脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Cisco Adaptive Security ApplianceおよびFirepower Threat Defenseに認可されていないアクセス脆弱性が存在し、認証されていないリモート攻撃者が有効なユーザー名とパスワードの組み合わせを特定するためのブルートフォース攻撃を実行したり、未許可のユーザーでクライアントレスSSL VPNセッションを確立したりする可能性があります。
KEV掲載: 2023-09-13公式(NVD) →Androidフレームワークに、特権昇格を可能にする未特定の脆弱性が存在します。
KEV掲載: 2023-09-13公式(NVD) →Microsoft Streaming Service Proxyに含まれる不特定の脆弱性により、権限昇格が可能になります。
KEV掲載: 2023-09-12公式(NVD) →Microsoft Wordに含まれる不特定の脆弱性により、情報開示が可能になります。
KEV掲載: 2023-09-12公式(NVD) →Apple iOS、iPadOS、およびmacOSの ImageIOコンポーネントには、悪意のある細工を施された画像を処理する際のバッファオーバーフロー脆弱性が存在し、コード実行につながる可能性があります。この脆弱性はCVE-2023-41061と組み合わせて悪用されました。
KEV掲載: 2023-09-11公式(NVD) →Apple iOS、iPadOS、watchOSには、Walletに影響する検証の問題に起因する未指定の脆弱性が存在し、悪意のあるクラフトされた添付ファイルがコード実行をもたらす可能性があります。この脆弱性はCVE-2023-41064と連鎖していました。
KEV掲載: 2023-09-11公式(NVD) →Apache RocketMQのNameServer、Broker、Controllerを含む複数のコンポーネントがエクストラネットに公開され、権限検証が欠けている。攻撃者はこの脆弱性を悪用して、設定更新機能を使用してRocketMQが実行されているシステムユーザーとしてコマンドを実行したり、RocketMQプロトコルコンテンツを偽造することで同様の効果を達成したりすることができる。
KEV掲載: 2023-09-06公式(NVD) →Ignite Realtime OpenFireに含まれるパストラバーサル脆弱性により、認証されていない攻撃者がOpenfire管理コンソール内の管理ユーザーのために予約されている制限されたページにアクセスすることが可能になります。
KEV掲載: 2023-08-24公式(NVD) →RARLAB WinRARに未特定の脆弱性が存在し、ユーザーがZIPアーカイブ内の無害なファイルを表示しようとした際に、攻撃者が任意のコードを実行することを可能にします。
KEV掲載: 2023-08-24公式(NVD) →Ivanti Sentry（旧MobileIron Sentry）は、不十分に制限されたApache HTTPDの設定により、管理インターフェース上の認証制御をバイパスされる可能性のある認証回避脆弱性を含んでいます。
KEV掲載: 2023-08-22公式(NVD) →Veeam Backup & Replicationのクラウドコネクト コンポーネントに、認証が不足している重大な機能の脆弱性が存在します。この脆弱性により、バックアップインフラストラクチャ ネットワークの境界内で動作する認証されていないユーザーが、構成データベースに保存されている暗号化された認証情報を取得することが可能になります。これによって、攻撃者がバックアップインフラストラクチャ ホストへのアクセスを獲得する可能性があります。
KEV掲載: 2023-08-22公式(NVD) →Adobe ColdFusionに含まれる信頼できないデータの逆シリアル化の脆弱性により、現在のユーザーのコンテキストでコード実行が発生する可能性があります。
KEV掲載: 2023-08-21公式(NVD) →Citrix Content Collaborationに不適切なアクセス制御の脆弱性が含まれており、認証されていない攻撃者が顧客管理のShareFileストレージゾーンコントローラーをリモートから侵害する可能性があります。
KEV掲載: 2023-08-16公式(NVD) →Microsoft .NET CoreおよびVisual Studioに未指定の脆弱性が存在し、サービス拒否(DoS)攻撃が可能です。
KEV掲載: 2023-08-09公式(NVD) →Zyxel P660HN-T1A ルーターの Remote System Log 転送機能に、認証されていないユーザーがアクセス可能な ViewLog.asp ページの remote_host パラメーターを経由して悪用されるコマンドインジェクション脆弱性が存在します。
KEV掲載: 2023-08-07公式(NVD) →Ivanti Endpoint Manager Mobile (EPMM)にはパストトラバーサル脆弱性が存在し、認証済みの管理者がEPMMサーバーへの悪意のあるファイル書き込みを実行することを可能にします。この脆弱性はCVE-2023-35078と組み合わせて使用すると、認証とACL制限（該当する場合）をバイパスするために利用される可能性があります。
KEV掲載: 2023-07-31公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS)に含まれるクロスサイトスクリプティング脆弱性により、データの機密性と完全性が影響を受けます。
KEV掲載: 2023-07-27公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、watchOSに、アプリが機密性の高いカーネル状態を変更できる未指定の脆弱性が存在します。
KEV掲載: 2023-07-26公式(NVD) →Ivanti Endpoint Manager Mobile（EPMM、以前のMobileIron Core）は認証バイパスの脆弱性を含んでおり、特定のAPIパスへの認証なしのアクセスを許可します。これらのAPIパスにアクセス可能な攻撃者は、脆弱なシステム上のユーザーの名前、電話番号、その他のモバイルデバイス詳細などの個人識別情報（PII）にアクセスできます。攻撃者はまた、登録済みデバイスへのソフトウェアインストールやセキュリティプロフィールの変更など、その他の設定変更を行うことも可能です。
KEV掲載: 2023-07-25公式(NVD) →Adobe ColdFusionに、セキュリティ機能をバイパスすることを可能にする不適切なアクセス制御の脆弱性が存在します。
KEV掲載: 2023-07-20公式(NVD) →Adobe ColdFusionに、セキュリティ機能を回避できる不適切なアクセス制御の脆弱性が存在します。
KEV掲載: 2023-07-20公式(NVD) →Citrix NetScaler ADCおよびNetScaler Gatewayに含まれるコードインジェクション脆弱性により、認証を必要としないリモートコード実行が可能になります。
KEV掲載: 2023-07-19公式(NVD) →Microsoft Windows Searchに未指定の脆弱性が存在し、特別に細工された悪意のあるファイルを介してMark of the Web（MOTW）防御を回避され、リモートコード実行につながる可能性があります。
KEV掲載: 2023-07-17公式(NVD) →SolarView Compactは、製品のウェブサーバーのテストメール送信コンソールにおける入力値の不適切な検証により、コマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2023-07-13公式(NVD) →Apple iOS、iPadOS、macOS、およびSafari WebKitに、悪意のある細工されたウェブコンテンツを処理する際にコード実行につながる未特定の脆弱性が存在します。この脆弱性は、Apple SafariおよびHTML処理にWebKitに依存する非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-07-13公式(NVD) →Netwrix Auditor のユーザーアクティビティビデオ記録コンポーネントに安全でないオブジェクトデシリアライゼーション脆弱性が存在します。この脆弱性により、認証されていないリモート攻撃者がNT AUTHORITY\SYSTEMユーザーとしてコードを実行することが可能になります。攻撃を成功させるには、攻撃者が9004/TCPポートに到達可能である必要があります。このポートは通常、標準的なエンタープライズファイアウォールによってブロックされています。
KEV掲載: 2023-07-11公式(NVD) →Microsoft Windows エラー報告サービスに、権限昇格を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2023-07-11公式(NVD) →Microsoft Outlookに、攻撃者がMicrosoft Outlookのセキュリティ通知プロンプトをバイパスできるセキュリティ機能バイパス脆弱性が存在します。
KEV掲載: 2023-07-11公式(NVD) →Microsoft Windows Defender SmartScreenには、攻撃者が「ファイルを開く - セキュリティ警告」プロンプトをバイパスできるセキュリティ機能バイパスの脆弱性が存在します。
KEV掲載: 2023-07-11公式(NVD) →Microsoft Windows MSHTMLプラットフォームに特定されていない脆弱性が含まれており、これにより権限昇格が可能になります。
KEV掲載: 2023-07-11公式(NVD) →Arm Mali GPUカーネルドライバに、非特権ユーザーがroot権限を取得したり情報を開示したりする可能性がある使用後開放（use-after-free）脆弱性が含まれています。
KEV掲載: 2023-07-07公式(NVD) →D-Link DIR-859ルーターのUPnPエンドポイントURL「/gena.cgi」にコマンド実行の脆弱性が存在します。ローカルネットワークに接続している場合、UPnPサービスに特別に細工されたHTTP SUBSCRIBEリクエストを送信することで、認証なしでリモート攻撃者がroot権限でシステムコマンドを実行することができます。
KEV掲載: 2023-06-29公式(NVD) →D-Link DWL-2600AP アクセスポイントのWeb インターフェースの設定保存機能に認証された脆弱性があります。admin.cgi?action=config_saveの configBackupまたはdownloadServeripパラメータでシェルメタ文字を使用することで、コマンドインジェクション攻撃が可能です。
KEV掲載: 2023-06-29公式(NVD) →Samsungのモバイルデバイスに含まれるモデムインターフェースドライバは、set_skb_priv()関数内のバッファに対する境界検査の不足により、アウトオブバウンドリード脆弱性が存在します。この脆弱性は無効な関数ポインタの逆参照による遠隔コード実行につながります。
KEV掲載: 2023-06-29公式(NVD) →Samsungのモバイルデバイスに搭載されたDSPドライバに不適切な境界チェックの脆弱性が存在し、境界外のメモリアクセスが可能となります。
KEV掲載: 2023-06-29公式(NVD) →Samsungモバイルデバイスに、DSPドライバ内の特定されない脆弱性が存在し、攻撃者がDSP内にELFライブラリをロードすることを許可します。
KEV掲載: 2023-06-29公式(NVD) →Samsung モバイルデバイスの MFC チャージャードライバに競合状態の脆弱性が存在し、ラジオ権限が侵害された場合、開放後使用（use-after-free）を引き起こし、書き込みが可能になります。
KEV掲載: 2023-06-29公式(NVD) →Samsungのモバイルデバイスに含まれるMFCチャージャードライバ内のレース条件の脆弱性により、ラジオ権限が侵害された場合、解放後の使用（use-after-free）が発生し、書き込みが可能になります。
KEV掲載: 2023-06-29公式(NVD) →Samsungモバイルデバイスのモデムインターフェースドライバに不正な入力検証の脆弱性が存在し、フォーマットストリングバグが発生してカーネルパニックに至ります。
KEV掲載: 2023-06-29公式(NVD) →複数のZyxel製ネットワークアタッチドストレージ（NAS）デバイスに、認証前のコマンドインジェクション脆弱性が存在します。この脆弱性により、認証されていない攻撃者が細工されたHTTPリクエストを通じてリモートからコマンドを実行できる可能性があります。
KEV掲載: 2023-06-23公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。