Juniper、VMware、およびZoomによって修正された脆弱性

Security

記事本文（要約）

Juniper Networks、VMware、Zoomは、製品ポートフォリオ全体で多数の脆弱性を修正した10件のセキュリティ勧告を発表しました。

Juniperは、ネットワークデバイスやエンドポイント、アプリケーションからのセキュリティイベントを収集するバーチャルアプライアンス「Secure Analytics」の第三者依存部分にある約90件のバグを修正しました。これらの修正は、バージョン7.5.0 UP11 IF03に含まれ、いくつかは2016年、2019年、2020年の古い脆弱性で、3つは「クリティカルな深刻度」と評価されています。

VMwareは、VMware Ariaオートメーションアプライアンスの高深刻度のXSS欠陥（CVE-2025-22249）と、VMware Toolsの中程度の深刻度の不安全なファイル処理問題（CVE-2025-22247）に関する2件の勧告を発表しました。

Zoomは、Zoom Workplace Appsのデスクトップおよびモバイルプラットフォームにある9つのセキュリティ欠陥に関する7件の勧告を発表しました。最も深刻なのはCVE-2025-30663で、ローカルで認証された攻撃者が権限を昇格する可能性のある、高深刻度のTOCTOUレースコンディションです。

これらの脆弱性が実際に悪用されたという報告はありませんが、ユーザーはできるだけ早く新しいパッチを適用するよう推奨されています。

※この要約はChatGPTを使用して生成されました。

公開日: Wed, 14 May 2025 10:35:05 +0000

Original URL: https://www.securityweek.com/vulnerabilities-patched-by-juniper-vmware-and-zoom/

詳細な技術情報

この文章は、Juniper Networks、VMware、Zoomによるセキュリティアドバイザリーの発表に関する内容で、複数の製品に対するパッチが公開されたことを説明しています。以下に、セキュリティに関する重要な詳細情報を日本語で分析します。

CVE番号と脆弱性の仕組み

  1. Juniper Networks
  • 約90の脆弱性が第三者の依存関係に存在します。中には2016年、2019年、2020年に発見されたものが含まれており、”critical severity”と評価されたものが3つあります。
  1. VMware
  • CVE-2025-22249: VMware Aria Automation Applianceに関する高深刻度のXSS（クロスサイトスクリプティング）脆弱性。攻撃者はユーザーに不正なリンクをクリックさせることで、ログインしたユーザーのアクセス・トークンを盗むことが可能です。
  • CVE-2025-22247: VMware Toolsに関する中深刻度の不安全なファイル処理の問題。管理者権限のないゲストVM上の攻撃者がローカルファイルを変更し、不安全なファイル操作を引き起こせる可能性があります。
  1. Zoom
  • CVE-2025-30663: 高深刻度のトークンチェック・タイムオブユース競合性（TOCTOU）の脆弱性。認証されたローカルの攻撃者が権限を昇格できる可能性があります。
  • その他の8つの中深刻度のバグがあり、権限の昇格、サービス拒否（DoS）、アプリケーションの整合性への影響を及ぼす可能性があります。

攻撃手法

  • XSS攻撃により、攻撃者はユーザーに不正リンクをクリックさせてトークンを盗む手法。
  • TOCTOU競合性を利用することで権限を不正に昇格する手法。
  • 不適切なファイル操作を通じたローカルファイルの改ざん。

潜在的な影響

  • 攻撃者によるユーザーデータや認証情報の窃取。
  • システム内の権限の不正な昇格。
  • サービスの中断やアプリケーションの整合性の侵害。

推奨される対策

  • 利用者は、提供されたパッチを速やかに適用することが推奨されています。具体的には、Juniper NetworksのSecure Analyticsの新バージョンを導入し、VMwareおよびZoom製品の最新のセキュリティアップデートを適用すること。
  • 定期的な脆弱性スキャンとセキュリティパッチの管理を行い、システムを長期にわたり安全に保つこと。