脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Google Chromium V8に型混同の脆弱性が存在し、細工されたHTMLページを通じてリモート攻撃者がコード実行を行える可能性があります。この脆弱性はChromiumを使用する複数のウェブブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaなどが該当します。
KEV掲載: 2024-05-28公式(NVD) →Apache Flinkに、REST インターフェース経由でJobManager のローカルファイルシステム上の任意のファイルを読取可能にするアクセス制御不備の脆弱性が存在します。
KEV掲載: 2024-05-23公式(NVD) →NextGen Healthcare Mirth Connectには、信頼できないデータの逆シリアル化の脆弱性が含まれており、特別に細工されたリクエストを通じて認証なしでリモートコード実行が可能です。
KEV掲載: 2024-05-20公式(NVD) →Google Chromium V8に型混同脆弱性が存在し、リモート攻撃者が細工されたHTMLページを通じてコード実行が可能になります。
KEV掲載: 2024-05-20公式(NVD) →D-Link DIR-605ルーターには情報開示脆弱性が存在し、攻撃者が/getcfg.phpページへの偽造POSTリクエストを送信することで、ユーザー名とパスワードを取得することができます。
KEV掲載: 2024-05-16公式(NVD) →D-Link DIR-600ルーターに含まれるクロスサイトリクエストフォージェリ（CSRF）脆弱性により、攻撃者は既存の管理者セッションをハイジャックしてルーター設定を変更することができます。
KEV掲載: 2024-05-16公式(NVD) →Google ChromiumのV8エンジンに、細工されたHTMLページを通じた不特定の範囲外メモリ書き込み脆弱性が存在します。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを使用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2024-05-16公式(NVD) →Microsoft Windows MSHTMLプラットフォームの未指定の脆弱性により、セキュリティ機能の回避が可能になります。
KEV掲載: 2024-05-14公式(NVD) →Microsoft DWM Core Libraryには、攻撃者がSYSTEM権限を取得することを可能にする権限昇格の脆弱性が含まれています。
KEV掲載: 2024-05-14公式(NVD) →Google Chromium Visualsに含まれるUse-After-Free脆弱性により、リモート攻撃者が細工されたHTMLページを介してヒープ破損を悪用できます。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のWebブラウザに影響を与える可能性があります。
KEV掲載: 2024-05-13公式(NVD) →GitLabコミュニティエディションおよびエンタープライズエディションに不適切なアクセス制御の脆弱性が存在します。これにより、攻撃者は未検証のメールアドレスにパスワードリセットメールを送信させることができ、最終的にはアカウント乗っ取りを引き起こすことが可能になります。
KEV掲載: 2024-05-01公式(NVD) →Microsoft SmartScreenプロンプトにはセキュリティ機能のバイパス脆弱性が存在し、攻撃者がMark of the Web（MotW）機能をバイパスすることができます。この脆弱性はCVE-2023-38831およびCVE-2024-21412と組み合わせることで、悪意のあるファイルを実行するために悪用される可能性があります。
KEV掲載: 2024-04-30公式(NVD) →CrushFTPに未指定のサンドボックス回避の脆弱性が存在し、リモート攻撃者がCrushFTP仮想ファイルシステム（VFS）から脱出することを許可します。
KEV掲載: 2024-04-24公式(NVD) →Cisco Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) に、リモートサービス拒否状態につながる無限ループの脆弱性が存在します。
KEV掲載: 2024-04-24公式(NVD) →Cisco Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) には、管理者から root への権限昇格を許可する権限昇格の脆弱性が含まれています。
KEV掲載: 2024-04-24公式(NVD) →Microsoft Windows Print Spooler サービスに権限昇格の脆弱性が含まれています。攻撃者は JavaScript 制約ファイルを改ざんし、SYSTEM レベルの権限で実行することができます。
KEV掲載: 2024-04-23公式(NVD) →Palo Alto Networks PAN-OSのGlobalProtect機能に、認証されていない攻撃者がファイアウォール上でroot権限でコマンドを実行できるコマンドインジェクション脆弱性が存在します。
KEV掲載: 2024-04-12公式(NVD) →D-Link DNS-320L、DNS-325、DNS-327L、および DNS-340L には、コマンドインジェクション脆弱性が存在します。CVE-2024-3272 と組み合わせると、リモートから権限なしでコード実行される可能性があります。
KEV掲載: 2024-04-11公式(NVD) →D-Link DNS-320L、DNS-325、DNS-327L、およびDNS-340Lにはハードコーディングされた認証情報が含まれており、攻撃者は認証済みコマンドインジェクションを実行することで、リモートからの不正なコード実行につながる可能性があります。
KEV掲載: 2024-04-11公式(NVD) →Android Pixelはデバイス管理者アプリケーションによってトリガーされたファクトリーリセットを攻撃者が中断することを可能にする権限昇格の脆弱性を含んでいます。
KEV掲載: 2024-04-04公式(NVD) →AndroidのPixelデバイスに含まれるfastbootファームウェアに情報漏洩の脆弱性が存在しており、この脆弱性はデバイスのロック解除、フラッシング、およびロック機能に悪影響を及ぼします。
KEV掲載: 2024-04-04公式(NVD) →Microsoft SharePoint Serverには、サイト所有者特権を持つ認証済み攻撃者がコードをリモートで実行できるようにするコードインジェクション脆弱性が存在します。
KEV掲載: 2024-03-26公式(NVD) →Ivanti Endpoint Manager Cloud Service Appliance (EPM CSA)にはコード注入の脆弱性が存在し、認証されていないユーザーが限定的なパーミッション(nobody)で悪意のあるコードを実行することができます。
KEV掲載: 2024-03-25公式(NVD) →Fortinet FortiClient EMSに含まれるSQL インジェクション脆弱性により、認証されていない攻撃者が特別に細工されたリクエストを通じてSYSTEMとしてコマンドを実行できます。
KEV掲載: 2024-03-25公式(NVD) →Nice Linear eMerge E3シリーズはOSコマンドインジェクション脆弱性を含んでおり、攻撃者がリモートコード実行を実行することを可能にします。
KEV掲載: 2024-03-25公式(NVD) →JetBrains TeamCityに認証バイパスの脆弱性が存在し、攻撃者が管理者権限でのアクション実行を可能にします。
KEV掲載: 2024-03-07公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、watchOS、およびvisionOSのカーネルにメモリ破損の脆弱性が存在します。この脆弱性により、任意のカーネルメモリ読み取り・書き込み機能を持つ攻撃者がカーネルメモリ保護をバイパスすることが可能になります。
KEV掲載: 2024-03-06公式(NVD) →AppleのiOS、iPadOS、macOS、tvOS、およびwatchOSのRTKitに、任意のカーネル読み書き機能を持つ攻撃者がカーネルメモリ保護をバイパスすることを可能にするメモリ破損脆弱性が含まれています。
KEV掲載: 2024-03-06公式(NVD) →Sunhillo SureLineに含まれるOSコマンドインジェクションの脆弱性により、攻撃者は/cgi/networkDiag.cgiの ipAddrまたはdnsAddrにシェルメタ文字を含めることで、サービス拒否を引き起こしたり、ネットワーク上でデバイスを永続的に利用したりすることが可能です。
KEV掲載: 2024-03-05公式(NVD) →Android Pixelは、Frameworkコンポーネントに脆弱性を含んでおり、UIが誤解を招くまたは不十分である可能性があり、フォアグラウンドサービス通知を隠す手段が提供される。これにより、ローカル攻撃者が機密情報を開示することが可能になる可能性がある。
KEV掲載: 2024-03-05公式(NVD) →Microsoft Windows Kernelに含まれるappid.sysのIOCTLディスパッチャー内の不十分なアクセス制御脆弱性により、ローカル攻撃者が権限昇格を達成することが可能です。
KEV掲載: 2024-03-04公式(NVD) →Microsoftストリーミングサービスに含まれる信頼されていないポインタ逆参照の脆弱性により、権限昇格が可能となり、ローカル攻撃者がSYSTEM権限を取得することができます。
KEV掲載: 2024-02-29公式(NVD) →ConnectWiseのScreenConnectに認証回避の脆弱性が存在し、管理インターフェースへのネットワークアクセスを持つ攻撃者が、影響を受けるデバイス上に管理者レベルの権限を持つ新しいアカウントを作成することが可能です。
KEV掲載: 2024-02-22公式(NVD) →Cisco Adaptive Security Appliance (ASA) およびFirepower Threat Defense (FTD) に情報漏洩脆弱性が存在します。攻撃者は影響を受けるデバイスのメモリ内容を取得でき、Webサービスインターフェースから要求された不正なURLをソフトウェアが解析する際のバッファ追跡の問題により、機密情報の漏洩につながる可能性があります。この脆弱性は、特定のAnyConnectおよびWebVPN構成にのみ影響します。
KEV掲載: 2024-02-15公式(NVD) →Microsoft Exchange Serverに、特権昇格を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2024-02-15公式(NVD) →Microsoft Windows インターネット ショートカット ファイルに、セキュリティ機能を回避する可能性のある未指定の脆弱性が含まれています。
KEV掲載: 2024-02-13公式(NVD) →Microsoft Windows SmartScreenには、セキュリティ機能バイパス脆弱性が含まれており、攻撃者がSmartScreenのユーザーエクスペリエンスをバイパスしてコードを注入し、潜在的にコード実行を達成できます。これにより、データ漏洩、システム可用性の喪失、またはその両方につながる可能性があります。
KEV掲載: 2024-02-13公式(NVD) →Roundcube Webmailは、プレーンテキストメッセージ内の悪意あるリンク参照を介した情報漏洩につながる可能性がある永続的なクロスサイトスクリプティング(XSS)脆弱性を含んでいます。
KEV掲載: 2024-02-12公式(NVD) →Fortinet FortiOSに、リモートの未認証の攻撃者が特別に細工されたHTTPリクエストを通じてコードまたはコマンドを実行することを可能とする範囲外書き込み脆弱性が含まれています。
KEV掲載: 2024-02-09公式(NVD) →Google Chromium V8に型混同の脆弱性が存在し、細工されたHTMLページを通じてリモート攻撃者がコード実行を行う可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む複数のChromiumを使用するウェブブラウザに影響を与える可能性があります。
KEV掲載: 2024-02-06公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。