unpatched – IoT OT Security News

Netgear EX6200 の深刻な脆弱性 CVE-2025-4148／4149／4150：パッチ未適用とリモート侵害の恐れ

Netgear EX6200 Flaw Enables Remote Access and Data Theft

2025/05/01 gbhackers — Netgear EX6200 Wi-Fi Range Extender に存在する、３つの深刻な脆弱性について、セキュリティ研究者たちが詳細を明らかにした。これらの脆弱性を悪用するリモート攻撃者は、不正アクセスと機密データを窃取を達成し、リモート・コード実行の可能性を手にする。

レガシー Windows の NTLM バイパスの 0-Click 脆弱性：侵入口は Telnet Server で No Patch／Yes PoC

0-Click NTLM Authentication Bypass Hits Microsoft Telnet Server, PoC Releases, No Patch

2025/04/29 SecurityOnline — Microsoft Telnet Server に影響を及ぼす、深刻な脆弱性が発見された。この脆弱性を悪用するリモートの攻撃者は、認証を完全にバイパスし、有効な認証情報を必要とせずに管理者権限を取得する可能性を得る。Hacker Fantastic のレポートで詳細が説明されているように、この脆弱性は、Microsoft Telnet 認証プロトコル (MS-TNAP) に関連するものであり、また、レガシー Windows システムに対する深刻なセキュリティ脅威であるが、現時点において公式のパッチは提供されていない。

WinZip の脆弱性 CVE-2025-33028 に要注意：MotW バイパスとパッチ未適用

CVE-2025-33028: WinZip Flaw Exposes Users to Silent Code Execution via MotW Bypass, No Patch

2025/04/22 SecurityOnline — 人気のファイル圧縮ユーティリティ WinZip に発見されたセキュリティ上の欠陥により、数百万人のユーザーがサイレント・コード実行の危険に直面している。この脆弱性 CVE-2025-33028 を悪用する攻撃者は、細工されたアーカイブを介して悪意のペイロードを配信し、Mark-of-the-Web (MotW) バイパスを達成するため、通常の Windows セキュリティ・プロンプトをトリガーすることなく被害者を欺ける。

Bubble.io の深刻な脆弱性 CVE-N/A：全ユーザー・データの漏洩と No Patch と PoC

Critical Bubble.io Vulnerability Exposes Apps to Data Theft via Elasticsearch, No Patch

2024/04/18 SecurityOnline — 人気急上昇中のノーコード開発プラットフォーム Bubble.io に、アプリケーションと機密データを危険にさらす、深刻なセキュリティ脆弱性が発見された。この脆弱性は、2024年にセキュリティ研究者たちにより発見されたものであり、その悪用に成功した攻撃者は、プラットフォームの制限を回避し、基盤となる Elasticsearch データベースに対するダイレクトなクエリ実行を可能にする。

Windows ショートカット・ファイルの問題：11 のスパイ・グループが 2017年から積極的に悪用

11 Nation-State Hackers Exploit Unpatched Windows Flaw Since 2017

2025/03/19 HackRead — Windows で発見された新たなゼロデイ脆弱性だが、北朝鮮／中国／イラン／ロシアなどの、少なくとも 11 の APT グループにより、何年も前から積極的に悪用されているものだという。広範な攻撃の証拠は 2017年にまで遡るが、Microsoft はセキュリティ・パッチの発行を拒否し、サービス基準を満たしていないとしている。

TP-Link TL-WR845N の深刻な脆弱性 CVE-2024-57040 (CVSS 9.8)：パッチ提供までの対策

CVE-2024-57040 (CVSS 9.8): TP-Link TL-WR845N Router Vulnerability Grants Hackers Easy Access

2025/03/17 SecurityOnline — TP-Link TL-WR845N ルーターに影響を及ぼす、深刻なセキュリティ脆弱性 CVE-2024-57040 (CVSS：9.8：Critical) を、Network Security & Cryptography (NSC) Lab の研究者たちが特定した。この脆弱性により、ルーターのファームウェア内に保存されている、ハードコードされたルート・シェル資格情報が露出するため、それを悪用する攻撃者により、デバイスが完全に制御されてしまう。

Flowise の脆弱性 CVE-2025-26319 (CVSS 9.8) : 未パッチの状況で PoC が提供される

CVE-2025-26319 (CVSS 9.8): Flowise Open-Source Platform Vulnerable to File Upload Exploit, No Patch

2025/03/12 SecurityOnline — AI エージェント構築に使用される、人気の OSS プラットフォーム Flowise に存在する深刻な脆弱性 CVE-2025-26319 (CVSS：9.8) を、セキュリティ研究者である Dor Attias が発見した。この脆弱性の悪用に成功した未認証の攻撃者は、Flowise サーバに任意のファイルをアップロードし、リモート・コード実行やサーバの完全な侵害を引き起こす機会を得る。

Veritas InfoScale の脆弱性 CVE-2025-27816 (CVSS 9.8)：パッチが提供されるまでの緩和策は？

CVE-2025-27816 (CVSS 9.8): Critical Vulnerability in Veritas InfoScale Could Allow RCE

2025/03/10 SecurityOnline — Veritas が発行したのは、Arctera InfoScale に存在する、脆弱性 CVE-2025-27816 (CVSS：9.8) に関する重要なセキュリティ・アドバイザリである。この欠陥を悪用する攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を手にする。この脆弱性は、.NET リモート・エンドポイントにおける、信頼できないデータへの安全が確保されないデシリアライゼーションに起因する。

BigAnt Server の CVE-2025-0364 (CVSS 9.8)：パッチ未適用と PoC の公開

CVE-2025-0364 (CVSS 9.8): BigAnt Server Zero-Day, Public Exploit Confirmed

2025/03/03 SecurityOnline — BigAntSoft BigAnt Server に、認証を必要としないリモート・コード実行 (RCE) の脆弱性が存在することを、VulnCheck のセキュリティ研究者たちが明らかにした。この深刻な脆弱性は、CVE-2025-0364 (CVSS：9.8) として追跡されている。この脆弱性の悪用に成功した攻撃者は、権限の昇格を達成し、影響を受けるシステム上で認証を必要としない、任意のコード実行の機会を手にする。

NTLM の脆弱性：Microsoft 環境に潜む深刻なセキュリティ・リスクとは？ – Morphisec

Unpatched NTLM Flaws Leave Microsoft Systems Vulnerable

2024/11/26 SecurityOnline — Microsoft の NTLM プロトコルが、サイバー・セキュリティ上の深刻な懸念として再浮上していることを、Morphisec の Michael Gorelikが最新レポートで警告している。同レポートが指摘するのは、Microsoft 製品に存在するパッチ未適用の複数の脆弱性により、NTLM の漏洩が生じ、攻撃者による特権昇格が容易になるという点だ。これらの脆弱性への、Microsoft の対応が遅れているため、企業は自力で対処する他にないという状況にある。

Microsoft Exchange の脆弱性 CVE-2024-49040：なりすましの検出／警告で対応

Microsoft Exchange adds warning to emails abusing spoofing flaw

2024/11/12 BleepingComputer — Microsoft が公表したのは、Exchange Server を標的とする成りすまし攻撃を可能にする、深刻度の高い脆弱性 CVE-2024-49040 に関する情報である。この脆弱性 CVE-2024-49040 は、 Exchange Server 2016／2019 に影響を及ぼすものであり、Solidlab のセキュリティ研究者である Vsevolod Kokorin により、2024年の前半に発見／報告されたものだ。