米政府、GW期間中に悪用確認脆弱性10件を追加

翌5月6日には、オープンソースのフォントレンダリングエンジン「FreeType」の脆弱性「CVE-2025-27363」を悪用リストに追加。

「TrueType GX」や可変フォントファイルに関連するサブグリフ構造の解析処理に起因する脆弱性で、細工されたフォントファイルを処理すると、域外メモリへの書き込みが生じ、コードを実行されるおそれがある。

CVE番号を採番したFacebookでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.1」、重要度を「高（High）」としていた。脆弱性が報告された3月12日の時点で悪用された可能性があるとの指摘が出ていた。

「同2.13.0」および以前のバージョンに影響があるとされている。2023年6月24日にリリースされた「同2.13.1」以降は対象外。

ゴールデンウィーク以降に「悪用が確認された脆弱性カタログ（KEV）」へ追加された脆弱性は以下のとおり。

CVE-2025-1976：Broadcom Brocade Fabric OS（2025/04/28）
CVE-2025-42599：Qualitia Active! Mail（2025/04/28）
CVE-2025-3928：Commvault Web Server（2025/04/28）
CVE-2025-31324：SAP NetWeaver（2025/04/29）
CVE-2024-38475：Apache HTTP Server（2025/05/01）
CVE-2023-44221：SonicWall SMA100 Appliances（2025/05/01）
CVE-2025-34028：Commvault Command Center（2025/05/02）
CVE-2024-58136：Yiiframework Yii（2025/05/02）
CVE-2025-3248：Langflow Langflow（2025/05/05）
CVE-2025-27363：FreeType FreeType（2025/05/06）

（Security NEXT - 2025/05/07 ） ツイート

PR

関連記事

「NVIDIA FLARE SDK」に複数の脆弱性 - 認証回避やコード実行のおそれ
「Firefox」にアップデート - 「クリティカル」脆弱性を解消
「SonicOS」に複数の脆弱性 - 認証回避やDoSのおそれ
「Chrome」に30件の脆弱性 - 「クリティカル」が4件
「Nessus」「Nessus Agent」に脆弱性 - 任意ファイル削除のおそれ
「Apache MINA」に深刻な脆弱性2件 - アップデートを
米当局、脆弱性6件を悪用カタログに追加
Cisco製FWにバックドア「FIRESTARTER」 - 新手法で永続化、侵害確認を
「Cisco ASA/FTD」脆弱性がDoS攻撃の標的に - 修正を再度呼びかけ
「MS Edge」にセキュリティ更新 - 脆弱性2件を修正