情報収集 20250330

325

CVE-2025-31103(a-blog cms)
- https://developer.a-blogcms.jp/blog/news/security-update202503.html
- https://developer.a-blogcms.jp/blog/news/entry-4197.html
- https://www.security-next.com/168713
- https://securityonline.info/cve-2025-31103-zero-day-vulnerability-discovered-in-a-blog-cms-act-now-to-protect-your-web-server/
- 悪用すると不正にファイルを作成できるらしい。悪用が確認されているようで、JPCERTからもリリースあり。開発元からも調査方法を含めた情報が公開されている。
CVE-2025-2782(WatchGuard Terminal Services Agent)、CVE-2025-2781(WatchGuard Mobile VPN with SSL Client)
- https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00005
- https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00004
- Windowsでの権限昇格。Nessus Agentに似たような脆弱性あった(CVE-2025-24915)けど関連あるのだろうか。
CVE-2024-5813(MISP)
- https://nvd.nist.gov/vuln/detail/CVE-2024-58130
- https://github.com/MISP/MISP/commit/f08a2eaec25f0212c22b225c0b654bd60d089ef9
- RESTでサニタイズ漏れがあったらしい。他にもいくつかあるが権限が必要。
CVE-2025-2713(Google gVisor)
- https://nvd.nist.gov/vuln/detail/CVE-2025-2713
- https://github.com/google/gvisor/commit/586c38d70081b13b2ed494cef48e99b93956843e
- コンテナランタイムの権限昇格。
CVE-2025-30211(Erlang/OTP)
- https://nvd.nist.gov/vuln/detail/CVE-2025-30211
- 不正なKEX init messageによりメモリの過剰消費につながる可能性があるらしい。趣味枠。
CVE-2025-1781(W3C CSS Validator)
- https://nvd.nist.gov/vuln/detail/CVE-2025-1781
- https://github.com/google/security-research/security/advisories/GHSA-745m-xmq6-g6x7
- XXEによりSSRFが可能らしい。

その他、気になった記事

npm package
- https://www.sonatype.com/blog/multiple-crypto-packages-hijacked-turned-into-info-stealers
- https://www.bleepingcomputer.com/news/security/infostealer-campaign-compromises-10-npm-packages-targets-devs/
- npmの暗号資産に関するパッケージが改竄された模様。GitHub上での変更はなかったらしい。
Ubuntu
- https://discourse.ubuntu.com/t/understanding-apparmor-user-namespace-restriction/58007
- https://blog.qualys.com/vulnerabilities-threat-research/2025/03/27/qualys-tru-discovers-three-bypasses-of-ubuntu-unprivileged-user-namespace-restrictions
- https://x.com/roddux/status/1903081918578532391
- 権限昇格っぽい。通常リリースでの対応予定らしく、緩和策が紹介されている。

links

social