OpenSource – Page 4 – IoT OT Security News

Coolify の深刻な脆弱性 CVE-2025-22609／22611／22612 が FIX：CVSS スコアは 10.0

CVSS 10 Alert: Coolify Hit by Three Critical Security Flaws – CVE-2025-22612, CVE-2025-22611, and CVE-2025-22609

2025/01/28 SecurityOnline — Server／App／DB 管理する OSS プラットフォームである Coolify で、３つの深刻なセキュリティ脆弱性が発見された。これらの脆弱性 CVE-2025-22612／CVE-2025-22611／CVE-2025-22609 の悪用に成功した攻撃者は、リモートコード実行 (RCE) を達成し、影響を受けるシステムを完全に制御する可能性を手にする。

Git に CVE-2025-23040 などの複数の脆弱性：認証情報の漏洩の可能性

Multiple Git flaws led to credentials compromise

2025/01/27 SecurityAffairs — Git クレデンシャル・プロトコルに複数の脆弱性が存在することが、GMO Flatt Security のセキュリティ研究者である RyotaK により明らかにされた。これらの脆弱性は、Git 認証情報取得プロトコルにおけるメッセージの不適切な処理に起因し、ユーザー認証情報へのアクセスを、攻撃者に許す可能性があるという。

Brave の脆弱性 CVE-2025-23086 がFIX：オリジン URL 表示の問題

Brave Desktop Browser Vulnerability Lets Malicious Sites Appear Trusted

2025/01/27 HackRead — 人気の Brave ブラウザに発見された、深刻なセキュリティ脆弱性を悪用する Web サイトによりユーザーが騙され、信頼できるソースとやり取りしていると信じ込まされている状況が判明した。この脆弱性 CVE-2025-23086 (CWE-60) は、Brave デスクトップ版の 1.70.x 〜 1.73.x に影響を及ぼすものだ。

Apache Solr の脆弱性 CVE-2024-52012／24814 が FIX：ただちにパッチを！

Apache Solr Vulnerabilities CVE-2024-52012 and CVE-2025-24814 Expose Systems to File Write and Code Execution Risks

2025/01/27 SecurityOnline — 信頼性が高くスケーラブルな検索プラットフォームで知られる、Apache Solr プロジェクトがリリースしたのは、２件の深刻な脆弱性に対処するセキュリティ・アップデートである。脆弱性 CVE-2024-52012／CVE-2025-24814 が影響を及ぼす範囲は、Apache Solr のバージョン 6.6 〜 9.7 となる。

Meta Llama-Stack の脆弱性 CVE-2024-50050 が FIX：PoC も提供

CVE-2024-50050: Critical Security Flaw in Meta’s Llama-Stack Framework

2025/01/25 SecurityOnline — Generative AI (GenAI) アプリケーションの構築と展開において、人気を博している OSS フレームワーク Meta Llama-Stack に、深刻な脆弱性 CVE-2024-50050 が存在することを、Oligo Research チームが報告した。pyzmq ライブラリの、安全が確保されない使用による生じる、この脆弱性を悪用するリモートの攻撃者は、任意のコード実行を達成し、AI モデルのホスティング／データの整合性／システムのセキュリティに対して、重大なリスクをもたらすという。

Apache Wicket の深刻な脆弱性 CVE-2024-53299 が FIX：DoS 攻撃の恐れ

Critical Flaw CVE-2024-53299 in Apache Wicket: Memory Leak Flaw Exposes Web Apps to DoS Attacks

2025/01/25 SecurityOnline — 人気の Java ベースの Web App フレームワーク Apache Wicket に、きわめて深刻な脆弱性 CVE-2024-53299 が存在することが判明した。この脆弱性の悪用に成功した攻撃者は、意図的にメモリ・リークをトリガーし、影響を受ける Web アプリケーションに対してサービス拒否 (DoS) 攻撃を仕掛けられることが分かった。

phpMyAdmin の XSS の脆弱性 CVE-2025-24529 が FIX：ただちにアップデートを！

phpMyAdmin Patches XSS Vulnerabilities in Latest Release

2025/01/23 SecurityOnline — MySQL／MariaDB データベース管理で人気を博す、Web ベースツールである phpMyAdmin は、最新リリースであるバージョン 5.2.2 で、２件クロス・サイト・スクリプティング (XSS) の脆弱性に対処した。“Check tables” の脆弱性 CVE-2025-24530 および “Insert” 機能の脆弱性 CVE-2025-24529 を悪用する攻撃者は、アプリケーションに対する悪意のスクリプト挿入を達成し、ユーザー・アカウントや機密情報などのデータに、不正アクセスする可能性を手にする。

Cisco ClamAV の DoS 脆弱性 CVE-2025-20128 が FIX：すでに PoC が提供

Cisco warns of denial of service flaw with PoC exploit code

2025/01/22 BleepingComputer — Cisco がリリースしたセキュリティ・アップデートは、すでに PoC エクスプロイト・コードが公開されている、ClamAV の脆弱性 CVE-2025-20128 を修正するものだ。脆弱性 CVE-2025-20128 の原因は、Object Linking and Embedding 2 (OLE2) 復号ルーチンにおけるヒープベース・バッファ・オーバーフローの欠陥にある。この脆弱性の悪用に成功した未認証のリモートの攻撃者は、脆弱性のあるデバイス上でサービス拒否 (DoS) 状態を引き起こせるという。

Node.js の脆弱性 CVE-2025-23083 などが FIX：機密のデータ／リソースへの不正アクセス

CVE-2025-23083: Node.js Vulnerability Exposes Sensitive Data and Resources

2025/01/21 SecurityOnline — Node.js プロジェクトがリリースしたのは、攻撃者に対してワーカー権限のバイパスを許す可能性の、深刻度の高い欠陥などの、いくつかのセキュリティ脆弱性に対処するアップデートである。

Fleet は IT／Security チームのための OSS ツール：パッチ適用から MDM にいたるサービス

Fleet: Open-source platform for IT and security teams

2025/01/21 HelpNetSecurity — Fleet は、何千台ものコンピューターを管理する IT／Security チーム向けに提供される OSS プラットフォームである。そのために、API／GitOps／Webhook／YAML コンフィグレーションと、シームレスに連携するように設計されている。

Apache Ambari の脆弱性 CVE-2025-23195／23196 などが FIX：RCE などの可能性

Critical Apache Ambari Security Vulnerabilities Discovered: What You Need to Know

2025/01/21 SecurityOnline — 人気の Hadoop 管理プラットフォーム Apache Ambari に存在する深刻な脆弱性により、リモート・コード実行やデータ侵害の可能性が生じている。先日に Apache Software Foundation が発表したのは、Hadoop クラスターの管理に使用されるプラットフォーム Apache Ambari に影響を及ぼす、３件の深刻なセキュリティ脆弱性に関する情報である。これらの脆弱性の深刻度は Moderate 〜 Important であり、機密データへの不正にアクセスや、悪意のコード実行を、攻撃者に許すものだとされる。

Rancher の蓄積型 XSS の脆弱性 CVE-2024-52281 が FIX：ただちにパッチを！

CVE-2024-52281: Rancher Vulnerability Exposes Users to Stored XSS Attacks

2025/01/16 SecurityOnline — Kubernetes の導入に広く使用さる OSS コンテナ管理プラットフォーム Rancher に、深刻な脆弱性 CVE-2024-52281 (CVSS：8.9) が発見された。この蓄積型クロス・サイト・スクリプティング (XSS) の欠陥を悪用する攻撃者は、任意の JavaScript コードの実行を達成し、プロダクション環境を重大なリスクにさらす可能性を手にする。

2025年のセキュリティを考える：OSS とソフトウェア・サプライチェーンに注目すべきだ

Cyber Insights 2025: Open Source and Software Supply Chain Security

2025/01/15 SecurityWeek — RapidFort の CEO である Mehran Farimani は、「これまでの 10年間を経て、Open Source Software (OSS) は主要な脅威ベクターとなった。その理由は、500万を超える OSS パッケージが提供されているという、きわめて単純な数字にある」と説明する。Endor Labs の Chief Security Advisor である Chris Hughes は、「これまでの 10年間で、OSS の採用は飛躍的に増加しており、減速の兆候は見られない。現時点において OSS は、最新のコードベースの約 90% に存在し、それらのコードベースの 70～80% を占めている」と指摘する。

Kubernetes の Windows Nodes の脆弱性 CVE-2024-9042：任意のコード実行の可能性

CVE-2024-9042: Code Execution Vulnerability Found in Kubernetes Windows Nodes

2025/01/15 SecurityOnline — Kubernetes の Windows Worker Nodes に影響をおよぼす、新たな脆弱性 CVE-2024-9042 (CVSS：5.9) が発見された。この脆弱性の悪用に成功した攻撃者は、ノードの “/logs” エンドポイントの悪用を達成し、ホストマシン上での任意のコマンド実行の可能性を手にする。

WordPress W3 Total Cache の脆弱性 CVE-2024-12365 が FIX：ただちにパッチを！

CVE-2024-12365: Popular WordPress Caching Plugin Exposes Millions of Sites to Attack

2025/01/15 SecurityOnline — 人気の W3 Total Cache プラグインで発見された深刻度の高い脆弱性により、100 万を超える WordPress Web サイトが危険にさらされている。W3 Total Cache は、Web サイトのパフォーマンスを向上させ、検索エンジンを最適化するためのプラグインである。このプラグインに存在する、脆弱性 CVE-2024-12365 (CVSS：8.5)を悪用する攻撃者は、機密データへの不正にアクセスを達成し、内部システムへ向けた攻撃を仕掛ける可能性を手にする。

Linux Netfilter の権限昇格の脆弱性 CVE-2024-27397：PoC エクスプロイトが登場

Linux Kernel Privilege Escalation Vulnerability (CVE-2024-27397) Exploited: PoC Released

2025/01/13 SecurityOnline — Linux Kernel の netfilter nf_tables コンポーネントに存在する、脆弱性 CVE-2024-27397 (CVSS：7.0) に関する詳細な分析と PoC エクスプロイト・コードが、セキュリティ研究者である liona24 により提供された。この use-after-free の脆弱性は、バージョン 4.1 〜 6.8 に影響を及ぼすものであり、ローカル権限昇格を引き起こす可能性を持つという。

WordPress のデータベースに侵入：新手のクレジットカード・スキマーが発覚

Credit Card Skimmer campaign targets WordPress via database injection

2025/01/13 SecurityAffairs — WordPress の CMS データベース・テーブルに、悪意の JavaScript を挿入して電子商取引サイトを狙う、ステルス型のクレジットカード・スキマー・キャンペーンについて、Sucuri の研究者たちが警告している。この攻撃者は、悪意のコードを WordPress の wp_options テーブルに隠し、widget_block に難読化された JavaScript を挿入してファイル・スキャンを回避し、持続性を維持しているという。

Node.js の新たな試みによるセキュリティの強化：EoL バージョンに対する CVE の発行

Node.js to Issue CVE for End-of-Life Versions

2025/01/09 SecurityOnline — Node.js プロジェクトが発表したのは、サポートが終了したバージョン (EOL：End-of-Life) に対して、CVE を発行するという方針である。これは、ユーザーに最新状態の維持を促し、セキュリティ強化する、重要な取り組みである。Node.js の公式発表には、「Node.js 上で構築されたアプリケーションの、セキュリティと信頼性の確保に全力を尽くしている。この取り組みの一環として、ユーザーがセキュリティ・リスクに関する情報を常に把握できるよう、定期的に手段を見直している」と記されている。

WordPress Fancy Product Designer の脆弱性 CVE-2024-51919／51818：20,000以上のサイトが未パッチ！

Unpatched Vulnerabilities in Fancy Product Designer Plugin Put 20,000+ Websites at Risk

2025/01/09 SecurityOnline — WordPress のプレミアム・プラグインである Fancy Product Designer に、深刻な脆弱性 CVE-2024-51919／CVE-2024-51818 が存在することが、Patchstack のセキュリティ研究者である Rafie Muhammad により発見された。このプラグインは Radykal が開発したものであり、WooCommerce での製品カスタマイズ用に設計され、ユーザーに対して自由なデザインとパーソナライズを提供している。この Fancy Product Designer に、深刻なセキュリティ上の欠陥が発見されたことで、20,000 以上の WordPress サイトがリスクにさらされている。

Apache OpenMeetings の脆弱性 CVE-2024-54676 (CVSS 9.8) が FIX：ただちにパッチを！

Apache OpenMeetings Users Urged to Patch Critical Flaw – CVE-2024-54676 (CVSS 9.8)

2025/01/08 SecurityOnline — ビデオ会議などのコラボレーションで人気を博す、OSS プラットフォーム Apache OpenMeetings で、深刻なセキュリティ脆弱性 CVE-2024-54676 (CVSS：9.8) が発見された。この脆弱性の悪用に成功した攻撃者は、脆弱なシステム上で任意のコード実行を達成し、機密データの窃取やサービスの中断などを引き起こす可能性を手にする。

Dell OMSA の認証バイパスの脆弱性 CVE-2024-52316 が FIX：直ちにアップデートを！

Authentication Bypass Vulnerability Found in Dell OpenManage Server Administrator

2025/01/07 SecurityOnline — Dell がリリースしたセキュリティ・アップデートは、OpenManage Server Administrator (OMSA) ソフトウェアに影響を及ぼす、Apache Tomcat の脆弱性 CVE-2024-52316 (CVSS：9.8)に対処するためのものだ。この脆弱性の悪用に成功した攻撃者は、認証をバイパスし、影響を受けるシステムへの不正アクセスの可能性を手にする。

go-git の脆弱性 CVE-2025-21613／21614 が FIX：不正アクセス／DoS の可能性

Secure Your Repos: go-git Patches Critical Vulnerability – CVE-2025-21613 (CVSS 9.8)

2025/01/07 SecurityOnline — Git インタラクションに用いられる、Go ライブラリ go-git がリリースしたのは、２つの深刻な脆弱性を修正したバージョン 5.13.1 である。これらの脆弱性が悪用されると、不正アクセスや DoS にいたる可能性がある。開発者に対して強く推奨されるのは、依存関係を直ちに更新することだ。

Redis の脆弱性 CVE-2024-51741／46981 が FIX：DoS と RCE の可能性

CVE-2024-51741 and CVE-2024-46981: Redis Flaws Expose Millions to DoS and RCE Risks

2025/01/06 SecurityOnline — 人気のインメモリ・データベース Redis で発見された、２件の脆弱性により数百万のユーザーが危険にさらされている。脆弱性 CVE-2024-51741 は、サービス拒否 (DoS) 攻撃をトリガーし、脆弱性 CVE-2024-46981 は、リモートコード実行 (RCE) を可能にするものである。

OpenVPN Connect の脆弱性 CVE-2024-8474：プライベート・キー漏洩の恐れ

CVE-2024-8474: OpenVPN Connect Vulnerability Leaks Private Keys

2025/01/06 SecurityOnline — 人気の VPN クライアント・アプリ OpenVPN Connect に存在する、深刻なセキュリティ脆弱性が修正された。この脆弱性が悪用されると、ユーザーの秘密鍵の公開や、VPN トラフィックの復号化などにいたる恐れがあるという。

脅威リサーチを構成するプロプラと OSS：組織が備えるべきセキュリティ対策とは

Balancing proprietary and open-source tools in cyber threat research

2025/01/06 HelpNetSecurity — Microsoft の Senior Security Researcher である Thomas Roccia へのインタビューは、サイバーセキュリティ運用における迅速かつ適切な意思決定を、脅威リサーチが促進する状況について説明するものだ。彼の示すのは、脅威リサーチの内部と外部のバランスおよび、AI と地政学的イベントの影響、そして、組織におけるセキュリティ対策の強化に関する洞察である。

GoCD の脆弱性 CVE-2024-56320 が FIX：CI/CD プラットフォームに権限昇格の可能性

GoCD Patches Critical Vulnerability Allowing User Privilege Escalation

2025/01/05 securityonline — OSS の CI/CD プラットフォームである GoCD に、深刻な脆弱性 CVE-2024-56320 (CVSS 9.4) が発見された。この脆弱性の悪用に成功した攻撃者は、特権を管理者レベルに昇格させる可能性を得る。この脆弱性は GoCD のバージョン 24.5.0 未満に存在するが、すでに修正されている。脆弱性 CVE-2024-56320 の原因は、管理者用の “Configuration XML” UI 機能および、関連 API アクセスにおける不適切な認証にある。この脆弱性の悪用に成功した攻撃者は、機密情報への不正アクセスを達成し、GoCD システム全体を完全に制御する可能性を手にする。

Nuclei の脆弱性 CVE-2024-43405 が FIX：署名バイパス／コード実行を許す可能性

Nuclei flaw allows signature bypass and code execution

2025/01/05 SecurityAffairs — ProjectDiscovery の OSS 脆弱性スキャナ Nuclei に存在する、深刻な脆弱性 CVE-2024-43405 (CVSS 7.4) が、Wiz のエンジニアリング・チームにより発見された。この脆弱性の悪用に成功した攻撃者は、署名チェックをバイパスし、悪意のコード実行の可能性を手にする。この脆弱性は、改行文字の処理における不一致と、複数署名の処理に起因するものであり、テンプレートへの悪意のコンテンツ注入を、攻撃者に許すことになり得る。

WordPress UpdraftPlus の脆弱性 CVE-2024-10957 が FIX：300 万の Web サイトが危険に

CVE-2024-10957 Exposes Over 3 Million WordPress Sites to Unauthenticated PHP Object Injection Exploits

2025/01/04 SecurityOnline — WordPress の 300 万以上の Web サイトで使用される、UpdraftPlus Backup & Migration プラグインに、新たな脆弱性が発見された。この脆弱性 CVE-2024-10957 (CVSS：8.8) の悪用に成功した未認証の攻撃者は、特定の条件下で PHP オブジェクト・インジェクションを達成するチャンスを得るという。

Next.js の DoS 脆弱性 CVE-2024-56332 が FIX：Server Actions に悪用の恐れ

Next.js Patches Denial-of-Service Vulnerability (CVE-2024-56332) in Server Actions

2025/01/03 SecurityOnline — 人気の React フレームワーク Next.js が公表したのは、Server Actions を用いるアプリケーションに対して、サービス拒否 (DoS) 攻撃が仕掛けられる可能性がある、セキュリティ脆弱性への対処である。この脆弱性 CVE-2024-56332 は、PackDraw チームにより検出／公開されたものだ。

Ethereum 開発環境 Hardhat を装う悪意の npmパッケージ：秘密鍵などが標的に

Malicious npm packages target Ethereum developers’ private keys

2025/01/03 BleepingComputer — Ethereum の開発者が使用する、Hardhat を装う 20件の悪意のパッケージが、秘密鍵などの機密データを標的にしている。研究者たちによると、これらの悪意のパッケージは、合計で 1,000回以上ダウンロードされているという。

iTerm2 の脆弱性 CVE-2025-22275 (CVSS 9.3) が FIX：情報漏洩に至る可能性

CVE-2025-22275 (CVSS 9.3): iTerm2 Patches Critical Security Flaw Exposing User Input and Output

2025/01/02 SecurityOnline — macOS 用の人気ターミナル・エミュレータである iTerm2 に、深刻なセキュリティ脆弱性 CVE-2025-22275 (CVSS 9.3) が発見された。この脆弱性の悪用に成功した攻撃者は、機密性の高いユーザーデータへの不正アクセスの可能性を手にする。なお、この脆弱性の影響の範囲は、バージョン 3.5.6〜3.5.10／3.5.6 以降のベータ版であり、すでに修正されている。

TrueNAS CORE の脆弱性 CVE-2024-11944 が FIX：認証なしで RCE に至る可能性

CVE-2024-11944: TrueNAS CORE Vulnerability Allows Unauthenticated Attacks

2024/12/30 SecurityOnline — 人気の OSS の NAS OS である TrueNAS CORE に、深刻な脆弱性 CVE-2024-11944 (CVSS 7.5) が発見された。この脆弱性の悪用に成功した未認証の攻撃者は、脆弱な TrueNAS デバイス上でリモート・コード実行の可能性を手にする。

Linux Kernel の権限昇格の脆弱性 CVE-2023-4147：PoC がリリースされた

Linux Kernel Vulnerability CVE-2023-4147: PoC Exploit Published for Privilege Escalation Flaw

SecurityOnline — Linux Kernel に存在する脆弱性 CVE-2023-4147 (CVSS：7.8)に関する、技術的な詳細と PoC エクスプロイトが、セキュリティ研究者たちにより公開された。この脆弱性の悪用に成功した攻撃者は、権限を昇格してシステム・セキュリティを侵害する可能性を得る。この脆弱性は、Linux ファイアウォール・システムの、重要なコンポーネントである Netfilter 機能内の use-after-free の欠陥に起因する。

Apache NiFi CVE-2024-56512 が FIX：機密情報への不正アクセスなどの可能性

CVE-2024-56512: Apache NiFi Vulnerability Exposes Sensitive Data to Unauthorized Users

2024/12/29 SecurityOnline — Apache NiFi で新たに発見された脆弱性により、機密情報への不正アクセスなどが、攻撃者に許されるという可能性が生じている。広範に利用されるデータ処理および配信システム NiFi の、脆弱性 CVE-2024-56512 は、バージョン 1.10.0〜2.0.0 に影響を及ぼす。

Apache Traffic Control の SQLi の脆弱性 CVE-2024-45387：PoC が提供される！

CVE-2024-45387: PoC Published for Critical SQL Injection in Apache Traffic Control

2024/12/29 SecurityOnline — Apache Traffic Control に存在する、深刻な SQL インジェクション脆弱性 CVE-2024-45387 (CVSS：9.9) の PoC エクスプロイト・コードが、セキュリティ研究者の Abdelrhman Zayed と Mohamed Abdelhady により公開された。この脆弱性は深刻度が高いものであるため、悪用により甚大な損害が引き起こされる可能性がある。

Tabby の脆弱性 CVE-2024-55950 が FIX：macOS TCC バイパスとの連鎖の懸念

CVE-2024-55950: Tabby Terminal Emulator Vulnerability Exposes macOS Users to Privacy and Security Risks

2024/12/29 SecurityOnline — Tabby (以前の Terminus)に、深刻度の高い脆弱性 CVE-2024-55950 (CVSS：8.6) が発見された。Tabby は、Windows／macOS／Linux で広く使用されている Terminal Emulator／SSH Client である。GitHub では約 61,000 個のスターを獲得し、1,500 万回を超えるダウンロード数を誇る Tabby であるだけに、過度に緩い権限と不要なアクセス許可により、多くのユーザーが潜在的なリスクにさらされることになる。

GStreamer ライブラリに複数の脆弱性：各種の Linux Systems や MM アプリにリスク

Linux Systems at Risk: GStreamer Vulnerabilities Threaten Millions

20224/12/29 SecurityOnline — Ubuntu／Fedora／openSUSE などの Linux ディストリビューションで採用される、OSS のマルチメディア・フレームワークである GStreamer に 29 件の脆弱性が発見されたと、GitHub Security Lab の Antonio Morales による最新レポートが伝えている。GStreamer は、Audio／Video のデコード／字幕解析とメディア・ストリーミングなどの、広範なマルチメディア機能をサポートしている。マーケットに提供される数多くのシステムの重要なコンポーネントであり、 Nautilus／GNOME Videos／Rhythmbox といった主要アプリケーションと統合されているため、サイバー攻撃者にとって魅力的なターゲットになっている。

Invoice Ninja の SSRF 脆弱性 CVE-2024-53353 が FIX：PDF 生成機能を悪用

Critical SSRF Vulnerability (CVE-2024-53353) Found in Invoice Ninja

2024/12/27 SecurityOnline — オープンソースの請求書作成・プロジェクト管理プラットフォームである Invoice Ninja に、SSRF (Server-Side Request Forgery) の脆弱性 CVE-2024-53353 が発見された。この脆弱性を悪用する攻撃者に対して、システムのホスト・サーバ上の機密ファイルの読み取りが許されるという。この脆弱性を発見した Pretera のセキュリティ研究者 Arben Shala から、詳細なレポートが公開されている。

Apache MINA の RCE 脆弱性 CVE-2024-52046 がFIX：CVSS 値は 10.0

CVE-2024-52046 (CVSS 10): Critical Apache MINA Flaw Could Allow Remote Code Execution

2024/12/25 SecurityOnline — 人気のネットワーク・アプリケーション・フレームワーク Apache MINA に、深刻な脆弱性 CVE-2024-52046 (CVSS 10.0) が発見された。この脆弱性を悪用する攻撃者は、脆弱なシステム上で任意のコード実行の可能性を得るため、早急なパッチ適用が最優先事項となる。

libxml2 の XXE 脆弱性 CVE-2024-40896 (CVSS 9.1) が FIX：システム侵害などの可能性

CVE-2024-40896 (CVSS 9.1): Critical XXE Vulnerability Discovered in libxml2

2023/12/25 SecurityOnline — 人気の XML パース・ライブラリ libxml2 に、新たな脆弱性 CVE-2024-40896 (CVSS 9.1) が発見された。この脆弱性の悪用に成功した攻撃者は、システム侵害／機密データ窃取などの可能性を得るという。libxml2 は、C 言語で書かれた堅牢な XML 解析ライブラリである。さらに、C++／Python／Ruby などのプログラミング言語へのバインディングにより、その汎用性は強化され、多くの開発環境で標準的なツールとなっている。Web サービス／データ処理／システム構成などの各種アプリケーションで、libxml2 が広く利用される背景には、その優れた解析機能と効率性がある。

Apache HugeGraph の脆弱性 CVE-2024-43441 が FIX：認証バイパスの可能性

CVE-2024-43441: Authentication Bypass Vulnerability Found in Apache HugeGraph-Server

2024/12/25 securityonline — OSS グラフ・データベース・システムである Apache HugeGraph-Server に、深刻な脆弱性 CVE-2024-43441 が発見された。この脆弱性は、Apache Software Foundation により公開され、深刻度 “Important” と評価されている。この脆弱性の悪用に成功した攻撃者は、想定外の変更不能なデータを用いて認証メカニズムを回避し、機密性の高いグラフデータやオペレーションに対する、不正アクセスの可能性を手にする。

Apache Traffic Control の SQLi 脆弱性 CVE-2024-45387 が FIX：データ漏えいなどの可能性

CVE-2024-45387 (CVSS 9.9): Critical SQL Injection Vulnerability Found in Apache Traffic Control

2024/12/24 SecurityOnline — 人気のオープンソース・プラットフォームである Apache Traffic Control に、深刻な脆弱性 CVE-2024-45387 (CVSS 9.9) が発見された。この脆弱性の悪用に成功した攻撃者は、悪意の SQL コードの実行や、機密データへの不正アクセス、重要サービスに対する妨害などを引き起こす可能性を得る。

Gogs の脆弱性 CVE-2024-39930 などが FIX：不正アクセス／機密データ窃取の可能性

Critical Vulnerabilities Found in Gogs Self-Hosted Git Service: Urgent Update Required

2024/12/24 SecurityOnline — 人気の OSS のセルフホスト型 Git サービスである Gogs に、複数の深刻な脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、任意のコード実行／不正アクセス／機密データの窃取などの可能性を手にする。

Apache Hive／Spark の脆弱性 CVE-2024-23945 が FIX：ただちにアップデートを！

CVE-2024-23945: Serious Vulnerability in Apache Hive and Spark Could Lead to Exploitation

2024/12/24 SecurityOnline — 大規模なデータ処理および分析に広く使用される２つのシステム、Apache Hive／Apache Spark において、新たな脆弱性 CVE-2024-23945 (CVSS：8.7) が発見された。この脆弱性は、CookieSigner メカニズムに影響を与え、メッセージの検証が失敗した場合に有効な Cookie 署名を露出するため、深刻なセキュリティリスクを引き起こす。つまり、この欠陥を突く攻撃者は、さらなるシステム悪用の可能性を得る。

PyPI の悪意のパッケージ：キーストロークを盗みソーシャル・アカウントをハイジャック

Researchers Uncover PyPI Packages Stealing Keystrokes and Hijacking Social Accounts

2024/12/24 TheHackerNews — Python Package Index (PyPI) リポジトリにアップロードされた２つの悪意のパッケージが、侵害したホストから機密情報を盗み出していると、Fortinet FortiGuard Labs がフラグ付けしていることが発表された。

Evilginx は OSS の MITM 攻撃フレームワーク：既存の技術の組み合わせで MFA 侵害を実証

Evilginx: Open-source man-in-the-middle attack framework

2024/12/23 HelpNetSecurity — Evilginx は、オープンソースの MITM (Man-in-the-Middle) 攻撃フレームワークである。ログイン認証情報やセッション・クッキーをフィッシングするように設計されており、2FA が提供する安全対策の回避を可能にする。

Webmin の脆弱性 CVE-2024-12828 (CVSS 9.9) が FIX：ただちにアップデートを！

CVE-2024-12828 (CVSS 9.9): Webmin Vulnerability Leaves a Million Servers Exposed to RCE

2024/12/23 SecurityOnline — 人気の Web ベースのシステム管理ツールである Webmin に、サーバ制御の乗っ取りにいたる、脆弱性 CVE-2024-12828 (CVSS 9.9) が存在することが判明した。世界中で推定 100 万のインストールがあるため、この脆弱性の影響が広範囲に及ぶ可能性が生じている。

Node.js の脆弱性 CVE-2024-56334 が FIX：ただちにアップデートを！

CVE-2024-56334: Command Injection Flaw Exposes Millions of Node.js Systems to Attack

2024/12/23 SecurityOnline — 広く使用されている Node.js 用パッケージ systeminformation に存在する、深刻なコマンド・インジェクションの脆弱性 CVE-2024-56334 が確認された。このパッケージは、月間に 800万以上もダウンロードされ、総ダウンロード数は 3億3000万に上る。この脆弱性の悪用に成功した攻撃者は、任意の OS コマンドを実行することが可能となるが、パッケージの使用方法に応じて、リモート・コード実行 (RCE) や権限の昇格につながる可能性もある。

WordPress WPLMS Theme／VibeBP Plugin に複数の脆弱性：最大の CVSS 値は 10.0

Premium WPLMS WordPress plugins address seven critical flaws

2024/12/23 BleepingComputer — WordPress の WPLMS プレミアム・テーマと VibeBP プラグインに、10件以上の脆弱性が存在することが、Patchstack の研究者たちにより判明した。これらの脆弱性が悪用されると、リモート・コード実行／権限昇格／SQL インジェクションなどが生じる恐れがある。

Craft CMS の RCE 脆弱性 CVE-2024-56145 (CVSS 9.3) が FIX：PoC も提供

CVE-2024-56145 (CVSS 9.3): Remote Code Execution Vulnerability in Craft CMS, PoC Published

2024/12/22 SecurityOnline — 人気の PHP ベース CMS である Craft CMS に、深刻な RCE 脆弱性 CVE-2024-56145 (CVSS 9.3) が存在することが、Assetnote により公表された。この脆弱性の悪用に成功した攻撃者は、特定のコンフィグ下において、認証無しでリモート・コード実行 (RCE) を達成し、影響を受けるインストールに深刻なリスクをもたらす可能性を手にする。