20250418 Security News

来週は１週間更新停止します。

◆ アップデート・脆弱性関連（Updates / Vulnerabilities）

1. Windows NTLMの新たな脆弱性、攻撃に悪用
   MicrosoftのNTLM脆弱性（CVE-2025-24054）が政府・企業に対する攻撃で利用されていることが判明。3月にパッチが公開済み。詳細
   A fresh Windows NTLM flaw patched in March has been actively exploited in attacks.
2. macOS Sequoia 15.4.1が2件の脆弱性修正
   Appleが「macOS Sequoia 15.4.1」をリリース、深刻なセキュリティ修正を含む。詳細
   Apple fixes two vulnerabilities in the new macOS update.
3. iOS 18.4.1とiPadOS 18.4.1もゼロデイ対応
   iOS/iPadOSでもゼロデイ脆弱性が修正。詳細
   Apple released updates addressing zero-day vulnerabilities.
4. Active! mailに深刻な脆弱性、悪用も確認
   ウェブメール「Active! mail 6」で重大な脆弱性が確認され、既に悪用が発生。詳細
   Critical flaw found in Active! mail, already exploited in attacks.
5. Omnissa UAGにCORSバイパスの脆弱性
   Omnissa UAG（旧VMware部門）にCORS脆弱性、アップデート公開済。詳細
   CORS bypass flaw found in Omnissa UAG; update available.
6. ASUS製ルータの脆弱性、実際は認証不要で悪用可能
   認証なしに攻撃可能な脆弱性がASUSルータに発見。詳細
   ASUS router flaw can be exploited without authentication.
7. Erlang/OTPのSSHに深刻なRCE脆弱性
   Erlang/OTPで認証前のリモートコード実行が可能な脆弱性が発見された（CVE-2025-32433）。詳細
   Critical Erlang/OTP SSH flaw allows unauthenticated RCE.
8. Nessus 10.8.4、複数の脆弱性修正
   Nessusの更新でlibxml2、expatの脆弱性に対処。詳細
   Nessus update fixes third-party component vulnerabilities.

◆ インシデント（Incidents）

9. Legends International、データ侵害を公表
   スポーツ施設運営企業Legends Internationalが2024年11月に発生したデータ漏洩を公表。詳細
   Legends International confirms data breach affecting venue visitors and staff.
10. 愛知県ロボット産業クラスター推進協議会、サイト改ざん被害
    委託事業者が運営する愛知県のロボット関連サイトが不正アクセス被害。詳細
    Japanese robotics site suffers unauthorized website access.
11. Windows NTLMハッシュ漏洩を利用したフィッシング攻撃
    NTLMハッシュ漏洩脆弱性を悪用した政府機関対象のフィッシング攻撃が確認された。詳細
    NTLM hash leak exploited in phishing campaigns targeting governments.

◆ セキュリティインサイト（Security Insights）

12. 資格情報詰め込み（Credential Stuffing）の解説
    パスワード再利用を悪用する代表的攻撃「Credential Stuffing」の詳細と対策。詳細
    Credential stuffing exploits users’ password reuse habits.
13. 脆弱性エクスポージャー管理（VEM）の重要性
    攻撃対象領域と脆弱性の相互作用を管理する必要性。詳細
    Understanding Vulnerability Exposure Management (VEM).
14. PIIのトークン化が必須に
    個人情報保護におけるトークン化の役割と緊急性。詳細
    Tokenization is critical for safeguarding PII.
15. SSL証明書の更新期間短縮にどう対応するか？
    SSL/TLS証明書のライフサイクル短縮への対策を解説。詳細
    Adapting to shorter SSL/TLS certificate renewal periods.