米政府、GW期間中に悪用確認脆弱性10件を追加

翌5月6日には、オープンソースのフォントレンダリングエンジン「FreeType」の脆弱性「CVE-2025-27363」を悪用リストに追加。

「TrueType GX」や可変フォントファイルに関連するサブグリフ構造の解析処理に起因する脆弱性で、細工されたフォントファイルを処理すると、域外メモリへの書き込みが生じ、コードを実行されるおそれがある。

CVE番号を採番したFacebookでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.1」、重要度を「高（High）」としていた。脆弱性が報告された3月12日の時点で悪用された可能性があるとの指摘が出ていた。

「同2.13.0」および以前のバージョンに影響があるとされている。2023年6月24日にリリースされた「同2.13.1」以降は対象外。

ゴールデンウィーク以降に「悪用が確認された脆弱性カタログ（KEV）」へ追加された脆弱性は以下のとおり。

CVE-2025-1976：Broadcom Brocade Fabric OS（2025/04/28）
CVE-2025-42599：Qualitia Active! Mail（2025/04/28）
CVE-2025-3928：Commvault Web Server（2025/04/28）
CVE-2025-31324：SAP NetWeaver（2025/04/29）
CVE-2024-38475：Apache HTTP Server（2025/05/01）
CVE-2023-44221：SonicWall SMA100 Appliances（2025/05/01）
CVE-2025-34028：Commvault Command Center（2025/05/02）
CVE-2024-58136：Yiiframework Yii（2025/05/02）
CVE-2025-3248：Langflow Langflow（2025/05/05）
CVE-2025-27363：FreeType FreeType（2025/05/06）

（Security NEXT - 2025/05/07 ） ツイート

PR

関連記事

「Apache OFBiz」にRCE脆弱性 - 修正版がリリース
「iOS」にアップデート - Bluetoothやグループチャットの脆弱性を修正
「NetScaler ADC/Gateway」に複数の「クリティカル」脆弱性
「GitLab」がアップデート - 「クリティカル」脆弱性に対応
「Git」に複数の脆弱性 - アップデートをリリース
NECのリモート操作ソフト「WebSAM WinShare」にRCE脆弱性
Synology製NAS向けOS「DSM」に脆弱性 - 「クリティカル」も
「FortiMail」に深刻な脆弱性 - 10月の更新で対応
Adobe、9製品で脆弱性を修正 - 21件が「クリティカル」
「MongoDB Server」にRCE脆弱性 - 修正版を公開