脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Adobe Flash Playerに含まれるExternalInterface ActionScript機能の仕様未定義の脆弱性により、リモートの攻撃者が細工されたSWFコンテンツを介して任意のコードを実行することが可能です。
KEV掲載: 2024-09-17公式(NVD) →Adobe Flash PlayerはFirefoxサンドボックスのデフォルト権限設定に不備があり、リモート攻撃者が細工されたSWFコンテンツを介して任意のコードを実行可能な脆弱性を含んでいます。
KEV掲載: 2024-09-17公式(NVD) →Progress WhatsUp Goldに、アプリケーションが単一ユーザーのみで構成されている場合、認証されていない攻撃者がユーザーの暗号化されたパスワードを取得することを可能にするSQL インジェクション脆弱性が含まれています。
KEV掲載: 2024-09-16公式(NVD) →Microsoft Windows MSHTMLプラットフォームに、重要な情報のUIの誤った表現に関する脆弱性が存在し、攻撃者がウェブページを偽装することを可能にします。この脆弱性はCVE-2024-38112と組み合わせて悪用されました。
KEV掲載: 2024-09-16公式(NVD) →Ivanti Cloud Services Appliance (CSA)の管理コンソールに存在するOSコマンドインジェクション脆弱性により、アプリケーション管理者権限を持つ認証済み攻撃者が基盤となるOSにコマンドを渡すことが可能になります。
KEV掲載: 2024-09-13公式(NVD) →Microsoft Windows Installerに含まれる不正な権限管理の脆弱性により、攻撃者がSYSTEM権限を獲得される可能性があります。
KEV掲載: 2024-09-10公式(NVD) →Microsoft Publisher に保護メカニズムの失敗の脆弱性が存在し、攻撃者が信頼できないまたは悪意のあるファイルをブロックするために使用される Office マクロポリシーをバイパスすることが可能です。
KEV掲載: 2024-09-10公式(NVD) →Microsoft Windows Mark of the Web (MOTW) に保護メカニズムの失敗の脆弱性が存在し、攻撃者が MOTW ベースの防御をバイパスすることが可能です。これにより、MOTW タギングに依存する Microsoft Office の保護ビューなどのセキュリティ機能の整合性と可用性が制限的に失われる可能性があります。
KEV掲載: 2024-09-10公式(NVD) →ImageMagickには、EPHEMERAL、HTTPS、MVG、MSL、TEXT、SHOW、WIN、PLTコーダーに影響する不正な入力検証脆弱性が存在します。これにより、リモート攻撃者が細工されたイメージ内のシェルメタ文字を通じて任意のコードを実行できます。
KEV掲載: 2024-09-09公式(NVD) →SonicWall SonicOSに不適切なアクセス制御の脆弱性が存在し、これにより認可されていないリソースへのアクセスが可能となり、特定の条件下ではファイアウォールがクラッシュする可能性があります。
KEV掲載: 2024-09-09公式(NVD) →Linuxカーネルのload_elf_binary()関数にはPIE（位置独立実行可能形式）スタックバッファ破壊の脆弱性が存在し、ローカル攻撃者が権限昇格を行うことを許可します。
KEV掲載: 2024-09-09公式(NVD) →Draytek VigorConnectのDownloadFileServletエンドポイントにパストトラバーサル脆弱性が存在します。認証されていない攻撃者はこの脆弱性を悪用して、基盤となるオペレーティングシステムから任意のファイルをroot権限でダウンロードできる可能性があります。
KEV掲載: 2024-09-03公式(NVD) →Draytek VigorConnectのWebServletエンドポイントのファイルダウンロード機能にパストトラバーサル脆弱性が存在します。認証されていない攻撃者はこの脆弱性を悪用して、ルート権限で基盤となるオペレーティングシステムから任意のファイルをダウンロードできる可能性があります。
KEV掲載: 2024-09-03公式(NVD) →Kingsoft WPS Officeのpromecefpluginhost.exeに、Windows上でパストラバーサル脆弱性が存在し、攻撃者が任意のWindowsライブラリをロードすることを許可します。
KEV掲載: 2024-09-03公式(NVD) →Google Chromium V8に不適切な実装の脆弱性が存在します。これにより、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を引き起こす可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを使用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2024-08-28公式(NVD) →Apache OFBizに認可不備の脆弱性が存在し、認証されていない攻撃者がOFBizユーザープロセスのコンテキストでGroovyペイロードを経由してリモートコード実行を実行できる可能性があります。
KEV掲載: 2024-08-27公式(NVD) →Google Chromium V8に型混同の脆弱性が存在します。この脆弱性により、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を悪用することが可能です。この脆弱性はChromiumを使用している複数のWebブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaなどが含まれます。
KEV掲載: 2024-08-26公式(NVD) →Versa Director のGUIには、危険な型のファイルの無制限アップロード脆弱性が存在します。これにより、Provider-Data-Center-Admin または Provider-Data-Center-System-Admin 権限を持つ管理者がユーザーインターフェースをカスタマイズできます。「ファビコンの変更」(Favorite Icon)機能は .png ファイルのアップロードを許可しており、これを悪用して .png 拡張子で偽装された悪意のあるファイルをアップロード可能です。
KEV掲載: 2024-08-23公式(NVD) →DahuaのIPカメラおよび関連製品は、認証中にクライアントがNetKeyboardタイプ引数を指定した場合、認証バイパスの脆弱性を含んでいます。
KEV掲載: 2024-08-21公式(NVD) →DahuaのIPカメラおよび関連製品には、認証時にクライアントがループバックデバイスを指定する場合、認証回避の脆弱性が存在します。
KEV掲載: 2024-08-21公式(NVD) →Microsoft Exchange Serverに情報開示の脆弱性が存在し、リモートコード実行が可能です。
KEV掲載: 2024-08-21公式(NVD) →Linuxカーネルのファイルシステムコンテキスト機能のlegacy_parse_param関数に、ヒープベースのバッファオーバーフロー脆弱性が存在します。これにより、攻撃者はファイルシステムコンテキストAPIをサポートしていないファイルシステムを開くことができ、最終的に権限昇格が可能になります。
KEV掲載: 2024-08-21公式(NVD) →Jenkins Command Line Interface (CLI) にパストトラバーサル脆弱性が存在し、攻撃者が特定のファイルに対する限定的な読み取りアクセスを実行でき、コード実行につながる可能性があります。
KEV掲載: 2024-08-19公式(NVD) →SolarWinds Web Help Deskに含まれる信頼されていないデータの逆シリアル化の脆弱性により、リモートコード実行が可能になる可能性があります。
KEV掲載: 2024-08-15公式(NVD) →Microsoft Windows スクリプティング エンジンにメモリ破損の脆弱性が存在し、認証されていない攻撃者が特別に細工された URL を介してリモートコード実行を開始することができます。
KEV掲載: 2024-08-13公式(NVD) →Microsoft Windows Ancillary Function Driver for WinSockに未指定の脆弱性が存在し、権限昇格を可能にするため、ローカル攻撃者がSYSTEM権限を取得することができます。
KEV掲載: 2024-08-13公式(NVD) →Microsoft Projectに、悪意のあるファイルを介したリモートコード実行を許可する未指定の脆弱性が存在します。
KEV掲載: 2024-08-13公式(NVD) →Microsoft Windows SmartScreen に、攻撃者が悪意のあるファイルを経由して SmartScreen のユーザーエクスペリエンスをバイパスすることを可能とするセキュリティ機能バイパスの脆弱性が存在します。
KEV掲載: 2024-08-13公式(NVD) →Microsoft Windows Power Dependency Coordinator に未指定の脆弱性が含まれており、権限昇格を引き起こす可能性があります。ローカル攻撃者が SYSTEM 権限を取得することを可能にします。
KEV掲載: 2024-08-13公式(NVD) →Microsoft Windows Kernelに未指定の脆弱性が存在し、権限昇格を許可します。この脆弱性を悪用すると、ローカル攻撃者がSYSTEM権限を取得できます。この脆弱性の悪用を成功させるには、攻撃者が競合状態に勝つ必要があります。
KEV掲載: 2024-08-13公式(NVD) →Apache OFBizにはパストラバーサル脆弱性が含まれており、リモートコード実行を許可する可能性があります。
KEV掲載: 2024-08-07公式(NVD) →Androidは、リモートコード実行を可能にするカーネルの未指定の脆弱性を含んでいます。この脆弱性はLinuxカーネルに存在し、Android OSを含むその他の製品にも影響を与える可能性があります。
KEV掲載: 2024-08-07公式(NVD) →Microsoftの Windows COM には、信頼されていないデータの逆シリアル化の脆弱性が含まれており、特別に細工されたファイルまたはスクリプトを介して、権限昇格とリモートコード実行が可能になります。
KEV掲載: 2024-08-05公式(NVD) →VMware ESXiに認証回避の脆弱性が存在します。十分なActive Directory（AD）権限を持つ悪意のある行為者は、ADから削除された設定済みADグループ（デフォルトでは「ESXi Admins」）を再作成することで、ユーザー管理にADを使用するように以前設定されたESXiホストへの完全なアクセス権を取得できます。
KEV掲載: 2024-07-30公式(NVD) →ServiceNowのUtah、Vancouver、Washington DCのNow Platformリリースに含まれるUIマクロのJellyテンプレートインジェクション脆弱性があります。認証されていないユーザーがこの脆弱性を悪用して、リモートからコード実行を行う可能性があります。
KEV掲載: 2024-07-29公式(NVD) →ServiceNowのWashington DC、Vancouver、およびそれ以前のNow Platformリリースに含まれるGlideExpressionスクリプトにおいて、不完全な禁止入力リストの脆弱性が存在します。認証されていないユーザーがこの脆弱性を悪用してリモートでコード実行を行う可能性があります。
KEV掲載: 2024-07-29公式(NVD) →Acronis Cyber Infrastructure (ACI)は、デフォルトパスワードの使用により、認証されていないユーザーがリモートからコマンドを実行できます。
KEV掲載: 2024-07-29公式(NVD) →Microsoft Internet Explorerは、不正な方法で割り当てられた、または削除されたオブジェクトへのアクセスをトリガーする細工されたウェブサイトを通じて、リモート攻撃者が任意のコードを実行することを可能にするuse-after-free脆弱性を含んでいます。これはCDwnBindInfoオブジェクトによって実証されています。
KEV掲載: 2024-07-23公式(NVD) →Twilio Authyは、APIに情報開示脆弱性を含んでおり、未認証エンドポイントが電話番号を含むリクエストを受け入れ、その電話番号がAuthyに登録されているかどうかについての情報で応答する可能性があります。
KEV掲載: 2024-07-23公式(NVD) →Adobe CommerceおよびMagento Open Sourceに含まれるXML外部エンティティ参照(XXE)の不適切な制限の脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2024-07-17公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。