティを確保するものであり、ユーザー企業からの信頼を得ている。
Continue reading “Progress Kemp LoadMaster の脆弱性 CVE-2025-1758 が FIX：未認証 RCE の恐れ”Critical Security Flaw in ArcGIS Enterprise Exposes Admin Accounts to Remote Takeover
2025/03/22 SecurityOnline — ArcGIS Enterprise プラットフォームに、深刻な脆弱性が存在することを、Esri が明らかにした。この脆弱性の悪用に成功した攻撃者は、パスワード・リセットの欠陥を悪用して、ビルトインされている管理者アカウントの乗っ取りを達成し得るとされる。
Continue reading “ArcGIS Enterprise の脆弱性 CVE-2025-2538 が FIX：管理者アカウントの乗っ取りにいたる”Impact, Root Cause of GitHub Actions Supply Chain Hack Revealed
2025/03/21 SecurityWeek — GitHub Actions “tj-actions/changed-files” は、ファイルやディレクトリの変更を追跡するために、23,000 以上のリポジトリで積極的に使用されているアクションである。先週末のことだが、この GitHub Actions に発生した攻撃により、CI/CD シークレットをダンプしてログを作成するように設計された、悪意のスクリプトが実行されたことが判明した。
Continue reading “GitHub Actions の脆弱性 CVE-2025-30154／CVE-2025-30066：サプライチェーン攻撃の可能性を考える”Cybercriminals Exploit CheckPoint Antivirus Driver in Malicious Campaign
2025/03/21 InfoSecurity — CheckPoint の ZoneAlarm ウイルス対策ソフトウェアのコンポーネントが、Windows のセキュリティ対策を迂回する悪意のキャンペーンで、脅威アクターたちにより悪用されている。3月20日のレポートで、新しい Bring Your Own Vulnerable Driver (BYOVD) 攻撃の詳細を公開したのは、オースティンを拠点とする Venak Security の創設者であり、セキュリティ研究者でもある Nima Bagheri である。
Continue reading “CheckPoint ZoneAlarm の古いドライバーの脆弱性：BYOVD キャンペーンでの悪用を確認”NAKIVO Backup & Replication vulnerability exploited by attackers (CVE-2024-48248)
2025/03/21 HelpNetSecurity — あらゆる規模のユーザー組織に向けて、また、さまざまな MSP に向けて設計されている、バックアップ／ランサムウェア対策／災害復旧ソリューションである、NAKIVO Backup and Replication の脆弱性 CVE-2024-48248 が、積極的に悪用されている。
Continue reading “NAKIVO Backup & Replication の脆弱性 CVE-2024-48248：積極的な悪用を観測”Researchers Reveal macOS Vulnerability Exposing Systsem Passwords
2025/03/21 gbhackers —macOS の深刻な脆弱性 CVE-2024-54471 について、最近の Noah Gregory の記事が取り上げている。すでに Apple は、修正を完了しており、macOS Sequoia 15.1／Sonoma 14.7.1／Ventura 13.7.1 として、最新のセキュリティ・アップデートを提供している。この脆弱性の悪用により、システム・パスワードが漏洩する可能性があるため、このアップデートは極めて重要である。
Continue reading “macOS のカーネル・メッセージング・システムの脆弱性 CVE-2024-54471 が FIX：悪用も観測”JumpServer Flaws Allow Attackers to Bypass Authentication and Gain Full Control
2025/03/21 gbhackers — Fit2Cloud により開発され、広く使用されている、OSS の PAM (Privileged Access Management) ツール JumpServer に、重大なセキュリティ脆弱性があることが判明した。一連の脆弱性 CVE-2023-43650／CVE-2023-43652／CVE-2023-46123 を悪用する攻撃者は、認証バイパスを達成し、JumpServer インフラの完全な制御の可能性を手にする。その点を強調するのが、SonarSource の脆弱性調査チームである。
Continue reading “JumpServer の深刻な脆弱性３件が FIX：完全な制御の奪取の恐れ”New Attacks Exploit Year-Old ServiceNow Flaws – Israel Hit Hardest
2025/03/21 HackRead — ServiceNow で以前に公開された３つの脆弱性を狙う、悪意のある活動が大幅に増加していることを、脅威インテリジェンス企業 GreyNoise のセキュリティ研究者たちが警告している。ServiceNow は、ユーザー組織におけるデジタル・ワークフローの管理／自動化のためのクラウド・ベースのプラットフォームである。
Continue reading “ServiceNow の古い脆弱性 CVE-2024-4879／5217／5178 が標的：データベース侵害の恐れ”Tomcat RCE Vulnerability Exploited in the Wild – Mitigation Steps Outlined
2025/03/21 gbhackers — 先日から注目を集めている Apache Tomcat の脆弱性 CVE-2025-24813 は、認証を必要としないリモート・コード実行 (RCE) および、深刻な情報漏洩、悪意のコンテンツの挿入に悪用される可能性があるため、サイバー・セキュリティ専門家たちの間で、先日から懸念を引き起こしている。この脆弱性は、2025年3 月10日の時点で情報が公開され、パッチが提供されたが、脅威アクターたちによる脆弱なサーバの悪用の試みが、すでに発生している。
Continue reading “Apache Tomcat の RCE の脆弱性 CVE-2025-24813：検出された悪用と問題点の整理”Coinbase was primary target of recent GitHub Actions breaches
2025/03/21 BleepingComputer — 最近の GitHub Actions への連鎖型のサプライ・チェーン攻撃により、数百のリポジトリのシークレットが侵害されているが、その主要なターゲットは Coinbase であると、研究者たちが断定している。Palo Alto Unit 42 と Wiz の最新レポートによると、この綿密に計画された攻撃は、悪意のコードが reviewdog/action-setup@v1 GitHub Action に挿入されたときから始まっているという。この侵害の発生の方法は不明であるが、脅威アクターはアクションを変更して、CI/CD シークレットと認証トークンを、GitHub Actions ログにダンプした。
Continue reading “GitHub Actions の侵害：最初のターゲットとして狙われたのは Coinbase”CVE-2024-10442: Synology Replication Service Vulnerability Scores Maximum CVSS Rating
2025/03/20 SecurityOnline — Synology が公表したのは、Replication Service の深刻な脆弱性を詳述する、セキュリティ・アドバイザリの更新である。この脆弱性の悪用に成功したリモート攻撃者は、影響を受けるシステム上で任意のコマンド実行の可能性を手にする。
Continue reading “Synology Replication Service の脆弱性 CVE-2024-10442 が FIX：任意のコマンド実行”Spring Security Updates Address Authorization Bypass and Password Length Vulnerabilities
2025/03/20 SecurityOnline — Java ベース・アプリで広く使用されるフレームワーク Spring が公開したのは、認証バイパスと脆弱なパスワード強制につながる、２つの深刻なセキュリティ脆弱性に関する情報である。脆弱性 CVE-2025-22223／CVE-2025-22228 は、Spring Security の複数バージョンに影響を及ぼすものであり、開発者による即時の対応と、リスクの軽減を必要とするものだ。
Continue reading “Spring Securityの２つの深刻な脆弱性 CVE-2025-22223／22228 が FIX：認証バイパスの可能性”IBM AIX Security Breach: CVE-2024-56346 (CVSS 10) & CVE-2024-56347 Explained
2025/03/20 SecurityOnline — IBM がリリースしたのは、リモート攻撃者に対して任意のコマンド実行を許す可能性のある、AIX に存在する深刻な脆弱性を詳述するセキュリティ速報である。この速報では、２つの主要な脆弱性 CVE-2024-56346／CVE-2024-56347 が対処されている。
Continue reading “IBM AIX の深刻な脆弱性 CVE-2024-56346／56347 が FIX：RCE の恐れ”Critical WordPress Plugin Vulnerability Exposes Over 40,000 Websites to Code Execution Attacks
2025/03/20 SecurityOnline — WordPress の人気プラグイン Age Gate に、深刻な脆弱性 CVE-2025-2505 (CVSS：9.8) が発見された。この脆弱性により、40,000 以上の Web サイトに、認証を必要としないリモート・コード実行の可能性が生じている。
Continue reading “WordPress Age Gate Plugin の深刻な脆弱性 CVE-2025-2505 が FIX：RCE の可能性”Cisco Smart Licensing Utility Vulnerabilities Under Hacker Exploitation
2025/03/20 gbhackers — 最近の報告によると、Cisco Smart Licensing Utility の２つの深刻な脆弱性の、ハッカーたちによる積極的な悪用試行が観測されているようだ。それらの脆弱性は、2024年9月の時点で Cisco が公開した、CVE-2024-20439／CVE-2024-20440 である。１つ目の脆弱性は、静的な認証情報に関連する漏洩を生じ、２つ目の脆弱性は、過剰なログ記録に関連する漏洩を生じるという。
Continue reading “Cisco Smart Licensing Utility の積極的な悪用を観測：2024年9月の CVE-2024-20439／20440”PoC Released: Windows Explorer CVE-2025-24071 Vulnerability Exposes NTLM Hashes
2025/03/19 SecurityOnline — Windows Explorer に発見されたセキュリティ脆弱性 CVE-2025-24071 (CVSS：7.5) は、RAR/ZIP アーカイブから特別に細工されたファイルを抽出する際に、NTLM ハッシュを漏洩させる可能性があるものだ。この脆弱性は、セキュリティ研究者である 0x6rss により報告された。
Continue reading “Windows Explorer の脆弱性 CVE-2025-24071 の悪用：NTLM ハッシュ漏洩と PoC のリリース”CVE-2025-23120 (CVSS 9.9): Critical RCE Vulnerability Discovered in Veeam Backup & Replication
2025/03/19 SecurityOnline — Veeam Backup & Replication に、深刻な脆弱性 CVE-2025-23120 (CVSS：9.9) が発見された。この欠陥の悪用に成功した認証済のドメイン・ユーザーは、リモート・コード実行 (RCE) の可能性を手にする。広く導入されている、Veeam のバックアップ・ソリューションに依存するエンタープライズ環境において、この脆弱性は重大な脅威となる。
Continue reading “Veeam Backup & Replication の脆弱性 CVE-2025-23120 (CVSS 9.9) が FIX：RCE の恐れ”NIST’s vulnerability database logjam is still growing despite attempts to clear it
2025/03/19 NextGov — NIST (National Institute of Standards and Technology) は、昨年から続いている NVD (National Vulnerability Database) におけるセキュリティ脆弱性の分析遅延について、2025年の春頃にはバックログを解消する目標を掲げていた。しかし、先日の NIST の発表は、「当面は改善する見込みがない」というものだった。
Continue reading “NIST NVD がバックログの解消に苦戦：今後も停滞が続く見通し”11 Nation-State Hackers Exploit Unpatched Windows Flaw Since 2017
2025/03/19 HackRead — Windows で発見された新たなゼロデイ脆弱性だが、北朝鮮／中国／イラン／ロシアなどの、少なくとも 11 の APT グループにより、何年も前から積極的に悪用されているものだという。広範な攻撃の証拠は 2017年にまで遡るが、Microsoft はセキュリティ・パッチの発行を拒否し、サービス基準を満たしていないとしている。
Continue reading “Windows ショートカット・ファイルの問題：11 のスパイ・グループが 2017年から積極的に悪用”2025/03/19 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、３件の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、サイバー・セキュリティ専門家とシステム管理者に対して緊急の対応を呼びかけている。これらの脆弱性は実際に悪用されており、深刻なリスクをユーザー組織にもたらしている。
Continue reading “CISA KEV 警告 25/03/19：Edimax／ NAKIVO／SAP の脆弱性３件を登録”Multiple Vulnerabilities Patched in Dell SmartFabric OS10 Software
2025/03/19 SecurityOnline — Dell が公表したのは、SmartFabric OS10 ソフトウェアに存在する、複数の脆弱性に対処するセキュリティ・アップデートのリリースである。それらの脆弱性は、バージョン 10.5.6.x に影響を及ぼすものであり、その悪用に成功した攻撃者は、権限昇格／不正アクセス／コード実行／SSRF などの、さまざまな悪意のあるアクティビティを実行する機会を手にするという。
Continue reading “Dell SmartFabric OS10 の複数の脆弱性が FIX：権限昇格／不正アクセス／コード実行／SSRF などの恐れ”Google Chrome Patches Critical ‘Use-After-Free’ Vulnerability in Lens (CVE-2025-2476)
2025/03/19 SecurityOnline — Google が公表したのは、Chrome の Lens 機能における、深刻な解放後メモリ使用の脆弱性 CVE-2025-2476 に対処するセキュリティ・アップデートである。この脆弱性は、ユーザーに重大なリスクをもたらすものであり、すでに Windows／Mac／Linux の最新の Stable リリースで修正されている。なお、この脆弱性は、Enki Whitehat のセキュリティ研究者である SungKwon Lee により発見／報告された。
Continue reading “Google Chrome Lens の深刻な脆弱性 CVE-2025-2476 が FIX：任意のコード実行などの恐れ”CVE-2024-11131 (CVSS 9.8): Critical Vulnerability Found in Synology Camera Firmware
2025/03/19 SecurityOnline — Synology が公表したセキュリティ・アドバイザリは、同社のカメラ・ファームウェアに深刻な影響を及ぼす、脆弱性 CVE-2024-11131 (CVSS3：9.8) の詳細な情報である。この脆弱性の悪用に成功したリモート攻撃者は、影響を受ける Synology カメラ上で、任意のコード／コマンドを実行できるという。
Continue reading “Synology Camera の脆弱性 CVE-2024-11131 (CVSS 9.8) が FIX：任意のコード／コマンド実行”CVE-2025-0755: MongoDB C Driver Vulnerability Could Lead to Buffer Overflow
2025/03/19 SecurityOnline — MongoDB が公表したのは、C Driver ライブラリで発見された脆弱性に関する情報である。脆弱性 CVE-2025-0755 (CVSS：8.4) は、このライブラリ内の bson_append 関数に影響を及ぼすものであり、悪用によりバッファ・オーバーフロー攻撃が引き起こされ、アプリケーション・クラッシュの可能性が生じるという。
Continue reading “MongoDB C Driver の脆弱性 CVE-2025-0755 が FIX：バッファ・オーバーフローとクラッシュ”CVE-2024-10441 (CVSS 9.8): Synology Patches Critical Code Execution Flaw in Multiple Products
2025/03/18 SecurityOnline — Synology が発表したのは、BeeStation Manager (BSM)／DiskStation Manager (DSM)／Unified Controller (DSMUC) などの製品群に影響を及ぼす、深刻なセキュリティ脆弱性に対するセキュリティ・アドバイザリである。2025年3月19日に公開された、このアドバイザリの更新では、脆弱なシステム上でリモート攻撃者に対して、任意のコード実行を許してしまう欠陥が修正されている。
Continue reading “Synology 製品群の脆弱性 CVE-2024-10441 (CVSS 9.8) などが FIX：RCE などの可能性”2025/03/18 SecurityOnline — Node.js 向けの XML デジタル署名／暗号化ライブラリである xml-crypto に、２つの深刻な脆弱性が発見された。毎週 110万回以上ダウンロードを誇る、このライブラリの脆弱性を放置すると、XML 署名検証を利用するアプリケーションに広範な影響が生じる。
Continue reading “Node.js ライブラリ xml-crypto の脆弱性 CVE-2025-29774／29775 が FIX：IoC も提供”Cybersecurity Alert: CISA Adds Fortinet and GitHub Action Vulnerabilities to Exploited List
2025/03/18 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、２つの深刻なセキュリティ脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、実際に悪用されていることを示した。これらの脆弱性は、広く使用されている Fortinet の FortiOS／FortiProxy および、GitHub Action “tj-actions/changed-files” に影響を及ぼすものだ。
Continue reading “CISA KEV 警告 25/03/18：Fortinet の CVE-2025-24472 と GitHub の CVE-2025-30066 を登録”Google Releases Major Update for Open Source Vulnerability Scanner
2025/03/18 SecurityWeek — 3月18日 (火) に Google が発表したのは、OSS 開発者向けに無料で提供される、脆弱性スキャナー OSV-Scanner のアップデート版のリリースである。2021 年に立ち上げられた OSS 脆弱性データベースのフロントエンドとして、2022 年に導入された OSV-Scanner は、開発者が詳細なバグレポートを提供することで、OSS エコシステムのセキュリティを向上させるものだ。
Continue reading “Google の OSS 脆弱性スキャナー：OSV-Scanner のアップデート版がリリース”CVE-2024-27564: Attackers Exploit OpenAI Vulnerability in the Wild
2025/03/18 SecurityOnline — ChatGPT のサーバ・サイド・リクエスト フォージェリ (SSRF) の脆弱性 CVE-2024-27564 だが、単一の悪意の IP からの 10,479 件を超える攻撃の試行が記録されており、サイバー犯罪者の重要なターゲットにされているようだ。Veriti の最新の調査によると、この欠陥は、OpenAI の ChatGPT インフラに影響を与えるものであり、入力パラメータに悪意の URL を挿入する攻撃者は、アプリケーションが意図していないリクエストの、強制的な実行を達成するという。
Continue reading “OpenAI の SSRF の脆弱性 CVE-2024-27564：広範な分野で積極的な悪用を観測”Multiple Security Vulnerabilities Plague PHP, Exposing Applications to Risk
2025/03/17 SecurityOnline — PHP プログラミング言語で一連のセキュリティ脆弱性が発見され、Web アプリケーションに対する攻撃が懸念されている。この脆弱性は、PHP の HTTP ストリーム・ラッパーに影響を及ぼし、情報漏洩からサービス拒否に至るまでのリスクをもたらす。
Continue reading “PHP に存在する５つの深刻な脆弱性が FIX：DOS 状態やリクエスト・スマグリングなどの恐れ”CVE-2025-27591: Privilege Escalation Vulnerability Found in Below Linux Tool
2025/02/17 SecurityOnline — Linux におけるシステム・データの記録／表示のためのツール Below に、権限昇格の脆弱性が発見された。この脆弱性 CVE-2025-27591 (CVSS：7.8) が影響を及ぼす範囲は、バージョン v0.9.0 未満となる。
Continue reading “Linux Below Tool の脆弱性 CVE-2025-27591 が FIX：root 権限昇格の恐れ”
IoT OT Security News 
You must be logged in to post a comment.