脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Ivanti Connect Secure、Policy Secure、およびZTA Gatewayに含まれるスタックベースのバッファオーバーフロー脆弱性により、認証されていないリモート攻撃者がリモートコード実行を実現することが可能です。
KEV掲載: 2025-04-04公式(NVD) →Apache Tomcatに、部分的なPUTリクエストを通じてパス同値性の脆弱性が存在し、リモートの攻撃者がコードを実行したり、情報を開示したり、悪意のあるコンテンツを注入したりすることが可能です。
KEV掲載: 2025-04-01公式(NVD) →Cisco Smart Licensing Utilityに含まれる静的認証情報の脆弱性により、認証されていないリモート攻撃者が影響を受けるシステムにログインし、管理者認証情報を取得することが可能になります。
KEV掲載: 2025-03-31公式(NVD) →Google ChromiumのMojoはWindowsの管理下で、論理エラーに起因するサンドボックスエスケープ脆弱性を含んでいます。この脆弱性は、特定されていない状況下で不正なハンドルが提供されることに起因しています。この脆弱性はChromiumを利用する複数のウェブブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaなど複数のブラウザが該当します。
KEV掲載: 2025-03-27公式(NVD) →Sitecore CMSおよびExperience Platform (XP)のSitecore.Security.AntiCSRFモジュールに逆シリアル化の脆弱性が存在します。認証されていない攻撃者がHTTP POSTパラメータ__CSRFTOKENで.NETシリアル化オブジェクトを送信することで、任意のコード実行が可能になります。
KEV掲載: 2025-03-26公式(NVD) →Sitecore CMSおよびExperience Platform (XP)には、Sitecore.Security.AntiCSRFモジュール内の逆シリアル化脆弱性が存在します。この脆弱性により、認証済みの攻撃者がHTTP POSTパラメータ__CSRFTOKENでシリアル化された.NETオブジェクトを送信することで、任意のコード実行が可能になります。
KEV掲載: 2025-03-26公式(NVD) →reviewdog action-setup GitHub Actionに、Github Actions Workflow Logsに露出したシークレットをダンプする組み込みの悪質なコード脆弱性が含まれています。
KEV掲載: 2025-03-24公式(NVD) →NAKIVOバックアップ・レプリケーションには、攻撃者が任意のファイルを読み取ることを可能にする絶対パストラバーサルの脆弱性が含まれています。
KEV掲載: 2025-03-19公式(NVD) →SAP NetWeaver Application Server (AS) Java には、scheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJS におけるディレクトリトラバーサル脆弱性が存在します。この脆弱性により、クエリ文字列内の .. (ドットドット) を利用して、リモート攻撃者が任意のファイルを読み取ることができます。
KEV掲載: 2025-03-19公式(NVD) →Edimax IC-7100 IPカメラは不適切な入力サニタイゼーションに起因するOSコマンドインジェクション脆弱性を含んでいます。この脆弱性により、攻撃者は特別に細工されたリクエストを通じてリモートコード実行を実現できます。影響を受けた製品はEoL（End-of-Life）および/またはEoS（End-of-Service）である可能性があります。ユーザーは製品の使用を中止すべきです。
KEV掲載: 2025-03-19公式(NVD) →tj-actions/changed-files GitHub Actionに、リモート攻撃者がGitHub Actions ワークフローログを読取ることにより秘密情報を発見することを可能にする埋め込み悪意あるコード脆弱性が含まれています。これらの秘密情報には、有効なAWSアクセスキー、GitHubパーソナルアクセストークン（PAT）、npmトークン、および秘密RSA鍵が含まれますが、これらに限定されません。
KEV掲載: 2025-03-18公式(NVD) →Fortinet FortiOSおよびFortiProxyに認証回避脆弱性が存在します。リモート攻撃者が細工されたCSFプロキシリクエストを使用して、スーパー管理者権限を獲得することが可能です。
KEV掲載: 2025-03-18公式(NVD) →Apple iOS、iPadOS、macOS、およびその他のApple製品に含まれるWebKitの境界外書き込み脆弱性により、悪意のあるウェブコンテンツがWeb Contentサンドボックスを回避する可能性があります。この脆弱性は、Apple SafariおよびHTMLの処理にWebKitを依存する非Apple製品を含むWebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2025-03-13公式(NVD) →Juniper Junos OSには、不適切な分離またはコンパートメンタライゼーションの脆弱性が含まれています。この脆弱性により、高い権限を持つローカル攻撃者が任意のコードを注入できる可能性があります。
KEV掲載: 2025-03-13公式(NVD) →Microsoft Windows管理コンソール（MMC）には、不正な中立化の脆弱性が含まれており、認可されていない攻撃者がローカルでセキュリティ機能をバイパスすることを許可します。
KEV掲載: 2025-03-11公式(NVD) →Microsoft Windows Fast FAT ファイルシステムドライバに整数オーバーフロー/ラップアラウンド脆弱性が含まれており、認可されていない攻撃者がローカルでコードを実行できます。
KEV掲載: 2025-03-11公式(NVD) →Microsoft Windows New Technology File System (NTFS) にはヒープベースのバッファオーバーフロー脆弱性が存在し、未認可の攻撃者がローカルでコードを実行できます。
KEV掲載: 2025-03-11公式(NVD) →Microsoft Windows Win32 Kernel Subsystemに含まれるuse-after-free脆弱性により、認可された攻撃者がローカル権限昇格を実行可能になります。
KEV掲載: 2025-03-11公式(NVD) →Microsoftの Windows New Technology File System（NTFS）に、認可された攻撃者がローカルで情報を開示することを可能にするバッファオーバーリード脆弱性が存在します。
KEV掲載: 2025-03-11公式(NVD) →Microsoft Windows New Technology File System (NTFS) に、ログファイルへの機密情報挿入の脆弱性が存在します。この脆弱性により、物理的な攻撃によって権限のない攻撃者が情報を開示できます。この脆弱性を悪用した攻撃者は、ヒープメモリの一部を読み取る可能性があります。
KEV掲載: 2025-03-11公式(NVD) →Ivanti Endpoint Manager (EPM)に、リモートの認証されていない攻撃者が機密情報を漏洩させることを可能にする絶対パストラバーサル脆弱性が存在します。
KEV掲載: 2025-03-10公式(NVD) →Ivanti Endpoint Manager (EPM)に、リモートの認証されていない攻撃者が機密情報を流出させることを可能にする絶対パストラバーサル脆弱性が存在します。
KEV掲載: 2025-03-10公式(NVD) →Ivanti Endpoint Manager (EPM)には、絶対パストラバーサルの脆弱性が存在し、認証なしのリモート攻撃者が機密情報を漏洩させることが可能です。
KEV掲載: 2025-03-10公式(NVD) →Advantive VeraCoreの timeoutWarning.asp に SQL インジェクション脆弱性が存在し、PmSess1 パラメータを経由してリモート攻撃者が任意の SQL コマンドを実行可能です。
KEV掲載: 2025-03-10公式(NVD) →Advantive VeraCoreに、upload.apsx経由で意図しないフォルダにファイルをアップロードすることを可能にする、制限されていないファイルアップロード脆弱性が存在します。この脆弱性により、リモートの認証されていない攻撃者がファイルをアップロードすることができます。
KEV掲載: 2025-03-10公式(NVD) →VMware ESXiおよびWorkstationに存在するチェック時間と使用時間の間のTOCTOU（Time-of-Check Time-of-Use）競合状態の脆弱性により、境界外書き込みが発生する可能性があります。悪用が成功した場合、仮想マシンのローカル管理者特権を持つ攻撃者は、ホスト上で実行されている仮想マシンのVMXプロセスとしてコードを実行できます。
KEV掲載: 2025-03-04公式(NVD) →VMware ESXiに任意書き込み脆弱性が存在します。VMXプロセス内の権限を持つ攻撃者による悪用の成功により、任意のカーネル書き込みをトリガーしてサンドボックスからの脱出につながります。
KEV掲載: 2025-03-04公式(NVD) →VMware ESXi、Workstation、およびFusionはHGFSの境界外読み取りに起因する情報開示脆弱性を含んでいます。この脆弱性の悪用に成功した場合、仮想マシンに対する管理者権限を持つ攻撃者がvmxプロセスからメモリをリークすることが可能になります。
KEV掲載: 2025-03-04公式(NVD) →Linuxカーネルは未初期化リソースの使用に関する脆弱性を含んでおり、攻撃者が特別に細工されたHIDレポートを通じてカーネルメモリをリークすることを可能にします。
KEV掲載: 2025-03-04公式(NVD) →Progress WhatsUp Goldには、認証されていない攻撃者がリモートコード実行を実現することを可能にするパストトラバーサル脆弱性が含まれています。
KEV掲載: 2025-03-03公式(NVD) →日立ヴァンタラのPentaho BAサーバーに、認可決定に非標準的なURLパスが使用される脆弱性が存在します。この脆弱性により、攻撃者は認可をバイパスすることが可能になります。
KEV掲載: 2025-03-03公式(NVD) →Hitachi Vantara Pentaho BAサーバーには、Spring テンプレートをプロパティファイルに注入できる特殊要素インジェクション脆弱性が存在します。この脆弱性により、攻撃者は任意のコマンド実行が可能になります。
KEV掲載: 2025-03-03公式(NVD) →Cisco Small Business RVシリーズルーターの複数の製品に、ウェブベースの管理インターフェース内にコマンドインジェクションの脆弱性が存在します。この脆弱性を正常に悪用した場合、認証済みのリモート攻撃者はroot権限を取得し、不正にデータにアクセスする可能性があります。
KEV掲載: 2025-03-03公式(NVD) →Microsoft Windows Win32kには、不適切なリソースシャットダウンまたはリリースの脆弱性が存在し、ローカルの認証済み権限昇格が可能になります。この脆弱性を悪用した攻撃者は、カーネルモードで任意のコードを実行できる可能性があります。
KEV掲載: 2025-03-03公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS)は、/h/autoSaveDraft関数に細工されたスクリプトを送信することで、リモートの認証済み攻撃者が任意のコードを実行可能なクロスサイトスクリプティング(XSS)脆弱性を含んでいます。
KEV掲載: 2025-02-25公式(NVD) →Microsoft Partner Center に含まれるアクセス制御の不適切な実装の脆弱性により、攻撃者が権限昇格を行うことが可能です。
KEV掲載: 2025-02-25公式(NVD) →Adobe ColdFusionに含まれるApache BlazeDSライブラリの逆シリアル化脆弱性により、任意のコード実行が可能になります。
KEV掲載: 2025-02-24公式(NVD) →Oracle Agile Product Lifecycle Management (PLM)に逆シリアル化の脆弱性が存在し、HTTPを経由したネットワークアクセスを持つ低権限攻撃者がシステムを侵害することが可能です。
KEV掲載: 2025-02-24公式(NVD) →Microsoft Power Pagesに、不正アクセス制御の脆弱性が存在し、認可されていない攻撃者がネットワーク経由で特権を昇格させ、ユーザー登録制御をバイパスする可能性があります。
KEV掲載: 2025-02-21公式(NVD) →Craft CMSにはデータベースバックアップパスの不適切な検証に起因するコード注入脆弱性が存在し、これによりリモートコード実行が可能になります。
KEV掲載: 2025-02-20公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。