脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
DahuaのIPカメラおよび関連製品には、認証時にクライアントがループバックデバイスを指定する場合、認証回避の脆弱性が存在します。
KEV掲載: 2024-08-21公式(NVD) →Microsoft Exchange Serverに情報開示の脆弱性が存在し、リモートコード実行が可能です。
KEV掲載: 2024-08-21公式(NVD) →Linuxカーネルのファイルシステムコンテキスト機能のlegacy_parse_param関数に、ヒープベースのバッファオーバーフロー脆弱性が存在します。これにより、攻撃者はファイルシステムコンテキストAPIをサポートしていないファイルシステムを開くことができ、最終的に権限昇格が可能になります。
KEV掲載: 2024-08-21公式(NVD) →Jenkins Command Line Interface (CLI) にパストトラバーサル脆弱性が存在し、攻撃者が特定のファイルに対する限定的な読み取りアクセスを実行でき、コード実行につながる可能性があります。
KEV掲載: 2024-08-19公式(NVD) →SolarWinds Web Help Deskに含まれる信頼されていないデータの逆シリアル化の脆弱性により、リモートコード実行が可能になる可能性があります。
KEV掲載: 2024-08-15公式(NVD) →Microsoft Windows スクリプティング エンジンにメモリ破損の脆弱性が存在し、認証されていない攻撃者が特別に細工された URL を介してリモートコード実行を開始することができます。
KEV掲載: 2024-08-13公式(NVD) →Microsoft Windows Ancillary Function Driver for WinSockに未指定の脆弱性が存在し、権限昇格を可能にするため、ローカル攻撃者がSYSTEM権限を取得することができます。
KEV掲載: 2024-08-13公式(NVD) →Microsoft Projectに、悪意のあるファイルを介したリモートコード実行を許可する未指定の脆弱性が存在します。
KEV掲載: 2024-08-13公式(NVD) →Microsoft Windows SmartScreen に、攻撃者が悪意のあるファイルを経由して SmartScreen のユーザーエクスペリエンスをバイパスすることを可能とするセキュリティ機能バイパスの脆弱性が存在します。
KEV掲載: 2024-08-13公式(NVD) →Microsoft Windows Power Dependency Coordinator に未指定の脆弱性が含まれており、権限昇格を引き起こす可能性があります。ローカル攻撃者が SYSTEM 権限を取得することを可能にします。
KEV掲載: 2024-08-13公式(NVD) →Microsoft Windows Kernelに未指定の脆弱性が存在し、権限昇格を許可します。この脆弱性を悪用すると、ローカル攻撃者がSYSTEM権限を取得できます。この脆弱性の悪用を成功させるには、攻撃者が競合状態に勝つ必要があります。
KEV掲載: 2024-08-13公式(NVD) →Apache OFBizにはパストラバーサル脆弱性が含まれており、リモートコード実行を許可する可能性があります。
KEV掲載: 2024-08-07公式(NVD) →Androidは、リモートコード実行を可能にするカーネルの未指定の脆弱性を含んでいます。この脆弱性はLinuxカーネルに存在し、Android OSを含むその他の製品にも影響を与える可能性があります。
KEV掲載: 2024-08-07公式(NVD) →Microsoftの Windows COM には、信頼されていないデータの逆シリアル化の脆弱性が含まれており、特別に細工されたファイルまたはスクリプトを介して、権限昇格とリモートコード実行が可能になります。
KEV掲載: 2024-08-05公式(NVD) →VMware ESXiに認証回避の脆弱性が存在します。十分なActive Directory（AD）権限を持つ悪意のある行為者は、ADから削除された設定済みADグループ（デフォルトでは「ESXi Admins」）を再作成することで、ユーザー管理にADを使用するように以前設定されたESXiホストへの完全なアクセス権を取得できます。
KEV掲載: 2024-07-30公式(NVD) →ServiceNowのUtah、Vancouver、Washington DCのNow Platformリリースに含まれるUIマクロのJellyテンプレートインジェクション脆弱性があります。認証されていないユーザーがこの脆弱性を悪用して、リモートからコード実行を行う可能性があります。
KEV掲載: 2024-07-29公式(NVD) →ServiceNowのWashington DC、Vancouver、およびそれ以前のNow Platformリリースに含まれるGlideExpressionスクリプトにおいて、不完全な禁止入力リストの脆弱性が存在します。認証されていないユーザーがこの脆弱性を悪用してリモートでコード実行を行う可能性があります。
KEV掲載: 2024-07-29公式(NVD) →Acronis Cyber Infrastructure (ACI)は、デフォルトパスワードの使用により、認証されていないユーザーがリモートからコマンドを実行できます。
KEV掲載: 2024-07-29公式(NVD) →Microsoft Internet Explorerは、不正な方法で割り当てられた、または削除されたオブジェクトへのアクセスをトリガーする細工されたウェブサイトを通じて、リモート攻撃者が任意のコードを実行することを可能にするuse-after-free脆弱性を含んでいます。これはCDwnBindInfoオブジェクトによって実証されています。
KEV掲載: 2024-07-23公式(NVD) →Twilio Authyは、APIに情報開示脆弱性を含んでおり、未認証エンドポイントが電話番号を含むリクエストを受け入れ、その電話番号がAuthyに登録されているかどうかについての情報で応答する可能性があります。
KEV掲載: 2024-07-23公式(NVD) →Adobe CommerceおよびMagento Open Sourceに含まれるXML外部エンティティ参照(XXE)の不適切な制限の脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2024-07-17公式(NVD) →SolarWinds Serv-U には、攻撃者がホストマシン上の機密ファイルを読み取られることを許可するパストトラバーサルの脆弱性が含まれています。
KEV掲載: 2024-07-17公式(NVD) →VMware vCenter Serverに、リモートの特権攻撃者が機密情報へのアクセスを取得することを可能にする不正なデフォルトファイルパーミッション脆弱性が含まれています。
KEV掲載: 2024-07-17公式(NVD) →OSGeo GeoServerおよびGeoToolsに、動的に評価されるコード内のディレクティブが不適切にニュートラライズされる脆弱性が存在します。プロパティ名がXPath式として安全でない方法で評価されることが原因です。これにより、認証されていない攻�者が特別に細工された入力を通じてリモートコード実行を実施することができます。
KEV掲載: 2024-07-15公式(NVD) →Rejetto HTTP File Serverには、テンプレートエンジンで使用される特殊要素の不適切な無効化の脆弱性が存在します。この脆弱性により、認証されていないリモート攻撃者は、特別に細工されたHTTPリクエストを送信することで、影響を受けるシステムでコマンドを実行することができます。
KEV掲載: 2024-07-09公式(NVD) →Microsoft Windows MSHTMLプラットフォームには、機密性、完全性、および可用性に対して高い影響を及ぼすなりすまし脆弱性が含まれています。
KEV掲載: 2024-07-09公式(NVD) →Microsoft Windows Hyper-Vに含まれる権限昇格脆弱性により、ユーザー権限を持つローカル攻撃者がSYSTEM権限を取得することが可能になります。
KEV掲載: 2024-07-09公式(NVD) →Cisco NX-OSのコマンドラインインターフェース(CLI)にコマンドインジェクション脆弱性が存在します。認証済みのローカル攻撃者がこの脆弱性を悪用することで、影響を受けるデバイスの基盤となるオペレーティングシステム上でrootとしてコマンドを実行することが可能になります。
KEV掲載: 2024-07-02公式(NVD) →OSGeo GeoServerのJAI-EXTにはコードインジェクション脆弱性が存在し、プログラムがjt-jiffleを使用してネットワークリクエスト経由でJiffleスクリプトを許可する場合、リモートコード実行を許可する可能性があります。
KEV掲載: 2024-06-26公式(NVD) →Roundcube Webmailに、悪意のあるXML添付ファイルを介してデータを操作することができるクロスサイトスクリプティング(XSS)脆弱性が存在します。
KEV掲載: 2024-06-26公式(NVD) →Linuxカーネルのnft_objectに解放後使用（use-after-free）の脆弱性が存在し、ローカル攻撃者が権限昇格を行うことが可能です。
KEV掲載: 2024-06-26公式(NVD) →Progress Telerik Report Serverは、攻撃者が不正なアクセスを取得できるようにする、なりすまし(スプーフィング)による認可バイパスの脆弱性を含んでいます。
KEV掲載: 2024-06-13公式(NVD) →Microsoft Windows Error Reporting Serviceに不適切な権限管理の脆弱性が含まれており、ユーザー権限を持つローカル攻撃者がSYSTEM権限を取得することを可能にしています。
KEV掲載: 2024-06-13公式(NVD) →Androidのピクセル端末のファームウェアに、特定されていない脆弱性が存在し、権限昇格が可能になります。
KEV掲載: 2024-06-13公式(NVD) →PHP、特にCGIモードで動作するWindows ベースのPHPに、OSコマンドインジェクション脆弱性が存在し、任意のコード実行が可能です。この脆弱性はCVE-2012-1823の回避パッチです。
KEV掲載: 2024-06-12公式(NVD) →Arm BifrostおよびValhall GPUカーネルドライバに、ローカルの非特権ユーザが不正なGPUメモリ処理操作を実行して、既に解放されたメモリへのアクセスを取得できるuse-after-free脆弱性が含まれています。
KEV掲載: 2024-06-12公式(NVD) →Oracle WebLogic Serverは、Fusion Middlewareスイート内の製品であり、悪意のあるXMLドキュメントを含む特別に細工されたHTTPリクエストを介して、攻撃者が任意のコードを実行することを可能にするOSコマンドインジェクション脆弱性が存在します。
KEV掲載: 2024-06-03公式(NVD) →Check Point Quantum Security Gatewaysに特定されていない情報開示の脆弱性が含まれています。この脆弱性により、攻撃者がインターネットに接続された、IPSec VPN、Remote Access VPN、またはMobile Accessが有効になっているゲートウェイ上の情報にアクセスできる可能性があります。この問題はCheck Pointの複数の製品ラインに影響を与え、CloudGuard Network、Quantum Scalable Chassis、Quantum Security Gateways、およびQuantum Spark Appliancesが含まれます。
KEV掲載: 2024-05-30公式(NVD) →Linuxカーネルのnetfilter: nf_tablesコンポーネントに含まれるuse-after-free脆弱性により、攻撃者はローカル権限昇格を実現することができます。
KEV掲載: 2024-05-30公式(NVD) →Justice AV Solutions (JAVS) Viewerインストーラーには、fffmpeg.exeという名前の悪意のあるバージョンのffmpeg.exeが含まれており（SHA256: 421a4ad2615941b177b6ec4ab5e239c14e62af2ab07c6df1741e2a62223223c4）、実行すると悪意のあるC2サーバーへのバックドア接続が確立されます。
KEV掲載: 2024-05-29公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。