OpenSSL – IoT OT Security News

OpenSSL の脆弱性 CVE-2025-9230／9231／9232 が FIX：メモリ破損およびサービス拒否の恐れ

OpenSSL Vulnerabilities Let Attackers Execute Malicious Code and Recover Private Key Remotely

2025/10/01 CyberSecurityNews — OpenSSL プロジェクトが、深刻なセキュリティ欠陥に関するアドバイザリを公開した。攻撃者がリモート・コードを実行し、秘密の暗号鍵を取得する可能性のある３件の深刻な脆弱性に、このアドバイザリは対処している。これらの脆弱性が影響を及ぼす範囲は、複数のプラットフォーム上の、複数の OpenSSL バージョンであり、それらを悪用する攻撃者に対して、メモリ破損／サービス拒否／機密暗号資料への不正アクセスなどを許す恐れがある。

Icinga 2 の脆弱性 CVE-2025-48057 が FIX：OpenSSL の旧バージョンによる証明書の不正取得

Critical Icinga 2 Vulnerability Allows Attackers to Bypass Validation and Obtain Certificates

2025/05/30 CyberSecurityNews — Icinga 2 モニタリング・システムに、深刻なセキュリティ脆弱性 CVE-2025-48057 (CVSS：9.3) が発見された。この脆弱性を悪用する攻撃者は、証明書の検証を回避し、信頼できるネットワーク・ノードを装う正規の証明書を取得できるという。この脆弱性は、OpenSSL の旧バージョンを取り込んだ、インストール・イメージに影響を与えるものであり、すでに Icinga 開発チームから、セキュリティ・アップデートが提供されている。

Tenable Network Monitor の脆弱性 CVE-2025-24916／24917 が FIX：主要 OSS コンポーネントも刷新

Privilege Escalation Flaws Found in Tenable Network Monitor

2025/05/26 gbhackers — Tenable における、パッシブ脆弱性スキャン・ソリューションの主要製品である、Network Monitor のバージョン 6.5.1 がリリースされた。このバージョンでは、自社コードベースおよびバンドルされているサードパーティ・ライブラリに存在する、複数の深刻な脆弱性への対処が行われている。このアップデートは、OpenSSL／expat／curl／libpcap／libxml2 といった、広く使用される OSS コンポーネントに脆弱性が発見されたことを受けて、実施されたものである。

Xerox のセキュリティ速報 XRX25-009：iGen5 Press／Baltoro HF／Brenva HD などに対応

Xerox Patches Dozens of Vulnerabilities in FreeFlow Print Server with April 2025 Security Update

2025/05/15 SecurityOnline — 2025年5月12日に Xerox が発表したのは、セキュリティ速報 XRX25-009 の公開と、Windows 10上で動作する FreeFlow Print Server v2 向けの、2025年4月のセキュリティ・パッチ・アップデートのリリースである。Xerox の主要プロダクション・プリンターである、iGen5 Press／Baltoro HF／Brenva HD などをサポートする、このアップデートは、数十の深刻な脆弱性に対処し、更新された OSS コンポーネントを統合し、強化された暗号化標準を導入するものだ。

OpenSSL RPK の深刻な脆弱性 CVE-2024-12797 が FIX：MITM 攻撃の可能性

CVE-2024-12797 – High-Severity OpenSSL Flaw: Update Now to Prevent MITM Attacks

2025/02/11 SecurityOnline — 無数の Web サイトやオンライン・サービスを保護するために広く使用されている、暗号化ライブラリである OpenSSL に、深刻な脆弱性が発見された。その脆弱性 CVE-2024-12797 は、従来からの X.509 証明書に代わる認証方法である、Raw Public Keys (RPK) の実装に影響するものだ。

NGINX の脆弱性 CVE-2025-23419 が FIX：TLS Session 再開の問題

F5 Warns of TLS Session Resumption Vulnerability in NGINX (CVE-2025-23419)

2025/02/05 SecurityOnline — F5 が発行したのは、人気の Web サーバ・ソフトウェア NGINX に存在する脆弱性に関するセキュリティ・アドバイザリ警告である。この脆弱性 CVE-2025-23419 の悪用に成功した攻撃者は、クライアント証明書の認証をバイパスし、機密リソースへの不正アクセスの可能性を手にする。

Ivanti Connect Secure の脆弱性 CVE-2024-37404 が FIX：すでに PoC もリリース

CVE-2024-37404: Critical RCE Flaw Discovered in Ivanti Connect Secure & Policy Secure, PoC Published

2024/10/08 SecurityOnline — Ivanti の Connect Secure／Policy Secure に影響を及ぼす、深刻なリモート・コード実行 (RCE) の脆弱性が対処されたと、AmberWolf のセキュリティ研究者である Richard Warren が報告している。この脆弱性 CVE-2024-37404 (CVSS：9.1) の悪用に成功した認証済の攻撃者は、脆弱なシステム上での任意のコード実行の可能性を手にする。

Jenkins サーバのミスコンフィグ：クリプトジャッキング攻撃に悪用されている

Misconfigured Jenkins Servers Targeted in Cryptojacking Attacks

2024/07/06 SecurityOnline — Jenkins サーバのミスコンフィグを標的とする攻撃が相次いでいることを、サイバー・セキュリティの世界のリーダー Trend Micro が警告している。脅威アクターたちは、Jenkins Script Console の脆弱性を悪用して、暗号通貨マイニング・ソフトウェアを不正にインストール／運用し、無防備な組織から計算リソースを抜き取っている。

OpenSSL 3.2.0 がリリース：新たな暗号化アルゴリズムなどがサポート

OpenSSL 3.2.0 released: New cryptographic algorithms, support for TCP fast open, and more!

2023/11/27 HelpNetSecurity — OpenSSL は、汎用暗号と安全な通信のための、フル機能のツールキットである。その OpenSSL の、最新バージョン 3.2.0 がリリースされた。

Intel CPU の脆弱性 Downfall CVE-2022-40982：影響を受けるベンダーたちの対応は？

Companies Respond to ‘Downfall’ Intel CPU Vulnerability

2023/08/18 SecurityWeek — 先日に公表された Intel CPU の脆弱性 Downfall に対して、複数の大手企業がセキュリティ・アドバイザリ発表した。Google の研究者により発見され、CVE-2022-40982 として追跡されている Downfall には、サイドチャネル攻撃を引き起こす可能性がある。その悪用に成功したローカルの攻撃者には、パスワードや暗号化キーなどの機密性の高い情報を、対象となるデバイスから取得する可能性が生じるという。クラウド環境も影響を受けることになり、Web ブラウザ経由でリモート攻撃などが起こるかもしれないが、そのような攻撃を実証するには、さらなる研究が必要だという。

Dell／HP／Lenovo デバイスの問題：UEFI 実装における古い OpenSSL の使用が判明

Dell, HP, and Lenovo Devices Found Using Outdated OpenSSL Versions

2022/11/25 TheHackerNews — Dell／HP／Lenovo のデバイスのファームウェア・イメージを分析した結果、古いバージョンの OpenSSL 暗号ライブラリの存在が明らかになり、サプライチェーン・リスクが浮き彫りになっている。EFI Development Kit (EDK) は、OS とデバイスのハードウェアに組み込まれたファームウェア間のインターフェースとして機能する、UEFI (Unified Extensible Firmware Interface) のオープンソース実装である。EDK II のファームウェア開発環境には、CryptoPkg という独自の暗号パッケージがあり、OpenSSL プロジェクトのサービスを利用できる。

OpenSSL の脆弱性 CVE-2022-3602／CVE-2022-3786 が FIX：深刻だが緊急性は低い

High-severity OpenSSL vulnerabilities fixed (CVE-2022-3602, CVE-2022-3786)

2022/11/01 HelpNetSecurity — 暗号ライブラリ OpenSSL のバージョン 3.0.7 がリリースされ、punycode decoder に存在する、サービス拒否／リモートコード実行につながる可能性のある、２つの深刻なバッファオーバーフロー脆弱性 CVE-2022-3602／CVE-2022-3786 が修正された。脆弱性 CVE-2022-3602 は、１週間前に OpenSSLプロジェクト・チームにより、その存在が事前に発表されていたが、幸運なことに、当初に想定されていたよりも、危険度が低いことが判明している。

OpenSSL の重要な修正プログラムがリリースされる：すべてのユーザーは準備を！

Incoming OpenSSL critical fix: Organizations, users, get ready!

2022/10/26 HelpNetSecurity — このチームの独自のリスク分類によると、OpenSSL の重大な脆弱性とは、一般的な設定に影響を与え、悪用される可能性が高い脆弱性を指すとのことだ。彼らは、「それらの脆弱性に含まれる例を挙げると、サーバのメモリの内容の大量に開示するもの (ユーザーの詳細が明らかになる可能性)／リモートから容易に悪用されてサーバの秘密鍵を危険にさらすもの／一般的な状況でリモートコード実行の可能性が高いものなどがある」と述べている。

CISA 警告：Advantech／Hitachi の ICS デバイスにおける深刻な脆弱性

CISA Warns of Critical Flaws Affecting Industrial Appliances from Advantech and Hitachi

2022/10/19 TheHackerNews — 18日に米国の CISA は、産業制御システム (ICS) である Advantech R-SeeNet／Hitachi Energy APM Edge アプライアンスの深刻な脆弱性に関する、２件のアドバイザリを発表した。これらの脆弱性は、R-SeeNet モニタリング・ソリューションの３つの弱点に起因し、悪用に成功した攻撃者は、システム上でのファイル削除／コード実行などが、リモートから可能になるという。

ISC BIND の深刻な脆弱性 CVE-2022-2906 などが FIX：CISA も警告

ISC fixed high-severity flaws in the BIND DNS software

2022/09/24 SecurityAffairs — この今週に、Internet Systems Consortium (ISC) は、DNS ソフトウェア BIND に存在する、リモートから悪用できる６つの脆弱性に対処する、セキュリティ・パッチを公開した。６件の脆弱性のうち４件は、いずれもサービス妨害 (DoS) の問題で、深刻度は High と判定されている。これらの脆弱性のうち、CVE-2022-2906 ( CVSS：7.5) は、TKEY RR (OpenSSL 3.0.0 + のみ) を介して Diffie-Hellman キー交換を扱うコード内のメモリ・リークの脆弱性である。

CISA 警告：Juniper の深刻な脆弱性に対して迅速なアップデート適用を推奨

CISA urges to fix multiple critical flaws in Juniper Networks products

2022/07/16 SecurityAffairs — CISA が発した警告は、Juniper Networks 製品のユーザーと管理者たちに対して、同社のセキュリティ・アドバイザリを確認し、Junos Space／Contrail Networking／NorthStar Controller などの一部の製品について、利用可能なアップデートの適用を促すものだ。これらの脆弱性の悪用に成功した脅威アクターたちは、影響を受けるシステムの乗っ取りが可能になるという。

OpenSSL の深刻な脆弱性 CVE-2022-2274 が FIX：RCE にいたる恐れがある

OpenSSL Releases Patch for High-Severity Bug that Could Lead to RCE Attacks

2022/07/06 TheHackerNews — OpenSSL プロジェクトのメンテナたちは、特定のシナリオでリモートコード実行につながる可能性のある、暗号ライブラリに存在する極めて深刻なバグに対処するパッチを公開した。この脆弱性には、識別子 CVE-2022-2274 が割り当てられており、2022年6月21日にリリースされた OpenSSL Ver 3.0.4 で取り込まれてしまった、RSA 秘密鍵操作によるヒープメモリ破壊に起因すると説明されている。

OpenSSL 3.0.4 のリモートメモリ破壊の脆弱性：悪用の形跡はないがパッチ対応はこれから

OpenSSL to Release Security Patch for Remote Memory Corruption Vulnerability

2022/06/28 TheHackerNews — OpenSSL ライブラリの最新バージョン存在する脆弱性による、一部のシステムではリモートメモリ破壊が生じることが判明した。この問題は、2022年6月21日にリリースされた OpenSSL バージョン 3.0.4 で確認されており、AVX-512 命令セットを搭載した x64 システムに影響を及ぼすという。ただし、OpenSSL 1.1.1 および、OpenSSL フォークである BoringSSL と LibreSSL は影響を受けない。

Zimbra の脆弱性 CVE-2022-27924 が FIX：ユーザー操作なしでＥメールのログイン情報が窃取される

Zimbra bug allows stealing email logins with no user interaction

2022/06/15 BleepingComputer — Eメール・ソリューションのひとつである Zimbra は、世界の政府機関／金融機関／教育機関などの、数多くの組織で広く利用されている。その Zimbra の特定のバージョンに影響する深刻な脆弱性について、技術的な詳細が明らかにされた。脆弱性 CVE-2022-27924 は、悪用に成功した攻撃者に対して、認証／ユーザー操作を必要としないログイン情報の窃取を許し、オープンソース版／商用版の Zimbra 8.8.x／9.x に影響を及ぼす。

TLStorm 2.0 という NanoSSL の深刻な脆弱性：Aruba／Avaya ネットワーク・スイッチに影響

TLStorm 2.0: Critical bugs in widely-used Aruba, Avaya network switches

2022/05/03 HelpNetSecurity —

Armis の研究者たちにより、複数のネットワークスイッチ・モデルにおける、TLS 通信実装に５つの深刻な脆弱性が存在することが判明した。この TLStorm 2.0 と名付けられた脆弱性は、以前の TLStorm 脆弱性で確認されたような設計上の欠陥に起因している、そのときの、TLStorm が影響する範囲は、膨大な数のエンタープライズ・クラス・ネットワーク・インフラに広がっていった。しかし、現時点において、この脆弱性を攻撃者が悪用した形跡がないことは朗報である。

HP Teradici PCoIP に影響をおよぼす OpenSSL の脆弱性 CVE-2022-0778

Critical HP Teradici PCoIP flaws impact 15 million endpoints

2022/04/12 BleepingComputer — HP は、Windows／Linux／macOS 向けの Teradici PCoIP クライアント／エージェントに存在する深刻な脆弱性が、1500万台のエンド・ポイントに影響を与える可能性があるとして、警告を発している。先日に公開された OpenSSL 証明書解析バグにより、Teradici にに無限ループが生じることが発見された。

Palo Alto Networks の Firewall／VPN に OpenSSL の脆弱性が影響をおよぼす

Palo Alto Networks firewalls, VPNs vulnerable to OpenSSL bug

2022/04/07 BleepingComputer — 4月2日に、米国のサイバー・セキュリティ企業である Palo Alto Networks は、同社の Firewall／VPN／XDR 製品の一部に、３週間前に公開された深刻度の高い OpenSSL 無限ループの脆弱性 CVE-2022-0778 が存在すると顧客に警告した。この脆弱性の悪用に成功した脅威アクターは、サービス拒否状態を引き起こし、未パッチのソフトウェアを実行しているデバイスを、リモートからクラッシュさせることが可能となる。

OpenSSL の脆弱性 CVE-2022-0778 の追跡調査：各ベンダーたちの現状について

Cybersecurity Vendors Assessing Impact of Recent OpenSSL Vulnerability

2022/03/31 SecurityWeek — ３月の初めに発生した OpenSSL の脆弱性が、自社の製品やサービスに与える影響について、セキュリティ／クラウド／ストレージなどのベンダーたちが評価を進めている。OpenSSL プロジェクトが公開した更新プログラムでは、証明書の解析に関連する深刻度の高いサービス拒否 (DoS) 脆弱性に対してパッチが適用されている。このセキュリティ・ホールは、Google の脆弱性研究者である Tavis Ormandy が報告したものであり、CVE-2022-0778 として追跡され、OpenSSL の Ver 1.0.2／1.1.1／3.0 に影響を及ぼしている。このリリースにより、Ver 1.0.2zd／1.1.1n／3.0.2 で修正されている。

QNAP 警告：NAS に影響をおよぼす OpenSSL 無限ループの脆弱性を FIX

QNAP Warns of OpenSSL Infinite Loop Vulnerability Affecting NAS Devices

2022/03/30 TheHackerNews — 今週に台湾の QNAP は、同社の NAS アプライアンスの一部が、先日に公開されたオープンソース OpenSSL Cryptographic Library の影響を受けることを明らかにした。同社は、2022年3月29日に発表したアドバイザリーで、「OpenSSL における無限ループの脆弱性が、特定の QNAP NAS に影響を及ぼすことが報告されている。この脆弱性が悪用された場合、攻撃者はサービス拒否攻撃を行うことが可能になる」と述べている。

Cyclops Blink ボットネット：ロシアから ASUS ルーターを狙っている

New Variant of Russian Cyclops Blink Botnet Targeting ASUS Routers

2022/03/17 TheHackerNews — ASUS ルーターが、Cyclops Blink と呼ばれる新たなボットネットのターゲットとして浮上してきた。このマルウェアは、侵害したネットワークへのリモート・アクセスを取得する足がかりとして、WatchGuard ファイアウォール・アプライアンスを悪用したことが明らかになってから、約１ヶ月後のことである。

Trend Micro が発表した新しいレポートによると、このボットネットの主な目的は、価値の高いターゲットに対するさらなる攻撃のための、インフラを構築することである。ただし、感染した全てのホストについて調べたところ、重要な経済／政治／軍事などの組織は標的にしていないことが判明している。

OpenSSL 証明書解析の脆弱性 CVE-2022-0778 が FIX：サービス拒否が発生

OpenSSL cert parsing bug causes infinite denial of service loop

2022/03/16 BleepingComputer — OpenSSL が公開したセキュリティ・アップデートは、そのライブラリの脆弱性を悪用により無限ループ関数が作動し、サービス拒否状態に陥るという脆弱性に対処するためのものである。サービス拒否攻撃は、最も悲惨なセキュリティ問題ではないかもしれないが、重要な事業の中断／長期的な財務的影響、ブランド評価の低下などを引き起こす可能性が生じる。

McAfee Agent の脆弱性が FIX：SYSTEM 権限での任意のコード実行

McAfee Agent bug lets hackers run code with Windows SYSTEM privileges

2022/01/21 BleepingComputer — McAfee Enterprise (現在は Trellix に社名変更) は、同社の Windows 用ソフトウェアである McAfee Agent で発見されたセキュリティ上の脆弱性を修正し、攻撃者による特権昇格と SYSTEM 権限での任意のコード実行の問題に対処した。McAfee Agent は、McAfee ePolicy Orchestrator (McAfee ePO) のクライアント側コンポーネントであり、エンドポイント・ポリシーのダウンロードと適用／アンチウイルスのシグネチャ／アップグレード／パッチ／新製品などの、企業エンドポイントへの展開を行なう。

CISA 勧告：Hitachi Energy 製品群における OpenSSL／LibSSL／libxml2 などの脆弱性

CISA warns of vulnerabilities in Hitachi Energy products

2021/12/04 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Hitachi Energy の製品に影響を与える脆弱性について、セキュリティ・パッチの提供や通知に関連する、６つの勧告を発表した。

Kali Linux 2021.3 のペンテスト能力：OpenSSL/VM 対応を強化

Kali Linux 2021.3 released with new pentest tools, improvements

2021/09/15 BleepingComputer — 昨日に Offensive Security からリリースされた Kali Linux 2021.3 には、新しいツールセットや、改善された仮想化サポート、攻撃対象領域が増えた新しい OpenSSL コンフィグレーションなどが含まれている。

Microsoft 警告：中国ハッカーが関与する SolarWinds Serv-U SSH ゼロデイ攻撃

Microsoft Says Chinese Hackers Were Behind SolarWinds Serv-U SSH 0-Day Attack

2021/09/04 TheHackerNews — Microsoft は、SolarWinds Serv-U マネージド・ファイル転送サービスに影響をおよぼす、Critical な脆弱性について技術的な詳細を共有している。この脆弱性は、現時点では修正されているが、積極的に悪用されている状況にあり、中国で活動している脅威アクターが、関与している可能性が、きわめて高いとしている。

Moxa の鉄道用デバイスに影響をおよぼす 60件の脆弱性

Flaws in Moxa Railway Devices Could Allow Hackers to Cause Disruptions

2021/09/02 SecurityWeek — 台湾の産業用ネットワーク／オートメーション企業である Moxa が製造する、鉄道向けの無線通信デバイスには、60件近くの脆弱性が存在する。今週に、Atos 傘下のサイバーセキュリティ・コンサルティング会社である SEC Consult は、同社の研究者が Moxa デバイスに、新たに２つの脆弱性を発見したほか、数十の欠陥をもたらす古いサードパーティ製ソフトウェア・コンポーネント群を発見した。

QNAP NAS と OpenSSL 脆弱性：現時点では対応中とのこと

QNAP works on patches for OpenSSL bugs impacting its NAS devices

2021/08/30 BleepingComputer — 先週のこと、NAS メーカーの QNAP は、OpenSSL によるパッチが適用されたリモートコード実行 (RCE) およびサービス拒否 (DoS) の脆弱性に対処するため、セキュリティ・アップデートの調査と作業を行っている。脆弱性 CVE-2021-3711 CVE-2021-3712 は、QTS / QuTS hero / QuTScloud / HBS 3 Hybrid Backup Sync を実行する QNAP NAS デバイスに影響する。

Synology NAS 問題：OpenSSL の脆弱性が一部のバージョンに影響

Synology: Multiple products impacted by OpenSSL RCE vulnerability

2021/08/26 BleepingComputer — 台湾の NAS メーカーである Synology の発表によると、最近の公開された OpenSSL 脆弱性である、リモートコード実行 (RCE) およびサービス拒否 (DoS) が、同社の一部の製品に影響を与えるとのことだ。

DarkRadiation ランサムウェアは Linux と Docker インスタンスに感染していく？

Wormable DarkRadiation Ransomware Targets Linux and Docker Instances

2021/06/22 TheHackerNews — このランサムウェアは、すべてが Bash で実装されており、Linux や Docker クラウド・コンテナを標的とし、メッセージング・サービス Telegram を command-and-control (C2) 通信に利用している。Trend Micro の研究者たちは、先週に発表したレポートの中で、「このランサムウェアは、Bash スクリプトで書かれており、Red Hat/CentOS および Debian の Linux ディストリビューションをターゲットにしている。