脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
QNAP VioStar NVRには、認証済みユーザーがネットワーク経由でコマンドを実行することを可能にするOSコマンドインジェクション脆弱性が含まれています。
KEV掲載: 2023-12-21公式(NVD) →FXC AE1021およびAE1021PEに含まれるOSコマンドインジェクション脆弱性により、認証されたユーザーがネットワーク経由でコマンドを実行することが可能です。
KEV掲載: 2023-12-21公式(NVD) →Unitronics Vision Seriesシリーズのプログラマブルロジックコントローラ（PLC）およびヒューマンマシンインターフェース（HMI）は、デフォルトパスワードが安全でない状態で出荷されており、変更されないままの場合、攻撃者がリモートコマンドを実行することが可能になります。
KEV掲載: 2023-12-11公式(NVD) →Qlik Senseに含まれるHTTPトンネリングの脆弱性により、攻撃者は権限を昇格させ、ソフトウェアをホストしているバックエンドサーバー上でHTTPリクエストを実行することができます。
KEV掲載: 2023-12-07公式(NVD) →Qlik Senseは、悪意のある細工されたHTTPリクエストを送信することにより、リモートの認証されていない攻撃者が匿名セッションを作成することを可能にするパストトラバーサル脆弱性を含んでいます。この匿名セッションにより、攻撃者は認可されていないエンドポイントへのさらなるリクエストを送信することが可能になる可能性があります。
KEV掲載: 2023-12-07公式(NVD) →複数のQualcommチップセットは、IOCTLコール中に共有仮想メモリ領域を割り当てる際のメモリ破損により、Graphics Linuxで整数オーバーフロー脆弱性を含んでいます。
KEV掲載: 2023-12-05公式(NVD) →複数のQualcommチップセットにおいて、IOCTL_KGSL_GPU_AUX_COMMANDに対するAUXコマンドで大規模な同期ポイントリストを送信する際に、グラフィックスのメモリ破損に起因する範囲外ポインタオフセットの使用の脆弱性が存在します。
KEV掲載: 2023-12-05公式(NVD) →複数のQualcommチップセットに、HLOSからDSPへのリモートコール中にDSPサービスのメモリ破損に起因するUse-After-Freeの脆弱性が存在します。
KEV掲載: 2023-12-05公式(NVD) →複数のQualcommチップセットにおいて、IOCTLのmunmapコール使用時にプロセスシェルメモリが解放され、かつプロセスの初期化が進行中である場合に、使用後解放（use-after-free）の脆弱性が存在します。
KEV掲載: 2023-12-05公式(NVD) →Apple iOS、iPadOS、macOS、およびSafari WebKitには、悪意のあるウェブコンテンツを処理する際のメモリ破損の脆弱性が含まれており、コード実行につながる可能性があります。この脆弱性は、Apple SafariおよびHTML処理にWebKitを利用するApple以外の製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-12-04公式(NVD) →Apple iOS、iPadOS、macOS、およびSafari WebKitに、悪意のある細工されたWebコンテンツを処理する際に機密情報を開示する可能性のある境界外読み取り脆弱性が存在します。この脆弱性は、Apple SafariおよびHTMLパーサー処理にWebKitを利用する非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-12-04公式(NVD) →ownCloudのgraphapi機能には、GetPhpInfo.phpを通じてphpinfo()に保存されている機密データ（管理者認証情報を含む）を露開する情報漏洩脆弱性が存在します。
KEV掲載: 2023-11-30公式(NVD) →Google Chromiumの Skiaに整数オーバーフロー脆弱性が存在します。この脆弱性により、レンダラープロセスが侵害された遠隔攻撃者が、悪意のあるファイルを介してサンドボックスエスケープを実行する可能性があります。この脆弱性は Google Chrome、ChromeOS、Android、Flutter、およびその他の製品に影響を与える可能性があります。
KEV掲載: 2023-11-30公式(NVD) →GNU C ライブラリの動的ローダ ld.so は、GLIBC_TUNABLES 環境変数を処理する際のバッファオーバーフロー脆弱性を含んでおり、ローカル攻撃者が昇格した特権でコードを実行することを可能にします。
KEV掲載: 2023-11-21公式(NVD) →Sophos Web Applianceの警告進行ハンドラーに存在するコマンドインジェクション脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2023-11-16公式(NVD) →Oracle Fusion Middlewareは、WLSコアコンポーネント内の未公開の脆弱性を含んでいます。この脆弱性により、IIOPを介してネットワークアクセスを持つ認証されていない攻撃者がWebLogicサーバーを侵害できます。
KEV掲載: 2023-11-16公式(NVD) →Microsoft Windows Mark of the Web (MOTW)に、セキュリティ機能のバイパスの脆弱性が存在します。この脆弱性により、セキュリティ機能の整合性と可用性が限定的に低下する可能性があります。
KEV掲載: 2023-11-16公式(NVD) →Microsoftウィンドウズの SmartScreen に、セキュリティ機能のバイパス脆弱性が存在します。この脆弱性により、攻撃者は Windows Defender SmartScreen のチェックおよび関連するプロンプトをバイパスできる可能性があります。
KEV掲載: 2023-11-14公式(NVD) →Microsoft Windows Cloud Files Mini Filter Driverに特権昇格の脆弱性が存在し、攻撃者がSYSTEM権限を取得する可能性があります。
KEV掲載: 2023-11-14公式(NVD) →マイクロソフト Windows Desktop Window Manager (DWM) コアライブラリに特定されていない脆弱性が含まれており、これにより権限昇格が可能になります。
KEV掲載: 2023-11-14公式(NVD) →Juniper Junos OSのEXシリーズおよびSRXシリーズに含まれるPHP外部変数修正の脆弱性により、認証されていないネットワークベースの攻撃者が重要な環境変数を制御することが可能になります。PHPRC変数を設定する細工されたリクエストを使用して、攻撃者はPHP実行環境を修正し、コードの注入および実行を可能にします。
KEV掲載: 2023-11-13公式(NVD) →SysAid Server（オンプレミス版）には、パストラバーサル脆弱性が存在し、コード実行に至る可能性があります。
KEV掲載: 2023-11-13公式(NVD) →Juniper Junos OSのSRXシリーズには、認証機能の欠如に関する脆弱性が存在します。この脆弱性により、認証されていないネットワークベースの攻撃者が、ファイルシステムの整合性に限定的な影響を与える可能性があります。認証を必要としない特定のuser.phpへのリクエストを通じて、攻撃者はJ-Web経由で任意のファイルをアップロードでき、ファイルシステムの特定部分の整合性が損なわれる可能性があります。これにより、他の脆弱性への連鎖攻撃が可能になる可能性があります。
KEV掲載: 2023-11-13公式(NVD) →Juniper Junos OS on EX Seriesに含まれるPHP外部変数修正脆弱性により、認証されていないネットワークベースの攻撃者が特定の重要な環境変数を制御することが可能です。細工されたリクエストを使用することで、攻撃者は特定のPHP環境変数を修正でき、完全性の部分的な喪失につながり、他の脆弱性へのチェーニングを可能にする可能性があります。
KEV掲載: 2023-11-13公式(NVD) →Juniper Junos OS の EX Series には、重要な機能の認証欠落の脆弱性が存在し、認証されていないネットワークベースの攻撃者がファイルシステムの整合性に対して限定的な影響を与えることができます。認証を必要としない installAppPackage.php への特定のリクエストにより、攻撃者は J-Web を経由して任意のファイルをアップロード可能となり、ファイルシステムの特定部分の整合性が失われるため、他の脆弱性へのチェーン攻撃につながる可能性があります。
KEV掲載: 2023-11-13公式(NVD) →Juniper Junos OSのSRXシリーズには、重要な機能に対する認証の欠落に関する脆弱性が存在します。この脆弱性により、認証されていないネットワークベースの攻撃者がファイルシステムの完全性に限定的な影響を与えることが可能です。認証を必要としないwebauth_operation.phpへの特定のリクエストを通じて、攻撃者はJ-Webを経由して任意のファイルをアップロードでき、ファイルシステムの特定の部分の完全性が失われる可能性があります。これは他の脆弱性への連鎖的な悪用につながる可能性があります。
KEV掲載: 2023-11-13公式(NVD) →Service Location Protocol (SLP) に認証を要しないリモート攻撃者が、サービスを登録し、スプーフィングされた UDP トラフィックを使用して、大幅な増幅係数を持つサービス妨害 (DoS) 攻撃を実行できる可能性のある、サービス妨害 (DoS) 脆弱性が存在します。
KEV掲載: 2023-11-08公式(NVD) →Atlassian Confluence Data CenterおよびServerに不正な認可の脆弱性が存在し、認証されていない攻撃者による悪用時に重大なデータ損失をもたらす可能性があります。攻撃者はデータを外部流出させることができないため、機密性への影響はありません。
KEV掲載: 2023-11-07公式(NVD) →Apache ActiveMQに含まれる非信頼データのデシリアライゼーション脆弱性により、ブローカーへのネットワークアクセスを持つ遠隔攻撃者がOpenWireプロトコルのシリアライズされたクラス型を操作して、ブローカーにクラスパス上の任意のクラスをインスタンス化させることで、シェルコマンドを実行される可能性があります。
KEV掲載: 2023-11-02公式(NVD) →F5 BIG-IPの設定ユーティリティに、非公開のリクエストが原因で別のパスやチャネルを使用した認証回避の脆弱性が存在します。この脆弱性により、BIG-IPシステムの管理ポートおよび/またはセルフIP アドレスを通じてネットワークアクセス可能な認証されていない攻撃者が、システムコマンドを実行できる可能性があります。この脆弱性はCVE-2023-46748と組み合わせて利用される可能性があります。
KEV掲載: 2023-10-31公式(NVD) →F5 BIG-IPの設定ユーティリティに、SQL インジェクション脆弱性が存在します。この脆弱性により、BIG-IPの管理ポートおよび/またはセルフIPアドレスを通じてネットワークアクセスを持つ認証済み攻撃者がシステムコマンドを実行できる可能性があります。この脆弱性はCVE-2023-46747と組み合わせて悪用されることがあります。
KEV掲載: 2023-10-31公式(NVD) →Roundcube Webmailに、リモート攻撃者が悪意あるJavaScriptコードを実行可能な永続的なクロスサイトスクリプティング（XSS）脆弱性が存在します。
KEV掲載: 2023-10-26公式(NVD) →Cisco IOS XEのWebユーザーインターフェースにコマンドインジェクション脆弱性が存在します。CVE-2023-20198と組み合わせることで、攻撃者は新規ローカルユーザーを利用して権限をrootに昇格させ、ファイルシステムにimplantを書き込むことができます。Ciscoは、implantの展開に悪用された脆弱性をCVE-2023-20273として特定しました。以前の悪用イベントに関連付けられていたCVE-2021-1435は、本活動との関連性がないと考えられています。
KEV掲載: 2023-10-23公式(NVD) →Citrix NetScaler ADCおよびNetScaler Gatewayは、ゲートウェイ（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている場合、バッファオーバーフロー脆弱性を含んでおり、機密情報の開示が可能になります。
KEV掲載: 2023-10-18公式(NVD) →Cisco IOS XE Web UIに含まれる権限昇格の脆弱性により、リモートの認証されていない攻撃者がレベル15の権限でアカウントを作成できる可能性があります。攻撃者はそのアカウントを使用して、影響を受けるデバイスの制御を獲得できます。
KEV掲載: 2023-10-16公式(NVD) →HTTP/2に含まれる急速なリセット脆弱性により、分散型サービス妨害攻撃（DDoS）が可能になります。
KEV掲載: 2023-10-10公式(NVD) →Microsoft Skype for Businessに、権限昇格を引き起こす未指定の脆弱性が含まれています。
KEV掲載: 2023-10-10公式(NVD) →Adobe AcrobatおよびReaderに含まれるuse-after-free脆弱性により、現在のユーザーのコンテキストでコード実行が可能になります。
KEV掲載: 2023-10-10公式(NVD) →Microsoft WordPadに、情報漏洩を引き起こす可能性のある未指定の脆弱性が存在します。
KEV掲載: 2023-10-10公式(NVD) →Cisco IOSおよびIOS XEは、Group Encrypted Transport VPN (GET VPN)機能に境界外書き込み脆弱性を含んでおり、グループメンバーまたはキーサーバーの管理権限を持つ認証されたリモート攻撃者が、悪意のあるコードを実行するか、デバイスをクラッシュさせる可能性があります。
KEV掲載: 2023-10-10公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。