Vulnerability – Page 30 – IoT OT Security News

Helldown ランサムウェア：Zyxel の脆弱性を悪用して攻撃を展開

Zyxel Vulnerability Exploited by Helldown Ransomware Group

2025/01/26 SecurityOnline — Zyxel デバイスの脆弱性を悪用する Helldown ランサムウェア・グループの、最新キャンペーンに関するレポートが、インシデント対応者である Claudio Vozza と Yarix Incident Response Team から公開された。Helldown による攻撃チェーンは、Zyxel デバイスの脆弱性の悪用から開始される。その後に攻撃者は、ファイアウォール・コンソールへの管理者アクセス権を獲得し、ドメイン認証情報を収集し、持続的なアクセスを確立していた。

Intel TDX に重大な脆弱性：サイドチャネル攻撃による情報漏えいの可能性

Researchers Expose Critical Isolation Vulnerability in Intel Trust Domain Extensions (TDX)

2025/01/26 securityonline — Intel Trust Domain Extensions (TDX) に重大な脆弱性が存在することが、IIT Kharagpur と Intel の共同チームによる研究で明らかになった。具体的に言うと、安全な仮想化環境のための先進技術として注目されている TDX のコア分離機能に、サイドチャネル攻撃により機密情報が漏洩する危険性があることが判明している。

American National Insurance Company (ANICO) でデータ侵害が発覚：MOVEit の悪用？

American National Insurance Company (ANICO) Data Leaked in MOVEit Breach

2025/01/25 HackRead — American National Insurance Company (ANICO) に属すとされる、279,332 行の機密データを含むデータベースへのリンクが、データ侵害 Web プラットフォーム Breach Forums で共有されていることを、SafetyDetectives のサイバー・セキュリティ・チームが発見した。一連のデータは、2023年に発生したサイバー侵害によるものと思われ、顧客情報に加えて一部の従業員情報も含まれている。

Meta Llama-Stack の脆弱性 CVE-2024-50050 が FIX：PoC も提供

CVE-2024-50050: Critical Security Flaw in Meta’s Llama-Stack Framework

2025/01/25 SecurityOnline — Generative AI (GenAI) アプリケーションの構築と展開において、人気を博している OSS フレームワーク Meta Llama-Stack に、深刻な脆弱性 CVE-2024-50050 が存在することを、Oligo Research チームが報告した。pyzmq ライブラリの、安全が確保されない使用による生じる、この脆弱性を悪用するリモートの攻撃者は、任意のコード実行を達成し、AI モデルのホスティング／データの整合性／システムのセキュリティに対して、重大なリスクをもたらすという。

Apache Wicket の深刻な脆弱性 CVE-2024-53299 が FIX：DoS 攻撃の恐れ

Critical Flaw CVE-2024-53299 in Apache Wicket: Memory Leak Flaw Exposes Web Apps to DoS Attacks

2025/01/25 SecurityOnline — 人気の Java ベースの Web App フレームワーク Apache Wicket に、きわめて深刻な脆弱性 CVE-2024-53299 が存在することが判明した。この脆弱性の悪用に成功した攻撃者は、意図的にメモリ・リークをトリガーし、影響を受ける Web アプリケーションに対してサービス拒否 (DoS) 攻撃を仕掛けられることが分かった。

CISA KEV 警告 25/01/24：SonicWall SMA1000 の脆弱性 CVE-2025-23006 を登録

U.S. CISA adds SonicWall SMA1000 flaw to its Known Exploited Vulnerabilities catalog

2025/01/24 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、SonicWall SMA1000 の Appliance Management Console (AMC／Central Management Console (CMC) に存在する脆弱性 CVE-2025-23006 を、Known Exploited Vulnerabilities (KEV) に登録した。

Subaru Starlink の脆弱性：米／加／日での車両ハイジャックにいたる問題を FIX

Subaru Starlink flaw let hackers hijack cars in US and Canada

2025/01/24 BleepingComputer — Subaru Starlink サービスに存在する、任意のアカウント乗っ取りの脆弱性により、米国／カナダ／日本のナンバープレートを用いて、車両の追跡／制御／ハイジャックが可能なことが、セキュリティ研究者たちにより解明された。2025年1月23日 (木) にバグ・ハンターである Sam Curry 公表した内容は、2024年11月20日の時点で研究者 Shubham Shah の協力を得て発見した、この脆弱性の詳細である。

古い Exchange Server に注意：2023年1月以前のバージョンは緩和策を受信できない

Microsoft: Outdated Exchange servers fail to auto-mitigate security bugs

2024/01/24 BleepingComputer — Microsoft によると、Office Configuration Service 証明書が廃止されるため、古い Exchange サーバは新しい緊急緩和を受信できなくなるとのことだ。この緊急緩和 (EEMS：Emergency Mitigations) は、３年前となる 2021年9月に導入された、Exchange Emergency Mitigation Service (EEMS) を通じて配信されるものだ。

CISA KEV 警告 25/01/23：5年前に発見された jQuery の XSS 脆弱性 CVE-2020-11023 を登録

CISA Adds Five-Year-Old jQuery XSS Flaw to Exploited Vulnerabilities List

2025/01/24 TheHackerNews — 2025年1月23日に米国の CISA は、活発な悪用が確認される jQuery JavaScript の XSS 脆弱性 CVE-2020-11023 (CVSS：6.9) を、KEV (Known Exploited Vulnerabilities) カタログに追加した。この脆弱性は、約５年前に発見されたものであり、すでに修正されている。

Microsoft Configuration Manager の脆弱性 CVE-2024-43468 (CVSS 9.8)：PoC コードが公開

CVE-2024-43468 (CVSS 9.8): Microsoft Configuration Manager Exploit Revealed with PoC Code

2025/01/23 SecurityOnline — Microsoft Configuration Manager (MCM) に存在する深刻な脆弱性 CVE-2024-43468 (CVSS：9.8) に対して、PoC エクスプロイト・コードと技術的な詳細が、Synacktiv のセキュリティ研究者 Mehdi Elyassa から公開された。この SQL インジェクション脆弱性の悪用に成功した未認証の攻撃者は、サーバと基盤となるデータベース上において、任意のコマンド実行の可能性を手にする。

Oracle WebLogic Server の脆弱性 CVE-2025-21535 (CVSS 9.8) が FIX：RCE の可能性

CVE-2025-21535 (CVSS 9.8): Vulnerability in Oracle WebLogic Server Could Lead to Remote Code Execution

2025/01/23 SecurityOnline — Oracle は January 2025 Critical Patch Update の一環として、WebLogic Server の深刻な脆弱性 CVE-2025-21535 (CVSS：9.8) に対処した。この脆弱性の悪用に成功した未認証の攻撃者は、標的のシステム上でリモート・コード実行の可能性を手にする。

Kibana の脆弱性 CVE-2024-43707／43710 が FIX：情報漏えい／SSRF の可能性

CVE-2024-43707: Kibana Patches High Severity Vulnerability Exposing Sensitive Information

2025/01/23 SecurityOnline — データ視覚化／探索のための OSS ツール Kibana がリリースしたセキュリティ・アップデートは、２つの脆弱性 CVE-2024-43707／CVE-2024-43710 に対処するものだ。すべてのユーザーに推奨されるのは、これらの脆弱性が修正されたバージョン 8.15.0へと、直ちにアップグレードすることである。

Palo Alto Firewall で発見された複数の脆弱性 PANdora’s Box：Secure Boot バイパスなどの可能性

Palo Alto Firewalls Found Vulnerable to Secure Boot Bypass and Firmware Exploits

2025/01/23 TheHackerNews — Palo Alto Networks のファイアウォール・アプライアンスである PA-3260／PA-1410／PA-415 に、デバイスのファームウェアに影響を及ぼす複数の既知のセキュリティ欠陥や、誤ったセキュリティ機能が存在することが判明した。これらの脆弱性は、セキュリティ・ベンダー Eclypsium による調査で発見されたものだ。現時点において、PA-1410／PA-415 はサポート対象だが、PA-3260 は 2023年8月31日に販売終了となっている。

phpMyAdmin の XSS の脆弱性 CVE-2025-24529 が FIX：ただちにアップデートを！

phpMyAdmin Patches XSS Vulnerabilities in Latest Release

2025/01/23 SecurityOnline — MySQL／MariaDB データベース管理で人気を博す、Web ベースツールである phpMyAdmin は、最新リリースであるバージョン 5.2.2 で、２件クロス・サイト・スクリプティング (XSS) の脆弱性に対処した。“Check tables” の脆弱性 CVE-2025-24530 および “Insert” 機能の脆弱性 CVE-2025-24529 を悪用する攻撃者は、アプリケーションに対する悪意のスクリプト挿入を達成し、ユーザー・アカウントや機密情報などのデータに、不正アクセスする可能性を手にする。

SonicWall SMA1000 の脆弱性 CVE-2025-23006 (CVSS 9.8) が FIX：悪用も検出

CVE-2025-23006 (CVSS 9.8): SonicWall Warns of Active Exploits, Issues Urgent Update for SMA1000 Users

2025/01/23 SecurityOnline — SonicWall が発行したのは、SMA1000 の Appliance Management Console (AMC) と Central Management Console (CMC) に存在する深刻な脆弱性に関する緊急セキュリティ・アドバイザリである。この、認証を必要としないリモート・コマンド実行の脆弱性 CVE-2025-23006 (CVSS：9.8) により、攻撃者は標的とするデバイスを完全に侵害できるという。

GitLab の XSS の脆弱性 CVE-2025-0314 などが FIX：ただちにアップデートを！

CVE-2025-0314: GitLab Releases Patch for XSS Exploit

2025/01/23 SecurityOnline — GitLab が発行したのは、いくつかの脆弱性に対処する重要なセキュリティ・アップデートであり、その中には深刻度の高いクロス・サイト・スクリプティング (XSS) の欠陥も含まれている。すでに GitLab は、Community Edition (CE) と Enterprise Edition (EE) のバージョン 17.8.1／17.7.3／17.6.4 をリリースし、これらの問題に対処している。

CISA の警告：Ivanti CSA の脆弱性 CVE-2024-8963／8190／9379／9380 の悪用が止まらない

CISA: Hackers still exploiting older Ivanti bugs to breach networks

2025/01/23 BleepingComputer — 2025年1月23日 (木) に CISA と FBI が警告したのは、2024年9月以降に修正された Ivanti Cloud Service Appliances (CSA) のセキュリティ脆弱性を、依然として悪用する攻撃者が脆弱なネットワークに侵入していることである。これらの攻撃で連鎖される脆弱性には、2024年9月に修正された管理者認証バイパスの CVE-2024-8963／リモートコード実行の CVE-2024-8190 に加えて、2024年10月に修正された SQL インジェクションの CVE-2024-9379／リモートコード実行の CVE-2024-9380 が含まれる。

Cisco Meeting Management の脆弱性 CVE-2025-20156 (CVSS 9.9) が FIX：ただちにアップデートを!

CVE-2025-20156 (CVSS 9.9): Cisco Meeting Management Flaw Allows for Privilege Escalation

2025/01/22 SecurityOnline — Cisco が発行したのは、同社の Meeting Management ソフトウェアに存在する、深刻な権限昇格の脆弱性 CVE-2025-20156 (CVSS：9.9) に対処するセキュリティ・アドバイザリである。この脆弱性の悪用に成功した、低権限を持つ認証済みの攻撃者は、リモートから影響を受けるデバイスにアクセスし、管理者レベルへと権限を昇格させる可能性を手にする。

Signal／Discord の位置情報が漏れる：CDN キャッシュの追跡とデータセンターの特定

Signal and Discord Vulnerabilities Exposed: 0-Click Deanonymization Attack Revealed

2025/01/22 SecurityOnline — セキュリティ研究者である Daniel (別名 hackermondev) が明らかにしたのは、ユーザーの位置情報を公開できる、ゼロ・クリックによる匿名化解除の攻撃の可能性である。この攻撃は、Signal や Discord などのアプリケーションをターゲットにするものであり、Cloudflare のインフラのキャッシュ・メカニズムを悪用して、ユーザー操作を必要とすることなく、半径 250 マイル以内のユーザーの位置情報を推測するというものだ。

Google Chrome の脆弱性 CVE-2025-0611／0612 が FIX：ただちにパッチを！

Security Update for Chrome: Protect Against CVE-2025-0611 and CVE-2025-0612

2025/01/22 SecurityOnline — Google が公表したのは、Chrome Web ブラウザにおける、重要なセキュリティ・アップデートのリリース情報である。このアップデートは、３つの脆弱性に対処するものだが、そのうち２つは深刻度 High と評価されている。ユーザーに推奨されるのは、最新バージョン (132.0.6834.110/111) へと、Chrome を速やかに更新することだ。

Active Directory 管理者への警鐘：NTLMv1 のグループ・ポリシーと認証バイパス

NTLMv1 Group Policy Bypass Discovered: A Wake-Up Call for Active Directory Administrators

2025/01/21 SecurityOnline — グループ・ポリシーのメカニズムに存在する深刻な欠陥により、古い NTLMv1 認証プロトコルの無効化に失敗することが、Silverfort の調査で明らかになった。具体的に言うと、Active Directory ポリシーにより NTLMv1 をブロックしても、ミスコンフィグの発生により、この制限のバイパスを攻撃者に許す可能性があるという。この欠陥は、依然として旧式の認証システムに依存している企業にとって、深刻なリスクになる。

WordPress AdForest Theme の脆弱性 CVE-2024-12857 が FIX：認証バイパスの可能性

CVE-2024-12857: Critical Flaw in AdForest Theme Allows Complete Account Takeover, Thousands of Sites at Risk

2025/01/21 SecurityOnline — 世界中で 8,743以上の販売実績を誇る、WordPress のプレミアム広告テーマ AdForest に、深刻な脆弱性 CVE-2024-12857 (CVSS 9.8) が発見された。この脆弱性の悪用に成功した攻撃者は、認証メカニズムを完全バイパスする可能性を手にする。

Node.js の脆弱性 CVE-2025-23083 などが FIX：機密のデータ／リソースへの不正アクセス

CVE-2025-23083: Node.js Vulnerability Exposes Sensitive Data and Resources

2025/01/21 SecurityOnline — Node.js プロジェクトがリリースしたのは、攻撃者に対してワーカー権限のバイパスを許す可能性の、深刻度の高い欠陥などの、いくつかのセキュリティ脆弱性に対処するアップデートである。

Apache Ambari の脆弱性 CVE-2025-23195／23196 などが FIX：RCE などの可能性

Critical Apache Ambari Security Vulnerabilities Discovered: What You Need to Know

2025/01/21 SecurityOnline — 人気の Hadoop 管理プラットフォーム Apache Ambari に存在する深刻な脆弱性により、リモート・コード実行やデータ侵害の可能性が生じている。先日に Apache Software Foundation が発表したのは、Hadoop クラスターの管理に使用されるプラットフォーム Apache Ambari に影響を及ぼす、３件の深刻なセキュリティ脆弱性に関する情報である。これらの脆弱性の深刻度は Moderate 〜 Important であり、機密データへの不正にアクセスや、悪意のコード実行を、攻撃者に許すものだとされる。

7-Zip の脆弱性 CVE-2025-0411 が FIX：Mark-of-the-Web フラグの欠落

CVE-2025-0411: 7-Zip Security Vulnerability Enables Code Execution – Update Now

2025/01/20 SecurityOnline — 人気のファイル・アーカイバ 7-Zip で発見された脆弱性は、攻撃者に対して Windows セキュリティ防御の回避を許し、マルウェア展開の可能性を持つものである。先日に Trend Micro – Zero Day Initiative のセキュリティ研究者 Peter Girnus が発見したのは、7-Zip の脆弱性 CVE-2025-0411 (CVSS：7.0) であり、Windows の Mark-of-the-Web (MoTW) セキュリティ機能を、攻撃者が回避する可能性を生じるものだという。

TP-Link TL-WR940N ルーターの脆弱性 CVE-2024-54887：PoC と技術詳細の提供

TP-Link Vulnerability: PoC Exploit for CVE-2024-54887 Reveals Remote Code Execution Risks

2025/01/20 SecurityOnline — TP-Link TL-WR940N ルーターに影響を及ぼす、深刻な脆弱性 CVE-2024-54887 に対して、詳細な分析と PoC (Proof of Concept) エクスプロイト・コードが、セキュリティ研究者の Joward より公開された。この脆弱性は、デバイスの IPv6 DNS サーバのコンフィグ・パラメータの処理で発見された、バッファ・オーバーフローの欠陥に起因する。その悪用に成功した攻撃者は、任意のコード実行やサービス拒否攻撃を行う可能性を手にする。

Sentry の SAML SSO 脆弱性 CVE-2025-22146 (CVSS 9.1)：アカウント乗っ取りの可能性

CVE-2025-22146 (CVSS 9.1): Critical Sentry Vulnerability Allowed Account Takeovers

2025/01/20 SecurityOnline — エラー追跡／パフォーマンス監視のプラットフォームとして人気を博す Sentry において、深刻な脆弱性 CVE-2025-22146 (CVSS：9.1) に対するパッチが適用された。この脆弱性の悪用に成功した攻撃者は、ユーザー・アカウントの乗っ取りの可能性を手にする。

IBM Sterling Secure Proxy の複数の脆弱性 FIX：緩和策はなくアップデートが必須

IBM Sterling Secure Proxy Faces Multiple Critical Vulnerabilities: A Call for Immediate Action

2025/01/20 SecurityOnline — IBM が公開したのは、ビジネス・ネットワーク間での安全なデータ転送のための、重要なソリューションとして提供される、Sterling Secure Proxy (SSP) に影響を及ぼす複数の重大な脆弱性である。これらの脆弱性の悪用に成功した攻撃者は、コマンドの挿入／機密情報へのアクセス／サービス拒否などを達成する可能性を手にする。

OWASP の Smart Contract 脆弱性 Top-10：2025年の傾向を探る

OWASP Unveils Top 10 Smart Contract Vulnerabilities for 2025

2025/01/20 SecurityOnline — Open Web Application Security Project (OWASP) は、2025年において Smart Contract に影響を与え得る、脆弱性の Top-10 リストを更新した。この包括的なドキュメントは、Smart Contract で最重視されるべき脆弱性を特定し、分散型エコシステムのリスクを軽減するためのロードマップを、開発者とセキュリティ専門家に提供するものである。

Windows のゼロデイ脆弱性 CVE-2024-49138 が FIX： PoC エクスプロイトが提供

Zero-Day Vulnerability in Windows Exploited: CVE-2024-49138 PoC Code Released

2025/01/19 SecurityOnline — Windows の Common Log File System (CLFS) ドライバに影響を与える、ゼロデイ脆弱性 CVE-2024-49138 (CVSS：7.8) の PoC エクスプロイトが、セキュリティ研究者の MrAle_98 により公開された。この脆弱性の悪用に成功した攻撃者は、影響を受けるデバイス上で SYSTEM 特権を獲得できるとされる。

Mongoose の脆弱性 CVE-2025-23061 (CVSS：9.0) が FIX: 直ちにアップデートを！

CVE-2025-2306 (CVSS 9.0): Mongoose Flaw Leaves Millions of Downloads Exposed to Search Injection

2025/01/19 SecurityOnline — 人気の MongoDB オブジェクト・モデリング・ツール Mongoose に、新たな脆弱性が発見された。それにより、検索インジェクション攻撃の影響が、何百万ものユーザーに及ぶ可能性が生じている。この脆弱性 CVE-2025-23061 (CVSS：9.0) は、Mongoose のバージョン 8.9.5 未満の影響を及ぼす。この脆弱性は、populate() マッチングと、ネストされた $where フィルタの不適切な処理に起因しており、攻撃者に対して、検索結果の操作と、機密データへ不正アクセスが許されるという。

BlackBerry QNX の深刻な脆弱性が FIX：悪意のイメージ・ファイル解析から侵害にいたる

Critical Vulnerabilities in QNX Software Development Platform Image Codecs Expose Systems to Attacks

2025/01/19 SecurityOnline — 安全性が重要視される業界において、広範に使用されているリアルタイム・オペレーティング・システム BlackBerry QNX の Software Development Platform (SDP) が、最近のセキュリティ・アドバイザリの対象となっている。このアドバイザリ QNX-2024-003 では、TIFF／PCX イメージ・コーデックの複数の脆弱性について詳細に説明されており、情報漏洩／サービス拒否 (DoS)／リモート・コード実行 (RCE) などの重大なリスクが生じると警告している。

Moxa EDS-508A Series の脆弱性 CVE-2024-12297 (CVSS 9.2) が FIX：パッチ適用前の緩和策も提供

CVE-2024-12297 (CVSS 9.2): Critical Authorization Vulnerability in Moxa EDS-508A Series

2025/01/18 SecurityOnline — Moxa が発行したのは、EDS-508A シリーズ・イーサネット・スイッチに存在する、深刻な脆弱性 CVE-2024-12297 (CVSS 9.2) について詳述する、セキュリティ・アドバイザリである。この脆弱性は、ファームウェア・バージョン 3.11 以下を実行しているデバイスに影響し、認証バイパスを達成した攻撃者に対して、機密デバイス・コンフィグへの不正や、運用の妨害を許すものとされる。

Ivanti Connect Secure の CVE-2025-0282 を狙う CL-UNK-0979：攻撃のフェーズとツールが明らかに

CL-UNK-0979 Exploit Zero-Day Flaw in Ivanti Connect Secure to Gain Access to Networks

2025/01/18 SecurityOnline — Ivanti 製品群における２件の深刻な脆弱性 CVE-2025-0282／CVE-2025-0283 に関する、詳細な脅威ブリーフィングを Palo Alto Networks が発表した。これらの脆弱性は、リモート・ネットワーク接続のための広く使用されている。Ivanti の Connect Secure／Policy Secure／ZTA Gateway アプライアンスに影響を及ぼすものだ。

Palo Alto Expedition の脆弱性 CVE-2025-0107：PoC の提供とEoL パッチ未適用

CVE-2025-0107: PoC Exploit Code Released for Palo Alto Expedition RCE Flaw

2025/01/17 SecurityOnline — Palo Alto Expedition の脆弱性 CVE-2025-0107 に対して、PoC エクスプロイト・コードと技術的詳細が公開された。この脆弱性の悪用に成功したリモートの攻撃者は、脆弱性のあるシステム上で、任意のコード実行の可能性を手にする。

QNAP の RCE 脆弱性 CVE-2024-53691：PoC エクスプロイトが提供

CVE-2024-53691: PoC Exploit Released for Severe QNAP RCE Flaw

2025/01/16 SecurityOnline — QNAP NAS デバイスに存在する、深刻な脆弱性 CVE-2024-53691 (CVSS：8.7) に対する PoC エクスプロイト・コードが、セキュリティ研究者の c411e により公開された。この脆弱性を悪用する攻撃者は、特権を昇格させ、root ユーザーとしてリモート・コード実行 (RCE) を達成し、影響を受けるシステムに重大なリスクをもたらすという。

Yubico pam-u2f の脆弱性 CVE-2025-23013 が FIX：認証バイパスの可能性

Yubico Addresses Authentication Bypass Vulnerability CVE-2025-23013 in pam-u2f Package

2025/01/16 SecurityOnline — セキュリティ・キーおよび認証ソリューションの、大手プロバイダである Yubico が公開したセキュリティ勧告は、同社の OSS パッケージ pam-u2f に存在する認証バイパスの脆弱性 CVE-2025-23013 に対応するものだ。

HPE Aruba AOS の脆弱性 CVE-2025-23051／23052 が FIX：ただちにパッチを！

HPE Aruba Networking Addresses Security Vulnerabilities in AOS Systems

2025/01/16 SecurityOnline — HPE Aruba Networking が発行したのは、Mobility Conductors／Controllers／Gateways の管理のために、企業ネットワークで広く導入されている ArubaOS (AOS) システムの、脆弱性 CVE-2025-23051／CVE-2025-23052 に対処するセキュリティ・アドバイザリである。これらの脆弱性の悪用に成功した攻撃者は、不正なコマンドの実行や、システム・ファイルの上書きを達成し、ネットワーク・セキュリティに重大なリスクをもたらすという。

AWS の脆弱性 CVE-2025-0500／0501 が FIX：WorkSpaces／AppStream 2.0／DCV クライアントに影響

AWS Patches Vulnerabilities in WorkSpaces, AppStream 2.0, and DCV Clients

2025/01/16 SecurityOnline — 先日に Amazon が発行したのは、WorkSpaces／AppStream 2.0／DCV のネイティブ・クライアントに影響を及ぼす、２件の脆弱性 CVE-2025-0500／CVE-2025-0501 (CVSSv4：7.7) に関するセキュリティ・アドバイザリである。これらの脆弱性の悪用に成功した攻撃者は、中間者 (MITM) 攻撃を達成し、リモート・セッションへの不正アクセスの可能性を手にする。

Rancher の蓄積型 XSS の脆弱性 CVE-2024-52281 が FIX：ただちにパッチを！

CVE-2024-52281: Rancher Vulnerability Exposes Users to Stored XSS Attacks

2025/01/16 SecurityOnline — Kubernetes の導入に広く使用さる OSS コンテナ管理プラットフォーム Rancher に、深刻な脆弱性 CVE-2024-52281 (CVSS：8.9) が発見された。この蓄積型クロス・サイト・スクリプティング (XSS) の欠陥を悪用する攻撃者は、任意の JavaScript コードの実行を達成し、プロダクション環境を重大なリスクにさらす可能性を手にする。

トンネリング・プロトコルの脆弱性：400万台以上の VPN Server や Home Router などに欠陥

Millions of Internet Hosts Vulnerable to Attacks Due to Tunneling Protocol Flaws

2025/01/16 SecurityWeek — インターネット上に配置される VPN Server や Home Router などの 400 万以上のシステムが、トンネリング・プロトコルの欠陥を抱えており、攻撃に対して脆弱だという、新たな調査結果が発表された。この調査は、ベルギーのルーヴェン・カトリック大学の Mathy Vanhoef 教授と博士課程の学生 Angelos Beitis が、VPN テスト会社である Top10VPN と共同で実施したものだ。Mathy Vanhoef は、Wi-Fi セキュリティ研究で著名な学者であり、Dragonblood／KRACK／FragAttacks などの攻撃を研究してきた。

NVIDIA Container Toolkit／GPU Operator の脆弱性 CVE-2024-0135／0136／0137 が FIX：直ちにパッチを！

NVIDIA Releases Security Update for Container Toolkit and GPU Operator

2015/01/16 SecurityOnline — NVIDIA がリリースしたセキュリティ・アップデートは、Container Toolkit と GPU Operator に存在する３つの脆弱性 CVE-2024-0135／CVE-2024-0136／CVE-2024-0137 に対処するためのものだ。これらの脆弱性が悪用されると、悪意のコード実行／特権昇格／サービス拒否攻撃などの可能性が生じる。

WordPress ComboBlocks の脆弱性 CVE-2024-9636 が FIX：４万件のサイトが危険な状態に

CVE-2024-9636: Popular WordPress Plugin ComboBlocks Exposes Thousands of Sites to Complete Takeover

2025/01/16 SecurityOnline — WordPress のプラグインである ComboBlocks (旧 Post Grid) に、深刻な脆弱性 CVE-2024-9636 (CVSS：9.8) が発見された。Web サイトのデザインと機能を強化するプラグインとして人気の ComboBlocks を使用している、４万以上の Web サイトが、この脆弱性による完全な乗っ取りの危険に晒されている。この脆弱性の悪用に成功した未認証の攻撃者は、管理者としてアカウントを登録し、影響を受ける Web サイトを完全に制御する可能性を手にする。

Ivanti Connect Secure の脆弱性 CVE-2025-0282：PoC の提供と積極的な悪用

PoC Exploit Released for Ivanti Connect Secure Flaw CVE-2025-0282 Used in Attacks

2025/01/16 SecurityOnline — Ivanti Connect Secure の深刻なゼロデイ脆弱性 CVE-2025-0282 (CVSS：9.0) に対する、脆弱性の詳細な分析と PoC エクスプロイトが、watchTowr Labs により公開された。この脆弱性を悪用する攻撃者は、脆弱なデバイスへのマルウェアのインストールを積極的に展開している。

2025年のセキュリティを考える：OSS とソフトウェア・サプライチェーンに注目すべきだ

Cyber Insights 2025: Open Source and Software Supply Chain Security

2025/01/15 SecurityWeek — RapidFort の CEO である Mehran Farimani は、「これまでの 10年間を経て、Open Source Software (OSS) は主要な脅威ベクターとなった。その理由は、500万を超える OSS パッケージが提供されているという、きわめて単純な数字にある」と説明する。Endor Labs の Chief Security Advisor である Chris Hughes は、「これまでの 10年間で、OSS の採用は飛躍的に増加しており、減速の兆候は見られない。現時点において OSS は、最新のコードベースの約 90% に存在し、それらのコードベースの 70～80% を占めている」と指摘する。

Outlook の Zero-Click 脆弱性 CVE-2025-21298 に注意：2025/01 の月例で対応済み

Microsoft Patches Outlook Zero-Click: CVE-2025-21298 Exploits RCE via Emails

2025/01/15 SecurityOnline — Microsoft は、最新のPatch Tuesday 2025 January で、Microsoft は Outlook の深刻な脆弱性 CVE-2025-21298 (CVSS：9.8) に対処した。この欠陥を悪用する攻撃者は、特別に細工した電子メールを介して、Windows デバイス上でリモート・コード実行 (RCE) を達成できる。この Microsoft Outlook の脆弱性は、電子メールのセキュリティに重大な影響を及ぼすものである。

Rasa フレームワークの脆弱性 CVE-2024-49375 が FIX：RCE の可能性

Critical Vulnerability in Rasa Framework Enables Remote Code Execution (CVE-2024-49375)

2025/01/15 SecurityOnline — 人気のオープンソース・フレームワークである Rasa に、深刻な脆弱性 CVE-2024-49375 (CVSS：9.1) が発見された。この脆弱性を悪用する攻撃者は、悪意を持って細工したデルをリモートから読み込むことで、リモート・コード実行 (RCE：Remote Code Execution) の可能性を手にする。Rasa は、テキスト／音声ベースの会話型 AI アプリケーション開発に使用されており、そのダウンロード数は 2500万件以上を記録し、機械学習の導入における重要な基盤となっている。

Kubernetes の Windows Nodes の脆弱性 CVE-2024-9042：任意のコード実行の可能性

CVE-2024-9042: Code Execution Vulnerability Found in Kubernetes Windows Nodes

2025/01/15 SecurityOnline — Kubernetes の Windows Worker Nodes に影響をおよぼす、新たな脆弱性 CVE-2024-9042 (CVSS：5.9) が発見された。この脆弱性の悪用に成功した攻撃者は、ノードの “/logs” エンドポイントの悪用を達成し、ホストマシン上での任意のコマンド実行の可能性を手にする。

Howyar Reloader の脆弱性 CVE-2024-7344：UEFI Secure Boot 回避の可能性

CVE-2024-7344: Howyar Reloader Vulnerability Exposes UEFI Systems to Unsigned Software Threats

2025/01/15 SecurityOnline — SysReturn バージョン 10.2.02320240919 未満に取り込まれる Howyar Reloader UEFI ブートローダーに、重大な脆弱性 CVE-2024-7344 が存在することが、CERT/CC の発表により明らかになった。この脆弱性を悪用する攻撃者は、UEFI Secure Boot を回避し、署名のないソフトウェアをブート・プロセス中に実行する可能性を手にする。その結果として、検出を回避する持続的な脅威が成立し得るという。

STEALTHONE の脆弱性 CVE-2025-20016／20055／20620 が FIX：直ちにアップデートを！

CVE-2025-20055 (CVSS 9.8): Critical Vulnerability Threatens STEALTHONE Storage

2025/01/15 SecurityOnline — 2025年1月15日に JPCERT/CC が公開したセキュリティ・アドバイザリは、STEALTHONE D220／D340／D440 ネットワーク・ストレージ・サーバに影響を及ぼす、複数の脆弱性に関するものである。ユーザーに推奨されるのは、ファームウェアを速やかに更新することである。それらの脆弱性 CVE-2025-20016／CVE-2025-20055／CVE-2025-20620 の悪用に成功した攻撃者は、任意のコマンド実行／不正アクセス／管理パスワードの窃取などの可能性を手にする。