File Transfer – IoT OT Security News

IBM Aspera Faspex の脆弱性 CVE-2025-3423 が FIX：Web UI への悪意の JavaScript の挿入

IBM Aspera Faspex Flaw Allows Injection of Malicious JavaScript in Web UI

2025/04/14 gbhackers — 広く普及しているファイル交換ソリューション IBM Aspera Faspex 5 に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-3423 (CVSS：5.4) を悪用する攻撃者は、Web インターフェイスに悪意の JavaScript を挿入し、ユーザーの機密データを侵害する可能性を手にする。

CrushFTP の脆弱性 CVE-2025-2825／CVE-2025-31161 への対策：核心を突く PoC を解説

CrushFTP Hacked: Exploit CVE-2025-2825 with PoC and Nuclei Template

2025/03/31 SecurityOnline — エンタープライズで広く利用されるファイル転送サーバ CrushFTP に存在する、深刻な認証バイパスの脆弱性である CVE-2025-2825 (CVE-2025-31161) の技術的な詳細を、ProjectDiscovery が公開した。この脆弱性が影響を及ぼす範囲は、バージョン 10.0.0 〜 10.8.3／11.0.0 〜 11.3.0 であり、未認証の攻撃者に対して、サーバへの完全なアクセスを許すものとなる。すべての問題は、S3 スタイルの認証メカニズムにおける不適切な処理によるものだ。

CrushFTP の脆弱性 CVE-2025-2825／CVE-2025-31161 が FIX：機密データや管理機能への不正アクセス

CVE-2025-2825: Critical Vulnerability in CrushFTP Exposes Servers to Unauthenticated Access Risk

2025/03/27 SecurityOnline — CrushFTP のバージョン 10／11 に影響を及ぼす、深刻度の高い脆弱性に対するパッチが適用され、管理者たちには速やかな対応が求められている。一般企業／政府機関／ホスティング・プロバイダーなどで多用される、安全なファイル転送プラットフォーム CrushFTP に、新たな脆弱性が発見された。この脆弱性 CVE-2025-2825 (CVSS：9.8) を悪用する未認証の攻撃者は、特別に細工された HTTP リクエストを介して、リモート・アクセスの可能性を手にする。

Rsync の脆弱性 CVE-2024-12084／12085 などが FIX：アカウント乗っ取りと PoC のリリース

CVE-2024-12084 & CVE-2024-12085: Rsync Flaws Allow Hackers to Take Over Servers, PoC Published

2025/02/25 SecurityOnline — 広く使用されるファイル同期／データ転送ツール Rsync に、一連の高リスクの脆弱性が発見された。Rsync に存在する５つの深刻な脆弱性 CVE-2024-12084／12085／12086／12087／12088 に関する、技術的な詳細と PoC エクスプロイトを公開したのは、Google Cloud Vulnerability Research のセキュリティ研究者 Simon Scannell／Pedro Gallegos／Jasiel Spelman である。

Cleo の脆弱性 CVE-2024-50623 の悪用：Clop ランサムウェア・グループの犯行が濃厚

Clop ransomware claims responsibility for Cleo data theft attacks

2024/12/15 BleepingComputer — 最近の Cleo データ盗難攻撃において、Clop ランサムウェア・グループが、自らの犯行を認めている。このグループは、ゼロデイ・エクスプロイトにより、企業ネットワークに侵入してデータを盗んでいる。Cleo の Cleo Harmony／VLTrader／LexiComは、エンタープライズ・ユーザーが、そのビジネス・パートナーや顧客との間で、安全にファイルを交換するために使用する、マネージド・ファイル転送プラットフォームである。

Cleo 製品群の脆弱性 CVE-2024-50623 の積極的な悪用：Huntress が PoC を公開

CVE-2024-50623: Critical Vulnerability in Cleo Software Actively Exploited in the Wild

2024/12/10 SecurityOnline — ファイル転送の管理ツール Cleo Harmony／VLTrader／LexiCom に存在する、脆弱性 CVE-2024-50623 が積極的に悪用されていると、Huntress Labs が警告している。脅威アクターたちは、数多くの組織を一斉に標的にしており、物流／配送／消費者製品などの業界で深刻な影響が生じている。

Dragonfly2 の脆弱性 CVE-2023-27584 が FIX：ハードコードされた暗号化キーによる Admin 侵害

Critical Dragonfly2 Flaw CVE-2023-27584: Hardcoded Key Threatens Admin Access

2024/09/22 SecurityOnline — Peer-to-Peer (P2P) をベースとするファイル配信システムを、オープンソースとして提供する Dragonfly2 に、深刻なセキュリティ脆弱性 CVE-2023-27584 (CVSS：9.8) が発見された。この脆弱性は、認証プロセスで使用される、ハードコードされた暗号化キーに起因するものであり、管理者権限での不正アクセスも許してしまうため、システムへの攻撃の可能性が生じる。

FileSender の脆弱性 CVE-2024-45186 が FIX：認証情報の漏えいなどが生じる恐れ

CVE-2024-45186: FileSender Vulnerability Poses Risk to User Credentials, Immediate Action Required

2024/09/13 SecurityOnline — 大容量ファイルを安全に送信するための機能を、認証済みのユーザーに提供する Web アプリ FileSender に、深刻なセキュリティ上の欠陥が確認された。このサーバ・サイド・テンプレート・インジェクションの脆弱性 CVE-2024-45186 の悪用に成功した未認証の攻撃者は、サーバの認証情報の取得を達成し、機密データやシステムを危険にさらす可能性を手にする。なお、この脆弱性は、セキュリティ研究者の Jonathan Bouman により発見されたものだ。

Tag: File Transfer