米政府、GW期間中に悪用確認脆弱性10件を追加
翌5月6日には、オープンソースのフォントレンダリングエンジン「FreeType」の脆弱性「CVE-2025-27363」を悪用リストに追加。
「TrueType GX」や可変フォントファイルに関連するサブグリフ構造の解析処理に起因する脆弱性で、細工されたフォントファイルを処理すると、域外メモリへの書き込みが生じ、コードを実行されるおそれがある。
CVE番号を採番したFacebookでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.1」、重要度を「高（High）」としていた。脆弱性が報告された3月12日の時点で悪用された可能性があるとの指摘が出ていた。
「同2.13.0」および以前のバージョンに影響があるとされている。2023年6月24日にリリースされた「同2.13.1」以降は対象外。
ゴールデンウィーク以降に「悪用が確認された脆弱性カタログ（KEV）」へ追加された脆弱性は以下のとおり。
CVE-2025-1976：Broadcom Brocade Fabric OS（2025/04/28）
CVE-2025-42599：Qualitia Active! Mail（2025/04/28）
CVE-2025-3928：Commvault Web Server（2025/04/28）
CVE-2025-31324：SAP NetWeaver（2025/04/29）
CVE-2024-38475：Apache HTTP Server（2025/05/01）
CVE-2023-44221：SonicWall SMA100 Appliances（2025/05/01）
CVE-2025-34028：Commvault Command Center（2025/05/02）
CVE-2024-58136：Yiiframework Yii（2025/05/02）
CVE-2025-3248：Langflow Langflow（2025/05/05）
CVE-2025-27363：FreeType FreeType（2025/05/06）
（Security NEXT - 2025/05/07 ）
ツイート
PR
関連記事
相次ぐ脆弱性の悪用、ゼロデイ攻撃も - 悪用リスト登録が週明け以降7件
「NVIDIA runx」に脆弱性 - サポート終了により修正予定なし
「SolarWinds WHD」に複数の深刻な脆弱性 - アップデートで修正
「Ivanti EPMM」にゼロデイ脆弱性、悪用確認 - パッチ適用や侵害調査を
Windows環境の「Symfony」でシェル経由処理に問題 - 破壊的操作のおそれ
JavaScriptサンドボックスのnpmライブラリ「SandboxJS」に深刻な脆弱性
NVIDIAのGPUディスプレイドライバに複数脆弱性 - 修正版が公開
米当局、Fortinet製品のゼロデイ攻撃に対する侵害調査などを呼びかけ
「OpenSSL」に重要度「高」含む12件の脆弱性 - アップデートで修正
セキュリティアップデート「Firefox 147.0.2」が公開
