脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Microsoft SharePoint Serverには、サイト所有者特権を持つ認証済み攻撃者がコードをリモートで実行できるようにするコードインジェクション脆弱性が存在します。
KEV掲載: 2024-03-26公式(NVD) →Ivanti Endpoint Manager Cloud Service Appliance (EPM CSA)にはコード注入の脆弱性が存在し、認証されていないユーザーが限定的なパーミッション(nobody)で悪意のあるコードを実行することができます。
KEV掲載: 2024-03-25公式(NVD) →Fortinet FortiClient EMSに含まれるSQL インジェクション脆弱性により、認証されていない攻撃者が特別に細工されたリクエストを通じてSYSTEMとしてコマンドを実行できます。
KEV掲載: 2024-03-25公式(NVD) →Nice Linear eMerge E3シリーズはOSコマンドインジェクション脆弱性を含んでおり、攻撃者がリモートコード実行を実行することを可能にします。
KEV掲載: 2024-03-25公式(NVD) →JetBrains TeamCityに認証バイパスの脆弱性が存在し、攻撃者が管理者権限でのアクション実行を可能にします。
KEV掲載: 2024-03-07公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、watchOS、およびvisionOSのカーネルにメモリ破損の脆弱性が存在します。この脆弱性により、任意のカーネルメモリ読み取り・書き込み機能を持つ攻撃者がカーネルメモリ保護をバイパスすることが可能になります。
KEV掲載: 2024-03-06公式(NVD) →AppleのiOS、iPadOS、macOS、tvOS、およびwatchOSのRTKitに、任意のカーネル読み書き機能を持つ攻撃者がカーネルメモリ保護をバイパスすることを可能にするメモリ破損脆弱性が含まれています。
KEV掲載: 2024-03-06公式(NVD) →Sunhillo SureLineに含まれるOSコマンドインジェクションの脆弱性により、攻撃者は/cgi/networkDiag.cgiの ipAddrまたはdnsAddrにシェルメタ文字を含めることで、サービス拒否を引き起こしたり、ネットワーク上でデバイスを永続的に利用したりすることが可能です。
KEV掲載: 2024-03-05公式(NVD) →Android Pixelは、Frameworkコンポーネントに脆弱性を含んでおり、UIが誤解を招くまたは不十分である可能性があり、フォアグラウンドサービス通知を隠す手段が提供される。これにより、ローカル攻撃者が機密情報を開示することが可能になる可能性がある。
KEV掲載: 2024-03-05公式(NVD) →Microsoft Windows Kernelに含まれるappid.sysのIOCTLディスパッチャー内の不十分なアクセス制御脆弱性により、ローカル攻撃者が権限昇格を達成することが可能です。
KEV掲載: 2024-03-04公式(NVD) →Microsoftストリーミングサービスに含まれる信頼されていないポインタ逆参照の脆弱性により、権限昇格が可能となり、ローカル攻撃者がSYSTEM権限を取得することができます。
KEV掲載: 2024-02-29公式(NVD) →ConnectWiseのScreenConnectに認証回避の脆弱性が存在し、管理インターフェースへのネットワークアクセスを持つ攻撃者が、影響を受けるデバイス上に管理者レベルの権限を持つ新しいアカウントを作成することが可能です。
KEV掲載: 2024-02-22公式(NVD) →Cisco Adaptive Security Appliance (ASA) およびFirepower Threat Defense (FTD) に情報漏洩脆弱性が存在します。攻撃者は影響を受けるデバイスのメモリ内容を取得でき、Webサービスインターフェースから要求された不正なURLをソフトウェアが解析する際のバッファ追跡の問題により、機密情報の漏洩につながる可能性があります。この脆弱性は、特定のAnyConnectおよびWebVPN構成にのみ影響します。
KEV掲載: 2024-02-15公式(NVD) →Microsoft Exchange Serverに、特権昇格を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2024-02-15公式(NVD) →Microsoft Windows インターネット ショートカット ファイルに、セキュリティ機能を回避する可能性のある未指定の脆弱性が含まれています。
KEV掲載: 2024-02-13公式(NVD) →Microsoft Windows SmartScreenには、セキュリティ機能バイパス脆弱性が含まれており、攻撃者がSmartScreenのユーザーエクスペリエンスをバイパスしてコードを注入し、潜在的にコード実行を達成できます。これにより、データ漏洩、システム可用性の喪失、またはその両方につながる可能性があります。
KEV掲載: 2024-02-13公式(NVD) →Roundcube Webmailは、プレーンテキストメッセージ内の悪意あるリンク参照を介した情報漏洩につながる可能性がある永続的なクロスサイトスクリプティング(XSS)脆弱性を含んでいます。
KEV掲載: 2024-02-12公式(NVD) →Fortinet FortiOSに、リモートの未認証の攻撃者が特別に細工されたHTTPリクエストを通じてコードまたはコマンドを実行することを可能とする範囲外書き込み脆弱性が含まれています。
KEV掲載: 2024-02-09公式(NVD) →Google Chromium V8に型混同の脆弱性が存在し、細工されたHTMLページを通じてリモート攻撃者がコード実行を行う可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む複数のChromiumを使用するウェブブラウザに影響を与える可能性があります。
KEV掲載: 2024-02-06公式(NVD) →Ivanti Connect Secure（ICS、以前のPulse Connect Secure）、Ivanti Policy Secure、およびIvanti Neuronsに含まれるSAMLコンポーネントのサーバーサイドリクエストフォージェリ（SSRF）脆弱性により、攻撃者は認証なしに特定の制限されたリソースにアクセスすることが可能になります。
KEV掲載: 2024-01-31公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、およびwatchOSには、時間点検/時間使用(TOCTOU)メモリ破損脆弱性が存在し、読み書き機能を持つ攻撃者がポインタ認証をバイパスすることを可能にします。
KEV掲載: 2024-01-31公式(NVD) →Atlassian Confluence Data Center および Server に認証なしで利用可能な OGNL テンプレートインジェクション脆弱性が存在し、リモートコード実行につながる可能性があります。
KEV掲載: 2024-01-24公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、およびSafari WebKitには型混同の脆弱性が含まれており、悪意のあるウェブコンテンツを処理する際にコード実行につながります。この脆弱性は、Apple SafariおよびHTML処理のためにWebKitに依存する非Appleの製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2024-01-23公式(NVD) →VMware vCenter Serverの DCERPC プロトコル実装に、バッファオーバーフロー脆弱性が存在します。この脆弱性により、攻撃者がリモートコード実行を実行することが可能です。
KEV掲載: 2024-01-22公式(NVD) →Ivanti Endpoint Manager Mobile（EPMM）およびMobileIron Coreに認証回避の脆弱性が存在します。この脆弱性により、未認可ユーザーがアプリケーションの制限された機能またはリソースにアクセスすることが可能になります。
KEV掲載: 2024-01-18公式(NVD) →Citrix NetScaler ADCおよびNetScaler Gatewayに含まれるバッファオーバーフロー脆弱性により、ゲートウェイ（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして設定されている場合、サービス拒否攻撃を引き起こすことができます。
KEV掲載: 2024-01-17公式(NVD) →Google Chromium V8エンジンに範囲外メモリアクセス脆弱性が存在します。これにより、リモート攻撃者は細工されたHTMLページを介してヒープ破損を悪用する可能性があります。この脆弱性はChromiumを利用する複数のWebブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaなどが対象となります。
KEV掲載: 2024-01-17公式(NVD) →Citrix NetScaler ADCおよびNetScaler Gatewayに、管理インターフェース上での認証済みリモートコード実行を可能にするコードインジェクション脆弱性が存在します。この脆弱性はNSIP、CLIP、またはSNIPへのアクセス権を持つユーザーによって悪用される可能性があります。
KEV掲載: 2024-01-17公式(NVD) →Laravel Frameworkは信頼できないデータのデシリアライゼーション脆弱性を含んでおり、リモートコマンド実行を可能にします。この脆弱性は、悪意のあるユーザーがアプリケーション暗号化キー（APP_KEY環境変数）にアクセスした場合にのみ悪用される可能性があります。
KEV掲載: 2024-01-16公式(NVD) →Microsoft SharePoint Serverに、認証されていない攻撃者が偽造されたJWT認証トークンへのアクセスを取得した場合、それらのトークンをネットワーク攻撃の実行に使用できる特定されていない脆弱性が存在します。この攻撃は認証をバイパスし、攻撃者が管理者権限を取得することを可能にします。
KEV掲載: 2024-01-10公式(NVD) →Ivanti Connect Secure（ICS、旧Pulse Connect Secure）およびIvanti Policy Secureは、これらの製品のWebコンポーネントにコマンドインジェクション脆弱性を含んでいます。認証されたアドミニストレーターが細工されたリクエストを送信することで、影響を受けるアプライアンスでコードを実行することが可能になります。この脆弱性はCVE-2023-46805と組み合わせて悪用される可能性があります。CVE-2023-46805は認証バイパスの問題です。
KEV掲載: 2024-01-10公式(NVD) →Ivanti Connect Secure（ICS、旧Pulse Connect Secure）およびIvanti Policy Secureゲートウェイのウェブコンポーネントに認証回避脆弱性が存在します。この脆弱性により、攻撃者は制御チェックをバイパスして制限されたリソースにアクセスすることが可能です。この脆弱性はコマンドインジェクション脆弱性であるCVE-2024-21887と組み合わせて悪用される可能性があります。
KEV掲載: 2024-01-10公式(NVD) →Apache Superset に含まれる、リソースの安全でないデフォルト初期化の脆弱性により、インストール手順に従ってデフォルト設定の SECRET_KEY を変更していないインストール環境において、攻撃者が認証を行い、権限のないリソースにアクセスできる可能性があります。
KEV掲載: 2024-01-08公式(NVD) →Adobe ColdFusion に含まれる信頼されていないデータの逆シリアル化の脆弱性により、コード実行が可能になります。
KEV掲載: 2024-01-08公式(NVD) →Adobe ColdFusionに含まれる信頼されていないデータの逆シリアル化脆弱性により、コード実行が可能になります。
KEV掲載: 2024-01-08公式(NVD) →Joomla!は不適切なアクセス制御の脆弱性を含んでおり、認可されていないユーザーがWebサービスエンドポイントへのアクセスを行う可能性があります。
KEV掲載: 2024-01-08公式(NVD) →D-Link DSL-2750Bデバイスは、login.cgiのcliパラメータを経由したリモート、認証なしのコマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2024-01-08公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、およびwatchOSに、フォントファイルを処理する際にコード実行を許可する特定されていない脆弱性が含まれています。
KEV掲載: 2024-01-08公式(NVD) →Spreadsheet::ParseExcelは、ファイルから検証されていない入力を文字列型の「eval」に渡すことに起因するリモートコード実行脆弱性を含んでいます。具体的には、Excelパース処理内のNumber形式文字列の評価から発生しています。
KEV掲載: 2024-01-02公式(NVD) →Google Chromiumの WebRTC（ウェブブラウザにリアルタイム通信機能を提供するオープンソースプロジェクト）には、ヒープバッファオーバーフロー脆弱性が存在します。この脆弱性により、リモート攻撃者は細工された HTML ページを介してヒープ破損を悪用される可能性があります。この脆弱性は、Google Chrome を含む WebRTC を使用するウェブブラウザに影響を与える可能性があります。
KEV掲載: 2024-01-02公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。