米政府、GW期間中に悪用確認脆弱性10件を追加

翌5月6日には、オープンソースのフォントレンダリングエンジン「FreeType」の脆弱性「CVE-2025-27363」を悪用リストに追加。

「TrueType GX」や可変フォントファイルに関連するサブグリフ構造の解析処理に起因する脆弱性で、細工されたフォントファイルを処理すると、域外メモリへの書き込みが生じ、コードを実行されるおそれがある。

CVE番号を採番したFacebookでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.1」、重要度を「高（High）」としていた。脆弱性が報告された3月12日の時点で悪用された可能性があるとの指摘が出ていた。

「同2.13.0」および以前のバージョンに影響があるとされている。2023年6月24日にリリースされた「同2.13.1」以降は対象外。

ゴールデンウィーク以降に「悪用が確認された脆弱性カタログ（KEV）」へ追加された脆弱性は以下のとおり。

CVE-2025-1976：Broadcom Brocade Fabric OS（2025/04/28）
CVE-2025-42599：Qualitia Active! Mail（2025/04/28）
CVE-2025-3928：Commvault Web Server（2025/04/28）
CVE-2025-31324：SAP NetWeaver（2025/04/29）
CVE-2024-38475：Apache HTTP Server（2025/05/01）
CVE-2023-44221：SonicWall SMA100 Appliances（2025/05/01）
CVE-2025-34028：Commvault Command Center（2025/05/02）
CVE-2024-58136：Yiiframework Yii（2025/05/02）
CVE-2025-3248：Langflow Langflow（2025/05/05）
CVE-2025-27363：FreeType FreeType（2025/05/06）

（Security NEXT - 2025/05/07 ）ツイート

米政府、GW期間中に悪用確認脆弱性10件を追加

関連リンク

PR

関連記事