脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Palo Alto NetworksのExpeditionに含まれるSQL injection脆弱性により、認証されていない攻撃者がExpeditionデータベースの内容（パスワードハッシュ、ユーザー名、デバイス設定、デバイスAPIキーなど）を露出させることができます。これにより、攻撃者はExpeditionシステム上で任意のファイルを作成および読み取ることも可能になります。
KEV掲載: 2024-11-14公式(NVD) →Metabaseには、GeoJSON形式のデータを読み取るAPIのカスタムマップサポートにおけるローカルファイルインクルージョン脆弱性が存在します。
KEV掲載: 2024-11-12公式(NVD) →Atlassian Jira ServerおよびData Centerに、/WEB-INF/web.xmlエンドポイントで特定のファイルを読み取ることを許可するパストトラバーサル脆弱性が存在します。これにより、リモート攻撃者は任意のファイルにアクセスできます。
KEV掲載: 2024-11-12公式(NVD) →Microsoft Windowsに、ファイルオープン操作を通じてユーザーのNTLMv2ハッシュを攻撃者に開示する可能性のあるNTLMv2ハッシュスプーフィング脆弱性が存在します。攻撃者はこのハッシュを悪用してそのユーザーになりすまして行動することができます。
KEV掲載: 2024-11-12公式(NVD) →Microsoft Windows タスク スケジューラに権限昇格の脆弱性が存在します。この脆弱性により、攻撃者が提供したローカル アプリケーションが AppContainer の外部で権限を昇格させ、特権 RPC 機能にアクセスすることが可能になります。
KEV掲載: 2024-11-12公式(NVD) →Cisco Adaptive Security Appliance (ASA)のWebVPNログインページにクロスサイトスクリプティング(XSS)脆弱性が存在します。この脆弱性により、リモート攻撃者は特定されていないパラメータを介して任意のウェブスクリプトまたはHTMLを挿入することができます。
KEV掲載: 2024-11-12公式(NVD) →Nostromo nhttpdは、chrootされていないnhttpdサーバーのhttp_verify()関数にディレクトリトラバーサル脆弱性を含んでおり、リモートコード実行を許可しています。
KEV掲載: 2024-11-07公式(NVD) →CyberPanelには不正なデフォルト権限の脆弱性が存在し、リモートの認証されていない攻撃者がroot権限でコマンドを実行することを可能にします。
KEV掲載: 2024-11-07公式(NVD) →Palo Alto Networks Expeditionに認証欠落の脆弱性が存在します。この脆弱性により、ネットワークアクセス可能な攻撃者がExpeditionの管理者アカウントを乗っ取り、設定情報、認証情報、その他のデータに潜在的にアクセスできます。
KEV掲載: 2024-11-07公式(NVD) →Androidフレームワークに、権限昇格を引き起こす可能性のある未指定の脆弱性が存在します。
KEV掲載: 2024-11-07公式(NVD) →PTZOptics PT30X-SDI/NDI カメラに、OS コマンドインジェクション脆弱性が存在します。この脆弱性により、リモートの認証済み攻撃者が /cgi-bin/param.cgi CGI スクリプトの ntp_addr パラメータに細工されたペイロードを送信することで、root 権限への昇格が可能になります。
KEV掲載: 2024-11-04公式(NVD) →PTZOptics PT30X-SDI/NDIカメラに含まれるインセキュアダイレクトオブジェクト参照(IDOR)脆弱性により、リモート攻撃者が/cgi-bin/param.cgi CGIスクリプトの認証をバイパスすることが可能になります。CVE-2024-8957と組み合わせた場合、rootとしてのリモートコード実行につながる可能性があります。
KEV掲載: 2024-11-04公式(NVD) →RoundCube Webmailは、SVGアニメート属性の処理に含まれるクロスサイトスクリプティング（XSS）脆弱性により、リモート攻撃者が悪意のあるJavaScriptコードを実行することを許可しています。
KEV掲載: 2024-10-24公式(NVD) →Cisco Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) に、有効期限後のリソース解放漏れの脆弱性が存在する。この脆弱性により、認証されていない遠隔の攻撃者が RAVPN サービスのサービス妨害 (DoS) を引き起こすことができます。
KEV掲載: 2024-10-24公式(NVD) →Fortinet FortiManagerは、fgfmdデーモンの認証不足の脆弱性を含んでおり、リモートの認証されていない攻撃者が特別に細工されたリクエストを通じて任意のコードまたはコマンドを実行することを可能にします。
KEV掲載: 2024-10-23公式(NVD) →Microsoft SharePointに含まれている逆シリアル化の脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2024-10-22公式(NVD) →ScienceLogic SL1（旧称EM7）は、特定されていないサードパーティコンポーネントに関連する特定されていない脆弱性の影響を受けています。
KEV掲載: 2024-10-21公式(NVD) →Veeam Backup and Replicationに、認証されていないユーザーがリモートコード実行を実行できるようにする逆シリアル化の脆弱性が含まれています。
KEV掲載: 2024-10-17公式(NVD) →SolarWinds Web Help Deskに含まれるハードコードされた認証情報の脆弱性により、リモートの認証されていないユーザーが内部機能にアクセスしてデータを変更する可能性があります。
KEV掲載: 2024-10-15公式(NVD) →Microsoft Windows カーネルに存在するTOCTOU（チェック・オブ・タイム・トゥ・ユース）競合状態の脆弱性により、権限昇格が可能になる可能性があります。
KEV掲載: 2024-10-15公式(NVD) →Mozilla FirefoxおよびFirefox ESRのアニメーションタイムラインに使用後解放(use-after-free)の脆弱性が存在し、コンテンツプロセスでのコード実行が可能になります。
KEV掲載: 2024-10-15公式(NVD) →Fortinet FortiOS、FortiPAM、FortiProxy、およびFortiWebに存在するフォーマットストリング脆弱性により、リモートの認証されていない攻撃者は、特別に細工されたリクエストを通じて任意のコードまたはコマンドを実行できます。
KEV掲載: 2024-10-09公式(NVD) →Ivanti Cloud Services Appliance (CSA)の管理コンソールにOSコマンドインジェクション脆弱性が存在します。この脆弱性により、アプリケーション管理者権限を持つ認証済み攻撃者が、基盤となるOSにコマンドを渡すことが可能になります。
KEV掲載: 2024-10-09公式(NVD) →Ivanti Cloud Services Appliance (CSA) のバージョン 5.0.2 より前には、管理者 Web コンソールに SQL インジェクション脆弱性が存在します。これにより、管理者として認証されたリモート攻撃者が任意の SQL ステートメントを実行できる可能性があります。
KEV掲載: 2024-10-09公式(NVD) →Microsoft Windows管理コンソールに、リモートコード実行を許可する不特定の脆弱性が含まれています。
KEV掲載: 2024-10-08公式(NVD) →Microsoft Windows MSHTMLプラットフォームに特定されていない詐称脆弱性が含まれており、機密性の喪失につながる可能性があります。
KEV掲載: 2024-10-08公式(NVD) →複数のQualcommチップセットに、HLOSメモリのメモリマップを保持している間のDSPサービスにおけるメモリ破損によるuse-after-free脆弱性が存在します。
KEV掲載: 2024-10-08公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS) の postjournal サービスに、認証されていないユーザーがコマンドを実行する可能性がある、特定されていない脆弱性が存在します。
KEV掲載: 2024-10-03公式(NVD) →Ivanti Endpoint Manager (EPM)のコアサーバーに、同一ネットワーク内の認証されていない攻撃者が任意のコードを実行できるSQLインジェクション脆弱性が存在します。
KEV掲載: 2024-10-02公式(NVD) →D-Link DIR-820ルーターに含まれるOSコマンドインジェクション脆弱性により、ping.ccpのping_addrパラメーターに細工されたペイロードを送信することで、リモートの認証されていない攻撃者がroot権限に昇格することが可能です。
KEV掲載: 2024-09-30公式(NVD) →DrayTek Vigor3900、Vigor2960、Vigor300Bデバイスは、cgi-bin/mainfunction.cgi/cvmcfguploadにおけるOSコマンドインジェクション脆弱性を含んでいます。text/x-python-scriptコンテンツタイプを使用する場合、ファイル名内のシェルメタ文字を通じてリモートコード実行が可能です。
KEV掲載: 2024-09-30公式(NVD) →SAP Commerce Cloud（旧Hybris）のmediaconversionおよびvirtualjdbc拡張機能に含まれる信頼できないデータの逆シリアル化の脆弱性により、コードインジェクションが可能になります。
KEV掲載: 2024-09-30公式(NVD) →Ivanti Virtual Traffic Managerに認証回避の脆弱性が存在します。この脆弱性により、リモートの認証されていない攻撃者が選択した管理者アカウントを作成することができます。
KEV掲載: 2024-09-24公式(NVD) →Ivanti Cloud Services Appliance (CSA) には、リモートの認証されていない攻撃者が制限された機能にアクセスする可能性のあるパストトラバーサル脆弱性が存在します。CVE-2024-8963をCVE-2024-8190と組み合わせて使用された場合、攻撃者は管理者認証をバイパスし、アプライアンス上で任意のコマンドを実行する可能性があります。
KEV掲載: 2024-09-19公式(NVD) →Apache HugeGraph-Serverはアクセス制御が不適切な脆弱性を含んでおり、リモート攻撃者が任意のコードを実行される可能性があります。
KEV掲載: 2024-09-18公式(NVD) →Oracle Fusion Middlewareに含まれるOracle WebLogic Serverは、デシリアライゼーション脆弱性を含んでいます。ネットワークアクセス権を持つ認証なしの攻撃者は、T3またはIIOPを通じてこの脆弱性を悪用し、リモートコード実行を達成することができます。
KEV掲載: 2024-09-18公式(NVD) →Microsoft SQL Server Reporting Servicesには、ページリクエストの不正な処理におけるデシリアライゼーション脆弱性が存在します。認証済みの攻撃者はこの脆弱性を悪用して、レポートサーバーのサービスアカウントのコンテキストでコードを実行することができます。
KEV掲載: 2024-09-18公式(NVD) →Oracle ADFフェースライブラリ（Oracle JDeveloper Distribution に含まれる）に、信頼されていないデータの逆シリアル化の脆弱性が存在し、認証されていないリモートコード実行につながる可能性があります。
KEV掲載: 2024-09-18公式(NVD) →Adobe Flash Playerに整数アンダーフロー脆弱性が存在し、リモート攻撃者が任意のコードを実行される可能性があります。
KEV掲載: 2024-09-17公式(NVD) →Adobe Flash Playerに二重解放の脆弱性が存在し、リモート攻撃者が任意のコードを実行可能です。
KEV掲載: 2024-09-17公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。