SysAid Patches 4 Critical Flaws Enabling Pre-Auth RCE in On-Premise Version
2025/05/07 TheHackerNews — SysAid のオンプレミス版に、複数のセキュリティ上の欠陥があることを、サイバー・セキュリティ研究者たちが明らかにした。これらの脆弱性を悪用されると、昇格された権限を介して、認証を必要としないリモートコード実行が可能となり、この IT サポート・ソフトウェアに深刻なリスクが生じる。一連の脆弱性 CVE-2025-2775／CVE-2025-2776／CVE-2025-2777 は、XML External Entity (XXE) インジェクションと説明されており、アプリケーションによる XML 入力の解析に、攻撃者が干渉した場合に発生する。
Continue reading “SysAid の４つの脆弱性が FIX：XXE インジェクションと PoC の提供”CVE-2024-40896 (CVSS 9.1): Critical XXE Vulnerability Discovered in libxml2
2023/12/25 SecurityOnline — 人気の XML パース・ライブラリ libxml2 に、新たな脆弱性 CVE-2024-40896 (CVSS 9.1) が発見された。この脆弱性の悪用に成功した攻撃者は、システム侵害／機密データ窃取などの可能性を得るという。libxml2 は、C 言語で書かれた堅牢な XML 解析ライブラリである。さらに、C++／Python／Ruby などのプログラミング言語へのバインディングにより、その汎用性は強化され、多くの開発環境で標準的なツールとなっている。Web サービス／データ処理／システム構成などの各種アプリケーションで、libxml2 が広く利用される背景には、その優れた解析機能と効率性がある。
Continue reading “libxml2 の XXE 脆弱性 CVE-2024-40896 (CVSS 9.1) が FIX：システム侵害などの可能性”PoC Exploit Releases for Unauthenticated XXE Flaw CVE-2024-38653 in Ivanti Avalanche
2024/08/29 SecurityOnline — Ivanti Avalanche に存在する深刻な脆弱性 CVE-2024-38653 (CVSS：8.2) に関する、技術的な詳細と PoC エクスプロイト・コードが、セキュリティ研究者である D4mianWayne により公開された。特に Ivanti の Mobile Device Management (MDM) ソリューションに依存している環境では、この脆弱性の影響を受けるシステムが重大なリスクにさらされる。
Continue reading “Ivanti Avalanche の XXE の脆弱性 CVE-2024-38653 が FIX：PoC も提供”CVE-2024-40075: XXE Vulnerability Found in Laravel v11.x
2024/07/23 SecurityOnline — 人気の OSS PHP Web フレームワークの Laravel v11.x に、深刻な脆弱性 CVE-2024-40075 が発見された。この XXE (XML External Entity) の脆弱性の悪用に成功した攻撃者は、機密情報にアクセス／任意のコマンド実行の可能性を得る。
Continue reading “Laravel v11.x の脆弱性 CVE-2024-40075 が FIX：XXE の恐れ”
IoT OT Security News 