Library – IoT OT Security News

OpenPGP.js の脆弱性 CVE-2025-47934 が FIX：デジタル署名の偽造と悪意のコンテンツ注入

OpenPGP.js Vulnerability Let Attackers Spoof Message Signature Verification

2025/06/12 CyberSecurityNews — 広く使用されている OpenPGP.js ライブラリに、深刻な脆弱性が発見された。この脆弱性を悪用する攻撃者は、悪意のコンテンツのデジタル署名を偽造することで、信頼できるソースによる正当な署名を装い、ユーザーを欺くことが可能になる。この脆弱性 CVE-2025-47934 は、暗号の信頼性を根本的に侵害するものであり、一般的な JavaScript 実装において OpenPGP 標準に依存する、多数の Web ベース・アプリケーションやメール・クライアントとの間の、安全な通信が損なわれる可能性が生じている。

cpp-httplib の脆弱性 CVE-2025-46728 が FIX：メモリ枯渇と DoS 攻撃の可能性

CVE-2025-46728: cpp-httplib Vulnerability Exposes Servers to Denial of Service

2025/05/07 SecurityOnline — C++11 のファイル・ヘッダーのみで構成され、セットアップの容易さで知られている、クロス・プラットフォーム HTTP/HTTPS ライブラリである cpp-httplib が、深刻なセキュリティ脆弱性に直面している。先日に確認された、脆弱性 CVE-2025-46728 を悪用する脅威アクターは、このライブラリを使用するアプリケーションに対して、サービス拒否 (DoS) 攻撃を仕掛ける可能性を手にする。

FastCGI Library の脆弱性 CVE-2025-23016 が FIX：ヒープ・オーバーフローの恐れ

Critical FastCGI Library Flaw Exposes Embedded Devices to Code Execution

2025/04/28 gbhackers — ライトウェイトな Web サーバ通信のコア・コンポーネントである、FastCGI ライブラリに発見された深刻な脆弱性 CVE-2025-23016 により、多数の組み込みデバイスや IoT デバイスにリモート・コード実行の脅威が生じている。

Python の h11 HTTP Library の脆弱性 CVE-2025-43859 が FIX：リクエスト・スマグリングの恐れ

CVE-2025-43859: Request Smuggling Vulnerability in Python’s h11 HTTP Library

2025/04/27 SecurityOnline — Python で記述され、最小限の機能だけを持ち、I/O に依存しない、HTTP/1.1 プロトコル・ライブラリ h11 に、深刻な脆弱性 CVE-2025-43859 (CVSS：9.1) が発見された。この脆弱性により、不適切なコンフィグやバグのある HTTP プロキシと連携するアプリケーションにおいて、h11 に対するリクエスト・スマグリング攻撃の可能性が生じている。

Erlang/OTP の脆弱性 CVE-2025-32433 (CVSS 10) が FIX：SSH の欠陥と未認証での RCE

Erlang/OTP CVE-2025-32433 (CVSS 10): Critical SSH Flaw Allows Unauthenticated RCE

2025/04/17 SecurityOnline — 通信／分散システム／リアルタイム・プラットフォームなどの領域で広く使用される、Erlang/OTP の SSH サーバ・コンポーネントに深刻な脆弱性が発見された。この脆弱性 CVE-2025-32433 は、悪用の容易さと潜在的な影響への考慮により、最高の CVSS 深刻度である 10.0 が割り当てられている。

BentoML の深刻な脆弱性 CVE-2025-27520 が FIX：RCE の恐れと PoC の提供

CVE-2025-27520: Critical BentoML Flaw Allows Full Remote Code Execution, Exploit Available

2025/04/08 SecurityOnline — AI アプリケーションやモデル推論向けに最適化された、オンライン・サービス・システムの構築に用いられる、Python ライブラリ BentoML に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-27520 (CVSS：9.8) は、攻撃者にリモート・コード実行 (RCE) を許し、影響を受けるライブラリ・バージョンを使用するシステムに重大なリスクをもたらす。

vLLM の深刻な RCE 脆弱性 CVE-2025-29783 が FIX：Mooncake 統合で問題が拡大

Critical Remote Code Execution Vulnerability in vLLM via Mooncake Integration

2025/03/24 SecurityOnline — LLM を用いる推論やサービスで人気のライブラリ vLLM は、先日に発見された深刻なセキュリティ脆弱性に対処した。GitHub で 43,000 を超えるスターを獲得している vLLM は、広範なユーザーを抱えているため、重要な問題に発展する可能性もある。その脆弱性 CVE-2025-29783 の CVSS スコアは 9.0 と評価されている。

Better Auth Library のオープン・リダイレクトの脆弱性が FIX：CVE は未採番

Account Takeover Vulnerability Found in Better Auth Library

2025/02/07 SecurityOnline — 人気の TypeScript 認証フレームワーク Better Auth ライブラリに、深刻なセキュリティ脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、セキュリティ対策を回避し、ユーザー・アカウント乗っ取りの可能性を手にする。

OpenH264 コーデックの脆弱性 CVE-2025-27091 が FIX：深刻な RCE の可能性

OpenH264 Codec Vulnerability (CVE-2025-27091): Remote Code Execution Possible

2025/02/25 SecurityOnline — Cisco が公表したのは、OpenH264 コーデック・ライブラリの深刻度の高い脆弱性に関するセキュリティ・アドバイザリである。この脆弱性 CVE-2025-27091 (CVSSv4：8.6) の悪用に成功したリモートの攻撃者は、ヒープ・オーバーフローをトリガーし、任意のコード実行の機会を得るという。

OpenSSL RPK の深刻な脆弱性 CVE-2024-12797 が FIX：MITM 攻撃の可能性

CVE-2024-12797 – High-Severity OpenSSL Flaw: Update Now to Prevent MITM Attacks

2025/02/11 SecurityOnline — 無数の Web サイトやオンライン・サービスを保護するために広く使用されている、暗号化ライブラリである OpenSSL に、深刻な脆弱性が発見された。その脆弱性 CVE-2024-12797 は、従来からの X.509 証明書に代わる認証方法である、Raw Public Keys (RPK) の実装に影響するものだ。

Deep Java Library の脆弱性 CVE-2025-0851 (CVSS 9.8) が FIX：パス・トラバーサルの恐れ

CVE-2025-0851 (CVSS 9.8): Deep Java Library Vulnerability Allows Path Traversal Exploits

2025/02/02 SecurityOnline — ZipUtils.unzip／TarUtils.untar ユーティリティに、パス・トラバーサルの脆弱性 CVE-2025-0851 (CVSS 9.8) が発見された。これらのユーティリティは、DJL (Deep Java Library) で用いられるモデルをロードする際に、tar／zip モデル・アーカイブを抽出するために使用される。この問題は、DJL のバージョン 0.1.0〜0.31.0 に影響を及ぼすものであり、抽出プロセス中の絶対パス・トラバーサルに対する不十分な保護により発生する。

Gradio の脆弱性 CVE-2025-23042 が FIX：機密ファイルの漏洩に至る可能性

CVE-2025-23042 (CVSS 9.1): Gradio Patches Critical ACL Bypass Flaw in Popular Machine Learning Platform

2025/01/15 SecurityOnline — 機械学習のデモや Web アプリ開発で人気を博す、Python ライブラリ Gradio において、深刻な脆弱性 CVE-2025-23042 (CVSS：9.1) に対するパッチが適用された。この脆弱性が悪用されると、Access Control List (ACL) のバイパスが生じ、機密ファイルが暴露する恐れがある。

go-git の脆弱性 CVE-2025-21613／21614 が FIX：不正アクセス／DoS の可能性

Secure Your Repos: go-git Patches Critical Vulnerability – CVE-2025-21613 (CVSS 9.8)

2025/01/07 SecurityOnline — Git インタラクションに用いられる、Go ライブラリ go-git がリリースしたのは、２つの深刻な脆弱性を修正したバージョン 5.13.1 である。これらの脆弱性が悪用されると、不正アクセスや DoS にいたる可能性がある。開発者に対して強く推奨されるのは、依存関係を直ちに更新することだ。

libxml2 の XXE 脆弱性 CVE-2024-40896 (CVSS 9.1) が FIX：システム侵害などの可能性

CVE-2024-40896 (CVSS 9.1): Critical XXE Vulnerability Discovered in libxml2

2023/12/25 SecurityOnline — 人気の XML パース・ライブラリ libxml2 に、新たな脆弱性 CVE-2024-40896 (CVSS 9.1) が発見された。この脆弱性の悪用に成功した攻撃者は、システム侵害／機密データ窃取などの可能性を得るという。libxml2 は、C 言語で書かれた堅牢な XML 解析ライブラリである。さらに、C++／Python／Ruby などのプログラミング言語へのバインディングにより、その汎用性は強化され、多くの開発環境で標準的なツールとなっている。Web サービス／データ処理／システム構成などの各種アプリケーションで、libxml2 が広く利用される背景には、その優れた解析機能と効率性がある。

Golang の暗号ライブラリの脆弱性 CVE-2024-45337 が FIX：認可バイパスの可能性

CVE-2024-45337: Golang Crypto Library Flawed, Risks Authorization Bypass

2024/12/15 SecurityOnline — Golang の暗号ライブラリに、新たな脆弱性 CVE-2024-45337 (CVSS 9.1) が発見された。この脆弱性は、ServerConfig.PublicKeyCallback 関数の誤用に起因するものであり、アプリケーションやライブラリにおいて、認可バイパスを引き起こす可能性を持つ。

JSONata Library の脆弱性 CVE-2024-27307 が FIX：リモートコード実行の可能性

CVE-2024-27307: Critical Flaw in Popular JSONata Library Could Lead to Code Execution

2024/03/14 SecurityOnline — JSON データの照会／変換のために広く使用されている JavaScript ライブラリである JSONata に、深刻な脆弱性が発見された。この脆弱性 CVE-2024-27307 の悪用に成功した攻撃者は、このライブラリに依存するアプリケーション内で、悪意のコードをリモートから実行するという、深刻なセキュリティ・リスクを引き起こす可能性がある。

Zlog Library の深刻な脆弱性 CVE-2024-22857 と PoC：インクルードしているアプリは要注意

CVE-2024-22857: Critical Flaw in Popular Zlog Library Opens Door to Arbitrary Code Execution

2024/03/10 SecurityOnline — Ebryx のセキュリティ研究者である Faran Abdullah と Ali Raza は、人気のオープンソースの C Logging ライブラリで Zlog の深刻な脆弱性を発見した。この、ヒープバッファ・オーバーフローの脆弱性 CVE-2024-22857 の、悪用に成功したリモートの攻撃者は、システム上で任意のコードを実行する可能性を持てる。

SQLite Database Library で 22年前のバグが発覚：Chrome 64 Bit などに生じる影響とは？

22-Year-Old Vulnerability Reported in Widely Used SQLite Database Library

2022/20/25 TheHackerNews — 2000年10月に行われたコード変更がもたらした、SQLite データベース・ライブラリの深刻な脆弱性により、プログラムのクラッシュや乗っ取りが生じる可能性が判明した。この 22 年前の脆弱性 CVE-2022-35737 (CVSS : 7.5) は、SQLite バージョン 1.0.12〜3.39.1 に影響するものであり、2022 年 7 月 21 日にリリースされたバージョン 3.39.2 で対処されている。

25 種類の悪意の JavaScript ライブラリ：NPM 公式パッケージ・レジストリ

25 Malicious JavaScript Libraries Distributed via Official NPM Package Repository

2022/02/22 TheHackerNews — 悪意を持った 25種類の JavaScript ライブラリが、公式の NPM パッケージ・レジストリに新たに登録され。感染したシステムから Discord トークンや環境変数を盗みだそうとしている。DevOps セキュリティ企業である JFrog は、「問題のライブラリは typosquatting 技術を活用し、colors.js／crypto-js／discord.js／marked／noblox.js といった正規パッケージを装っているが、これらのパッケージは “ビギナー・マルウェア作者の作品” だ」と指摘している。

Node.js NPM パッケージにバックドア：2200万回／週も DL される人気のライブラリ

Two NPM Packages With 22 Million Weekly Downloads Found Backdoored

2021/11/07 TheHackerNews — オープンソース・ソフトウェアのリポジトリを標的とした、新たなサプライチェーン攻撃が発生した。毎週の累積ダウンロード数が、約2,200万にも上る人気の NPM パッケージ２つが、開発者のアカウントへの不正アクセスにより、悪意のコードで侵害されていたことが判明した。

アプリケーションに含まれる Third-Party ライブラリの 79% が更新されていない？

79% of Third-Party Libraries in Apps Are Never Updated

2021/06/24 DarkReading — ソフトウェア開発者は、サードパーティ・ライブラリをコードベースに組み込んだ後に、そのライブラリをアップデートしないことが、大半であることが分かった。Veracode は、301,000 以上のソフトウェア・ライブラリを含む、約86,000の顧客リポジトリを対象に、1,300万回のスキャンを行った結果を分析した。