REST API – IoT OT Security News

WordPress OttoKit Plugin の脆弱性 CVE-2025-27007 が FIX：すでに悪用が始まっている

CVE-2025-27007: Critical OttoKit WordPress Plugin Flaw Exploited After Disclosure, 100K+ Sites at Risk

2025/05/06 SecurityOnline — 10万件以上のアクティブ・インストール数を誇る、人気の WordPress プラグイン OttoKit に発見された深刻な脆弱性により、無数の Web サイトがセキュリティ侵害の危険にさらされている。この脆弱性 CVE-2025-27007 (CVSS 9.8) は、Denver Jackson により発見され、Patchstack ゼロデイ・バグ報奨金プログラムを通じて公開された。そして、公開から１時間も経たないうちに悪用が始まってしまったという。

WordPress Uncanny Automator プラグインの脆弱性 CVE-2025-2075 が FIX：Admin 権限への昇格の恐れ

50K+ WordPress Sites Exposed: Admin Takeover via Uncanny Automator

2025/04/05 SecurityOnline — 人気の WordPress プラグイン Uncanny Automator で発見された脆弱性により、50,000 以上の Web サイトにおいて、完全な侵害の可能性が生じている。この脆弱性 CVE-2025-2075 (CVSS：8.8) 悪用する認証済の攻撃者は、サブスクライバー・レベルのアクセス権を持つだけで、その権限を管理者へと昇格できる。つまり、攻撃者は実質的に、標的サイトを完全に制御できることになる。

Cisco NDFC の脆弱性 CVE-2024-20536 (CVSS 8.8) が FIX：深刻な SQLi の恐れ

CVE-2024-20536: Cisco NDFC Vulnerability Grants Attackers Extensive Control

2024/11/07 SecurityOnline — 先日に Cisco が公表したのは、Nexus Dashboard Fabric Controller (NDFC) の特定のバージョンに影響を与える、深刻度が高い SQL インジェクション脆弱性 CVE-2024-20536 (CVSS 8.8) に関するセキュリティ勧告である。この脆弱性の悪用に成功した認証済みのリモート攻撃者は、影響を受けるデバイス上で任意の SQL コマンドの実行を達成し、ネットワーク・セキュリティに深刻なリスクをもたらす可能性を手にする。

Cisco NDFC の深刻な脆弱性 CVE-2024-20432 (CVSS 9.9) が FIX：ただちにパッチを！

CVE-2024-20432 (CVSS 9.9): Cisco Nexus Dashboard Fabric Controller Exposed to RCE

2024/10/02 SecurityOnline — Cisco が発表したのは、Nexus Dashboard Fabric Controller (NDFC) に存在する深刻な脆弱性 CVE-2024-20432 (CVSS：9.9) に対するセキュリティ・アドバイザリである。この脆弱性の悪用に成功した、認証された低権限のリモート攻撃者は、標的デバイス上においてネットワーク管理者権限を用いて、任意のコマンドを実行する可能性を手にする。

Versa Director の重大な API 脆弱性 CVE-2024-45229 が FIX：直ちにパッチ適用を！

Versa Networks Exposes Critical API Vulnerability in Versa Director (CVE-2024-45229)

2024/09/20 SecurityOnline — Versa Networks が発表したのは、同社の Versa Director で発見された脆弱性 CVE-2024-45229 (CVSS：6.6) に関するセキュリティ勧告である。この脆弱性の悪用により、機密性の高いユーザー認証トークンが漏洩する可能性があり、企業ネットワークが危険にさらされる。

Azure AD 署名キーが盗まれた方法：依然として不明だと Microsoft が公表

Microsoft still unsure how hackers stole Azure AD signing key

2023/07/14 BleepingComputer — 中国のハッカーが、米政府機関を含む 20以上の組織の Exchange Online および Azure AD アカウントに侵入したが、そこで使用された非アクティブな Microsoft Account (MSA) のコンシューマー署名キーが、盗まれた方法は依然として不明だと Microsoft が発表した。7月14日に Microsoft が発表した最新アドバイザリには、「犯人が、このキーを入手した方法については、現在調査中である」と記されている。複数の政府機関の Exchange Online メール・サービスへの不正アクセスが発見された後に、このインシデントは米国政府当局により報告されている。

Cisco SD-WAN vManage の深刻な脆弱性 CVE-2023-20214 が FIX：REST API に注意

Cisco SD-WAN vManage impacted by unauthenticated REST API access

2023/07/13 BleepingComputer — Cisco SD-WAN vManage 管理ソフトウェアには、影響を受けるインスタンスの設定における限定的な読取／書込みの権限を、認証されていないリモートの攻撃者に許してしまう脆弱性が存在する。Cisco SD-WAN vManage はクラウドベースのソリューションであり、複数の場所に分散したネットワークの、ユーザー企業による設計／展開／管理を可能にする。vManage のインスタンスは、集中型ネットワーク管理／VPN の設定／SD-WAN オーケストレーション／デバイス設定の展開／ポリシーの適用などに使用される。

GitHub の新機能：プライベートな脆弱性レポートを安全に共有できるようになった

GitHub now allows enabling private vulnerability reporting at scale

2023/04/22 BleepingComputer — GitHub の発表は、プライベート脆弱性レポートを誰もが利用できるようになり、組織に属する全リポジトリで大規模に有効化することも可能になったというものだ。この機能を有効化すると、専用のコミュニケーション・チャネルを使用するセキュリティ研究者たちは、誤って脆弱性の詳細を漏らすことなく、オープンソース・プロジェクトのメンテナに対して、セキュリティ問題を非公開で開示することが可能になる。GitHub の Eric Tooley と Kate Catlin は、「研究者やメンテナが、公開リポジトリ上の脆弱性を報告し、修正することを容易にする、プライベートなコラボレーション・チャネル」だと述べている。

Docker の調査：TeamTNT が仕掛けた不正イメージが 15万回以上もダウンロード

TeamTNT Hits 150K Docker Containers via Malicious Cloud Images

2022/09/14 DarkReading — TeamTNT 脅威グループ・メンバーの明らかな不手際により、不適切なコンフィグレーションで運用されている Docker サーバを、悪用するために用いられていた戦術の一部が暴露された。先日に Trend Micro のセキュリティ研究者たちは、Docker REST API を公開するハニーポットを設置し、広く利用されているクラウド・コンテナ・プラットフォームの脆弱性やミスコンフィグレーションを、一般的な脅威者が悪用する方式を理解しようと試みた。

Salt Security レポート：REST API の後継とされる GraphQL の脆弱性について

Salt Security Report Surfaces GraphQL API Vulnerabilities

2021/12/08 SecurityBoulevard — 今日、Salt Security は、非公開の金融サービス企業が実装している、GraphQL API で発見された脆弱性を紹介するレポートを発表した。Salt Security の Technical Evangelist である Michael Isbitski によると、同社の研究者が確認した限りでは、この脆弱性の悪用は検知されていない。しかし、このレポートは、REST API に代わるものとして、開発者が広く使用し始めている、この新しいクラスの API 保護の必要性を、セキュリティ・チームに警告するものになる。

Palo Alto Networks Cortex XSOAR の深刻な脆弱性 CVE-2021-3044 が FIX された

Palo Alto Networks fixes critical flaw (CVE-2021-3044) in Cortex XSOAR

2021/06/23 SecurityAffairs — Palo Alto Networks の研究者たちが、同社の Cortex XSOAR SOAR platform に影響をおよぼす欠陥を発見した。この不適切な認証の脆弱性 CVE-2021-3044 の CVSS スコアは 9.8 となっている。同社のセキュリティ・アドバイザリーには、「Palo Alto Networks Cortex XSOAR には不適切な認証の脆弱性があり、Cortex XSOAR サーバにネットワーク・アクセスした、リモートの非認証の攻撃者が、REST API を介して不正な操作を行うことができる。