米当局、Linuxカーネルや「VMware ESXi」の脆弱性悪用に注意喚起

米当局は、LinuxやVMware製品において悪用が確認されている脆弱性4件について注意喚起を行った。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では現地時間2025年3月4日、「悪用が確認された脆弱性カタログ（KEV）」へ4件の脆弱性を追加したもの。

具体的には、同日Broadcomよりアドバイザリが公表された「CVE-2025-22224」「CVE-2025-22225」「CVE-2025-22226」を同リストへ登録した。

脆弱性によって対象となる製品は異なるが、「VMware ESXi」をはじめ、「VMware Workstation」「VMware Fusion」などに影響があり、アップデートが提供されている。

一方、「CVE-2024-50302」は、未初期化のリソースを使用することに起因する「Linuxカーネル」の脆弱性。細工されたHIDレポートによってメモリが漏洩し、システムの機密情報を取得されるおそれがある。「Android」で悪用されたことが判明している。

米国の行政機関では、指定された期間内にこれら脆弱性へ対応する義務が生じる。また脆弱性そのものは広く悪用されるおそれがあるため、注意が必要となる。

（Security NEXT - 2025/03/05 ）ツイート