Google’s “Sign in with Google” Flaw Exposes Millions of Users’ Details
2025/01/14 GBHackers —Google の認証システムである “Sign in with Google” に、重大な欠陥が発見された。この脆弱性の影響が及ぶ数百万人のアメリカ人が、データ窃取の危機に晒されているが、事業から撤退したスタートアップ企業の元従業員が、この欠陥の影響を受けやすいとされている。この欠陥の根本的な原因は、ドメイン所有権の変更に対して、Google OAuth ログインが適切に対応していない点にあると、Truffle Security は指摘する。
Continue reading ““Sign in with Google” に深刻な問題：廃棄されたメアドでクラウドにログインできる？”Zero-Day Vulnerability Suspected in Attacks on Fortinet Firewalls with Exposed Interfaces
2025/01/14 TheHackerNews — Fortinet FortiGate ファイアウォールをターゲットとし、管理インターフェースがパブリック・インターネットに露出するデバイスを狙う、新たなキャンペーンについて、脅威ハンターたちが注意を喚起している。先週にサイバー・セキュリティ企業 Arctic Wolf が公開したレポートには、「このキャンペーンを分析した結果として、ファイアウォールの管理インターフェースに関連する、不正な管理者ログイン／新規アカウントの作成などが確認された。具体的に言うと、それらのアカウントを介した SSL VPN 認証や、各種のコンフィグレーション変更などが行われていた」と記されている。
Continue reading “Fortinet Firewall を侵害したキャンペーンの詳細：ゼロデイ脆弱性の悪用が入口？”Critical SAP Flaws Revealed: CVE-2025-0070 and CVE-2025-0066 with CVSS 9.9 Demand Immediate Action
2025/01/14 SecurityOnline — SAP が公開したのは、2025年1月の Security Patch Day の一環として修正された、14件の新たな脆弱性に関する情報である。このリリースで対処された脆弱性は、NetWeaver／BusinessObjects／SAP GUI プラットフォームなどの、SAP のコア・システムに影響を及ぼすものだ。14件の脆弱性のうち、SAP NetWeaver AS for ABAP および ABAP プラットフォームに影響を及ぼす２件の脆弱性 (CVE-2025-0070／CVE-2025-0066) は、深刻度 Critical と評価されている。
Continue reading “SAP の深刻な脆弱性 CVE-2025-0070／0066 などが FIX：2025年1月の Patch Day”Zyxel Urges Patch Application for Privilege Escalation Vulnerability (CVE-2024-12398)
2025/01/13 SecurityOnline — Zyxel が発行したアドバイザリは、複数のアクセス・ポイント (AP) とセキュリティ・ルーターに影響を及ぼす、新たに特定されたセキュリティ脆弱性 CVE-2024-12398 (CVSS：8.8) に関するものである。この脆弱性に直ちにパッチを適用し、潜在的な悪用からシステムを保護する必要ある。
Continue reading “Zyxel AP／Router 群の脆弱性 CVE-2024-12398 が FIX：深刻な権限昇格の可能性”2025/01/13 SecurityOnline — Apple macOS の堅牢な System Integrity Protection (SIP) が、脆弱性 CVE-2024-44243 によりバイパス可能になることが、Microsoft Defender Research Team により明らかにされた。macOS セキュリティの要である SIP は、オペレーティング・システムの整合性を危険にさらす可能性のある、有害な操作を制限するものである。しかし、新たに発見されたバイパスは、サードパーティのカーネル・エクステンションを介して達成されるものであり、ルートキットやマルウェアのインストールおよび、TCC (Transparency, Consent, and Control) 制御の回避などを可能にするという。
Continue reading “Apple macOS の脆弱性 CVE-2024-44243 が FIX：SIP バイパスが許される？”CVE-2024-56511: Critical Authentication Bypass Vulnerability in DataEase
2025/01/13 SecurityOnline — DataEase プロジェクトが発表したのは、人気の OSS BI (Business Intelligence) ツールに影響を及ぼす深刻な脆弱性 CVE-2024-56511 (CVSSv4：9.3) に関する緊急アドバイザリである。この脆弱性の悪用に成功した攻撃者は、認証メカニズムをバイパスして機密データへの不正アクセスを可能にするという。
Continue reading “DataEase の脆弱性 CVE-2024-56511 が FIX：深刻な認証バイパスの恐れ”CISA Adds Second BeyondTrust Flaw to KEV Catalog Amid Active Attacks
2015/01/13 TheHackerNews — 2025年1月13日 に米国の CISA は、BeyondTrust Privileged Remote Access (PRA)／Remote Support (RS) に影響を及ぼし、また、実環境での悪用が確認されている、脆弱性 CVE-2024-12686 (CVSS：6.6) を KEV カタログに追加した。
CVE-2024-41787 (CVSS 9.8): Critical IBM DOORS Next Flaw Enables Remote Code Execution
2025/01/13 SecurityOnline — IBM が発表したのは、Engineering Requirements Management DOORS Next ソフトウェアに影響を及ぼす、２件の深刻な脆弱性に関する緊急セキュリティ・アドバイザリである。この脆弱性 CVE-2024-41779／CVE-2024-41787 は、リモート・コード実行やセキュリティ・バイパスなどの、深刻なリスクをもたらすものである。
Continue reading “IBM DOORS Next の脆弱性 CVE-2024-41787 (CVSS 9.8) が FIX：RCEの可能性”Unauthenticated Attackers Can Exploit Junos Vulnerabilities (CVE-2025-21598 & CVE-2025-21599)
2025/01/13 SecurityOnline — Juniper Networks が発表したのは、Junos OS および Junos OS Evolved システムに影響を及ぼす、２つの深刻な脆弱性について詳述するアドバイザリである。どちらの問題も、ネットワーク管理者のリスクを浮き彫りにし、タイムリーなパッチ管理の重要性を強調している。
Continue reading “Juniper Junos OS の脆弱性 CVE-2025-21598／21599 が FIX：未認証での悪用が可能”Linux Kernel Privilege Escalation Vulnerability (CVE-2024-27397) Exploited: PoC Released
2025/01/13 SecurityOnline — Linux Kernel の netfilter nf_tables コンポーネントに存在する、脆弱性 CVE-2024-27397 (CVSS：7.0) に関する詳細な分析と PoC エクスプロイト・コードが、セキュリティ研究者である liona24 により提供された。この use-after-free の脆弱性は、バージョン 4.1 〜 6.8 に影響を及ぼすものであり、ローカル権限昇格を引き起こす可能性を持つという。
Continue reading “Linux Netfilter の権限昇格の脆弱性 CVE-2024-27397：PoC エクスプロイトが登場”Hackers Exploit Aviatrix Controller Vulnerability to Deploy Backdoors and Crypto Miners
2025/01/13 TheHackerNews — Aviatrix Controller プラットフォームに影響を及ぼす、深刻なセキュリティ上の脆弱性が、バックドアや暗号通貨マイナーの展開において、悪用されるケースが急増しているという。認証を必要としないリモート・コード実行にいたる可能性を持つ、最も深刻な脆弱性 CVE-2024-50603 (CVSS: 10.0) を武器化する、複数のインシデントに対応中だと、クラウド・セキュリティ企業 Wiz は述べている。
Continue reading “Aviatrix Controller の脆弱性 CVE-2024-50603：PoC の登場と積極的な悪用”New macOS Exploit Revealed: PoC for CVE-2024-54498 Breaks Sandbox Security
2025/01/12 SecurityOnline — macOS の Sandbox エスケープの脆弱性 CVE-2024-54498 (CVSS：8.8) に対する、PoC エクスプロイトが GitHub で公開された。セキュリティ研究者の @wh1te4ever により公開された、この PoC が例証するのは、この脆弱性を悪用する攻撃者が、機密性の高いユーザー・データに不正アクセスする方法である。
Continue reading “macOS のサンドボックス回避の脆弱性 CVE-2024-54498：PoC が提供”CVE-2025-22152 (CVSS 9.4): Severe Vulnerabilities Found in Atheos Web-Based IDE
2025/01/12 SecurityOnline — Web ベースの IDE フレームワークである Atheos に、深刻なパス・トラバーサルの脆弱性 CVE-2025-22152 (CVSSv4：9.4) が発見された。この脆弱性の悪用に成功した攻撃者は、不正なファイル・アクセス／リモート・コード実行／任意のファイル・アップロードなどの可能性を手にする。
Continue reading “Atheos IDE の脆弱性 CVE-2025-22152 (CVSS 9.4) が FIX：RCE などの可能性”Fake LDAPNightmware exploit on GitHub spreads infostealer malware
2025/01/11 BleepingComputer — Windows の脆弱性 CVE-2024-49113 (別名 LDAPNightmare) に対して、GitHub 上で提供されている偽の PoC エクスプロイトは、情報窃盗マルウェアにユーザーを感染させ、機密データを外部 FTP サーバへと流出させるものだ。ただし、この戦術は目新しいものではなく、以前にも GitHub 上では、PoC エクスプロイトを装う悪意のツールの事例が何度か記録されている。そして、Trend Micro により発見された今回の事例が浮き彫りにするのは、この戦術を採用し続ける脅威アクターたちが、疑いを持たないユーザーを騙して、マルウェアに感染させ続けている状況である。
Continue reading “Windows の脆弱性 LDAPNightmware CVE-2024-49113：偽 POC に御用心”CVE-2024-12847 (CVSS 9.8): NETGEAR Router Flaw Exploited in the Wild for Years, PoC Published
2025/01/10 SecurityOnline — 複数の NETGEAR ルーターに、深刻なセキュリティ脆弱性 CVE-2024-12847 (CVSS 9.8) が発見された。この脆弱性は、リモートの攻撃者に対して、デバイスへの不正なアクセス／制御を許すものであり、遅くとも 2017年から実環境で悪用されていたことが確認されている。
Continue reading “NETGEAR ルーターの脆弱性 CVE-2024-12847：2017年からの悪用と PoC の提供”Node.js to Issue CVE for End-of-Life Versions
2025/01/09 SecurityOnline — Node.js プロジェクトが発表したのは、サポートが終了したバージョン (EOL：End-of-Life) に対して、CVE を発行するという方針である。これは、ユーザーに最新状態の維持を促し、セキュリティ強化する、重要な取り組みである。Node.js の公式発表には、「Node.js 上で構築されたアプリケーションの、セキュリティと信頼性の確保に全力を尽くしている。この取り組みの一環として、ユーザーがセキュリティ・リスクに関する情報を常に把握できるよう、定期的に手段を見直している」と記されている。
Continue reading “Node.js の新たな試みによるセキュリティの強化：EoL バージョンに対する CVE の発行”Critical RCE Flaw in GFI KerioControl Allows Remote Code Execution via CRLF Injection
2025/01/09 TheHackerNews — GFI KerioControl ファイアウォールに、リモート・コード実行 (RCE) の脆弱性 CVE-2024-52875 が発見された。この脆弱性により、CRLF (carriage return line feed) インジェクションに起因するものであり、その結果として HTTP レスポンス分割が引き起こされ、最終的に XSS (cross-site scripting) の脆弱性につながる可能性があるという。
Continue reading “GFI KerioControl の RCE 脆弱性 CVE-2024-52875：PoC の公開と悪用の観測”Unpatched Vulnerabilities in Fancy Product Designer Plugin Put 20,000+ Websites at Risk
2025/01/09 SecurityOnline — WordPress のプレミアム・プラグインである Fancy Product Designer に、深刻な脆弱性 CVE-2024-51919／CVE-2024-51818 が存在することが、Patchstack のセキュリティ研究者である Rafie Muhammad により発見された。このプラグインは Radykal が開発したものであり、WooCommerce での製品カスタマイズ用に設計され、ユーザーに対して自由なデザインとパーソナライズを提供している。この Fancy Product Designer に、深刻なセキュリティ上の欠陥が発見されたことで、20,000 以上の WordPress サイトがリスクにさらされている。
Continue reading “WordPress Fancy Product Designer の脆弱性 CVE-2024-51919／51818：20,000以上のサイトが未パッチ！”2025/01/09 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Ivanti Connect Secure の脆弱性を CVE-2025-0282 (CVSS：9.0) を、Known Exploited Vulnerabilities (KEV) カタログに登録した。
Continue reading “CISA KEV 警告 25/01/08：Ivanti Connect Secure の脆弱性 CVE-2025-0282 を登録”macOS Vulnerability CVE-2024-54527 Unveiled: TCC Bypass PoC Exploit Code Released
2025/01/08 SecurityOnline — macOS に存在する深刻な TCC (Transparency, Consent, and Control) バイパスの脆弱性 CVE-2024-54527 の詳細が、セキュリティ研究者である Mickey Jin による技術解説と PoC エクスプロイト・コードにより明らかになった。MediaLibraryService XPC サービスに影響を及ぼす、この脆弱性を悪用する攻撃者により権限が操作され、TCC 保護がバイパスされることで、深刻なセキュリティ・リスクがもたらされる。
Continue reading “macOS TCC の脆弱性 CVE-2024-54527：バイパスの可能性を証明する PoC とは？”Mutiple Vulnerabilities Found in Palo Alto Networks Expedition Tool
2025/01/08 SecurityOnline — Palo Alto Networks が発行したのは、Expedition 移行ツールに存在する複数の脆弱性に対処するセキュリティ・アドバイザリである。これらの脆弱性を悪用する攻撃者は、機密データの漏洩を達成し、影響を受けるシステム上での不正な操作の可能性を手にする。Expedition (旧称 Migration Tool) は、Palo Alto Networks の NGFW (next-generation firewall) プラットフォームへの移行を支援するために設計された、無料のユーティリティである。
Continue reading “Palo Alto – Expedition Tool の複数の脆弱性が FIX：バージョン 1.2.101 未満は EoL”GitLab Tackles Critical Security Flaws in Latest Patch Release
2025/01/08 SecurityOnline — 人気の DevOps プラットフォーム GitLab がリリースしたのは、インポート機能やコア機能に影響を及ぼす、複数のセキュリティ脆弱性に対処するパッチアップデートである。すでに GitLab は、バージョン 17.7.1／17.6.3／17.5.5 をリリースしており、ダウンロードとアップグレードが可能になっている。GitLab の HackerOne バグ・バウンティ・プログラムで発見された脆弱性に対して、このパッチはリリースされている。
Continue reading “GitLab の複数の脆弱性が FIX：インポート機能への影響が懸念される”Apache OpenMeetings Users Urged to Patch Critical Flaw – CVE-2024-54676 (CVSS 9.8)
2025/01/08 SecurityOnline — ビデオ会議などのコラボレーションで人気を博す、OSS プラットフォーム Apache OpenMeetings で、深刻なセキュリティ脆弱性 CVE-2024-54676 (CVSS：9.8) が発見された。この脆弱性の悪用に成功した攻撃者は、脆弱なシステム上で任意のコード実行を達成し、機密データの窃取やサービスの中断などを引き起こす可能性を手にする。
Continue reading “Apache OpenMeetings の脆弱性 CVE-2024-54676 (CVSS 9.8) が FIX：ただちにパッチを！”2025/01/08 SecurityOnline — HPE Aruba Networking が発行したのは、501 Wireless Client Bridge に存在する複数のコマンド・インジェクションの脆弱性に対処するセキュリティ・アドバイザリである。脆弱性 CVE-2024-54006／CVE-2024-54007 の悪用に成功した認証済みの攻撃者は、影響を受けるデバイスで任意のコマンド実行の可能性を手にする。
Continue reading “HPE Aruba の脆弱性 CVE-2024-54006／54007 が FIX：PoC も提供”CVE-2024-5594 (CVSS 9.1): Critical Vulnerability in OpenVPN Enables Code Execution
2025/01/08 SecurityOnline — OSS の VPN である OpenVPN は、2024年6月21日にリリースされた OpenVPN 2.6.11 に存在する、３つの重大な脆弱性に対してパッチを適用した。これらの脆弱性 CVE-2024-5594／CVE-2024-4877／CVE-2024-28882 に関する当初の発表では、セキュリティ修正についてのみ言及されていたが、最近になって深刻度も開示された。
Continue reading “OpenVPN の脆弱性 CVE-2024-5594／4877／28882 の詳細情報が開示：ただちにアップデートを！”CVE-2025-0282 (CVSS 9.0): Ivanti Confirms Active Exploitation of Critical Flaw
2025/01/08 SecurityOnline — Ivanti が公開したセキュリティ勧告は、Connect Secure／Policy Secure／Neurons for ZTA Gateways に影響をおよぼす、２つの脆弱性に関するものだ。これらの脆弱性 CVE-2025-0282／CVE-2025-0283 により、影響を受けるシステムに深刻なリスクが生じる恐れがある。
Continue reading “Ivanti 製品群の脆弱性 CVE-2025-0282／0283 が FIX：Connect Secure の悪用を観測”Millions of Email Servers Exposed Due to Missing TLS Encryption
2025/01/08 HackRead — 世界中の何百万もの電子メール・サーバに影響を及ぼす、深刻なセキュリティ上の欠陥が、ShadowServer の最新調査で明らかにされた。この調査により判明したのは、330万もの POP3 (Post Office Protocol)／IMAP (Internet Message Access Protocol) サーバが、TLS (Transport Layer Security) 暗号化を使用せずに、稼働しているという事実である。
Continue reading “メール通信の暗号化を調査：TLS の欠如により何百万ものメールサーバが危機に直面”SonicWall Issues Important Security Advisory for Multiple Vulnerabilities in SonicOS
2025/01/07 SecurityOnline — 大手サイバー・セキュリティ・プロバイダー SonicWall が発行したのは、SonicOS オペレーティング・システムに影響を及ぼす、複数の脆弱性に対するセキュリティ・アドバイザリ警告である。これらの脆弱性が影響を及ぼす範囲は、Gen6／Gen7 ファイアウォールであり、対象デバイスがサイバー攻撃にさらされ、認証バイパスから権限昇格にいたる被害が生じるとされている。
Continue reading “SonicWall SonicOS の複数の脆弱性が FIX：Gen6／Gen7 ファイアウォールに影響”CISA Alerts on Actively Exploited Vulnerabilities in Mitel MiCollab and Oracle WebLogic Server
2025/01/07 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発したのは、Mitel／Oracle システムに影響を及ぼす、現時点で悪用されている３件の脆弱性に関する緊急警告である。これらの脆弱性は、連邦政府の組織と民間企業に深刻なリスクをもたらすものとして、ISA の Known Exploited Vulnerabilities (KEV) カタログに登録されている。脆弱性のうちの２件は、統合コミュニケーション・プラットフォーム Mitel MiCollab に、もう１件は Oracle WebLogic Server に、影響を及ぼすものである。
Continue reading “CISA KEV 警告 25/01/01：Mitel MiCollab と Oracle WebLogic の脆弱性を登録”Chrome Update Addresses High-Severity Vulnerability: CVE-2025-0291
2025/01/07 SecurityOnline — Google が公表したのは、Chrome Web ブラウザの重要なセキュリティ・アップデートのリリースに関する情報である。このアップデートは、深刻度の高い JavaScript エンジン V8 のタイプ・コンヒュージョンの脆弱性 CVE-2025-0291 に対処するものであり、放置すると攻撃にさらされる可能性が生じるという。今後の数日間に、このアップデートは、Windows／Mac／Linux ユーザーに展開される。
Continue reading “Chrome の深刻な脆弱性 CVE-2025-0291 が FIX：ただちにアップデートを！”Authentication Bypass Vulnerability Found in Dell OpenManage Server Administrator
2025/01/07 SecurityOnline — Dell がリリースしたセキュリティ・アップデートは、OpenManage Server Administrator (OMSA) ソフトウェアに影響を及ぼす、Apache Tomcat の脆弱性 CVE-2024-52316 (CVSS：9.8)に対処するためのものだ。この脆弱性の悪用に成功した攻撃者は、認証をバイパスし、影響を受けるシステムへの不正アクセスの可能性を手にする。
Continue reading “Dell OMSA の認証バイパスの脆弱性 CVE-2024-52316 が FIX：直ちにアップデートを！”Secure Your Repos: go-git Patches Critical Vulnerability – CVE-2025-21613 (CVSS 9.8)
2025/01/07 SecurityOnline — Git インタラクションに用いられる、Go ライブラリ go-git がリリースしたのは、２つの深刻な脆弱性を修正したバージョン 5.13.1 である。これらの脆弱性が悪用されると、不正アクセスや DoS にいたる可能性がある。開発者に対して強く推奨されるのは、依存関係を直ちに更新することだ。
Continue reading “go-git の脆弱性 CVE-2025-21613／21614 が FIX：不正アクセス／DoS の可能性”CISA: No Federal Agency Beyond Treasury Impacted by BeyondTrust Incident
2025/01/07 SecurityWeek — 2025年1月6日 (月) に米国の CISA が発表したのは、BeyondTrust のクラウドベース・サービスに関連する、最近の大規模なサイバーセキュリティ・インシデントで影響を受けたのは、財務省だけだという調査の結果である。12月31日に公表されたのは、中国政府が支援する APT の攻撃で、BeyondTrust のリモート管理サービスの侵害された API キーが悪用され、財務省のワークステーションと非機密文書への不正アクセスが生じたというものだ。
Continue reading “CISA が公表する BeyondTrust インシデントの詳細：連邦政府の被害は財務省のみ”CVE-2024-51741 and CVE-2024-46981: Redis Flaws Expose Millions to DoS and RCE Risks
2025/01/06 SecurityOnline — 人気のインメモリ・データベース Redis で発見された、２件の脆弱性により数百万のユーザーが危険にさらされている。脆弱性 CVE-2024-51741 は、サービス拒否 (DoS) 攻撃をトリガーし、脆弱性 CVE-2024-46981 は、リモート コード実行 (RCE) を可能にするものである。
Continue reading “Redis の脆弱性 CVE-2024-51741／46981 が FIX：DoS と RCE の可能性”CVE-2024-20154: Critical RCE Flaw in MediaTek Chipsets Impacts Millions
2025/01/06 SecurityOnline — MediaTek が公開した January 2025 Product Security Bulletin は、同社の各種チップセットに影響を及ぼす、各種のセキュリティ脆弱性に対応するものだ。この勧告には、スマートフォン／タブレット／IoT デバイス／スマート TV などの製品に発見された、脆弱性の詳細が記載されている。
Continue reading “MediaTek チップセットの脆弱性 CVE-2024-20154 などが FIX：Mobile／IoT デバイスに影響”Thousands of SonicWall Devices Remain Vulnerable to CVE-2024-40766
2025/01/06 SecurityOnline — SonicWall NSA デバイスの深刻な脆弱性 CVE-2024-40766 が公表されたのは、2024年9月のことである。それ以降において、脅威アクター Akira と Fog が、この欠陥を悪用することで、世界中の組織に侵入したと報告されている。Macnica の脅威研究者である Yutaka Sejiyama によると、この脆弱性を悪用された 100社を超える企業が、ランサムウェア・グループの被害に遭った可能性があるが、2024年12月下旬の時点において、少なくとも 48,933台のデバイスが危険な状態にあるという。
Continue reading “SonicWall の脆弱性 CVE-2024-40766：Akira と Fog による悪用と侵害”CVE-2024-8474: OpenVPN Connect Vulnerability Leaks Private Keys
2025/01/06 SecurityOnline — 人気の VPN クライアント・アプリ OpenVPN Connect に存在する、深刻なセキュリティ脆弱性が修正された。この脆弱性が悪用されると、ユーザーの秘密鍵の公開や、VPN トラフィックの復号化などにいたる恐れがあるという。
Continue reading “OpenVPN Connect の脆弱性 CVE-2024-8474：プライベート・キー漏洩の恐れ”Vulnerability Overload: 40,000+ CVEs in 2024
2025/01/06 SecurityOnline — 毎年恒例の CVE Data Review 2024年版を、セキュリティ研究者である Jerry Gamblin が公開した。この年の CVE 件数は、前例のない急増を見せ、過去最多の 40,009件に達した。この数字は、2023年の 28,902件と比べて 38% の増加であり、CVE の記録更新は７年連続となった。
Continue reading “2024年の CVE データを総括：40,000件以上の脆弱性が公開された”CVE-2024-43452: PoC Exploit Released for Windows Elevation of Privilege Bug
2025/01/05 SecurityOnline — Windows Registry の特権昇格の脆弱性 CVE-2024-43452 (CVSS 7.5) に対する、PoC エクスプロイト・コードと技術的詳細が、Google Project Zero の Mateusz Jurczyk により公開されている。この脆弱性は、Windows Registry ハイブのメモリ管理における設計上の見落としを悪用するものである。この脆弱性を悪用する攻撃者は、脆弱性のあるマシン上で SYSTEM レベルのアクセス権を取得する可能性を手にする。
Continue reading “Windows の権限昇格の脆弱性 CVE-2024-43452：PoC と技術的詳細が公開”CVE-2024-9138 and CVE-2024-9140 (CVSS 9.8): Moxa Calls for Immediate Security Action
2025/01/04 SecurityOnline — 産業用ネットワークおよび通信ソリューションの大手プロバイダである、Moxa が公開したセキュリティ勧告は、同社製品に存在する脆弱性 CVE-2024-9138／CVE-2024-9140 に関するものだ。 これらの脆弱性は、同社のセルラー・ルーター／セキュア・ルーター／ネットワーク・セキュリティ・アプライアンスに影響を及ぼすものである。悪用に成功した攻撃者は、システムへの不正アクセスとコマンド実行を達成し、機密データの漏洩や重要なインフラの混乱などを引き起こすという。
Continue reading “Moxa 製品の脆弱性 CVE-2024-9138／9140 が FIX：不正アクセスなどの可能性”GoCD Patches Critical Vulnerability Allowing User Privilege Escalation
2025/01/05 securityonline — OSS の CI/CD プラットフォームである GoCD に、深刻な脆弱性 CVE-2024-56320 (CVSS 9.4) が発見された。この脆弱性の悪用に成功した攻撃者は、特権を管理者レベルに昇格させる可能性を得る。この脆弱性は GoCD のバージョン 24.5.0 未満に存在するが、すでに修正されている。脆弱性 CVE-2024-56320 の原因は、管理者用の “Configuration XML” UI 機能および、関連 API アクセスにおける不適切な認証にある。この脆弱性の悪用に成功した攻撃者は、機密情報への不正アクセスを達成し、GoCD システム全体を完全に制御する可能性を手にする。
Continue reading “GoCD の脆弱性 CVE-2024-56320 が FIX：CI/CD プラットフォームに権限昇格の可能性”Nuclei flaw allows signature bypass and code execution
2025/01/05 SecurityAffairs — ProjectDiscovery の OSS 脆弱性スキャナ Nuclei に存在する、深刻な脆弱性 CVE-2024-43405 (CVSS 7.4) が、Wiz のエンジニアリング・チームにより発見された。この脆弱性の悪用に成功した攻撃者は、署名チェックをバイパスし、悪意のコード実行の可能性を手にする。この脆弱性は、改行文字の処理における不一致と、複数署名の処理に起因するものであり、テンプレートへの悪意のコンテンツ注入を、攻撃者に許すことになり得る。
Continue reading “Nuclei の脆弱性 CVE-2024-43405 が FIX：署名バイパス／コード実行を許す可能性”Thousands of Buggy BeyondTrust Systems Remain Exposed
2025/01/04 DarkReading — 中国政府が支援する脅威アクターが、パッチ未適用のシステムの深刻な脆弱性を、積極的に悪用しているという警告が発せられている。その一方では、BeyondTrust の大量のインスタンスが、インターネットに接続された状態を引きずっている。BeyondTrust の脆弱性 CVE-2024-12356 (CVSS：9.8) は、Privileged Remote Access (PRA) と Remote Support (RS) に影響を及ぼすものであり、2024年12月16日の時点で、BeyondTrust から報告されたものだ。
Continue reading “BeyondTrust の脆弱性 CVE-2024-12356 の悪用：8,602 件のインスタンスが公開されている”2025/01/04 SecurityOnline — WordPress の 300 万以上の Web サイトで使用される、UpdraftPlus Backup & Migration プラグインに、新たな脆弱性が発見された。この脆弱性 CVE-2024-10957 (CVSS：8.8) の悪用に成功した未認証の攻撃者は、特定の条件下で PHP オブジェクト・インジェクションを達成するチャンスを得るという。
Continue reading “WordPress UpdraftPlus の脆弱性 CVE-2024-10957 が FIX：300 万の Web サイトが危険に”Next.js Patches Denial-of-Service Vulnerability (CVE-2024-56332) in Server Actions
2025/01/03 SecurityOnline — 人気の React フレームワーク Next.js が公表したのは、Server Actions を用いるアプリケーションに対して、サービス拒否 (DoS) 攻撃が仕掛けられる可能性がある、セキュリティ脆弱性への対処である。この脆弱性 CVE-2024-56332 は、PackDraw チームにより検出／公開されたものだ。
Continue reading “Next.js の DoS 脆弱性 CVE-2024-56332 が FIX：Server Actions に悪用の恐れ”CVE-2024-56513: Karmada Vulnerability Grants Attackers Control of Kubernetes Systems
2025/01/03 SecurityOnline — クラウド・ネイティブ・アプリケーションの管理を容易にするプラットフォーム Karmada (Kubernetes Armada) に、深刻度の高い脆弱性 CVE-2024-56513 (CVSSv4：8.7) が発見された。この脆弱性により、Karmada の PULL モード・クラスターを利用するシステムに、深刻な脅威がもたらされるという。
Continue reading “Karmada の脆弱性 CVE-2024-56513 が FIX：Kubernetes システムへの不正な制御が可能”LDAPNightmare, a PoC exploit targets Windows LDAP flaw CVE-2024-49113
2025/01/03 SecurityAffairs — Windows LDAP (Lightweight Directory Access Protocol) に存在する脆弱性 CVE-2024-49113 (CVSS 7.5) は、研究者 Yuki Chen により発見され、すでに修正されているものだ。この LDAPNightmare と命名された脆弱性の悪用により、サービス拒否状態が生じる可能性がある。2024年12月10日 の Microsoft Patch Tuesday で、 Yuki Chen が公表し２つの深刻な LDAP 脆弱性には、CVE-2024-49112 (CVSS 9.8) と CVE-2024-49113 がある。
Continue reading “Windows の脆弱性 LDAPNightmare CVE-2024-49113：PoC と技術的詳細が公開”CVE-2025-22275 (CVSS 9.3): iTerm2 Patches Critical Security Flaw Exposing User Input and Output
2025/01/02 SecurityOnline — macOS 用の人気ターミナル・エミュレータである iTerm2 に、深刻なセキュリティ脆弱性 CVE-2025-22275 (CVSS 9.3) が発見された。この脆弱性の悪用に成功した攻撃者は、機密性の高いユーザーデータへの不正アクセスの可能性を手にする。なお、この脆弱性の影響の範囲は、バージョン 3.5.6〜3.5.10／3.5.6 以降のベータ版であり、すでに修正されている。
Continue reading “iTerm2 の脆弱性 CVE-2025-22275 (CVSS 9.3) が FIX：情報漏洩に至る可能性”Patched But Still Vulnerable: Windows BitLocker Encryption Bypassed Again
2024/01/02 SecurityOnline — Windows に高信頼性の暗号化を提供する、BitLocker の根幹を揺るがす重大な事実が、2024年12月末に開催された Chaos Communication Congress (CCC) で明らかになった。セキュリティ研究者の Thomas Lambertz によるプレゼンテーション ”Windows BitLocker: Screwed without a Screwdriver” で明かされたのは、パッチ適用されたシステムであっても、BitLocker 暗号化を回避する機密データへのアクセスを、攻撃者に対して許してしまう脆弱性が存在することである。
Continue reading “Windows BitLocker の脆弱性 CVE-2023-21563 (bitpixie)：パッチ適用後も脆弱性が残存”CVE-2024-12912 & CVE-2024-13062: ASUS Routers at Risk
2025/01/02 SecurityOnline — ASUS が公開したセキュリティ勧告は、複数のルーター・モデルに影響を及ぼす、２つの脆弱性 CVE-2024-12912／CVE-2024-13062 (CVSS 7.2) に関するものだ。これらの脆弱性の悪用に成功した攻撃者は、脆弱性のあるデバイス上での任意のコマンド実行の可能性を手にする。
Continue reading “ASUS ルーターの脆弱性 CVE-2024-12912／13062 が FIX：任意のコマンド実行にいたる可能性”
IoT OT Security News 
You must be logged in to post a comment.