悪用確認された「WinRAR」「Windows」の脆弱性に注意喚起 - 米当局

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、Windowsやアーカイバの脆弱性2件について悪用されているとして注意喚起を行った。

同庁は現地時間2025年12月9日、「悪用が確認された脆弱性カタログ（KEV）」へ2件の脆弱性「CVE-2025-62221」「CVE-2025-6218」を追加。米行政機関へ対策を求めるとともに、広く悪用されるおそれがあるとして注意を呼びかけた。

「CVE-2025-62221」は、「Windows Cloud Files Mini Filter Driver」に確認された解放後のメモリを使用するいわゆる「Use After Free」の脆弱性。マイクロソフトが現地時間2025年12月9日に公開した月例セキュリティ更新で明らかにした。

一方、「CVE-2025-6218」は、RARLABのファイル圧縮解凍ソフト「WinRAR」に確認されたパストラバーサルの脆弱性。細工されたアーカイブを開くとユーザー権限で任意のコードが実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは「7.8」、重要度は、4段階中2番目にあたる「高（High）」とレーティングされている。現地時間2025年6月10日にリリースされたアップデートで解消されている。

「WinRAR」に関しては、「CVE-2025-6218」よりあとに判明したパストラバーサルの脆弱性「CVE-2025-8088」の悪用が確認されている。ゼロデイ攻撃の対象となり、2025年8月12日に「KEV」へ登録されていた。

（Security NEXT - 2025/12/10 ）ツイート