Trend Micro Apex One等 CVE-2025-54948、CVE-2025-54987

Trend Micro Apex Oneで確認された管理コンソールに対するコマンドインジェクションによるリモートコード実行の脆弱性（CVE-2025-54948, CVE-2025-54987） (08/08)

『

脆弱性の影響を受ける製品/コンポーネント/ツール

該当する脆弱性	製品/コンポーネント/ツール	バージョン	CVSS3.0 スコア	深刻度
CVE-2025-54948	Apex One   Apex One SaaS   Standard Endpoint Protection	All	9.4	重大
CVE-2025-54987		All	9.4	重大

脆弱性の概要

CVE-2025-54948:  管理コンソールに対するコマンドインジェクションによるリモートコード実行の脆弱性

・・・

Weakness: CWE-78: OSコマンドインジェクション
Apex One、Apex One SaaSおよびStandard Endpoint Protectionの管理コンソールにおいて、認証前の攻撃者が悪性のコードを管理サーバ上にアップロードして実行することができる脆弱性が確認されました

注意：トレンドマイクロは、この脆弱性が実際の攻撃に利用されたことを確認しています。Apex One SaaSおよびStandard Endpoint Protectionに対しては、2025年7月31日にバックエンド側で対応を行ったため、お客様側での対処は不要です。Apex Oneに対しては、できるだけ早く下記の対処法にある緩和策を適用することを推奨しています。

 

CVE-2025-54987:  管理コンソールに対するコマンドインジェクションによるリモートコード実行の脆弱性
・・・

Weakness: CWE-78: OSコマンドインジェクション
Apex One、Apex One SaaSおよびStandard Endpoint Protectionの管理コンソールにおいて、認証前の攻撃者が悪性のコードを管理サーバ上にアップロードして実行することができる脆弱性が確認されました。この脆弱性は、CVE-2025-54948と本質的には同一のものですが異なるCPUアーキテクチャを対象とした攻撃です。

製品/コンポーネント/ツール	バージョン	対応状況	Readme
Apex One	2019	FixTool_Aug2025※2 (一時的な緩和策：詳細は下記の注意事項を参照)	同梱
Apex One SaaS※1 Standard Endpoint Protection※1	ー	2025年7月31日　対応済み	ー

注意事項：Apex Oneの対処方法として提供しているツール「FixTool_Aug2025」は短期的な緩和策として準備されたものです。このツールの利用により、この脆弱性に対する攻撃を防ぐことができますが、制限として管理コンソールのリモートインストール機能を利用することができなくなります。他のインストール方法 のご利用をお願いいたします。

』

いろいろ 7/17

Google (GTIG) によるSMA 100への攻撃のレポート　↓

Ongoing SonicWall Secure Mobile Access (SMA) Exploitation Campaign using the OVERSTEP Backdoor (07/17)

『Google Threat Intelligence Group（GTIG）は、UNC6148として追跡している、金銭目的の疑いのある脅威アクターによる進行中のキャンペーンを特定しました。この攻撃は、パッチ適用済みのサポート終了したSonicWall Secure Mobile Access（SMA）100シリーズアプライアンスを標的としています。GTIGは、UNC6148が以前の侵入時に窃取した認証情報とワンタイムパスワード（OTP）シードを悪用し、組織がセキュリティアップデートを適用した後でもアクセスを回復できると高い確度で評価しています。このアクターのマルウェアはログエントリを選択的に削除するように設計されており、フォレンジック調査を妨害するため、初期の感染経路を示す証拠は限られていますが、既知の脆弱性を悪用した可能性が高いと考えられます。』

 

ランサムウェアPhobos/8Baseにより暗号化されたファイルの復号ツールの開発について (07/17)

Phobos/8Base ランサムウェアの複合化ツール、サイバー特別捜査部（警察庁）が公開

Chromeの「偽アップデート」

ダウンロードを中止せよ　米FBIが警告 (07/29)

『怪しいリンクのクリックや、弱いパスワードの利用などを避ける』

 

『「現在、攻撃者が巧妙な偽のChromeアップデートを大量に配信している状況では、ITチームは企業の管理対象デバイスでの自動Chromeアップデートを一時的に停止することも検討すべきです。（中略）こうしておけば、この期間中に届くアップデート通知は偽物と判断でき、異常をより容易に発見できます。攻撃キャンペーンが沈静化するまでの一時的な措置として、すべてのアップデートの出所と内容を人間が確認することで、より確実な防御が可能になるのです」』

↑

自動サイレントインストールにも課題あるのか? イマドキのIT部門もお疲れ様です。

パスキー関連記事

グーグルが全Gmailユーザーにアカウントのアップグレードを推奨、その理由とは | Forbes JAPAN 公式サイト（フォーブス ジャパン） (07/08)

『パスキーでアカウントを強化しても、ユーザー側の行動が従来どおりでは効果が薄い。パスワード入力を求められても応じず、パスキーのみを使用すること。どうしてもパスキーが使えない場合は、SMSコードではなく認証アプリなど別形式の2FAを設定すべきだ。

…

パスキーはフィッシング耐性が高い。このためマイクロソフトはグーグルより一歩先を行き、ユーザーにパスワードの削除を促すとともに、自社の『Authenticator』アプリからもパスワード機能を撤廃し、今後はパスキー専用に切り替える方針を示している。

…

設定はここから直接行うことが可能で数秒で完了する。

今すぐパスキーを追加しよう。』

 

パスキーによるフィッシング耐性の向上 | Okta (05/22)

『パスキーを利用した認証、つまりFIDO認証の仕組みは、公開鍵、秘密鍵を利用したチャレンジレスポンスの仕組みに基づいています。

従来のパスワードによる認証のように、クライアント側でパスワードを入力し、その内容をサーバー側に送信するのではなく、スマートフォンやセキュリティキーといった認証器を利用してクライアント側で認証し、その結果をサーバー側に送信するという仕組みです。

パスキーはフィッシング耐性があることで知られていますが、特筆すべきは、認証器はサーバーの識別子（ドメイン情報）に対して署名したものを送付し、サーバーはその署名を検証するという仕組みです。これにより、正規のドメインと異なるドメイン（例：偽のフィッシングサイト）では認証が成立しないようになっています。』

 

『実際に、アカウント復旧の手順を狙った攻撃事例は今も継続して発生しています。

 

理想的には、複数の認証器を事前に登録しておくことが求められます。例えば、スマートフォンが利用できない場合には、PCやセキュリティキーを利用して認証を行うといったケースです。

 

しかし、セキュリティキーを事前に配布しておくことは困難であったり、認証器を複数求めることが難しいケースも多いのが実情かもしれません。

 

そういった場合には、いかに精度高く、かつヘルプデスクの負担を少なく本人確認を実施するのかといった点が重要になってきます。』

 

パスキーの安全性について - cockscomblog? (07/08)

『パスキーはUVフラグの値が真なら実質的に多要素認証であり、フィッシング耐性の面から、パスワードとTOTPの組み合わせよりもセキュアであると考えられている、ということを説明した。』

 

セキュリティホール memo - 2025.07 (07/09)

『SSH で使いたくなってきた感。

• ssh鍵をiPhone/Android (Passkey) に入れて運用してみた（Windows） (@suicatan / qiita, 2024.01.31)。 PuTTY CAC というものがあるのですか。

• SSHでも二要素認証を使いたい (IIJ Engineers Blog, 2024.12.06) 』

関連

ここの「パスキー」関連記事検索

Ivanti Connect Secureの脆弱性

を起点とした侵害で確認されたマルウェア (JPCERT 07/18)

『今回は、2024年12月から2025年7月現在までCVE-2025-0282やCVE-2025-22457を悪用する攻撃者が使用した以下のマルウェア、ツール、攻撃者が組織内ネットワークに侵入した際に使用する攻撃手法について解説します。

• MDifyLoaderとCobalt Strike Beacon
• vshell
• Fscan

』

関連

https://akasaka-taro.blogspot.com/search?q=Ivanti

NVIDIA製GPUドライバーに8件の脆弱性、修正版がリリース - 窓の杜

https://forest.watch.impress.co.jp/docs/news/2033929.html (07/25)

特権昇格、コード実行、DoSほかが起こり得る。以下、カッコ内はCVSS v3.1のベーススコア。

『 ..

• CVE-2025-23276：..（7.8）
• CVE-2025-23277：..（7.3）
• CVE-2025-23278：..（7.1）
• CVE-2025-23279：..（7.0）
• CVE-2025-23281：..（7.0）
• CVE-2025-23286：..（4.4）
• CVE-2025-23287：..（3.3）
• CVE-2025-23288：..（3.3）

 加えて、NVIDIA VGPUソフトウェアでも4件の脆弱性が発見されており、修正版がリリースされている。Windows環境で「GeForce」シリーズを利用している場合、v577.00以降への更新が必要だ。

 NVIDIA製GPUの最新版ドライバーは現在、公式サイトから無償で入手可能。同社が新たにリリースした「NVIDIA アプリ」からアップデートすることもできる。

』

 

CISA Adds Known Exploited Vulnerability to Catalog (07/14, 07/18)

CISA Adds One Known Exploited Vulnerability to Catalog (07/18)

• CVE-2025-25257 Fortinet FortiWeb SQL Injection Vulnerability

『An improper neutralization of special elements used in an SQL command ('SQL Injection') vulnerability [CWE-89] in Fortinet FortiWeb version 7.6.0 through 7.6.3, 7.4.0 through 7.4.7, 7.2.0 through 7.2.10 and below 7.0.10 allows an unauthenticated attacker to execute unauthorized SQL code or commands via crafted HTTP or HTTPs requests.』

 

CISA Adds One Known Exploited Vulnerability to Catalog (07/14)

• CVE-2025-47812 Wing FTP Server Improper Neutralization of Null Byte or NUL Character Vulnerability