OpenSource – Page 3 – IoT OT Security News

Bitnami Pgpool の脆弱性 CVE-2025-22248 とミスコンフィグ：PostgreSQL への不正アクセスが可能に

Critical Misconfiguration in Bitnami Pgpool Enables Unauthenticated PostgreSQL Access (CVE-2025-22248)

2025/05/14 SecurityOnline — Bitnami Pgpool-II Docker image および bitnami/postgres-ha Kubernetes Helm chart に存在する、深刻なセキュリティ脆弱性が確認された。この脆弱性は CVE-2025-22248 として追跡されており、CVSS v4 スコアは 9.4 と評価されている。この脆弱性を悪用する攻撃者は、認証を必要とすることなく、PostgreSQL データベースへアクセスを手にするようだ。

WordPress TheGem Theme の脆弱性 CVE-2025-4317／4339 が FIX：連鎖によるサイト乗っ取りの恐れ

82,000+ WordPress Sites at Risk: TheGem Theme Vulnerabilities Allow Full Site Takeover

2025/05/14 SecurityOnline — Wordfence が開示した情報によると、ThemeForest で販売され、82,000件以上の実績を持つ、人気のプレミアム WordPress テーマ TheGem に、２つの深刻な脆弱性が発見されたようだ。これらの脆弱性 CVE-2025-4317／CVE-2025-4339 を、サブスクライバー・レベル以上のアクセス権を持つ、認証済みユーザーが悪用すると、影響を受ける Web サイトの完全な制御を奪われる可能性があるという。

GNU Screen の複数の脆弱性が FIX：ローカル Root の悪用や TTY ハイジャックなど

Multiple CVEs in GNU Screen: Local Root Exploit and TTY Hijacking Discovered

2025/05/13 SecurityOnline — 広く使用されるターミナル・マルチプレクサ GNU Screen に存在する、複数の深刻な脆弱性が、SUSE セキュリティ・チームによる包括的なセキュリティ監査により明らかにされた。その中には、ローカル権限から root 権限への昇格を可能にする脆弱性も含まれるという。これらの脆弱性は、最新の Screen 5.0.0リリースと、広く導入されている Screen 4.9.x に影響を及ぼすが、ディストリビューションのコンフィグに応じて差異が生じるという。

Insomnia API Client の脆弱性 CVE-2025-1087 が FIX：不十分な入力検証が引き起こす RCE

CVE-2025-1087: Critical Template Injection in Insomnia API Client Enables Remote Code Execution

2025/05/13 SecurityOnline — Kong が提供する人気の OSS API クライアント Insomnia に存在する、深刻な脆弱性 CVE-2025-1087 (CVSS：9.3) を悪用する攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を得るという。したがって、REST／GraphQL／WebSocket／SSE／gRPC エンドポイントとのインタラクションにおいて、Insomnia を利用する開発者／テスター／DevOpsチームにとって、この脆弱性は重大なリスクとなる。

Linux Kernel nftables の脆弱性 CVE-2024-26809：カーネル・コード実行の PoC が登場

PoC Released: CVE-2024-26809 Exploits nftables Double-Free to Achieve Root Shell

2025/05/12 SecurityOnline — Linux カーネルの nftables サブシステムにおける、net/netfilter モジュールに脆弱性が発見された。この脆弱性を悪用する攻撃者は、nft_pipapo_destroy()の二重解放により、ローカル権限昇格の可能性を得る。この脆弱性 CVE-2024-26809 は、カーネル・バージョン 6.1-rc1 以降および 5.15.54 以降に影響を及ぼす。

npm で新たなリポジトリ汚染：人気パッケージ “rand-user-agent” が標的にされた

Supply chain attack hits npm package with 45,000 weekly downloads

2025/05/08 BleepingComputer — npm パッケージ “rand-user-agent” がサプライチェーン攻撃を受け、難読化されたコードを注入されたことが判明した。このコードは、ユーザーのシステム上で RAT(Remote Access Trojan) を起動させるよう設計されている。“rand-user-agent” パッケージは、ランダムなユーザー・エージェント文字列を生成するツールであり、Web スクレイピング／自動テスト／セキュリティ研究などに役立つものだ。このパッケージは、現在では非推奨となっているが、週平均で 45,000 件ものダウンロード数を誇っている。

Apache ActiveMQ の脆弱性 CVE-2025-27533 が FIX：メモリ割り当ての問題と DoS 攻撃

CVE-2025-27533: Apache ActiveMQ Memory Allocation Bug Could Lead to Denial of Service

2025/05/08 SecurityOnline — 複数のプロトコルとクロス・プラットフォーム統合を強力にサポートする、OSS のメッセージ・ブローカー Apache ActiveMQ に、深刻なメモリ割り当ての脆弱性 CVE-2025-27533 が発見され、サービス拒否 (DoS) 攻撃が引き起こされる可能性が生じている。

IGEL OS の脆弱性 CVE-N/A が FIX：ネットワーク・コンフィグの欠陥による権限昇格

Critical Privilege Escalation Flaw in IGEL OS Exposes Systems to Root Access Risks

2025/05/08 SecurityOnline —IGEL Technology が発行したのは、Linux ベースのオペレーティング・システム IGEL OS に存在する、深刻な権限昇格の脆弱性に関するセキュリティ・アドバイザリである。この脆弱性を悪用する攻撃者は、影響を受けるシステム上で root レベルのアクセス権限を取得する可能性を手にする。IGEL のアドバイザリには、「IGEL OS のネットワーク・コンフィグ・メカニズムに、権限昇格型の脆弱性が発見された。この脆弱性を悪用する、適切な権限を持たないユーザーが、root としてコマンドを実行する可能性がある」と記されている。

cpp-httplib の脆弱性 CVE-2025-46728 が FIX：メモリ枯渇と DoS 攻撃の可能性

CVE-2025-46728: cpp-httplib Vulnerability Exposes Servers to Denial of Service

2025/05/07 SecurityOnline — C++11 のファイル・ヘッダーのみで構成され、セットアップの容易さで知られている、クロス・プラットフォーム HTTP/HTTPS ライブラリである cpp-httplib が、深刻なセキュリティ脆弱性に直面している。先日に確認された、脆弱性 CVE-2025-46728 を悪用する脅威アクターは、このライブラリを使用するアプリケーションに対して、サービス拒否 (DoS) 攻撃を仕掛ける可能性を手にする。

CISA KEV 警告 25/05/06：FreeType の脆弱性 CVE-2025-27363 を登録

U.S. CISA adds FreeType flaw to its Known Exploited Vulnerabilities catalog

2025/05/07 SecurityAffairs — Cybersecurity and Infrastructure Security Agency (CISA) は、FreeType の脆弱性 CVE-2025-27363 (CVSS：8.1) を Known Exploited Vulnerabilities (KEV) カタログに追加した。2025年3月中旬に Meta は、この境界外書き込みの脆弱性が、攻撃で悪用されている可能性があると警告していた。

フェイク Discord パッケージと RAT：PyPI から 11,500+ のダウンロード

Researchers Uncover Malware in Fake Discord PyPI Package Downloaded 11,500+ Times

2025/05/07 TheHackerNews — Python Package Index (PyPI) リポジトリ上で、無害な Discord 関連ユーティリティを装いながら、リモートアクセス型トロイの木馬 (RAT) を取り込んでいる悪意のパッケージを、サイバー・セキュリティ研究者たちが発見した。この問題のパッケージは “discordpydebug” であり、2022年3月21日に PyPI にアップロードされている。すでに、このパッケージは 11,574回もダウンロードされており、PyPI レジストリ上で引き続き提供されている。興味深いことに、このパッケージは、それ以降において更新されていない。

Browser Use の脆弱性 CVE-2025-47241 が FIX：内部サービスへの不正アクセスの恐れ

CVE-2025-47241: Critical Whitelist Bypass in Browser Use Exposes Internal Services

2025/05/07 SecurityOnline — AI エージェントに対してブラウザ自動化機能を提供するツール Browser Use プロジェクトに、深刻な脆弱性が存在することを、ARIMLABS.AI のセキュリティ研究者たちが明らかにした。この CVE-2025-47241 (CVSS：9.3) を悪用する攻撃者は、URL の HTTP 認証ユーザー名パートに偽のドメインを埋め込むことで、ドメイン・ホワイトリスト保護を回避していくという。

OpenCTI の脆弱性 CVE-2025-24977 が FIX：Root-Level 攻撃の可能性

CVE-2025-24977: Critical RCE Flaw in OpenCTI Platform Exposes Infrastructure to Root-Level Attacks

2025/05/07 SecurityOnline — サイバー脅威インテリジェンスの管理に用いられる OSS ソリューション OpenCTI プラットフォームに、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-24977 (CVSS：9.1) を悪用する攻撃者は、ホスティング・インフラ上でコマンドを実行し、機密情報へのアクセスを可能にするという。

Apache Pinot のミスコンフィグ：Kubernetes との組み合わせで生じる欠陥への攻撃 – Microsoft

Microsoft Warns of Attackers Exploiting Misconfigured Apache Pinot Installations

2025/05/06 SecurityWeek — Kubernetes のセキュリティについて Microsoft が実施した調査により、Apache Pinot のミスコンフィグのあるインスタンスを、脅威アクターたちが標的にしていることが明らかになった。Apache Pinot は、大規模なデータセットを高速かつ低レイテンシでクエリできるように設計された、OSS のリアルタイム分析プラットフォームである。それが評価され、Walmart／Uber／Slack／LinkedIn／Wix／Stripe などの世界有数の企業で、Pinot は使用されている。

Linux が標的の Go モジュール・マルウェア：ディスク完全削除でサプライチェーンを狙う

Malicious Go Modules Deliver Disk-Wiping Linux Malware in Advanced Supply Chain Attack

2025/05/03 TheHackerNews — サイバー・セキュリティ研究者たちが発見した、３つの悪意のある Go モジュールは、次段階のペイロードを取得する難読化コードにより、Linux システムのプライマリ・ディスクを永久に上書きし、起動不能にする可能性があるものだ。それらのパッケージ名は、以下の通りである：

github[.]com/truthfulpharm/prototransform
github[.]com/blankloggia/go-mcp
github[.]com/steelpoor/tlsproxy

Couchbase Server for Windows の脆弱性 CVE-2025-46619 が FIX：システム・ファイル・アクセスの可能性

CVE-2025-46619: LFI Vulnerability Affects Multiple Versions of Couchbase Server for Windows

2025/05/02 SecurityOnline — 高性能でインタラクティブなアプリケーション向けに設計され、広く利用されている NoSQL ドキュメント・データベース Couchbase Server に、深刻な脆弱性 CVE-2025-46619 (CVSS：8.7) が発見された。この、Windows 版 Couchbase Server に影響を及ぼす、ローカル・ファイル・インクルード (LFI：Local File Inclusion) の脆弱性を悪用する攻撃者は、機密性の高いシステム・ファイルへのアクセスを手にする可能性があるという。

脆弱性対応のためのワークフロー・オーケストレーション：Tines を活用する効率化ガイド

How to Automate CVE and Vulnerability Advisory Response with Tines

2025/05/02 TheHackerNews — ワークフロー・オーケストレーションと AI プラットフォームのチームが運営する、Tines ライブラリに収録されるのは、あらかじめ構築されたワークフローであり、コミュニティのセキュリティ専門家たちが共有してきたものである。それらの全ては、Community Edition を通じて提供されており、無料でのインポート／デプロイが可能だ。

vLLM の脆弱性 CVE-2025-32444 (CVSS 10) が FIX：Mooncake 統合時の RCE

CVE-2025-32444 (CVSS 10): Critical RCE Flaw in vLLM’s Mooncake Integration Exposes AI Infrastructure

2025/05/01 SecurityOnline — 高性能の推論と LLM の提供に利用される人気の OSS ライブラリ vLLM に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-32444 (CVSS：10.0) は、Mooncake 統合を利用したデプロイメントにおいて、深刻なリモートコード実行 (RCE) のリスクを生じるという。

Linux Kernel の脆弱性 CVE-2025-21756 が FIX：完全な Root アクセスと PoC エクスプロイト

CVE-2025-21756: How a Tiny Linux Kernel Bug Led to a Full Root Exploit, PoC Releases

2025/04/29 SecurityOnline — Linux Kernel の vsock サブシステムに影響を与える、解放後使用 (UAF) の脆弱性 CVE-2025-21756 の全容が、セキュリティ研究者である Michael Hoefler の分析で、を明らかになった。当初は、vsock_remove_sock() の動作を数行で変更する単純なコード調整から始まり、最終的には、ローカル権限昇格 (LPE) とカーネル・コード実行へと至るものだという。

Linux セキュリティ・ツールの盲点：検出不能な io_uring のみを用いる攻撃とは？

Critical Flaw Exposes Linux Security Blind Spot: io_uring Bypasses Detection

2025/04/28 SecurityOnline — ARMO の研究者たちが、Linux ランタイム・セキュリティ・ツールに存在する、深刻な脆弱性を発見した。明らかにされたのは、従来の監視ソリューションでは検知されないルート・キットの動作を、io_uring インターフェイスが可能にするという仕組みである。この発見が示すのは、Falco／Tetragon などに加えて、Microsoft Defender for Endpoint などの広く使用されている多くのツールが、このメカニズムを悪用する攻撃を、検知できないという現実である。

React Router の脆弱性 CVE-2025-43864／43865 が FIX：ポイズニングとスプーフィング

React Router Vulnerabilities CVE-2025-43864 and CVE-2025-43865 Expose Web Applications to Attack

2025/04/28 SecurityOnline — React Router チームが公開したのは、フレームワーク・モードで実行されるアプリケーションに影響を及ぼす、２つの脆弱性 CVE-2025-43864／CVE-2025-43865 に対処するためのアドバイザリである。React Router は、約 1,400万回／週のペースでダウンロードされ、広範なアプリケーションで利用されるため、これらの脆弱性は整合性と可用性に深刻なリスクをもたらすと懸念されている。

GoSearch は OSS の OSINT ツール：Hudson Rock などのデータを解析／視覚化

GoSearch: Open-source OSINT tool for uncovering digital footprints

2025/04/28 HelpNetSecurity — GoSearch が提供するものは、Hudson Rock のサイバー犯罪データベースのデータを取り入れ、サイバー犯罪との関連性に示す詳細な情報である。また、BreachDirectory.org と ProxyNova のデータベースも活用し、ユーザー名に関連付けられたプレーン・テキストやハッシュ化されたパスワードなどの、侵害されたデータへの広範なアクセスを提供している。不要な複雑さを避け、信頼性の高い結果を求める捜査官にとって、GoSearch は最適なツールとなっている。

Apache SeaTunnel の脆弱性 CVE-2025-32896 が FIX：File Read & RCE の可能性

CVE-2025-32896: Apache SeaTunnel Flaw Enables Unauthenticated File Read & RCE

2025/04/13 SecurityOnline — 分散データ統合プラットフォームとして広く利用される Apache SeaTunnel に、新たな脆弱性 CVE-2025-32896 が発見された。この脆弱性を悪用する未認証の攻撃者により、任意のファイル読取りなどの、デシリアライゼーション・ベースの攻撃が実行される可能性が生じている。

WordPress OttoKit の脆弱性 CVE-2025-3102：パッチのリリースと積極的な悪用の検出

Vulnerability in OttoKit WordPress Plugin Exploited in the Wild

2025/04/11 SecurityWeek — WordPress プラグインである OttoKit の脆弱性を、脅威アクターたちが積極的に悪用しており、多くの Web サイトに深刻な侵害の可能性があると、WordPress セキュリティ企業の Wordfence が警告している。以前には SureTriggers という名称だった OttoKit：All-in-One Automation Platform は、Web サイト管理者によるタスクの自動化と、アプリケーション／Web サイト／WordPress プラグインの連携を担うプラグインである。

GitHub Action での連鎖的攻撃：SpotBugs の PAT 漏洩トリガー説を掘り下げる

SpotBugs Access Token Theft Identified as Root Cause of GitHub Supply Chain Attack

2025/04/04 TheHackerNews — Coinbase を最初に標的とし、その後に “tj-actions/changed-files” GitHub Action のユーザーへと拡大していった、いわゆる連鎖型のサプライチェーン攻撃が確認されている。さらに、この攻撃の足跡を遡ると、SpotBugs に関連する PAT (personal access token) の窃取に端を発していたことが判明した。

OpenVPN の脆弱性 CVE-2025-2704 が FIX：サーバ・クラッシュとサービス中断の恐れ

CVE-2025-2704: Critical Bug in OpenVPN Can Trigger Server Crashes

2025/04/04 SecurityOnline — OpenVPN コミュニティが発表したのは、サーバ・サイドの脆弱性 CVE-2025-2704 を修正する、重要なセキュリティ・アップデート OpenVPN 2.6.14 のリリースである。この脆弱が微武器化されると、”–tls-crypt-v2″ オプションでコンフィグされた VPN サーバが、クラッシュする可能性が生じる。

Apache Parquet Java の脆弱性 CVE-2025-30065 (CVSS 10) が FIX：任意のコード実行の恐れ

CVE-2025-30065 (CVSS 10): Critical Vulnerability Discovered in Apache Parquet Java

2025/04/02 SecurityOnline — 広く使用されている OSS のカラム指向データファイル形式である Apache Parquet に、深刻なセキュリティ脆弱性が存在することが判明した。この脆弱性は、Apache Parquet Java ライブラリを使用するシステムに対して、深刻なリスクをもたらす。

PostgreSQL のインスタンス 1,500+ を悪用：XMRig をファイルレスで展開するキャンペーンとは？

Over 1,500 PostgreSQL Servers Compromised in Fileless Cryptocurrency Mining Campaign

2025/04/01 TheHackerNews — インターネットに露出する PostgreSQL インスタンスが、進行中のキャンペーンのターゲットにされているが、その目的は、不正アクセスの取得と、暗号通貨マイナーの展開にあるという。クラウド・セキュリティ企業 Wiz によると、2024年8月の時点で Aqua Security がフラグを付けた、侵入セットの亜種による活動が検出され、PG_MEM と呼ばれるマルウェア株が展開されているという。このキャンペーンは、Wiz が JINX-0126として追跡している、脅威アクターによるものとされる。

Ubuntu Linux の脆弱性 CVE-N/A：非特権ユーザー名前空間の問題と Qualys のサポート

New Ubuntu Linux Vulnerabilities Let Attackers Exploit Kernel Components

2025/03/31 gbhackers — Ubuntu Linux で発見された、一連の新たなセキュリティ脆弱性により、カーネルの悪用リスクに関する懸念が生じている。Qualys Threat Research Unit (TRU) の研究者たちが、Ubuntu の非特権ユーザー名前空間制限に影響を与える、３つの深刻な重バイパスを発見した。それにより、特定の条件下において、攻撃者にカーネル・コンポーネントの悪用を許すことになり得る。

GLPI の SQLi 脆弱性 CVE-2025-24799 が FIX：データ漏えいや RCE に至る可能性

GLPI ITSM Tool Flaw Allows Attackers to Inject Malicious SQL Queries

2025/03/28 gbhackers — 広く使用されているオープンソースの ITSM (IT Service Management) ツールである GLPI に、深刻な SQL インジェクション脆弱性が発見された。この脆弱性 CVE-2025-24799 は、GLPI におけるユーザー入力の処理方法に起因する。この脆弱性が悪用されると、データベースのクエリ操作が未認証のリモート攻撃者に許され、データ盗難／改ざん／リモート・コード実行などの深刻な被害が生じるという。

CoffeeLoader という最新のマルウェア・ローダーを発見：SmokeLoader との連携も疑われる

CoffeeLoader Malware Loader Linked to SmokeLoader Operations

2025/03/27 InfoSecurity — 新たに特定された CoffeeLoader というマルウェア・ローダーだが、エンドポイント・セキュリティ対策を回避しながら、第２段階のペイロードを展開することが確認されている。Zscaler ThreatLabz の研究者たちは、この 2024年9月に登場したマルウェアを追跡しており、SmokeLoader と組み合わせも確認しているという。

Vite の脆弱性 CVE-2025-30208 が FIX：任意のファイル読み取りの PoC も登場

Millions at Risk: PoC Exploit Releases for Vite Arbitrary File Read Flaw (CVE-2025-30208)

2025/03/27 SecurityOnline — 数百万もの最新 Web アプリを支える、超高速フロントエンド・ビルド・ツール Vite に、ファイル・アクセス制御バイパスの脆弱性が発見された。この脆弱性により、任意のファイル・コンテンツが、ブラウザに公開されてしまう可能性が生じている。この脆弱性 CVE-2025-30208 を悪用する攻撃者は、ファイル・システムの制限をバイパスし、機密情報へのアクセスの可能性を手にする。

Microsoft の .NET MAUI を悪用する脅威アクターたち：高機能をマルウェアを量産

Hackers Are Using Microsoft’s .NET MAUI to Spread Android Malware

2025/03/25 HackRead — Microsoft が新たに導入した .NET MAUI アプリ開発ツールを悪用するサイバー犯罪者が、クロス・プラットフォーム機能を備えた Android マルウェアを拡散していることを、McAfee Labs が明らかにした。

npm リポジトリ汚染：Lazarus にリンクする６つの悪意のパッケージを発見

North Korean Lazarus hackers infect hundreds via npm packages

2025/03/11 BleepingComputer — npm (node package manager) で発見された６つの悪意のパッケージだが、悪名高い北朝鮮のハッカー集団 Lazarus にリンクしていたことが特定された。これらの 330 回もダウンロードされたパッケージは、アカウント認証情報の窃取／侵害済みシステムへのバックドア展開／機密性の高い暗号通貨情報の抽出などのために設計されていた。このキャンペーンを発見した Socket Research Team によると、一連の悪意のパッケージは、以前から知られている Lazarus のサプライ・チェーン・オペレーションにリンクしていたという。

Apache Pinot の脆弱性 CVE-2024-56325 (CVSS 9.8) が FIX：深刻な認証バイパスの恐れ

CVE-2024-56325 (CVSS 9.8): Authentication Bypass Vulnerability Discovered in Apache Pinot

2025/03/10 SecurityOnline — LinkedIn と Uber により開発が始まった、高性能リアルタイム OLAP データストア Apache Pinot は、低レイテンシ分析に依存する組織にとって重要なツールとなっている。その Pinot で、新たに発見された認証バイパス脆弱性 CVE-2024-56325 (CVSS：9.8) により、認証を必要としないリモート攻撃者が、影響を受けるシステムに不正アクセスするという、深刻なセキュリティ上の懸念が生じている。

Fleet の脆弱性 CVE-2025-27509 (CVSS 9.3) が FIX：SAML レスポンスに関する不適切な検証

CVE-2025-27509 (CVSS 9.3): Fleet Patches Critical SAML Authentication Vulnerability

2025/03/10 SecurityOnline — IT／Security の運用で広く使用される、OSS プラットフォームの Fleet が公表したのは、SAML 認証に深刻な影響を及ぼす脆弱性 CVE-2025-27509 (CVSSv4：9.3) に対処するための、重要なセキュリティ・アップデートのリリースである。この欠陥の悪用に成功した攻撃者は、認証アサーションの偽造を達成し、システム管理上の侵害を引き起こす可能性を得る。

GitLab の深刻な XSS の脆弱性 CVE-2025-0376 などが FIX：その他の６件の欠陥にも対応

GitLab Patches High-Severity XSS Flaw (CVE-2025-0376) and Other Security Flaws in Latest Release

2025/02/12 SecurityOnline — GitLab が発行したセキュリティ・アドバイザリは、深刻度の高いクロス・サイト・スクリプティング (XSS) などの脆弱性に対処するものであり、ユーザーに対して速やかな更新を促すものである。GitLab Community Edition (CE)／Enterprise Edition (EE) のバージョン 17.8.2／17.7.4／17.6.5 を対象とする、今回のアップデートに取り込まれたのは、合計で９件のセキュリティ問題に対する修正である。

Linux PAM-PKCS#11 の脆弱性 CVE-2025-24032／24531 が FIX：認証バイパスの恐れ

CVE-2025-24032, CVE-2025-24531, and More: Critical Flaws in PAM-PKCS#11 Expose Linux Authentication to Attackers

2025/02/11 SecurityOnline — Linux システムにおける、X.509 証明書ベースのユーザー・ログインに広く使用されている、PAM-PKCS#11 ログイン・モジュールに、複数の深刻なセキュリティ脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、認証メカニズムをバイパスし、システムへの不正アクセスを達成し、権限を昇格させる機会を手にする。

Apache Cassandra の複数の深刻な脆弱性が FIX：認証バイパスや権限昇格の恐れ

Security Flaws Discovered in Apache Cassandra: Unauthorized Access, Privilege Escalation, and JMX Credential Theft

2025/02/05 SecurityOnline — 人気の OSS NoSQL データベース Apache Cassandra だが、深刻な脆弱性に直面しており、機密データへの不正アクセスや不正操作が生じる可能性があるという。Cassandra の各バージョンに影響を及ぼす、３件の明確なセキュリティ上の欠陥が特定されている。したがって、このプラットフォームに依存して、ミッション・クリティカルなデータを運用する組織に、深刻な懸念が生じている。

Linux Kernel eBPF の脆弱性 CVE-2024-56614／56615 が FIX：PoC もリリース

CVE-2024-56614 & CVE-2024-56615: PoC Exploits Released for Severe eBPF Vulnerabilities in Linux Kernel

2025/01/29 SecurityOnline — Linux Kernel の eBPF (Extended Berkeley Packet Filter) フレームワークに発見された２つの脆弱性は、AF_XDP ソケットによる高性能パケット処理機能に影響を及ぼすものだ。それらの脆弱性 CVE-2024-56614／CVE-2024-56615 (CVSS：7.8) は、深刻なセキュリティ・リスクを引き起こす可能性があるとされている。この脆弱性を悪用する攻撃者は、重要な関数で整数オーバーフロー・エラーを引き起こし、境界外書き込みやメモリ破損などを可能にするとされる。

Vaultwarden パスワード管理の複数の脆弱性が FIX：速やかなアップデートが必須！

Password Management at Risk: Vaultwarden Vulnerabilities Expose Millions

2025/01/29 SecurityOnline — Bitwarden に替わる人気の OSS パスワード管理サーバ Vaultwarden に、複数の深刻な脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、管理機能への不正アクセスを達成し、任意のコードを実行することで、このプラットフォームを使用している組織内で権限を昇格させる可能性を手にする。

Coolify の深刻な脆弱性 CVE-2025-22609／22611／22612 が FIX：CVSS スコアは 10.0

CVSS 10 Alert: Coolify Hit by Three Critical Security Flaws – CVE-2025-22612, CVE-2025-22611, and CVE-2025-22609

2025/01/28 SecurityOnline — Server／App／DB 管理する OSS プラットフォームである Coolify で、３つの深刻なセキュリティ脆弱性が発見された。これらの脆弱性 CVE-2025-22612／CVE-2025-22611／CVE-2025-22609 の悪用に成功した攻撃者は、リモートコード実行 (RCE) を達成し、影響を受けるシステムを完全に制御する可能性を手にする。

Git に CVE-2025-23040 などの複数の脆弱性：認証情報の漏洩の可能性

Multiple Git flaws led to credentials compromise

2025/01/27 SecurityAffairs — Git クレデンシャル・プロトコルに複数の脆弱性が存在することが、GMO Flatt Security のセキュリティ研究者である RyotaK により明らかにされた。これらの脆弱性は、Git 認証情報取得プロトコルにおけるメッセージの不適切な処理に起因し、ユーザー認証情報へのアクセスを、攻撃者に許す可能性があるという。

Brave の脆弱性 CVE-2025-23086 がFIX：オリジン URL 表示の問題

Brave Desktop Browser Vulnerability Lets Malicious Sites Appear Trusted

2025/01/27 HackRead — 人気の Brave ブラウザに発見された、深刻なセキュリティ脆弱性を悪用する Web サイトによりユーザーが騙され、信頼できるソースとやり取りしていると信じ込まされている状況が判明した。この脆弱性 CVE-2025-23086 (CWE-60) は、Brave デスクトップ版の 1.70.x 〜 1.73.x に影響を及ぼすものだ。

Apache Solr の脆弱性 CVE-2024-52012／24814 が FIX：ただちにパッチを！

Apache Solr Vulnerabilities CVE-2024-52012 and CVE-2025-24814 Expose Systems to File Write and Code Execution Risks

2025/01/27 SecurityOnline — 信頼性が高くスケーラブルな検索プラットフォームで知られる、Apache Solr プロジェクトがリリースしたのは、２件の深刻な脆弱性に対処するセキュリティ・アップデートである。脆弱性 CVE-2024-52012／CVE-2025-24814 が影響を及ぼす範囲は、Apache Solr のバージョン 6.6 〜 9.7 となる。

Meta Llama-Stack の脆弱性 CVE-2024-50050 が FIX：PoC も提供

CVE-2024-50050: Critical Security Flaw in Meta’s Llama-Stack Framework

2025/01/25 SecurityOnline — Generative AI (GenAI) アプリケーションの構築と展開において、人気を博している OSS フレームワーク Meta Llama-Stack に、深刻な脆弱性 CVE-2024-50050 が存在することを、Oligo Research チームが報告した。pyzmq ライブラリの、安全が確保されない使用による生じる、この脆弱性を悪用するリモートの攻撃者は、任意のコード実行を達成し、AI モデルのホスティング／データの整合性／システムのセキュリティに対して、重大なリスクをもたらすという。

Apache Wicket の深刻な脆弱性 CVE-2024-53299 が FIX：DoS 攻撃の恐れ

Critical Flaw CVE-2024-53299 in Apache Wicket: Memory Leak Flaw Exposes Web Apps to DoS Attacks

2025/01/25 SecurityOnline — 人気の Java ベースの Web App フレームワーク Apache Wicket に、きわめて深刻な脆弱性 CVE-2024-53299 が存在することが判明した。この脆弱性の悪用に成功した攻撃者は、意図的にメモリ・リークをトリガーし、影響を受ける Web アプリケーションに対してサービス拒否 (DoS) 攻撃を仕掛けられることが分かった。

phpMyAdmin の XSS の脆弱性 CVE-2025-24529 が FIX：ただちにアップデートを！

phpMyAdmin Patches XSS Vulnerabilities in Latest Release

2025/01/23 SecurityOnline — MySQL／MariaDB データベース管理で人気を博す、Web ベースツールである phpMyAdmin は、最新リリースであるバージョン 5.2.2 で、２件クロス・サイト・スクリプティング (XSS) の脆弱性に対処した。“Check tables” の脆弱性 CVE-2025-24530 および “Insert” 機能の脆弱性 CVE-2025-24529 を悪用する攻撃者は、アプリケーションに対する悪意のスクリプト挿入を達成し、ユーザー・アカウントや機密情報などのデータに、不正アクセスする可能性を手にする。

Cisco ClamAV の DoS 脆弱性 CVE-2025-20128 が FIX：すでに PoC が提供

Cisco warns of denial of service flaw with PoC exploit code

2025/01/22 BleepingComputer — Cisco がリリースしたセキュリティ・アップデートは、すでに PoC エクスプロイト・コードが公開されている、ClamAV の脆弱性 CVE-2025-20128 を修正するものだ。脆弱性 CVE-2025-20128 の原因は、Object Linking and Embedding 2 (OLE2) 復号ルーチンにおけるヒープベース・バッファ・オーバーフローの欠陥にある。この脆弱性の悪用に成功した未認証のリモートの攻撃者は、脆弱性のあるデバイス上でサービス拒否 (DoS) 状態を引き起こせるという。

Node.js の脆弱性 CVE-2025-23083 などが FIX：機密のデータ／リソースへの不正アクセス

CVE-2025-23083: Node.js Vulnerability Exposes Sensitive Data and Resources

2025/01/21 SecurityOnline — Node.js プロジェクトがリリースしたのは、攻撃者に対してワーカー権限のバイパスを許す可能性の、深刻度の高い欠陥などの、いくつかのセキュリティ脆弱性に対処するアップデートである。