脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Ivanti Endpoint Manager (EPM)に、リモートの認証されていない攻撃者が機密情報を流出させることを可能にする絶対パストラバーサル脆弱性が存在します。
KEV掲載: 2025-03-10公式(NVD) →Ivanti Endpoint Manager (EPM)には、絶対パストラバーサルの脆弱性が存在し、認証なしのリモート攻撃者が機密情報を漏洩させることが可能です。
KEV掲載: 2025-03-10公式(NVD) →Advantive VeraCoreの timeoutWarning.asp に SQL インジェクション脆弱性が存在し、PmSess1 パラメータを経由してリモート攻撃者が任意の SQL コマンドを実行可能です。
KEV掲載: 2025-03-10公式(NVD) →Advantive VeraCoreに、upload.apsx経由で意図しないフォルダにファイルをアップロードすることを可能にする、制限されていないファイルアップロード脆弱性が存在します。この脆弱性により、リモートの認証されていない攻撃者がファイルをアップロードすることができます。
KEV掲載: 2025-03-10公式(NVD) →VMware ESXiおよびWorkstationに存在するチェック時間と使用時間の間のTOCTOU（Time-of-Check Time-of-Use）競合状態の脆弱性により、境界外書き込みが発生する可能性があります。悪用が成功した場合、仮想マシンのローカル管理者特権を持つ攻撃者は、ホスト上で実行されている仮想マシンのVMXプロセスとしてコードを実行できます。
KEV掲載: 2025-03-04公式(NVD) →VMware ESXiに任意書き込み脆弱性が存在します。VMXプロセス内の権限を持つ攻撃者による悪用の成功により、任意のカーネル書き込みをトリガーしてサンドボックスからの脱出につながります。
KEV掲載: 2025-03-04公式(NVD) →VMware ESXi、Workstation、およびFusionはHGFSの境界外読み取りに起因する情報開示脆弱性を含んでいます。この脆弱性の悪用に成功した場合、仮想マシンに対する管理者権限を持つ攻撃者がvmxプロセスからメモリをリークすることが可能になります。
KEV掲載: 2025-03-04公式(NVD) →Linuxカーネルは未初期化リソースの使用に関する脆弱性を含んでおり、攻撃者が特別に細工されたHIDレポートを通じてカーネルメモリをリークすることを可能にします。
KEV掲載: 2025-03-04公式(NVD) →Progress WhatsUp Goldには、認証されていない攻撃者がリモートコード実行を実現することを可能にするパストトラバーサル脆弱性が含まれています。
KEV掲載: 2025-03-03公式(NVD) →日立ヴァンタラのPentaho BAサーバーに、認可決定に非標準的なURLパスが使用される脆弱性が存在します。この脆弱性により、攻撃者は認可をバイパスすることが可能になります。
KEV掲載: 2025-03-03公式(NVD) →Hitachi Vantara Pentaho BAサーバーには、Spring テンプレートをプロパティファイルに注入できる特殊要素インジェクション脆弱性が存在します。この脆弱性により、攻撃者は任意のコマンド実行が可能になります。
KEV掲載: 2025-03-03公式(NVD) →Cisco Small Business RVシリーズルーターの複数の製品に、ウェブベースの管理インターフェース内にコマンドインジェクションの脆弱性が存在します。この脆弱性を正常に悪用した場合、認証済みのリモート攻撃者はroot権限を取得し、不正にデータにアクセスする可能性があります。
KEV掲載: 2025-03-03公式(NVD) →Microsoft Windows Win32kには、不適切なリソースシャットダウンまたはリリースの脆弱性が存在し、ローカルの認証済み権限昇格が可能になります。この脆弱性を悪用した攻撃者は、カーネルモードで任意のコードを実行できる可能性があります。
KEV掲載: 2025-03-03公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS)は、/h/autoSaveDraft関数に細工されたスクリプトを送信することで、リモートの認証済み攻撃者が任意のコードを実行可能なクロスサイトスクリプティング(XSS)脆弱性を含んでいます。
KEV掲載: 2025-02-25公式(NVD) →Microsoft Partner Center に含まれるアクセス制御の不適切な実装の脆弱性により、攻撃者が権限昇格を行うことが可能です。
KEV掲載: 2025-02-25公式(NVD) →Adobe ColdFusionに含まれるApache BlazeDSライブラリの逆シリアル化脆弱性により、任意のコード実行が可能になります。
KEV掲載: 2025-02-24公式(NVD) →Oracle Agile Product Lifecycle Management (PLM)に逆シリアル化の脆弱性が存在し、HTTPを経由したネットワークアクセスを持つ低権限攻撃者がシステムを侵害することが可能です。
KEV掲載: 2025-02-24公式(NVD) →Microsoft Power Pagesに、不正アクセス制御の脆弱性が存在し、認可されていない攻撃者がネットワーク経由で特権を昇格させ、ユーザー登録制御をバイパスする可能性があります。
KEV掲載: 2025-02-21公式(NVD) →Craft CMSにはデータベースバックアップパスの不適切な検証に起因するコード注入脆弱性が存在し、これによりリモートコード実行が可能になります。
KEV掲載: 2025-02-20公式(NVD) →Palo Alto Networks PAN-OSは、ファイル名またはパスの外部制御脆弱性を含んでいます。この脆弱性の悪用に成功すると、管理Webインターフェースへのネットワークアクセス権を持つ認証済み攻撃者が、「nobody」ユーザーが読み取り可能なPAN-OSファイルシステム上のファイルを読み取ることが可能になります。
KEV掲載: 2025-02-20公式(NVD) →Palo Alto NetworksのPAN-OSの管理Webインターフェースに認証回避の脆弱性が存在します。この脆弱性により、管理Webインターフェースへのネットワークアクセスを持つ認証されていない攻撃者は、通常必要とされる認証をバイパスし、特定のPHPスクリプトを実行することができます。
KEV掲載: 2025-02-18公式(NVD) →SonicWallのSonicOSに含まれるSSLVPN認証メカニズムの不適切な認証脆弱性により、リモート攻撃者が認証をバイパスすることが可能です。
KEV掲載: 2025-02-18公式(NVD) →SimpleHelpリモートサポートソフトウェアに複数のパストトラバーサル脆弱性が存在し、認証されていないリモート攻撃者が細工されたHTTPリクエストを通じてSimpleHelpホストから任意のファイルをダウンロードできます。これらのファイルにはサーバー設定ファイルおよびハッシュ化されたユーザーパスワードが含まれる可能性があります。
KEV掲載: 2025-02-13公式(NVD) →Mitel 6800シリーズ、6900シリーズ、および6900wシリーズのSIPフォン（6970カンファレンスユニットを含む）は、ブートプロセス中の不十分なパラメータサニタイゼーションに起因する引数インジェクション脆弱性を含んでいます。この脆弱性を悪用されると、攻撃者がシステムのコンテキスト内で任意のコマンドを実行される可能性があります。
KEV掲載: 2025-02-12公式(NVD) →AppleのiOSおよびiPadOSに含まれる不正な認可の脆弱性により、物理的な攻撃者がロックされたデバイスのUSB制限モードを無効化することができます。
KEV掲載: 2025-02-12公式(NVD) →複数のZyxel DSL CPEデバイスに含まれるCGIプログラムに認証後のコマンドインジェクション脆弱性が存在します。認証済みの攻撃者が細工されたHTTPリクエストを通じてOSコマンドを実行することが可能になる可能性があります。
KEV掲載: 2025-02-11公式(NVD) →複数のZyxel DSL CPEデバイスの管理コマンドに認証後のコマンドインジェクション脆弱性が存在し、認証済み攻撃者がTelnet経由でOSコマンドを実行できる可能性があります。
KEV掲載: 2025-02-11公式(NVD) →Microsoft Windows Ancillary Function Driver for WinSockに含まれるヒープベースのバッファオーバーフロー脆弱性により、特権昇格が可能になり、ローカル攻撃者がSYSTEM権限を取得することができます。
KEV掲載: 2025-02-11公式(NVD) →Microsoft Windows Storageに含まれるリンク追跡の脆弱性により、権限昇格が可能になる可能性があります。この脆弱性により、攻撃者はサービスが利用不可になる原因となるデータを含むデータを削除できる可能性があります。
KEV掲載: 2025-02-11公式(NVD) →Trimble Citeworksには逆シリアル化の脆弱性が含まれています。認証されたユーザーが顧客のMicrosoft Internet Information Services（IIS）Webサーバーに対してリモートコード実行攻撃を実行できる可能性があります。
KEV掲載: 2025-02-07公式(NVD) →Microsoft Outlookに入力検証の不備が存在し、リモートコード実行を引き起こす可能性があります。本脆弱性の悪用に成功した場合、攻撃者はOfficeの保護ビューをバイパスしており、保護モードではなく編集モードで開くことが可能になります。
KEV掲載: 2025-02-06公式(NVD) →7-Zipには保護メカニズムの障害脆弱性が存在し、リモート攻撃者がMark-of-the-Webセキュリティ機能をバイパスして、現在のユーザーのコンテキストで任意のコードを実行することが可能です。
KEV掲載: 2025-02-06公式(NVD) →Sophos XG Firewallの「HTTP/Sブックマーク」機能に存在するバッファオーバーフロー脆弱性により、リモートコード実行が可能です。
KEV掲載: 2025-02-06公式(NVD) →CyberoamOS (CROS)のWebAdminに、認証されていない攻撃者が任意のSQLステートメントをリモートで実行できるSQL Injection脆弱性が存在します。
KEV掲載: 2025-02-06公式(NVD) →Dante Discoveryは、mDNSResponder.exeにおけるプロセス制御の脆弱性を含んでおり、DLLサイドローディング攻撃を許可しています。ローカル攻撃者は、Dante Application Libraryのこの脆弱性を悪用して、任意のコードを実行できます。
KEV掲載: 2025-02-06公式(NVD) →Linuxカーネルに含まれるUSBビデオクラス(UVC)ドライバのuvc_parse_streamingコンポーネントに境界外書き込み脆弱性があり、物理的な権限昇格が可能になる可能性があります。
KEV掲載: 2025-02-05公式(NVD) →Apache OFBizは、リモート攻撃者が不正なアクセスを得ることを可能にする強制ブラウジング脆弱性を含んでいます。
KEV掲載: 2025-02-04公式(NVD) →Paessler PRTG Network Monitorは、ローカルファイルインクルージョン脆弱性を含んでおり、リモートの認証されていない攻撃者が読み取り・書き込み権限（管理者を含む）を持つユーザーを作成できます。
KEV掲載: 2025-02-04公式(NVD) →Microsoft .NET Frameworkに、攻撃者にObjRef URIを公開する情報漏洩の脆弱性が存在し、最終的にはリモートコード実行を可能にします。
KEV掲載: 2025-02-04公式(NVD) →Paessler PRTG Network MonitorにOS コマンドインジェクション脆弱性が存在します。この脆弱性により、管理者権限を持つ攻撃者がPRTG システム管理者ウェブコンソール経由でコマンドを実行できます。
KEV掲載: 2025-02-04公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。