脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Microsoft Windows カーネルに存在するTOCTOU（チェック・オブ・タイム・トゥ・ユース）競合状態の脆弱性により、権限昇格が可能になる可能性があります。
KEV掲載: 2024-10-15公式(NVD) →Mozilla FirefoxおよびFirefox ESRのアニメーションタイムラインに使用後解放(use-after-free)の脆弱性が存在し、コンテンツプロセスでのコード実行が可能になります。
KEV掲載: 2024-10-15公式(NVD) →Fortinet FortiOS、FortiPAM、FortiProxy、およびFortiWebに存在するフォーマットストリング脆弱性により、リモートの認証されていない攻撃者は、特別に細工されたリクエストを通じて任意のコードまたはコマンドを実行できます。
KEV掲載: 2024-10-09公式(NVD) →Ivanti Cloud Services Appliance (CSA)の管理コンソールにOSコマンドインジェクション脆弱性が存在します。この脆弱性により、アプリケーション管理者権限を持つ認証済み攻撃者が、基盤となるOSにコマンドを渡すことが可能になります。
KEV掲載: 2024-10-09公式(NVD) →Ivanti Cloud Services Appliance (CSA) のバージョン 5.0.2 より前には、管理者 Web コンソールに SQL インジェクション脆弱性が存在します。これにより、管理者として認証されたリモート攻撃者が任意の SQL ステートメントを実行できる可能性があります。
KEV掲載: 2024-10-09公式(NVD) →Microsoft Windows管理コンソールに、リモートコード実行を許可する不特定の脆弱性が含まれています。
KEV掲載: 2024-10-08公式(NVD) →Microsoft Windows MSHTMLプラットフォームに特定されていない詐称脆弱性が含まれており、機密性の喪失につながる可能性があります。
KEV掲載: 2024-10-08公式(NVD) →複数のQualcommチップセットに、HLOSメモリのメモリマップを保持している間のDSPサービスにおけるメモリ破損によるuse-after-free脆弱性が存在します。
KEV掲載: 2024-10-08公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS) の postjournal サービスに、認証されていないユーザーがコマンドを実行する可能性がある、特定されていない脆弱性が存在します。
KEV掲載: 2024-10-03公式(NVD) →Ivanti Endpoint Manager (EPM)のコアサーバーに、同一ネットワーク内の認証されていない攻撃者が任意のコードを実行できるSQLインジェクション脆弱性が存在します。
KEV掲載: 2024-10-02公式(NVD) →D-Link DIR-820ルーターに含まれるOSコマンドインジェクション脆弱性により、ping.ccpのping_addrパラメーターに細工されたペイロードを送信することで、リモートの認証されていない攻撃者がroot権限に昇格することが可能です。
KEV掲載: 2024-09-30公式(NVD) →DrayTek Vigor3900、Vigor2960、Vigor300Bデバイスは、cgi-bin/mainfunction.cgi/cvmcfguploadにおけるOSコマンドインジェクション脆弱性を含んでいます。text/x-python-scriptコンテンツタイプを使用する場合、ファイル名内のシェルメタ文字を通じてリモートコード実行が可能です。
KEV掲載: 2024-09-30公式(NVD) →SAP Commerce Cloud（旧Hybris）のmediaconversionおよびvirtualjdbc拡張機能に含まれる信頼できないデータの逆シリアル化の脆弱性により、コードインジェクションが可能になります。
KEV掲載: 2024-09-30公式(NVD) →Ivanti Virtual Traffic Managerに認証回避の脆弱性が存在します。この脆弱性により、リモートの認証されていない攻撃者が選択した管理者アカウントを作成することができます。
KEV掲載: 2024-09-24公式(NVD) →Ivanti Cloud Services Appliance (CSA) には、リモートの認証されていない攻撃者が制限された機能にアクセスする可能性のあるパストトラバーサル脆弱性が存在します。CVE-2024-8963をCVE-2024-8190と組み合わせて使用された場合、攻撃者は管理者認証をバイパスし、アプライアンス上で任意のコマンドを実行する可能性があります。
KEV掲載: 2024-09-19公式(NVD) →Apache HugeGraph-Serverはアクセス制御が不適切な脆弱性を含んでおり、リモート攻撃者が任意のコードを実行される可能性があります。
KEV掲載: 2024-09-18公式(NVD) →Oracle Fusion Middlewareに含まれるOracle WebLogic Serverは、デシリアライゼーション脆弱性を含んでいます。ネットワークアクセス権を持つ認証なしの攻撃者は、T3またはIIOPを通じてこの脆弱性を悪用し、リモートコード実行を達成することができます。
KEV掲載: 2024-09-18公式(NVD) →Microsoft SQL Server Reporting Servicesには、ページリクエストの不正な処理におけるデシリアライゼーション脆弱性が存在します。認証済みの攻撃者はこの脆弱性を悪用して、レポートサーバーのサービスアカウントのコンテキストでコードを実行することができます。
KEV掲載: 2024-09-18公式(NVD) →Oracle ADFフェースライブラリ（Oracle JDeveloper Distribution に含まれる）に、信頼されていないデータの逆シリアル化の脆弱性が存在し、認証されていないリモートコード実行につながる可能性があります。
KEV掲載: 2024-09-18公式(NVD) →Adobe Flash Playerに整数アンダーフロー脆弱性が存在し、リモート攻撃者が任意のコードを実行される可能性があります。
KEV掲載: 2024-09-17公式(NVD) →Adobe Flash Playerに二重解放の脆弱性が存在し、リモート攻撃者が任意のコードを実行可能です。
KEV掲載: 2024-09-17公式(NVD) →Adobe Flash Playerに含まれるExternalInterface ActionScript機能の仕様未定義の脆弱性により、リモートの攻撃者が細工されたSWFコンテンツを介して任意のコードを実行することが可能です。
KEV掲載: 2024-09-17公式(NVD) →Adobe Flash PlayerはFirefoxサンドボックスのデフォルト権限設定に不備があり、リモート攻撃者が細工されたSWFコンテンツを介して任意のコードを実行可能な脆弱性を含んでいます。
KEV掲載: 2024-09-17公式(NVD) →Progress WhatsUp Goldに、アプリケーションが単一ユーザーのみで構成されている場合、認証されていない攻撃者がユーザーの暗号化されたパスワードを取得することを可能にするSQL インジェクション脆弱性が含まれています。
KEV掲載: 2024-09-16公式(NVD) →Microsoft Windows MSHTMLプラットフォームに、重要な情報のUIの誤った表現に関する脆弱性が存在し、攻撃者がウェブページを偽装することを可能にします。この脆弱性はCVE-2024-38112と組み合わせて悪用されました。
KEV掲載: 2024-09-16公式(NVD) →Ivanti Cloud Services Appliance (CSA)の管理コンソールに存在するOSコマンドインジェクション脆弱性により、アプリケーション管理者権限を持つ認証済み攻撃者が基盤となるOSにコマンドを渡すことが可能になります。
KEV掲載: 2024-09-13公式(NVD) →Microsoft Windows Installerに含まれる不正な権限管理の脆弱性により、攻撃者がSYSTEM権限を獲得される可能性があります。
KEV掲載: 2024-09-10公式(NVD) →Microsoft Publisher に保護メカニズムの失敗の脆弱性が存在し、攻撃者が信頼できないまたは悪意のあるファイルをブロックするために使用される Office マクロポリシーをバイパスすることが可能です。
KEV掲載: 2024-09-10公式(NVD) →Microsoft Windows Mark of the Web (MOTW) に保護メカニズムの失敗の脆弱性が存在し、攻撃者が MOTW ベースの防御をバイパスすることが可能です。これにより、MOTW タギングに依存する Microsoft Office の保護ビューなどのセキュリティ機能の整合性と可用性が制限的に失われる可能性があります。
KEV掲載: 2024-09-10公式(NVD) →ImageMagickには、EPHEMERAL、HTTPS、MVG、MSL、TEXT、SHOW、WIN、PLTコーダーに影響する不正な入力検証脆弱性が存在します。これにより、リモート攻撃者が細工されたイメージ内のシェルメタ文字を通じて任意のコードを実行できます。
KEV掲載: 2024-09-09公式(NVD) →SonicWall SonicOSに不適切なアクセス制御の脆弱性が存在し、これにより認可されていないリソースへのアクセスが可能となり、特定の条件下ではファイアウォールがクラッシュする可能性があります。
KEV掲載: 2024-09-09公式(NVD) →Linuxカーネルのload_elf_binary()関数にはPIE（位置独立実行可能形式）スタックバッファ破壊の脆弱性が存在し、ローカル攻撃者が権限昇格を行うことを許可します。
KEV掲載: 2024-09-09公式(NVD) →Draytek VigorConnectのWebServletエンドポイントのファイルダウンロード機能にパストトラバーサル脆弱性が存在します。認証されていない攻撃者はこの脆弱性を悪用して、ルート権限で基盤となるオペレーティングシステムから任意のファイルをダウンロードできる可能性があります。
KEV掲載: 2024-09-03公式(NVD) →Draytek VigorConnectのDownloadFileServletエンドポイントにパストトラバーサル脆弱性が存在します。認証されていない攻撃者はこの脆弱性を悪用して、基盤となるオペレーティングシステムから任意のファイルをroot権限でダウンロードできる可能性があります。
KEV掲載: 2024-09-03公式(NVD) →Kingsoft WPS Officeのpromecefpluginhost.exeに、Windows上でパストラバーサル脆弱性が存在し、攻撃者が任意のWindowsライブラリをロードすることを許可します。
KEV掲載: 2024-09-03公式(NVD) →Google Chromium V8に不適切な実装の脆弱性が存在します。これにより、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を引き起こす可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを使用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2024-08-28公式(NVD) →Apache OFBizに認可不備の脆弱性が存在し、認証されていない攻撃者がOFBizユーザープロセスのコンテキストでGroovyペイロードを経由してリモートコード実行を実行できる可能性があります。
KEV掲載: 2024-08-27公式(NVD) →Google Chromium V8に型混同の脆弱性が存在します。この脆弱性により、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を悪用することが可能です。この脆弱性はChromiumを使用している複数のWebブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaなどが含まれます。
KEV掲載: 2024-08-26公式(NVD) →Versa Director のGUIには、危険な型のファイルの無制限アップロード脆弱性が存在します。これにより、Provider-Data-Center-Admin または Provider-Data-Center-System-Admin 権限を持つ管理者がユーザーインターフェースをカスタマイズできます。「ファビコンの変更」(Favorite Icon)機能は .png ファイルのアップロードを許可しており、これを悪用して .png 拡張子で偽装された悪意のあるファイルをアップロード可能です。
KEV掲載: 2024-08-23公式(NVD) →DahuaのIPカメラおよび関連製品は、認証中にクライアントがNetKeyboardタイプ引数を指定した場合、認証バイパスの脆弱性を含んでいます。
KEV掲載: 2024-08-21公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。