米当局、「XWiki Platform」「Aria Operations」脆弱性を悪用リストに追加

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2025年10月30日、「悪用が確認された脆弱性カタログ（KEV）」へあらたに2件の脆弱性を追加した。

「CVE-2025-24893」は、Wikiシステム「XWiki Platform」に確認された「evalインジェクション」の脆弱性。ゲストユーザーが「SolrSearch」へのリクエストにより、認証を必要とすることなく任意のコードを実行することが可能となる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされており、「同16.4.1」「同15.10.11」にて修正された。概念実証コードも公開されている。

一方、「CVE-2025-41244」は、Broadcomの「VMware Aria Operations」および「VMware Tools」で管理されている仮想マシン（VM）が影響を受ける脆弱性。

SDMP機能が有効となっている場合にローカルユーザーがroot権限を取得できる。Broadcomでは9月にアップデートをリリースしているが、悪用が疑われる事例について把握しているとして、現地時間2025年10月30日にセキュリティアドバイザリを更新した。

CISAでは、米行政機関に対して指定期間内に脆弱性へ対処するよう求めるとともに、これら脆弱性が広く悪用される可能性があるとして注意を呼びかけている。

（Security NEXT - 2025/10/31 ）ツイート