脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
SolarWinds Serv-U には、攻撃者がホストマシン上の機密ファイルを読み取られることを許可するパストトラバーサルの脆弱性が含まれています。
KEV掲載: 2024-07-17公式(NVD) →VMware vCenter Serverに、リモートの特権攻撃者が機密情報へのアクセスを取得することを可能にする不正なデフォルトファイルパーミッション脆弱性が含まれています。
KEV掲載: 2024-07-17公式(NVD) →OSGeo GeoServerおよびGeoToolsに、動的に評価されるコード内のディレクティブが不適切にニュートラライズされる脆弱性が存在します。プロパティ名がXPath式として安全でない方法で評価されることが原因です。これにより、認証されていない攻�者が特別に細工された入力を通じてリモートコード実行を実施することができます。
KEV掲載: 2024-07-15公式(NVD) →Rejetto HTTP File Serverには、テンプレートエンジンで使用される特殊要素の不適切な無効化の脆弱性が存在します。この脆弱性により、認証されていないリモート攻撃者は、特別に細工されたHTTPリクエストを送信することで、影響を受けるシステムでコマンドを実行することができます。
KEV掲載: 2024-07-09公式(NVD) →Microsoft Windows MSHTMLプラットフォームには、機密性、完全性、および可用性に対して高い影響を及ぼすなりすまし脆弱性が含まれています。
KEV掲載: 2024-07-09公式(NVD) →Microsoft Windows Hyper-Vに含まれる権限昇格脆弱性により、ユーザー権限を持つローカル攻撃者がSYSTEM権限を取得することが可能になります。
KEV掲載: 2024-07-09公式(NVD) →Cisco NX-OSのコマンドラインインターフェース(CLI)にコマンドインジェクション脆弱性が存在します。認証済みのローカル攻撃者がこの脆弱性を悪用することで、影響を受けるデバイスの基盤となるオペレーティングシステム上でrootとしてコマンドを実行することが可能になります。
KEV掲載: 2024-07-02公式(NVD) →OSGeo GeoServerのJAI-EXTにはコードインジェクション脆弱性が存在し、プログラムがjt-jiffleを使用してネットワークリクエスト経由でJiffleスクリプトを許可する場合、リモートコード実行を許可する可能性があります。
KEV掲載: 2024-06-26公式(NVD) →Roundcube Webmailに、悪意のあるXML添付ファイルを介してデータを操作することができるクロスサイトスクリプティング(XSS)脆弱性が存在します。
KEV掲載: 2024-06-26公式(NVD) →Linuxカーネルのnft_objectに解放後使用（use-after-free）の脆弱性が存在し、ローカル攻撃者が権限昇格を行うことが可能です。
KEV掲載: 2024-06-26公式(NVD) →Progress Telerik Report Serverは、攻撃者が不正なアクセスを取得できるようにする、なりすまし(スプーフィング)による認可バイパスの脆弱性を含んでいます。
KEV掲載: 2024-06-13公式(NVD) →Microsoft Windows Error Reporting Serviceに不適切な権限管理の脆弱性が含まれており、ユーザー権限を持つローカル攻撃者がSYSTEM権限を取得することを可能にしています。
KEV掲載: 2024-06-13公式(NVD) →Androidのピクセル端末のファームウェアに、特定されていない脆弱性が存在し、権限昇格が可能になります。
KEV掲載: 2024-06-13公式(NVD) →PHP、特にCGIモードで動作するWindows ベースのPHPに、OSコマンドインジェクション脆弱性が存在し、任意のコード実行が可能です。この脆弱性はCVE-2012-1823の回避パッチです。
KEV掲載: 2024-06-12公式(NVD) →Arm BifrostおよびValhall GPUカーネルドライバに、ローカルの非特権ユーザが不正なGPUメモリ処理操作を実行して、既に解放されたメモリへのアクセスを取得できるuse-after-free脆弱性が含まれています。
KEV掲載: 2024-06-12公式(NVD) →Oracle WebLogic Serverは、Fusion Middlewareスイート内の製品であり、悪意のあるXMLドキュメントを含む特別に細工されたHTTPリクエストを介して、攻撃者が任意のコードを実行することを可能にするOSコマンドインジェクション脆弱性が存在します。
KEV掲載: 2024-06-03公式(NVD) →Check Point Quantum Security Gatewaysに特定されていない情報開示の脆弱性が含まれています。この脆弱性により、攻撃者がインターネットに接続された、IPSec VPN、Remote Access VPN、またはMobile Accessが有効になっているゲートウェイ上の情報にアクセスできる可能性があります。この問題はCheck Pointの複数の製品ラインに影響を与え、CloudGuard Network、Quantum Scalable Chassis、Quantum Security Gateways、およびQuantum Spark Appliancesが含まれます。
KEV掲載: 2024-05-30公式(NVD) →Linuxカーネルのnetfilter: nf_tablesコンポーネントに含まれるuse-after-free脆弱性により、攻撃者はローカル権限昇格を実現することができます。
KEV掲載: 2024-05-30公式(NVD) →Justice AV Solutions (JAVS) Viewerインストーラーには、fffmpeg.exeという名前の悪意のあるバージョンのffmpeg.exeが含まれており（SHA256: 421a4ad2615941b177b6ec4ab5e239c14e62af2ab07c6df1741e2a62223223c4）、実行すると悪意のあるC2サーバーへのバックドア接続が確立されます。
KEV掲載: 2024-05-29公式(NVD) →Google Chromium V8に型混同の脆弱性が存在し、細工されたHTMLページを通じてリモート攻撃者がコード実行を行える可能性があります。この脆弱性はChromiumを使用する複数のウェブブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaなどが該当します。
KEV掲載: 2024-05-28公式(NVD) →Apache Flinkに、REST インターフェース経由でJobManager のローカルファイルシステム上の任意のファイルを読取可能にするアクセス制御不備の脆弱性が存在します。
KEV掲載: 2024-05-23公式(NVD) →NextGen Healthcare Mirth Connectには、信頼できないデータの逆シリアル化の脆弱性が含まれており、特別に細工されたリクエストを通じて認証なしでリモートコード実行が可能です。
KEV掲載: 2024-05-20公式(NVD) →Google Chromium V8に型混同脆弱性が存在し、リモート攻撃者が細工されたHTMLページを通じてコード実行が可能になります。
KEV掲載: 2024-05-20公式(NVD) →D-Link DIR-605ルーターには情報開示脆弱性が存在し、攻撃者が/getcfg.phpページへの偽造POSTリクエストを送信することで、ユーザー名とパスワードを取得することができます。
KEV掲載: 2024-05-16公式(NVD) →D-Link DIR-600ルーターに含まれるクロスサイトリクエストフォージェリ（CSRF）脆弱性により、攻撃者は既存の管理者セッションをハイジャックしてルーター設定を変更することができます。
KEV掲載: 2024-05-16公式(NVD) →Google ChromiumのV8エンジンに、細工されたHTMLページを通じた不特定の範囲外メモリ書き込み脆弱性が存在します。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを使用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2024-05-16公式(NVD) →Microsoft Windows MSHTMLプラットフォームの未指定の脆弱性により、セキュリティ機能の回避が可能になります。
KEV掲載: 2024-05-14公式(NVD) →Microsoft DWM Core Libraryには、攻撃者がSYSTEM権限を取得することを可能にする権限昇格の脆弱性が含まれています。
KEV掲載: 2024-05-14公式(NVD) →Google Chromium Visualsに含まれるUse-After-Free脆弱性により、リモート攻撃者が細工されたHTMLページを介してヒープ破損を悪用できます。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のWebブラウザに影響を与える可能性があります。
KEV掲載: 2024-05-13公式(NVD) →GitLabコミュニティエディションおよびエンタープライズエディションに不適切なアクセス制御の脆弱性が存在します。これにより、攻撃者は未検証のメールアドレスにパスワードリセットメールを送信させることができ、最終的にはアカウント乗っ取りを引き起こすことが可能になります。
KEV掲載: 2024-05-01公式(NVD) →Microsoft SmartScreenプロンプトにはセキュリティ機能のバイパス脆弱性が存在し、攻撃者がMark of the Web（MotW）機能をバイパスすることができます。この脆弱性はCVE-2023-38831およびCVE-2024-21412と組み合わせることで、悪意のあるファイルを実行するために悪用される可能性があります。
KEV掲載: 2024-04-30公式(NVD) →CrushFTPに未指定のサンドボックス回避の脆弱性が存在し、リモート攻撃者がCrushFTP仮想ファイルシステム（VFS）から脱出することを許可します。
KEV掲載: 2024-04-24公式(NVD) →Cisco Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) に、リモートサービス拒否状態につながる無限ループの脆弱性が存在します。
KEV掲載: 2024-04-24公式(NVD) →Cisco Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) には、管理者から root への権限昇格を許可する権限昇格の脆弱性が含まれています。
KEV掲載: 2024-04-24公式(NVD) →Microsoft Windows Print Spooler サービスに権限昇格の脆弱性が含まれています。攻撃者は JavaScript 制約ファイルを改ざんし、SYSTEM レベルの権限で実行することができます。
KEV掲載: 2024-04-23公式(NVD) →Palo Alto Networks PAN-OSのGlobalProtect機能に、認証されていない攻撃者がファイアウォール上でroot権限でコマンドを実行できるコマンドインジェクション脆弱性が存在します。
KEV掲載: 2024-04-12公式(NVD) →D-Link DNS-320L、DNS-325、DNS-327L、および DNS-340L には、コマンドインジェクション脆弱性が存在します。CVE-2024-3272 と組み合わせると、リモートから権限なしでコード実行される可能性があります。
KEV掲載: 2024-04-11公式(NVD) →D-Link DNS-320L、DNS-325、DNS-327L、およびDNS-340Lにはハードコーディングされた認証情報が含まれており、攻撃者は認証済みコマンドインジェクションを実行することで、リモートからの不正なコード実行につながる可能性があります。
KEV掲載: 2024-04-11公式(NVD) →Android Pixelはデバイス管理者アプリケーションによってトリガーされたファクトリーリセットを攻撃者が中断することを可能にする権限昇格の脆弱性を含んでいます。
KEV掲載: 2024-04-04公式(NVD) →AndroidのPixelデバイスに含まれるfastbootファームウェアに情報漏洩の脆弱性が存在しており、この脆弱性はデバイスのロック解除、フラッシング、およびロック機能に悪影響を及ぼします。
KEV掲載: 2024-04-04公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。