脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Apple iOS、iPadOS、macOS、およびwatchOSに含まれる整数オーバーフロー脆弱性により、アプリケーションがカーネル権限でコードを実行できる可能性があります。
KEV掲載: 2023-06-23公式(NVD) →Apple iOS、iPadOS、macOS、およびSafari WebKitに、悪意のあるウェブコンテンツを処理する際にコード実行につながる型混同脆弱性が存在します。この脆弱性は、Apple SafariおよびWebKitをHTMLの処理に利用する非Appleの製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-06-23公式(NVD) →Apple iOS、iPadOS、macOS、およびSafari WebKitには、悪意を持って細工されたウェブコンテンツを処理する際にメモリ破損を引き起こし、コード実行につながる脆弱性が存在します。この脆弱性は、Apple SafariおよびWebKitをHTML処理に依存している非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-06-23公式(NVD) →VMware Toolsのvgauthモジュールに認証回避の脆弱性が存在します。完全に侵害されたESXiホストは、VMware Toolsにホスト間ゲスト操作の認証失敗を強制させることができ、ゲスト仮想マシンの機密性と完全性に影響を与えます。この脆弱性を悪用するには、攻撃者はESXiに対するroot権限を持つ必要があります。
KEV掲載: 2023-06-23公式(NVD) →VMware Aria Operations for Networks（旧称 vRealize Network Insight）に、ネットワークアクセス可能な悪意のある者がリモートコード実行をもたらす攻撃を実行できるコマンドインジェクション脆弱性が含まれています。
KEV掲載: 2023-06-22公式(NVD) →Roundcube Webmailに、im_convert_pathまたはim_identify_pathの設定値にシェルメタ文字を含めることにより、攻撃者がコードを実行可能なリモートコード実行脆弱性が存在します。
KEV掲載: 2023-06-22公式(NVD) →Roundcube Webmailは、検索またはsearch_paramsを介したSQLインジェクション脆弱性に対して脆弱です。
KEV掲載: 2023-06-22公式(NVD) →Mozilla Firefox、Firefox ESR、およびThunderbirdはSVGアニメーションにおいて解放後使用(use-after-free)脆弱性を含んでおり、Windows上のFirefoxおよびTorブラウザユーザーを標的としています。
KEV掲載: 2023-06-22公式(NVD) →Roundcube Webmailに、攻撃者がリンク参照要素内のJavaScriptを含むプレーンテキストメールを送信でき、rcube_string_replacer.php内のlinkref_addindexで不適切に処理されるクロスサイトスクリプティング（XSS）脆弱性が存在します。
KEV掲載: 2023-06-22公式(NVD) →Microsoft Win32kに含まれる特定されていない脆弱性により、権限昇格が可能になります。
KEV掲載: 2023-06-22公式(NVD) →Fortinet FortiOSおよびFortiProxy SSL-VPNに存在するヒープベースのバッファオーバーフロー脆弱性により、認証されていないリモート攻撃者が特別に細工されたリクエストを介してコードやコマンドを実行できる可能性があります。
KEV掲載: 2023-06-13公式(NVD) →Google ChromiumのV8エンジンに型の混同脆弱性が存在し、リモート攻撃者が細工されたHTMLページを介してヒープ破損を悪用される可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを利用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2023-06-07公式(NVD) →Zyxel ATP、USG FLEX、USG FLEX 50(W)、USG20(W)-VPN、VPN、およびZyWALL/USGファイアウォールのID処理機能にバッファオーバーフロー脆弱性が存在します。この脆弱性により、認証されていない攻撃者は、影響を受けるデバイスに対してサービス拒否(DoS)条件とリモートコード実行を引き起こす可能性があります。
KEV掲載: 2023-06-05公式(NVD) →Zyxel ATP、USG FLEX、USG FLEX 50(W)、USG20(W)-VPN、VPN、およびZyWALL/USGファイアウォールの通知機能にバッファオーバーフロー脆弱性が存在します。この脆弱性により、認証されていない攻撃者は影響を受けたデバイスに対してサービス拒否(DoS)条件を引き起こしたり、リモートコード実行を行ったりする可能性があります。
KEV掲載: 2023-06-05公式(NVD) →Progress MOVEit Transferに含まれるSQL インジェクション脆弱性により、認証されていない攻撃者がMOVEit Transferのデータベースへの不正アクセスを取得できる可能性があります。使用されているデータベースエンジン（MySQL、Microsoft SQL Server、またはAzure SQL）によっては、攻撃者はデータベースの構造と内容に関する情報を推測できるだけでなく、データベース要素を変更または削除するSQLステートメントを実行できる可能性があります。
KEV掲載: 2023-06-02公式(NVD) →Zyxel ATP、USG FLEX、VPN、およびZyWALL/USGファイアウォールは不適切なエラーメッセージ処理により、認証されていない攻撃者が細工されたパケットをアプリケーションデバイスに送信することでOSコマンドをリモート実行できる可能性があります。
KEV掲載: 2023-05-31公式(NVD) →Barracuda Email Security Gateway（ESG）アプライアンスに、ユーザーが供給する.tarファイルの不適切な入力検証脆弱性が存在し、リモートコマンドインジェクションにつながります。
KEV掲載: 2023-05-26公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、watchOS、および Safari WebKitに、Web Contentサンドボックスからの脱出を可能にする特定不明な脆弱性が存在します。この脆弱性は、Apple Safariを含むWebKitを使用するHTMLパーサー、ならびにHTML処理のためにWebKitに依存する非Apple製品に影響を与える可能性があります。
KEV掲載: 2023-05-22公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、watchOS、およびSafari WebKitに、悪意のある細工されたWebコンテンツを処理する際にコード実行につながるuse-after-free脆弱性が含まれています。この脆弱性は、Apple SafariおよびHTML処理のためにWebKitに依存するApple以外の製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-05-22公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、watchOS、および Safari WebKitには、悪意のある細工されたウェブコンテンツを処理する際にセンシティブ情報を漏らす可能性のある境界外読み取り脆弱性が含まれています。この脆弱性は、Apple SaffariおよびHTMLprocessingにWebKitに依存する非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-05-22公式(NVD) →Cisco IOS、IOS XR、およびIOS XEは、Internet Key Exchange version 1（IKEv1）セキュリティネゴシエーションリクエストを処理するコード部分に不十分な条件チェックを含んでいます。IKEv1の情報開示脆弱性により、攻撃者がメモリコンテンツを取得できる可能性があります。悪用に成功した場合、攻撃者はメモリコンテンツを取得でき、情報開示につながる可能性があります。
KEV掲載: 2023-05-19公式(NVD) →Cisco IOSには、Cisco機器への追加的なtelnet、リバースtelnet、Remote Shell（RSH）、Secure Shell（SSH）、および場合によってはHypertext Transport Protocol（HTTP）アクセスをブロックする可能性のある未指定の脆弱性が含まれています。
KEV掲載: 2023-05-19公式(NVD) →Androidバージョン11、12、13を実行するSamsungのモバイルデバイスに含まれるログファイルへの機密情報挿入脆弱性により、特権を持つローカル攻撃者がアドレス空間レイアウトランダマイゼーション(ASLR)バイパスを実行することが可能になります。
KEV掲載: 2023-05-19公式(NVD) →Apache Tomcatに、JmxRemoteLifecycleListenerが使用され、攻撃者がJava Management Extension (JMX)ポートに到達できる場合、リモートコード実行を許可する未指定の脆弱性が存在します。このCVEは、このリスナーがCVE-2016-3427に影響を受けた認証情報タイプに関するOracleの修正済み問題との一貫性のために更新されなかったため存在します。
KEV掲載: 2023-05-12公式(NVD) →Ruckus Wireless Access Point (AP)ソフトウェアのWebサービスコンポーネントに未指定の脆弱性が存在します。APでWebサービスコンポーネントが有効な場合、攻撃者はクロスサイトリクエストフォージェリ(CSRF)またはリモートコード実行(RCE)を実行できます。この脆弱性はRuckus ZoneDirector、SmartZone、およびSolo APに影響します。
KEV掲載: 2023-05-12公式(NVD) →Oracle Java SEおよびJRockit に含まれる未特定の脆弱性により、Java Management Extensions(JMX)に関連するベクタを通じて、遠隔の攻撃者が機密性、完全性、および可用性に影響を与える可能性があります。この脆弱性は、サンドボックス化されたJava Web Startアプリケーションおよびサンドボックス化されたJavaアプレットを通じて悪用される可能性があります。また、Webサービスなど、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを使用せずに、指定されたコンポーネントのAPIにデータを供給することによっても悪用される可能性があります。
KEV掲載: 2023-05-12公式(NVD) →Red Hat Polkitに、D-Busリクエストの認証情報チェックのバイパスを通じた不正な認可の脆弱性が存在し、権限昇格が可能になります。
KEV掲載: 2023-05-12公式(NVD) →Jenkins ユーザーインターフェース (UI) には情報開示の脆弱性が含まれており、ユーザーが「フィンガープリント」ページ上で本来アクセスできないはずのジョブおよびビルドの名前を閲覧できます。
KEV掲載: 2023-05-12公式(NVD) →Linuxカーネルの信頼性のあるデータグラムソケット（RDS）プロトコル実装に不適切な入力検証の脆弱性が存在し、sendmsgおよびrecvmsgシステムコールの細工された使用を通じて、ローカルユーザーが権限を取得することが可能です。
KEV掲載: 2023-05-12公式(NVD) →Linuxカーネルのn_tty_write関数に競合状態の脆弱性が存在し、ローカルユーザーが長い文字列を使用した読み取りおよび書き込み操作を通じてサービス拒否（DoS）を引き起こしたり、特権を獲得したりすることが可能です。
KEV掲載: 2023-05-12公式(NVD) →Microsoft Win32k に、SYSTEM権限までの権限昇格を許可する特定されていない脆弱性が存在します。
KEV掲載: 2023-05-09公式(NVD) →Apache Log4j2に、CVE-2021-44228の不完全な修正に起因する信頼できないデータの逆シリアル化脆弱性が存在し、特定の非デフォルト設定においてThread Context Lookup Patternがリモートコード実行に対して脆弱です。
KEV掲載: 2023-05-01公式(NVD) →TP-Link Archer AX-21にはコマンドインジェクション脆弱性が存在し、リモートコード実行を許可しています。
KEV掲載: 2023-05-01公式(NVD) →Oracle WebLogicサーバーには、T3またはIIOPを経由してネットワークアクセスを持つ認証されていない攻撃者によってOracle WebLogicサーバーが侵害される可能性のある、未指定の脆弱性が含まれています。
KEV掲載: 2023-05-01公式(NVD) →PaperCut MF/NGのSetupCompletedクラスに不適切なアクセス制御の脆弱性が存在し、認証回避およびシステムコンテキストでのコード実行が可能です。
KEV掲載: 2023-04-21公式(NVD) →MinIOのクラスタ展開に脆弱性が存在し、MinIOがすべての環境変数を返すため、情報開示が可能です。
KEV掲載: 2023-04-21公式(NVD) →Google Chromium Skiaに整数オーバーフロー脆弱性が存在します。レンダラープロセスを侵害した遠隔攻者が、細工されたHTMLページを介してサンドボックスエスケープを実行する可能性があります。この脆弱性はGoogle Chrome、ChromeOS、Android、Flutter、およびその他の製品に影響を与えます。
KEV掲載: 2023-04-21公式(NVD) →Cisco IOS および IOS XE の Simple Network Management Protocol (SNMP) サブシステムに脆弱性が存在します。認証されたリモート攻撃者は、影響を受けたシステム上でリモートからコードを実行するか、影響を受けたシステムをリロードさせる可能性があります。
KEV掲載: 2023-04-19公式(NVD) →Google Chromium V8エンジンには型混乱脆弱性が存在し、リモート攻�っターが悪意あるHTMLページを通じてヒープ破損を悪用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む複数のChromiumを使用するウェブブラウザに影響を与える可能性があります。
KEV掲載: 2023-04-17公式(NVD) →Apple macOSに含まれるUse-After-Free脆弱性により、権限昇格が可能になる可能性があります。
KEV掲載: 2023-04-17公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。