IoT OT Security News

Node.js ライブラリ xml-crypto の脆弱性 CVE-2025-29774／29775 が FIX：IoC も提供

Million-Download Node.js Library xml-crypto Hit by Critical Security Flaws (CVE-2025-29774, CVE-2025-29775)

2025/03/18 SecurityOnline — Node.js 向けの XML デジタル署名／暗号化ライブラリである xml-crypto に、２つの深刻な脆弱性が発見された。毎週 110万回以上ダウンロードを誇る、このライブラリの脆弱性を放置すると、XML 署名検証を利用するアプリケーションに広範な影響が生じる。

CISA KEV 警告 25/03/18：Fortinet の CVE-2025-24472 と GitHub の CVE-2025-30066 を登録

Cybersecurity Alert: CISA Adds Fortinet and GitHub Action Vulnerabilities to Exploited List

2025/03/18 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、２つの深刻なセキュリティ脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、実際に悪用されていることを示した。これらの脆弱性は、広く使用されている Fortinet の FortiOS／FortiProxy および、GitHub Action “tj-actions/changed-files” に影響を及ぼすものだ。

Google の OSS 脆弱性スキャナー：OSV-Scanner のアップデート版がリリース

Google Releases Major Update for Open Source Vulnerability Scanner

2025/03/18 SecurityWeek — 3月18日 (火) に Google が発表したのは、OSS 開発者向けに無料で提供される、脆弱性スキャナー OSV-Scanner のアップデート版のリリースである。2021 年に立ち上げられた OSS 脆弱性データベースのフロントエンドとして、2022 年に導入された OSV-Scanner は、開発者が詳細なバグレポートを提供することで、OSS エコシステムのセキュリティを向上させるものだ。

OpenAI の SSRF の脆弱性 CVE-2024-27564：広範な分野で積極的な悪用を観測

CVE-2024-27564: Attackers Exploit OpenAI Vulnerability in the Wild

2025/03/18 SecurityOnline — ChatGPT のサーバ・サイド・リクエストフォージェリ (SSRF) の脆弱性 CVE-2024-27564 だが、単一の悪意の IP からの 10,479 件を超える攻撃の試行が記録されており、サイバー犯罪者の重要なターゲットにされているようだ。Veriti の最新の調査によると、この欠陥は、OpenAI の ChatGPT インフラに影響を与えるものであり、入力パラメータに悪意の URL を挿入する攻撃者は、アプリケーションが意図していないリクエストの、強制的な実行を達成するという。

PHP に存在する５つの深刻な脆弱性が FIX：DOS 状態やリクエスト・スマグリングなどの恐れ

Multiple Security Vulnerabilities Plague PHP, Exposing Applications to Risk

2025/03/17 SecurityOnline — PHP プログラミング言語で一連のセキュリティ脆弱性が発見され、Web アプリケーションに対する攻撃が懸念されている。この脆弱性は、PHP の HTTP ストリーム・ラッパーに影響を及ぼし、情報漏洩からサービス拒否に至るまでのリスクをもたらす。

Linux Below Tool の脆弱性 CVE-2025-27591 が FIX：root 権限昇格の恐れ

CVE-2025-27591: Privilege Escalation Vulnerability Found in Below Linux Tool

2025/02/17 SecurityOnline — Linux におけるシステム・データの記録／表示のためのツール Below に、権限昇格の脆弱性が発見された。この脆弱性 CVE-2025-27591 (CVSS：7.8) が影響を及ぼす範囲は、バージョン v0.9.0 未満となる。

Apache Camel の脆弱性が CVE-2025-29891 が FIX：メッセージ・ヘッダー・インジェクションと PoC

Severe Apache Camel Exploit (CVE-2025-29891) Disclosed – Technical Details and PoC Released

2025/03/17 SecurityOnline — Apache Camel に発見された、深刻度の高い脆弱性 CVE-2025-29891 の悪用に成功した攻撃者は、悪意のヘッダーの挿入を達成し、アプリケーションの動作を操作する機会を手にする。この、広く使用される HTTP コンポーネントに影響を及ぼす脆弱性により、開発者の速やかな対応が促される。

HPE Cray の脆弱性 CVE-2024-540385 が FIX：リモートからの認証バイパスの可能性

HPE Cray Vulnerability (CVE-2024-540385): Authentication Bypass Threat, CVSS 10 Alert

2025/03/17 SecurityOnline — AMI BMC Redfish API を使用する HPE Cray XD670 サーバにおいて、深刻な脆弱性 CVE-2024-540385 (CVSS：10.0) が発見され、リモート認証バイパスの脅威が懸念されている。管理者にとって必要なことは、この欠陥への速やかな対処により、悪用の可能性を阻止することである。

ManageEngine Analytics の脆弱性 CVE-2025-1724 が FIX：アカウント奪取の可能性

ManageEngine Analytics Vulnerability Enables User Account Takeover

2025/03/17 gbhackers — ManageEngine の Analytics Plus オンプレミス・ソリューションに、深刻なセキュリティ脆弱性 CVE-2025-1724 が発見された。この脆弱性が影響を及ぼす範囲は、すべてのバージョン 6130 未満の Windows ビルドとなる。この脆弱性の悪用に成功した攻撃者は、認証済の AD ユーザー・アカウントへの不正アクセスが可能となり、アカウントの奪取および機密ユーザー情報漏洩を引き起こす機会を手にする。

TP-Link TL-WR845N の深刻な脆弱性 CVE-2024-57040 (CVSS 9.8)：パッチ提供までの対策

CVE-2024-57040 (CVSS 9.8): TP-Link TL-WR845N Router Vulnerability Grants Hackers Easy Access

2025/03/17 SecurityOnline — TP-Link TL-WR845N ルーターに影響を及ぼす、深刻なセキュリティ脆弱性 CVE-2024-57040 (CVSS：9.8：Critical) を、Network Security & Cryptography (NSC) Lab の研究者たちが特定した。この脆弱性により、ルーターのファームウェア内に保存されている、ハードコードされたルート・シェル資格情報が露出するため、それを悪用する攻撃者により、デバイスが完全に制御されてしまう。

Koha Library の SQLi 脆弱性 CVE-2025-22954 (CVSS 10) が FIX：機密データの読取／変更／削除

CVE-2025-22954 (CVSS 10): Koha Library Systems at High Risk, Patch Immediately

2025/03/17 SecurityOnline — 広く使用されている OSS ライブラリ管理システムである Koha に、深刻な SQL インジェクションの脆弱性 CVE-2025-22954 (CVSS：10) が発見された。この脆弱性は、”lateissues-export.pl” に存在し、攻撃者に対して任意の SQL インストラクションの挿入を許すものである。脆弱な関数 GetLateOrMissingIssues (C4/Serials.pm 内) は、適切にサニタイズされていない supplyerid／serialid パラメータを介して、SQL インジェクションの影響を受けてしまう。

Apache Tomcat の脆弱性 CVE-2025-24813 の積極的な悪用：対策の全容と戦術変更への備え

Critical RCE flaw in Apache Tomcat actively exploited in attacks

2025/03/17 BleepingComputer — Apache Tomcat の深刻なリモート・コード実行 (RCE) 脆弱性 CVE-2025-24813 が、実際に攻撃で積極的に悪用されている。この欠陥を突く脅威アクターは、単純な PUT リクエストの送信により標的のサーバを乗っ取ることができるという。この脆弱性が明らかになったのは先週のことだが、それから僅か 30時間後には、GitHub で公開された PoC エクスプロイトが、ハッカーたちに悪用され始めたようだ。

Adobe Acrobat の脆弱性 CVE-2025-27163 などが FIX：悪意のフォントを介した RCE

Adobe Acrobat Vulnerabilities Enable Remote Code Execution

2027/03/17 gbhackers — Adobe Acrobat で発見された、いくつかの脆弱性は、Cisco Talos の調査チームにより開示されたものである。それら全ての脆弱性は、Cisco のサードパーティ脆弱性開示ポリシーに沿って処理され、それぞれのベンダーにより対処されている。

GraphQL-Ruby の脆弱性 CVE-2025-27407 (CVSS 9.1) が FIX：悪意のスキーマの取り込みと RCE

CVE-2025-27407 (CVSS 9.1): Critical GraphQL-Ruby Flaw Exposes Millions to RCE

2025/03/17 SecurityOnline — 人気の graphql-ruby gem に発見された深刻な脆弱性 CVE-2025-27407 により、何百万ものアプリケーションが、リモート・コード実行のリスクにさらされている。このライブラリのダウンロード数は 1億3,600万回を超え、広範囲で利用されているため、潜在的な影響の大きさが懸念されている。

Edimax Camera の脆弱性 CVE-2025-1316：パッチが提供されない状況を Mirai が狙っている

Unpatched Edimax Camera Flaw Exploited for Mirai Botnet Attacks Since Last Year

2025/03/17 TheHackerNews — Edimax IC-7100 ネットワーク・カメラに存在する、未修正のセキュリティ上の脆弱性が、Mirat ボットネット・マルウェアの亜種を配信するために、遅くとも 2024年5月以降に、脅威アクターたちにより悪用されている。この脆弱性 CVE-2025-1316 (CVSS v4：9.3) は、深刻な OS コマンド・インジェクションの欠陥であり、それを悪用する攻撃者は、特別に細工されたリクエストにより、影響を受けやすいデバイス上でのリモート・コード実行の可能性を手にする。

GitHub リポジトリ 12,000 件が標的：偽のセキュリティ通知を悪用するフィッシング攻撃

Fake “Security Alert” issues on GitHub use OAuth app to hijack accounts

2025/03/16 BleepingComputer — 偽のセキュリティ通知を手段とする、大規模なフィッシング攻撃の標的として、約 12,000 の GitHub リポジトリが狙われている。この偽アラートを悪用する攻撃者は、開発者を騙して悪意の OAuth アプリを承認させ、アカウントやコードの完全な制御権を獲得する。その、偽のセキュリティ通知に含まれるメッセージは、「セキュリティ警告：異常なアクセス試行：ユーザーの GitHub アカウントへのログイン試行が、新しい場所またはデバイスから行われたことを検知する」というものだ。

Adobe／DocuSign アプリの OAuth リクエストには要注意：Microsoft 365 アカウント乗っ取りが多発

Malicious Adobe, DocuSign OAuth apps target Microsoft 365 accounts

2025/03/16 BleepingComputer — Adobe や DocuSign アプリを装うマルウェアの配信により、Microsoft 365 アカウントの認証情報を盗み出すという、悪質な Microsoft OAuth アプリが、サイバー犯罪者たちにより宣伝されている。このキャンペーンを発見した Proofpoint の研究者たちは、X のスレッド上で “高度に標的を絞った攻撃 ” だと評している。

Akira ランサムウェアに対する複合ツール：GPU を用いて暗号化キーにブルートフォースを仕掛ける

New Akira ransomware decryptor cracks encryptions keys using GPUs

2025/03/15 BleepingComputer — Akira ランサムウェアの Linux 版に対する復号ツールが、セキュリティ研究者の Yohanes Nugroho によりリリースされた。この無料のツールは、GPU パワーを利用して復号キーを取得し、ファイルのロックを解除する。Nugroho は、友人から助けを求められ、この復号ツールを開発することになった。Akira が暗号化キーを生成する方法に、つまり、タイムスタンプを用いる方法を分析すれば、１週間以内で暗号化されたシステムを復号できると判断したのだ。

GitHub Action の脆弱性 CVE-2025-30066：侵害によるシークレット漏洩と是正の手順

2025/03/15 SecurityOnline — GitHub Action “tj-actions/changed-files” は、広く使用されているソフトウェア・ワークフローのためのものだが、新たに検出された深刻なセキュリティ・インシデントが懸念を生じている。セキュリティ侵害を積極的に調査する Step Security は、ユーザーに警告を発し、速やかに是正措置を取るよう促している。このインシデントを追跡するコードとして、公式に CVE-2025-30066 が採番されている。

Fortinet Firewall の脆弱性 CVE-2024-55591／CVE-2025-24472 を悪用：SuperBlack の手口とは？

SuperBlack Ransomware operators exploit Fortinet Firewall flaws in recent attacks

2025/03/14 SecurityAffairs — Fortinet の２つの脆弱性を悪用し、SuperBlack ランサムウェアを展開する脅威アクターの活動を、2025年1月〜3月に Forescout Research – Vedere Labs の研究者たちが観察した。この攻撃では、ロシア語のアーティファクトが用いられ、独自の運用シグネチャである Mora_001 を示すとおり、この脅威アクターによるものだと、専門家たちは考えている。Mora_001 が LockBit エコシステムに関連している可能性があると、専門家たちは推測している。つまり、ランサムウェア・オペレーションの、複雑さが増していることを反映している。

CISA の予算が $10M もカット：ISAC の活動が行き詰まり従業員が解雇される

CISA Cuts $10M in ISAC Funding & 100s of Employees

2025/03/14 DarkReading — 米国の Cybersecurity and Infrastructure Security Agency (CISA)は、数百人のレイオフと数百万ドルの予算削減により、これまでの短い歴史の中で最大の変革期を迎えている。同庁は、この２月に数百人の職員を解雇した。このレイオフの正確な規模は不明だが、推定では 300～400人程度であり、１月時点での 3,300人という職員数を考えると、かなりの大人数である。

GSMA と Rich Communications Services：クロスプラットフォームのための E2EE を公表

GSMA Confirms End-to-End Encryption for RCS, Enabling Secure Cross-Platform Messaging

2025/03/14 TheHackerNews — GSM Association (GSMA) が発表したのは、Rich Communications Services (RCS) プロトコル経由で送信されるメッセージを保護するための、E2EE (End-to-End Encryption) の正式サポートである。それにより、Android／iOS プラットフォーム間で共有されるクロスプラットフォーム・メッセージに、待望のセキュリティ保護がもたらされる。

OpenAI の Operator に悪意を植え付ける：Symantec が Phishing PoC で実証したものは？

Symantec Demonstrates OpenAI’s Operator Agent in PoC Phishing Attack

2025/03/14 hackread — 最近になって OpenAI がリリースした “Operator” などの AI エージェントが、サイバー攻撃に悪用される可能性があることを、Symantec の脅威ハンターたちが実証した。それらの AI エージェントは、定型的なタスクを自動化して生産性を高めるように設計されているが、Symantec の調査によると、人間の入力を最小限に抑えることで、複雑な攻撃シーケンスの実行も可能にすることが示されている。

Black Basta が開発した BRUTED Framework：ブルートフォース攻撃の最適化と自動化

Ransomware gang creates tool to automate VPN brute-force attacks

2025/03/14 BleepingComputer — Black Basta ランサムウェアは、ブルートフォース攻撃を自動化するフレームワーク “BRUTED” を使用し、ファイアウォールや VPN などのエッジ・ネットワーク・デバイスを標的にしている。このグループは、独自に開発した BRUTED により、効果的にネットワークへのイニシャル・アクセスを獲得し、インターネット上に公開された脆弱なエンドポイントへのランサムウェア攻撃を拡大させている。流出した Black Basta の内部チャット・ログを、EclecticIQ の研究者である Arda Buyukkaya が詳細に分析した結果により、この BRUTED の存在が明らかになったという。

Percona PMM OVA の脆弱性 CVE-2025-26701 (CVSS 10) が FIX：ルート認証情報の漏洩

CVE-2025-26701 (CVSS 10): Percona PMM OVA Users at Risk of Unauthorized Access

2025/03/14 SecurityOnline — Percona Monitoring and Management (PMM) の、Open Virtual Appliance (OVA) に深刻なセキュリティ脆弱性が発見され、そのデータベース環境に深刻なリスクが生じている。この脆弱性 CVE-2025-26701 (CVSS：10.o) の悪用に成功した攻撃者は、不正なルート・アクセスを達成し、機密性の高いシステム認証情報を漏洩させる可能性を得るという。

CISA KEV 警告 25/03/13：Juniper の CVE-2025-21590 と Apple の CVE-2025-24201 を登録

U.S. CISA adds Apple products and Juniper Junos OS flaws to its Known Exploited Vulnerabilities catalog

2025/03/14 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Known Exploited Vulnerabilities (KEV) カタログに、以下の脆弱性を追加した:

CVE-2025-21590：Juniper Junos OS の不適切な分離／区画化
CVE-2025-24201：Apple 製品の WebKit の境界外書き込み

DeepSeek R1 とジェイルブレイク：マルウェア生成の能力を試してみた – Tenable 調査

AI Chatbot DeepSeek R1 Can Be Manipulated to Create Malware

2025/03/14 HackRead — オープンソースの AI チャットボットである DeepSeek R1 は、キーロガーやランサムウェアなどの悪意のソフトウェアを、その操作に応じて生成し得ることが、サイバーセキュリティ企業 Tenable Research の新たな分析により明らかになった。Tenable Research の調査は、DeepSeek における有害なコードの生成能力の評価を目的として行われたものであり、２種類の主要なマルウェア・タイプに焦点を当てるものとなっている。具体的には、秘密裏にキー・ストロークを記録するキーロガーと、ファイルを暗号化して身代金を要求するランサムウェアである。

Bitdefender 警告：BOX v1 (EoL) に存在する２つの深刻な脆弱性 CVE-2024-13871／13872

Bitdefender Identifies Security Vulnerabilities Enabling Man-in-the-Middle Exploits

2025/03/13 gbhackers — サイバーセキュリティ企業の Bitdefender が公開したのは、同社のレガシー BOX v1 デバイスに影響を及ぼす、２つの深刻度の高いセキュリティ脆弱性に関する情報である。これらの脆弱性が悪用されると、リモート・コード実行や中間者攻撃の可能性が生じるという。

大規模な SSRF キャンペーンを検出：Grafana のパストラバーサルが偵察に使われている？

Grafana Flaws Likely Targeted in Broad SSRF Exploitation Campaign

2025/03/13 SecurityWeek — 複数の人気プラットフォームにおける、SSRF (Server-Side Request Forgery) を狙う大規模な攻撃の前に、Grafana のパス・トラバーサル脆弱性が悪用されたと、脅威インテリジェンス企業 GreyNoise が報告している。２月の広範から３月の初旬にかけて急増した、SSRF の脆弱性を組織的に悪用するキャンペーンにおいて、Zimbra／GitLab／DotNetNuke／VMware／ColumbiaSoft／Ivanti／BerriAI／OpenBMCS 製品を標的とする 400 以上の IP が観測された。

Cisco IOS XR の脆弱性 CVE-2025-20115：BGP Confederation におけるメモリ破損と回避策

Cisco Alerts on Public Disclosure of CVE-2025-20115 – BGP Flaw Puts Networks at Risk

2025/03/13 SecurityOnline — Cisco が発行したのは、IOS XR ソフトウェアに存在する、サービス拒否 (DoS) 脆弱性に対処するセキュリティ・アドバイザリである。この脆弱性 CVE-2025-20115 は、Border Gateway Protocol (BGP) コンフェデレーション実装に影響を及ぼすものだ。

Windows の脆弱性 CVE-2025-24983 が FIX：修正に要した２年間と現実の攻撃での悪用

Microsoft Patches 2-Year-Old Windows Kernel Flaw CVE-2025-24983 After Exploitation

2025/03/13 SecurityOnline — 2023年3月以降において、長年にわたりハッカーたちに積極的に悪用されてきた、Windows NT カーネル・サブシステムのセキュリティ脆弱性が、ようやく Microsoft により修正されたことを、サイバー・セキュリティ企業 ESET が発表した。この欠陥は、約２年前に ESET の研究者たちにより報告され、2025年3月の Patch Tuesday で対処されたことになる。

ruby-saml の脆弱性 CVE-2025-25291／25292 が FIX：SAML 認証プロテクション回避の可能性

GitHub Uncovers New ruby-saml Vulnerabilities Allowing Account Takeover Attacks

2025/03/13 TheHackerNews — オープンソースの ruby-saml ライブラリに、深刻大度の高いセキュリティ上の２つの脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、Security Assertion Markup Language (SAML) 認証プロテクションを回避する可能性を手にする。

Fortinet の FortiSandbox／FortiOS などの８件の脆弱性が FIX：認証バイパスなどの恐れ

Fortinet Addresses Security Issues in FortiSandbox, FortiOS, and Other Products

2025/03/13 gbhackers — Fortinet の PSIRT が発表したのは、FortiSandbox／FortiOS などの、各種の Fortinet 製品に影響を及ぼす、いくつかの高深刻度のセキュリティ脆弱性が解決されたという情報である。これらのアップデートは、ソリューションにおける安全性と信頼性を強化する、 Fortinet の継続的な取り組みの一環として実施される、潜在的な脅威に対する堅牢な防御の確保となる。

Firefox ユーザーに警告：3月14日に期限切れになるルート証明書という問題について

WARNING: Expiring Root Certificate May Disable Firefox Add-Ons, Security Features, and DRM Playback

2025/03/13 TheHackerNews — Mozilla はユーザーに対して、ルート証明書の期限切れによる、アドオン使用での問題の発生を回避するための、最新バージョンによる Firefox インスタンスのアップデートを呼びかけている。Mozilla は、「Firefox などの Mozilla プロジェクトにおいて、署名済みコンテンツとアドオンの検証に使用されるルート証明書が、2025年3月14日に期限切れになる」と述べている。

Keras Deep Learning の脆弱性 CVE-2025-1550 が FIX：任意のコード実行の恐れ

Keras Deep Learning Framework Hit by Arbitrary Code Execution Vulnerability (CVE-2025-1550)

2025/03/13 SecurityOnline — マルチ・バックエンドの Deep Learning Framework として広く使用されている Keras に、セキュリティ脆弱性 CVE-2025-1550 (CVSS：7.3) が発見された。この脆弱性が悪用されると、任意のコード実行につながる可能性があるという。

Juniper Junos OS の脆弱性 CVE-2025-21590：攻撃の報告とパッチ適用までの緩和策

Juniper Issues Urgent Fix for Actively Exploited Junos OS Flaw – CVE-2025-21590

2025/03/13 SecurityOnline — Juniper Networks がリリースした緊急のセキュリティ速報は、ローカル攻撃者に対して任意のコード実行を許す可能性のある Junos OS の脆弱性に対処するものである。この脆弱性 CVE-2025-21590 は、Junos OS の複数バージョンに影響を及ぼす。

Cisco IOS XR Software の深刻な脆弱性 CVE-2025-20138 が FIX：OS コマンド実行の可能性

Cisco Issues High-Severity Security Alert for IOS XR Software (CVE-2025-20138)

2025/03/12 SecurityOnline — Cisco が発表したのは、IOS XR ソフトウェアに影響を及ぼす、深刻度の高い脆弱性を詳述するセキュリティ・アドバイザリである。その脆弱性 CVE-2025-20138 (CVSS：8.8) により、重大なリスクが生じると記されている。

GitLab の深刻な脆弱性 CVE-2025-25291／25292 などが FIX：SAML 認証バイパスの恐れ

GitLab Urgently Patches Critical Authentication Bypass Flaws – CVE-2025-25291 & CVE-2025-25292

2025/03/12 SecurityOnline — GitLab が発表したのは、Community Edition (CE)／Enterprise Edition (EE) に存在するセキュリティ脆弱性を修正するための、新しいバージョン 17.9.2／17.8.5／17.7.7 のリリースである。このリリースは、深刻な認証バイパス脆弱性などの、さまざまなセキュリティ問題に対処するものだ。

AMI SPx の脆弱性 CVE-2024-54085 (CVSS：10) などが FIX：システム全体への侵害の可能性

CVE-2024-54085: AMI SPx Vulnerability Scores Critical CVSS 10

2025/03/12 SecurityOnline — BIOS／BMC ファームウェアを提供する AMI が発表したのは、同社製品に影響を及ぼす複数の脆弱性に対処するセキュリティ・アドバイザリである。これらの脆弱性の深刻度には幅があるが、悪用に成功した攻撃者による、任意のコード実行／サービス拒否／リモートからの認証バイパスなどの可能性が生じるという。

SSRF 攻撃の脅威が拡大：組織的に複数の CVE を悪用する 400+ の IP アドレス – GreyNoise 調査

Over 400 IPs Actively Exploiting Multiple SSRF Vulnerabilities in the Wild

2025/03/12 gbhackers — 近頃、SSRF (Server-Side Request Forgery) の悪用が急増しており、その傾向が続いていることが、GreyNoise の調査により明らかになった。戦略的な SSRF 攻撃が増加し、少なくとも 400 の固有 IP が、複数の SSRF 関連の CVE を同時に悪用していると、GreyNoise は指摘している。この攻撃パターンが示唆するのは、典型的なボットネットからのトラフィックではなく、情報収集のための自動化された事前侵入などによる、組織的な悪用の可能性である。

Apache NiFi の脆弱性 CVE-2025-27017 が FIX：MongoDB 資格情報の漏洩の可能性

CVE-2025-27017: Apache NiFi Vulnerability Exposes MongoDB Credentials

2025/03/12 SecurityOnline — 世界中の数多くの組織で利用される、人気のデータフロー自動化ツール Apache NiFi に、セキュリティ脆弱性 CVE-2025-27017 が発見された。この脆弱性の悪用により、機密性の高い MongoDB 認証情報への不正アクセスの可能性が生じるという。その影響の範囲は、Apache NiFi のバージョン 1.13.0 〜 2.2.0 となる。

Tenda AC7 Routers の脆弱性 CVE-2025-1851：ルート・アクセスの PoC が提供

CVE-2025-1851: Tenda AC7 Routers at Risk of Root Compromise, PoC Released

2025/03/12 SecurityOnline — Tenda AC7 ルーターで発見された脆弱性 CVE-2025-1851 (CVSS：8.7) は、深刻度の高い欠陥であり、攻撃者に対してデバイスへのルート・アクセスを許す可能性のあるものだ。その影響の範囲は、ファームウェア・バージョン 15.03.06.44 以下となる。

Flowise の脆弱性 CVE-2025-26319 (CVSS 9.8) : 未パッチの状況で PoC が提供される

CVE-2025-26319 (CVSS 9.8): Flowise Open-Source Platform Vulnerable to File Upload Exploit, No Patch

2025/03/12 SecurityOnline — AI エージェント構築に使用される、人気の OSS プラットフォーム Flowise に存在する深刻な脆弱性 CVE-2025-26319 (CVSS：9.8) を、セキュリティ研究者である Dor Attias が発見した。この脆弱性の悪用に成功した未認証の攻撃者は、Flowise サーバに任意のファイルをアップロードし、リモート・コード実行やサーバの完全な侵害を引き起こす機会を得る。

Apache Camel の脆弱性 CVE-2025-27636 が FIX：PoC とスキャン・スクリプトの提供

Apache Camel Vulnerability (CVE-2025-27636) Exposes Applications to RCE, PoC Releases

2025/03/12 SecurityOnline — 先日に修正された Apache Camel Java ライブラリの脆弱性 CVE-2025-27636 だが、セキュリティ研究者たちによる精査が行われ、Akamai Security Intelligence Group が詳細な分析を提供している。最初のレポートでは、その深刻さが軽視されていたようであり、リモート・コード実行を含む壊滅的な結果という可能性が、Akamai の分析では強調されている。

NVIDIA Riva の脆弱性 CVE-2025-23242／23243 が FIX：権限昇格や情報漏洩などの恐れ

NVIDIA Addresses Security Vulnerabilities in NVIDIA Riva with Software Update

2025/03/12 SecurityOnline — NVIDIA が公表したのは、NVIDIA Riva に存在するセキュリティ脆弱性に対処するための、ソフトウェア・アップデートのリリースである。このセキュリティ・アップデートで対処されたのは、権限昇格／データ改竄／サービス拒否／情報漏洩などにつながる可能性がある脆弱性である。

npm リポジトリ汚染：Lazarus にリンクする６つの悪意のパッケージを発見

North Korean Lazarus hackers infect hundreds via npm packages

2025/03/11 BleepingComputer — npm (node package manager) で発見された６つの悪意のパッケージだが、悪名高い北朝鮮のハッカー集団 Lazarus にリンクしていたことが特定された。これらの 330 回もダウンロードされたパッケージは、アカウント認証情報の窃取／侵害済みシステムへのバックドア展開／機密性の高い暗号通貨情報の抽出などのために設計されていた。このキャンペーンを発見した Socket Research Team によると、一連の悪意のパッケージは、以前から知られている Lazarus のサプライ・チェーン・オペレーションにリンクしていたという。

FreeType Font Library の脆弱性 CVE-2025-27363 が FIX：Linux／Mobile／Browser で悪用の可能性

CVE-2025-27363: Font Library FreeType Flaw Exploited in the Wild, Millions at Risk

2025/03/11 SecurityOnline — 広く使用されている FreeType フォント・レンダリング・ライブラリに、深刻な脆弱性 CVE-2025-27363 (CVSS：8.1) が発見された。この脆弱性は、FreeType バージョン 2.13.0 以下に影響を及ぼし、数百万台のデバイスをリモート・コード実行のリスクにさらす可能性があるという。

Zoom の複数の脆弱性が FIX：Workplace と Meeting SDK で発生する問題とは？

Zoom Addresses Multi High-Severity Vulnerabilities in Workplace Apps and SDKs

2025/03/11 SecurityOnline — 先日に Zoom Communications, Inc. が公表したのは、各種の Zoom Workplace アプリと Zoom Meeting SDK に影響を及ぼす、複数の脆弱性に対処するセキュリティ・アドバイザリのリリースである。これらの脆弱性の深刻度は Medium 〜 High に分布しているが、認証済の低権限ユーザーによる権限昇格や、サービス拒否攻撃が引き起こされる可能性があるという。

WordPress HUSKY (WOOF) の脆弱性 CVE-2025-1661 が FIX：任意の PHP コードの挿入と実行

Critical Flaw Exposes 100,000+ WooCommerce Sites: Unauthenticated File Inclusion Threatens Total Takeover

2025/03/11 SecurityOnline — 人気の WordPress プラグイン HUSKY (旧 WOOF：WooCommerce Products Filter Professional）に重大な脆弱性が発見され、10 万以上のオンライン・ストアが完全に侵害される危険にさらされている。この脆弱性 CVE-2025-1661 (CVSS：9.8) の悪用に成功した未認証の攻撃者は、影響を受けるサーバ上で任意のファイルを操作し、データ侵害／サイト改竄に加えて、システムを完全に制御する可能性を得る。

Zyxel 製品の３つの脆弱性が FIX：OS コマンド実行にいたる恐れ

Zyxel Patches Multi Vulnerabilities in DSL/Ethernet CPE, Fiber ONT, and WiFi Extender Devices

2025/03/11 SecurityOnline — ネットワーク・ソリューションを提供する Zyxel Networks が、前日に公表したのは、同社の DSL/Ethernet CPE／Fiber ONT／WiFi Extender デバイスなどに影響を及ぼす、認証後コマンド・インジェクションの脆弱性に対処するための、セキュリティ・パッチのリリースである。