米政府、GW期間中に悪用確認脆弱性10件を追加

翌5月6日には、オープンソースのフォントレンダリングエンジン「FreeType」の脆弱性「CVE-2025-27363」を悪用リストに追加。

「TrueType GX」や可変フォントファイルに関連するサブグリフ構造の解析処理に起因する脆弱性で、細工されたフォントファイルを処理すると、域外メモリへの書き込みが生じ、コードを実行されるおそれがある。

CVE番号を採番したFacebookでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.1」、重要度を「高（High）」としていた。脆弱性が報告された3月12日の時点で悪用された可能性があるとの指摘が出ていた。

「同2.13.0」および以前のバージョンに影響があるとされている。2023年6月24日にリリースされた「同2.13.1」以降は対象外。

ゴールデンウィーク以降に「悪用が確認された脆弱性カタログ（KEV）」へ追加された脆弱性は以下のとおり。

CVE-2025-1976：Broadcom Brocade Fabric OS（2025/04/28）
CVE-2025-42599：Qualitia Active! Mail（2025/04/28）
CVE-2025-3928：Commvault Web Server（2025/04/28）
CVE-2025-31324：SAP NetWeaver（2025/04/29）
CVE-2024-38475：Apache HTTP Server（2025/05/01）
CVE-2023-44221：SonicWall SMA100 Appliances（2025/05/01）
CVE-2025-34028：Commvault Command Center（2025/05/02）
CVE-2024-58136：Yiiframework Yii（2025/05/02）
CVE-2025-3248：Langflow Langflow（2025/05/05）
CVE-2025-27363：FreeType FreeType（2025/05/06）

（Security NEXT - 2025/05/07 ） ツイート

PR

関連記事

「FortiOS」の「SSL VPN」脆弱性に関するアドバイザリを更新
「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも
ロードバランサ「HAProxy」に脆弱性 - 同期破壊のおそれ
「Webmin」に認証バイパスなど複数の脆弱性 - 最新版で修正
6月公表の「Splunk Enterprise」脆弱性、悪用を確認
FWやVPNの認証情報を攻撃者が大量保有 - 「FortiBleed」に要警戒
「nginx」に複数のクリティカル脆弱性 - 修正版が公開
「Splunk」向けのAI拡張ツールに複数の脆弱性
「Chrome」が脆弱性33件を修正 - 「クリティカル」7件