脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Reolink RLC-410W IPカメラは、デバイスネットワーク設定機能において認証された状態でのOSコマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2024-12-18公式(NVD) →Reolink RLC-410W、C1 Pro、C2 Pro、RLC-422W、RLC-511W IPカメラに認証済みOSコマンドインジェクション脆弱性が存在します。この脆弱性により、認証済みの管理者は「TestEmail」機能を使用してOSコマンドをインジェクションし、rootとして実行することができます。
KEV掲載: 2024-12-18公式(NVD) →Cleo Harmony、VLTrader、およびLexiComという管理ファイル転送製品に、認可されていないファイルアップロード脆弱性が存在します。この脆弱性により、認証されていないユーザーがAutorunディレクトリのデフォルト設定を悪用して、ホストシステム上で任意のbashまたはPowerShellコマンドをインポートおよび実行できる可能性があります。
KEV掲載: 2024-12-17公式(NVD) →Adobe ColdFusionに含まれる不適切なアクセス制御の脆弱性により、攻撃者がインターネット公開された管理パネル経由で、制限されたファイルにアクセスまたは修正される可能性があります。
KEV掲載: 2024-12-16公式(NVD) →Microsoft Windows カーネルモードドライバに含まれる信頼されていないポインタの逆参照脆弱性により、ローカル攻撃者が権限を昇格させる可能性があります。
KEV掲載: 2024-12-16公式(NVD) →Cleo Harmony、VLTrader、LexiComは管理型ファイル転送製品ですが、制限されていないファイルアップロード・ダウンロード脆弱性を含んでおり、昇格された権限でのリモートコード実行につながる可能性があります。
KEV掲載: 2024-12-13公式(NVD) →Microsoft Windowsの一般ログファイルシステム(CLFS)ドライバーにはヒープベースのバッファオーバーフロー脆弱性が含まれており、ローカル攻撃者が権限昇格を実行することを可能にします。
KEV掲載: 2024-12-10公式(NVD) →CyberPanelに含まれる不正なデフォルトパーミッション脆弱性により、認証回避とstatusfileプロパティのシェルメタ文字を利用した任意コマンド実行が可能になります。
KEV掲載: 2024-12-04公式(NVD) →ProjectSendは不適切な認証の脆弱性を含んでおり、リモートの認証されていない攻撃者がoptions.phpへの細工されたHTTPリクエストを通じて、アプリケーションの設定の不正な変更を可能にします。悪用に成功すると、攻撃者はアカウント作成、Webシェルのアップロード、悪意のあるJavaScriptの埋め込みが可能になります。
KEV掲載: 2024-12-03公式(NVD) →Zyxelの複数のファイアウォールのWeb管理インターフェースに、細工されたURLを通じて攻撃者がファイルのダウンロードやアップロードを行うことを可能にするパストトラバーサル脆弱性が存在します。
KEV掲載: 2024-12-03公式(NVD) →North Grid Proself Enterprise/Standard、Gateway、およびMail Sanitizeに含まれるXML外部エンティティ(XXE)参照の不適切な制限脆弱性により、認証されていないリモート攻撃者がXXE攻撃を実行できる可能性があります。
KEV掲載: 2024-12-03公式(NVD) →Array Networks AG および vxAG ArrayOS に、SSL VPN ゲートウェイ上でローカルファイルの読み取りとコード実行を可能にする、重要な機能に対する認証不備の脆弱性が存在します。
KEV掲載: 2024-11-25公式(NVD) →Appleの iOS、macOS、およびその他のApple製品には、悪意のあるように細工されたウェブコンテンツを処理する際の不特定の脆弱性が存在し、任意のコード実行につながる可能性があります。
KEV掲載: 2024-11-21公式(NVD) →Appleの iOS、macOS、およびその他のApple製品には、悪意を持って細工されたウェブコンテンツを処理する際の未指定の脆弱性が存在し、クロスサイトスクリプティング(XSS)攻撃につながる可能性があります。
KEV掲載: 2024-11-21公式(NVD) →Oracle Agile Product Lifecycle Management (PLM)のProcess Extension コンポーネント内に、認可に関する不備が存在します。この脆弱性の悪用に成功すると、認証なしでファイルが開示される可能性があります。
KEV掲載: 2024-11-21公式(NVD) →VMware vCenter Serverは、DCERPCプロトコルの実装にヒープベースのバッファオーバーフロー脆弱性を含んでいます。この脆弱性により、vCenter Serverへのネットワークアクセスを持つ攻撃者が、特別に細工されたパケットを送信することで、リモートコード実行を実行できる可能性があります。
KEV掲載: 2024-11-20公式(NVD) →VMware vCenterに権限の喪失に対する不正なチェック脆弱性が存在します。この脆弱性により、vCenter Serverへのネットワークアクセスを持つ攻撃者が、特殊に細工されたパケットを送信することで、root権限への権限昇格が可能になる可能性があります。
KEV掲載: 2024-11-20公式(NVD) →Palo Alto Networks PAN-OSの複数製品（ファイアウォールやVPN集約装置など）のウェブベース管理インターフェースに認証回避脆弱性が存在します。
KEV掲載: 2024-11-18公式(NVD) →Progress Kemp LoadMasterには、LoadMaster管理インターフェースを介して認証されていないリモート攻撃者がシステムにアクセスできるOS コマンドインジェクション脆弱性が含まれており、任意のシステムコマンド実行が可能になります。
KEV掲載: 2024-11-18公式(NVD) →Palo Alto Networks PAN-OSは、ファイアウォールやVPN集約装置を含む複数のPAN製品のWebベース管理インターフェース経由で、権限昇格を可能にするOSコマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2024-11-18公式(NVD) →Palo Alto Networks Expeditionには、OS コマンドインジェクションの脆弱性が存在し、認証されていない攻撃者が Expedition 内で root 権限で任意の OS コマンドを実行できます。この結果、PAN-OS ファイアウォールのユーザー名、平文パスワード、デバイス設定、およびデバイス API キーが漏洩する可能性があります。
KEV掲載: 2024-11-14公式(NVD) →Palo Alto NetworksのExpeditionに含まれるSQL injection脆弱性により、認証されていない攻撃者がExpeditionデータベースの内容（パスワードハッシュ、ユーザー名、デバイス設定、デバイスAPIキーなど）を露出させることができます。これにより、攻撃者はExpeditionシステム上で任意のファイルを作成および読み取ることも可能になります。
KEV掲載: 2024-11-14公式(NVD) →Metabaseには、GeoJSON形式のデータを読み取るAPIのカスタムマップサポートにおけるローカルファイルインクルージョン脆弱性が存在します。
KEV掲載: 2024-11-12公式(NVD) →Atlassian Jira ServerおよびData Centerに、/WEB-INF/web.xmlエンドポイントで特定のファイルを読み取ることを許可するパストトラバーサル脆弱性が存在します。これにより、リモート攻撃者は任意のファイルにアクセスできます。
KEV掲載: 2024-11-12公式(NVD) →Microsoft Windowsに、ファイルオープン操作を通じてユーザーのNTLMv2ハッシュを攻撃者に開示する可能性のあるNTLMv2ハッシュスプーフィング脆弱性が存在します。攻撃者はこのハッシュを悪用してそのユーザーになりすまして行動することができます。
KEV掲載: 2024-11-12公式(NVD) →Microsoft Windows タスク スケジューラに権限昇格の脆弱性が存在します。この脆弱性により、攻撃者が提供したローカル アプリケーションが AppContainer の外部で権限を昇格させ、特権 RPC 機能にアクセスすることが可能になります。
KEV掲載: 2024-11-12公式(NVD) →Cisco Adaptive Security Appliance (ASA)のWebVPNログインページにクロスサイトスクリプティング(XSS)脆弱性が存在します。この脆弱性により、リモート攻撃者は特定されていないパラメータを介して任意のウェブスクリプトまたはHTMLを挿入することができます。
KEV掲載: 2024-11-12公式(NVD) →Nostromo nhttpdは、chrootされていないnhttpdサーバーのhttp_verify()関数にディレクトリトラバーサル脆弱性を含んでおり、リモートコード実行を許可しています。
KEV掲載: 2024-11-07公式(NVD) →CyberPanelには不正なデフォルト権限の脆弱性が存在し、リモートの認証されていない攻撃者がroot権限でコマンドを実行することを可能にします。
KEV掲載: 2024-11-07公式(NVD) →Palo Alto Networks Expeditionに認証欠落の脆弱性が存在します。この脆弱性により、ネットワークアクセス可能な攻撃者がExpeditionの管理者アカウントを乗っ取り、設定情報、認証情報、その他のデータに潜在的にアクセスできます。
KEV掲載: 2024-11-07公式(NVD) →Androidフレームワークに、権限昇格を引き起こす可能性のある未指定の脆弱性が存在します。
KEV掲載: 2024-11-07公式(NVD) →PTZOptics PT30X-SDI/NDI カメラに、OS コマンドインジェクション脆弱性が存在します。この脆弱性により、リモートの認証済み攻撃者が /cgi-bin/param.cgi CGI スクリプトの ntp_addr パラメータに細工されたペイロードを送信することで、root 権限への昇格が可能になります。
KEV掲載: 2024-11-04公式(NVD) →PTZOptics PT30X-SDI/NDIカメラに含まれるインセキュアダイレクトオブジェクト参照(IDOR)脆弱性により、リモート攻撃者が/cgi-bin/param.cgi CGIスクリプトの認証をバイパスすることが可能になります。CVE-2024-8957と組み合わせた場合、rootとしてのリモートコード実行につながる可能性があります。
KEV掲載: 2024-11-04公式(NVD) →RoundCube Webmailは、SVGアニメート属性の処理に含まれるクロスサイトスクリプティング（XSS）脆弱性により、リモート攻撃者が悪意のあるJavaScriptコードを実行することを許可しています。
KEV掲載: 2024-10-24公式(NVD) →Cisco Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) に、有効期限後のリソース解放漏れの脆弱性が存在する。この脆弱性により、認証されていない遠隔の攻撃者が RAVPN サービスのサービス妨害 (DoS) を引き起こすことができます。
KEV掲載: 2024-10-24公式(NVD) →Fortinet FortiManagerは、fgfmdデーモンの認証不足の脆弱性を含んでおり、リモートの認証されていない攻撃者が特別に細工されたリクエストを通じて任意のコードまたはコマンドを実行することを可能にします。
KEV掲載: 2024-10-23公式(NVD) →Microsoft SharePointに含まれている逆シリアル化の脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2024-10-22公式(NVD) →ScienceLogic SL1（旧称EM7）は、特定されていないサードパーティコンポーネントに関連する特定されていない脆弱性の影響を受けています。
KEV掲載: 2024-10-21公式(NVD) →Veeam Backup and Replicationに、認証されていないユーザーがリモートコード実行を実行できるようにする逆シリアル化の脆弱性が含まれています。
KEV掲載: 2024-10-17公式(NVD) →SolarWinds Web Help Deskに含まれるハードコードされた認証情報の脆弱性により、リモートの認証されていないユーザーが内部機能にアクセスしてデータを変更する可能性があります。
KEV掲載: 2024-10-15公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。