脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Ivanti Connect Secure（ICS、以前のPulse Connect Secure）、Ivanti Policy Secure、およびIvanti Neuronsに含まれるSAMLコンポーネントのサーバーサイドリクエストフォージェリ（SSRF）脆弱性により、攻撃者は認証なしに特定の制限されたリソースにアクセスすることが可能になります。
KEV掲載: 2024-01-31公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、およびwatchOSには、時間点検/時間使用(TOCTOU)メモリ破損脆弱性が存在し、読み書き機能を持つ攻撃者がポインタ認証をバイパスすることを可能にします。
KEV掲載: 2024-01-31公式(NVD) →Atlassian Confluence Data Center および Server に認証なしで利用可能な OGNL テンプレートインジェクション脆弱性が存在し、リモートコード実行につながる可能性があります。
KEV掲載: 2024-01-24公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、およびSafari WebKitには型混同の脆弱性が含まれており、悪意のあるウェブコンテンツを処理する際にコード実行につながります。この脆弱性は、Apple SafariおよびHTML処理のためにWebKitに依存する非Appleの製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2024-01-23公式(NVD) →VMware vCenter Serverの DCERPC プロトコル実装に、バッファオーバーフロー脆弱性が存在します。この脆弱性により、攻撃者がリモートコード実行を実行することが可能です。
KEV掲載: 2024-01-22公式(NVD) →Ivanti Endpoint Manager Mobile（EPMM）およびMobileIron Coreに認証回避の脆弱性が存在します。この脆弱性により、未認可ユーザーがアプリケーションの制限された機能またはリソースにアクセスすることが可能になります。
KEV掲載: 2024-01-18公式(NVD) →Citrix NetScaler ADCおよびNetScaler Gatewayに含まれるバッファオーバーフロー脆弱性により、ゲートウェイ（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして設定されている場合、サービス拒否攻撃を引き起こすことができます。
KEV掲載: 2024-01-17公式(NVD) →Google Chromium V8エンジンに範囲外メモリアクセス脆弱性が存在します。これにより、リモート攻撃者は細工されたHTMLページを介してヒープ破損を悪用する可能性があります。この脆弱性はChromiumを利用する複数のWebブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaなどが対象となります。
KEV掲載: 2024-01-17公式(NVD) →Citrix NetScaler ADCおよびNetScaler Gatewayに、管理インターフェース上での認証済みリモートコード実行を可能にするコードインジェクション脆弱性が存在します。この脆弱性はNSIP、CLIP、またはSNIPへのアクセス権を持つユーザーによって悪用される可能性があります。
KEV掲載: 2024-01-17公式(NVD) →Laravel Frameworkは信頼できないデータのデシリアライゼーション脆弱性を含んでおり、リモートコマンド実行を可能にします。この脆弱性は、悪意のあるユーザーがアプリケーション暗号化キー（APP_KEY環境変数）にアクセスした場合にのみ悪用される可能性があります。
KEV掲載: 2024-01-16公式(NVD) →Microsoft SharePoint Serverに、認証されていない攻撃者が偽造されたJWT認証トークンへのアクセスを取得した場合、それらのトークンをネットワーク攻撃の実行に使用できる特定されていない脆弱性が存在します。この攻撃は認証をバイパスし、攻撃者が管理者権限を取得することを可能にします。
KEV掲載: 2024-01-10公式(NVD) →Ivanti Connect Secure（ICS、旧Pulse Connect Secure）およびIvanti Policy Secureは、これらの製品のWebコンポーネントにコマンドインジェクション脆弱性を含んでいます。認証されたアドミニストレーターが細工されたリクエストを送信することで、影響を受けるアプライアンスでコードを実行することが可能になります。この脆弱性はCVE-2023-46805と組み合わせて悪用される可能性があります。CVE-2023-46805は認証バイパスの問題です。
KEV掲載: 2024-01-10公式(NVD) →Ivanti Connect Secure（ICS、旧Pulse Connect Secure）およびIvanti Policy Secureゲートウェイのウェブコンポーネントに認証回避脆弱性が存在します。この脆弱性により、攻撃者は制御チェックをバイパスして制限されたリソースにアクセスすることが可能です。この脆弱性はコマンドインジェクション脆弱性であるCVE-2024-21887と組み合わせて悪用される可能性があります。
KEV掲載: 2024-01-10公式(NVD) →Apache Superset に含まれる、リソースの安全でないデフォルト初期化の脆弱性により、インストール手順に従ってデフォルト設定の SECRET_KEY を変更していないインストール環境において、攻撃者が認証を行い、権限のないリソースにアクセスできる可能性があります。
KEV掲載: 2024-01-08公式(NVD) →Adobe ColdFusion に含まれる信頼されていないデータの逆シリアル化の脆弱性により、コード実行が可能になります。
KEV掲載: 2024-01-08公式(NVD) →Adobe ColdFusionに含まれる信頼されていないデータの逆シリアル化脆弱性により、コード実行が可能になります。
KEV掲載: 2024-01-08公式(NVD) →D-Link DSL-2750Bデバイスは、login.cgiのcliパラメータを経由したリモート、認証なしのコマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2024-01-08公式(NVD) →Joomla!は不適切なアクセス制御の脆弱性を含んでおり、認可されていないユーザーがWebサービスエンドポイントへのアクセスを行う可能性があります。
KEV掲載: 2024-01-08公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、およびwatchOSに、フォントファイルを処理する際にコード実行を許可する特定されていない脆弱性が含まれています。
KEV掲載: 2024-01-08公式(NVD) →Spreadsheet::ParseExcelは、ファイルから検証されていない入力を文字列型の「eval」に渡すことに起因するリモートコード実行脆弱性を含んでいます。具体的には、Excelパース処理内のNumber形式文字列の評価から発生しています。
KEV掲載: 2024-01-02公式(NVD) →Google Chromiumの WebRTC（ウェブブラウザにリアルタイム通信機能を提供するオープンソースプロジェクト）には、ヒープバッファオーバーフロー脆弱性が存在します。この脆弱性により、リモート攻撃者は細工された HTML ページを介してヒープ破損を悪用される可能性があります。この脆弱性は、Google Chrome を含む WebRTC を使用するウェブブラウザに影響を与える可能性があります。
KEV掲載: 2024-01-02公式(NVD) →QNAP VioStar NVRには、認証済みユーザーがネットワーク経由でコマンドを実行することを可能にするOSコマンドインジェクション脆弱性が含まれています。
KEV掲載: 2023-12-21公式(NVD) →FXC AE1021およびAE1021PEに含まれるOSコマンドインジェクション脆弱性により、認証されたユーザーがネットワーク経由でコマンドを実行することが可能です。
KEV掲載: 2023-12-21公式(NVD) →Unitronics Vision Seriesシリーズのプログラマブルロジックコントローラ（PLC）およびヒューマンマシンインターフェース（HMI）は、デフォルトパスワードが安全でない状態で出荷されており、変更されないままの場合、攻撃者がリモートコマンドを実行することが可能になります。
KEV掲載: 2023-12-11公式(NVD) →Qlik Senseに含まれるHTTPトンネリングの脆弱性により、攻撃者は権限を昇格させ、ソフトウェアをホストしているバックエンドサーバー上でHTTPリクエストを実行することができます。
KEV掲載: 2023-12-07公式(NVD) →Qlik Senseは、悪意のある細工されたHTTPリクエストを送信することにより、リモートの認証されていない攻撃者が匿名セッションを作成することを可能にするパストトラバーサル脆弱性を含んでいます。この匿名セッションにより、攻撃者は認可されていないエンドポイントへのさらなるリクエストを送信することが可能になる可能性があります。
KEV掲載: 2023-12-07公式(NVD) →複数のQualcommチップセットは、IOCTLコール中に共有仮想メモリ領域を割り当てる際のメモリ破損により、Graphics Linuxで整数オーバーフロー脆弱性を含んでいます。
KEV掲載: 2023-12-05公式(NVD) →複数のQualcommチップセットにおいて、IOCTL_KGSL_GPU_AUX_COMMANDに対するAUXコマンドで大規模な同期ポイントリストを送信する際に、グラフィックスのメモリ破損に起因する範囲外ポインタオフセットの使用の脆弱性が存在します。
KEV掲載: 2023-12-05公式(NVD) →複数のQualcommチップセットに、HLOSからDSPへのリモートコール中にDSPサービスのメモリ破損に起因するUse-After-Freeの脆弱性が存在します。
KEV掲載: 2023-12-05公式(NVD) →複数のQualcommチップセットにおいて、IOCTLのmunmapコール使用時にプロセスシェルメモリが解放され、かつプロセスの初期化が進行中である場合に、使用後解放（use-after-free）の脆弱性が存在します。
KEV掲載: 2023-12-05公式(NVD) →Apple iOS、iPadOS、macOS、およびSafari WebKitには、悪意のあるウェブコンテンツを処理する際のメモリ破損の脆弱性が含まれており、コード実行につながる可能性があります。この脆弱性は、Apple SafariおよびHTML処理にWebKitを利用するApple以外の製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-12-04公式(NVD) →Apple iOS、iPadOS、macOS、およびSafari WebKitに、悪意のある細工されたWebコンテンツを処理する際に機密情報を開示する可能性のある境界外読み取り脆弱性が存在します。この脆弱性は、Apple SafariおよびHTMLパーサー処理にWebKitを利用する非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-12-04公式(NVD) →ownCloudのgraphapi機能には、GetPhpInfo.phpを通じてphpinfo()に保存されている機密データ（管理者認証情報を含む）を露開する情報漏洩脆弱性が存在します。
KEV掲載: 2023-11-30公式(NVD) →Google Chromiumの Skiaに整数オーバーフロー脆弱性が存在します。この脆弱性により、レンダラープロセスが侵害された遠隔攻撃者が、悪意のあるファイルを介してサンドボックスエスケープを実行する可能性があります。この脆弱性は Google Chrome、ChromeOS、Android、Flutter、およびその他の製品に影響を与える可能性があります。
KEV掲載: 2023-11-30公式(NVD) →GNU C ライブラリの動的ローダ ld.so は、GLIBC_TUNABLES 環境変数を処理する際のバッファオーバーフロー脆弱性を含んでおり、ローカル攻撃者が昇格した特権でコードを実行することを可能にします。
KEV掲載: 2023-11-21公式(NVD) →Sophos Web Applianceの警告進行ハンドラーに存在するコマンドインジェクション脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2023-11-16公式(NVD) →Oracle Fusion Middlewareは、WLSコアコンポーネント内の未公開の脆弱性を含んでいます。この脆弱性により、IIOPを介してネットワークアクセスを持つ認証されていない攻撃者がWebLogicサーバーを侵害できます。
KEV掲載: 2023-11-16公式(NVD) →Microsoft Windows Mark of the Web (MOTW)に、セキュリティ機能のバイパスの脆弱性が存在します。この脆弱性により、セキュリティ機能の整合性と可用性が限定的に低下する可能性があります。
KEV掲載: 2023-11-16公式(NVD) →Microsoftウィンドウズの SmartScreen に、セキュリティ機能のバイパス脆弱性が存在します。この脆弱性により、攻撃者は Windows Defender SmartScreen のチェックおよび関連するプロンプトをバイパスできる可能性があります。
KEV掲載: 2023-11-14公式(NVD) →Microsoft Windows Cloud Files Mini Filter Driverに特権昇格の脆弱性が存在し、攻撃者がSYSTEM権限を取得する可能性があります。
KEV掲載: 2023-11-14公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。