脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
マイクロソフト Windows Desktop Window Manager (DWM) コアライブラリに特定されていない脆弱性が含まれており、これにより権限昇格が可能になります。
KEV掲載: 2023-11-14公式(NVD) →Juniper Junos OSのEXシリーズおよびSRXシリーズに含まれるPHP外部変数修正の脆弱性により、認証されていないネットワークベースの攻撃者が重要な環境変数を制御することが可能になります。PHPRC変数を設定する細工されたリクエストを使用して、攻撃者はPHP実行環境を修正し、コードの注入および実行を可能にします。
KEV掲載: 2023-11-13公式(NVD) →SysAid Server（オンプレミス版）には、パストラバーサル脆弱性が存在し、コード実行に至る可能性があります。
KEV掲載: 2023-11-13公式(NVD) →Juniper Junos OSのSRXシリーズには、認証機能の欠如に関する脆弱性が存在します。この脆弱性により、認証されていないネットワークベースの攻撃者が、ファイルシステムの整合性に限定的な影響を与える可能性があります。認証を必要としない特定のuser.phpへのリクエストを通じて、攻撃者はJ-Web経由で任意のファイルをアップロードでき、ファイルシステムの特定部分の整合性が損なわれる可能性があります。これにより、他の脆弱性への連鎖攻撃が可能になる可能性があります。
KEV掲載: 2023-11-13公式(NVD) →Juniper Junos OS on EX Seriesに含まれるPHP外部変数修正脆弱性により、認証されていないネットワークベースの攻撃者が特定の重要な環境変数を制御することが可能です。細工されたリクエストを使用することで、攻撃者は特定のPHP環境変数を修正でき、完全性の部分的な喪失につながり、他の脆弱性へのチェーニングを可能にする可能性があります。
KEV掲載: 2023-11-13公式(NVD) →Juniper Junos OS の EX Series には、重要な機能の認証欠落の脆弱性が存在し、認証されていないネットワークベースの攻撃者がファイルシステムの整合性に対して限定的な影響を与えることができます。認証を必要としない installAppPackage.php への特定のリクエストにより、攻撃者は J-Web を経由して任意のファイルをアップロード可能となり、ファイルシステムの特定部分の整合性が失われるため、他の脆弱性へのチェーン攻撃につながる可能性があります。
KEV掲載: 2023-11-13公式(NVD) →Juniper Junos OSのSRXシリーズには、重要な機能に対する認証の欠落に関する脆弱性が存在します。この脆弱性により、認証されていないネットワークベースの攻撃者がファイルシステムの完全性に限定的な影響を与えることが可能です。認証を必要としないwebauth_operation.phpへの特定のリクエストを通じて、攻撃者はJ-Webを経由して任意のファイルをアップロードでき、ファイルシステムの特定の部分の完全性が失われる可能性があります。これは他の脆弱性への連鎖的な悪用につながる可能性があります。
KEV掲載: 2023-11-13公式(NVD) →Service Location Protocol (SLP) に認証を要しないリモート攻撃者が、サービスを登録し、スプーフィングされた UDP トラフィックを使用して、大幅な増幅係数を持つサービス妨害 (DoS) 攻撃を実行できる可能性のある、サービス妨害 (DoS) 脆弱性が存在します。
KEV掲載: 2023-11-08公式(NVD) →Atlassian Confluence Data CenterおよびServerに不正な認可の脆弱性が存在し、認証されていない攻撃者による悪用時に重大なデータ損失をもたらす可能性があります。攻撃者はデータを外部流出させることができないため、機密性への影響はありません。
KEV掲載: 2023-11-07公式(NVD) →Apache ActiveMQに含まれる非信頼データのデシリアライゼーション脆弱性により、ブローカーへのネットワークアクセスを持つ遠隔攻撃者がOpenWireプロトコルのシリアライズされたクラス型を操作して、ブローカーにクラスパス上の任意のクラスをインスタンス化させることで、シェルコマンドを実行される可能性があります。
KEV掲載: 2023-11-02公式(NVD) →F5 BIG-IPの設定ユーティリティに、非公開のリクエストが原因で別のパスやチャネルを使用した認証回避の脆弱性が存在します。この脆弱性により、BIG-IPシステムの管理ポートおよび/またはセルフIP アドレスを通じてネットワークアクセス可能な認証されていない攻撃者が、システムコマンドを実行できる可能性があります。この脆弱性はCVE-2023-46748と組み合わせて利用される可能性があります。
KEV掲載: 2023-10-31公式(NVD) →F5 BIG-IPの設定ユーティリティに、SQL インジェクション脆弱性が存在します。この脆弱性により、BIG-IPの管理ポートおよび/またはセルフIPアドレスを通じてネットワークアクセスを持つ認証済み攻撃者がシステムコマンドを実行できる可能性があります。この脆弱性はCVE-2023-46747と組み合わせて悪用されることがあります。
KEV掲載: 2023-10-31公式(NVD) →Roundcube Webmailに、リモート攻撃者が悪意あるJavaScriptコードを実行可能な永続的なクロスサイトスクリプティング（XSS）脆弱性が存在します。
KEV掲載: 2023-10-26公式(NVD) →Cisco IOS XEのWebユーザーインターフェースにコマンドインジェクション脆弱性が存在します。CVE-2023-20198と組み合わせることで、攻撃者は新規ローカルユーザーを利用して権限をrootに昇格させ、ファイルシステムにimplantを書き込むことができます。Ciscoは、implantの展開に悪用された脆弱性をCVE-2023-20273として特定しました。以前の悪用イベントに関連付けられていたCVE-2021-1435は、本活動との関連性がないと考えられています。
KEV掲載: 2023-10-23公式(NVD) →Citrix NetScaler ADCおよびNetScaler Gatewayは、ゲートウェイ（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている場合、バッファオーバーフロー脆弱性を含んでおり、機密情報の開示が可能になります。
KEV掲載: 2023-10-18公式(NVD) →Cisco IOS XE Web UIに含まれる権限昇格の脆弱性により、リモートの認証されていない攻撃者がレベル15の権限でアカウントを作成できる可能性があります。攻撃者はそのアカウントを使用して、影響を受けるデバイスの制御を獲得できます。
KEV掲載: 2023-10-16公式(NVD) →HTTP/2に含まれる急速なリセット脆弱性により、分散型サービス妨害攻撃（DDoS）が可能になります。
KEV掲載: 2023-10-10公式(NVD) →Microsoft Skype for Businessに、権限昇格を引き起こす未指定の脆弱性が含まれています。
KEV掲載: 2023-10-10公式(NVD) →Adobe AcrobatおよびReaderに含まれるuse-after-free脆弱性により、現在のユーザーのコンテキストでコード実行が可能になります。
KEV掲載: 2023-10-10公式(NVD) →Microsoft WordPadに、情報漏洩を引き起こす可能性のある未指定の脆弱性が存在します。
KEV掲載: 2023-10-10公式(NVD) →Cisco IOSおよびIOS XEは、Group Encrypted Transport VPN (GET VPN)機能に境界外書き込み脆弱性を含んでおり、グループメンバーまたはキーサーバーの管理権限を持つ認証されたリモート攻撃者が、悪意のあるコードを実行するか、デバイスをクラッシュさせる可能性があります。
KEV掲載: 2023-10-10公式(NVD) →Atlassian Confluence Data Center および Server に、認可されていない Confluence 管理者アカウントを作成し、Confluence にアクセスすることを攻撃者に許可する、アクセス制御の脆弱性が存在します。
KEV掲載: 2023-10-05公式(NVD) →Progress WS_FTP Serverのアドホック転送モジュールに、信頼されていないデータの逆シリアル化の脆弱性が存在します。これにより、認証された攻撃者が基盤となるオペレーティングシステム上で遠隔コマンドを実行できます。
KEV掲載: 2023-10-05公式(NVD) →AppleのiOSおよびiPadOSに、ローカル権限昇格を可能にする特定されていない脆弱性が存在します。
KEV掲載: 2023-10-05公式(NVD) →JetBrains TeamCityに認証バイパスの脆弱性が含まれており、TeamCity Server上でリモートコード実行が可能になります。
KEV掲載: 2023-10-04公式(NVD) →Microsoft Windows暗号化Next Generation（CNG）鍵分離サービスに、攻撃者が特定の限定的なSYSTEM権限を取得することを可能にする未指定の脆弱性が存在します。
KEV掲載: 2023-10-04公式(NVD) →Arm Mali GPU Kernel Driverに使用後解放（use-after-free）の脆弱性が存在します。この脆弱性により、ローカルの非特権ユーザーが不正なGPUメモリ処理操作を実行し、既に解放されたメモリへのアクセスを獲得することが可能になります。
KEV掲載: 2023-10-03公式(NVD) →Google Chromiumのlibvpxに、VP8エンコーディング処理におけるヒープバッファオーバーフローの脆弱性が存在します。この脆弱性により、リモート攻撃者は細工されたHTMLページを通じてヒープ破損を引き起こす可能性があります。libvpxを使用するGoogle Chromeを含むウェブブラウザに影響を与える可能性があります。
KEV掲載: 2023-10-02公式(NVD) →Red Hat JBoss RichFaces フレームワークの UserResource リソースに式言語インジェクション脆弱性が存在します。認証されていないリモート攻撃者は、org.ajax4jsf.resource.UserResource$UriData を経由した Java シリアル化オブジェクトのチェーンを使用して、悪意あるコードを実行するためにこの脆弱性を悪用する可能性があります。
KEV掲載: 2023-09-28公式(NVD) →Apple iOS、iPadOS、macOS、およびSafari WebKitに、悪意のある細工されたウェブコンテンツを処理する際にコード実行に至る未指定の脆弱性が存在します。この脆弱性は、Apple SafariおよびHTMLの処理にWebKitに依存する非Apple製品を含むWebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-09-25公式(NVD) →Apple iOS、iPadOS、macOS、およびwatchOSに、ローカル権限昇格を可能にする未指定の脆弱性が存在します。
KEV掲載: 2023-09-25公式(NVD) →AppleのiOS、iPadOS、macOS、およびwatchOSに、悪意のあるアプリが署名検証をバイパスできる不正な証明書検証脆弱性が存在します。
KEV掲載: 2023-09-25公式(NVD) →Trend Micro Apex OneおよびWorry-Free Business Securityに含まれるサードパーティ製アンチウイルスアンインストーラーに、未指定の脆弱性が存在します。攻撃者はこのモジュールを操作して、リモートコード実行を実行する可能性があります。この脆弱性を悪用するには、攻撃者は事前にターゲットシステムの管理コンソールアクセス権を取得する必要があります。
KEV掲載: 2023-09-21公式(NVD) →MinIOには、セキュリティ機能のバイパス脆弱性が存在します。これにより、攻撃者は細工されたリクエストを使用してメタデータバケット名チェックをバイパスし、`PostPolicyBucket`の処理中に任意のバケットにオブジェクトを配置して権限昇格を実行することができます。この攻撃を実行するには、攻撃者は`arn:aws:s3:::*`権限を持つ認証情報とコンソールAPI アクセスの有効化が必要です。
KEV掲載: 2023-09-19公式(NVD) →Laravel Ignitionには、file_get_contents()およびfile_put_contents()の不安全な使用により、認証されていないリモート攻撃者が悪意あるコードを実行できるファイルアップロード脆弱性が含まれています。
KEV掲載: 2023-09-18公式(NVD) →Realtekの SDK に含まれる miniigd SOAP サービスの入力値検証不備により、攻撃者が細工された NewInternalClient リクエストを通じてリモートから悪意のあるコードを実行できる脆弱性が存在します。
KEV掲載: 2023-09-18公式(NVD) →Zyxel EMG2926ルーターの診断ツール（特にnslookup機能）に存在するコマンドインジェクション脆弱性により、悪意のあるユーザーは、expert/maintenance/diagnostic/nslookup URIのping_ipパラメータなど、複数の経路を通じてルーター上で悪意のあるコマンドを実行する可能性があります。
KEV掲載: 2023-09-18公式(NVD) →Samsungの特定のExynos チップセットを搭載したデバイスに、悪意のあるメモリ書き込みとコード実行を許す使用後解放脆弱性が存在します。
KEV掲載: 2023-09-18公式(NVD) →Adobe AcrobatおよびReaderに、コード実行を可能にするバッファオーバーフロー脆弱性が存在します。
KEV掲載: 2023-09-14公式(NVD) →Google Chromium WebPに存在するヒープベースのバッファオーバーフロー脆弱性により、攻撃者は細工されたHTMLページを介して範囲外メモリ書き込みを実行できます。この脆弱性はWebPコーデックを使用するアプリケーションに影響を与える可能性があります。
KEV掲載: 2023-09-13公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。