脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Novi Surveyに含まれる安全でないデシリアライゼーションの脆弱性により、リモート攻撃者がサービスアカウントのコンテキストでサーバー上のコードを実行することが可能になります。
KEV掲載: 2023-04-13公式(NVD) →Androidフレームワークに、アプリを高いTarget SDKに更新した後、追加の実行権限なしで権限昇格を可能にする不特定の脆弱性が存在します。
KEV掲載: 2023-04-13公式(NVD) →Microsoft Windows Common Log File System (CLFS) ドライバに特定されていない脆弱性が含まれており、権限昇格が可能になります。
KEV掲載: 2023-04-11公式(NVD) →Apple iOS、iPadOS、macOS、およびSafari WebKitには、悪意のある方法で作成されたウェブコンテンツを処理する際にコード実行につながるUse-After-Free脆弱性が存在します。この脆弱性は、Apple SafariおよびHTML処理にWebKitを使用する非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-04-10公式(NVD) →Apple iOS、iPadOS、およびmacOSのIOSurfaceAcceleratorに境界外書き込み脆弱性が存在し、アプリがカーネル権限でコードを実行することを可能にします。
KEV掲載: 2023-04-10公式(NVD) →Veritas Backup Exec (BE) エージェントに不適切な認証の脆弱性が含まれており、攻撃者が SHA認証スキームを介してBEエージェントへの不正アクセスを行う可能性があります。
KEV掲載: 2023-04-07公式(NVD) →Veritas Backup Exec（BE）エージェントに含まれるコマンド実行脆弱性により、攻撃者がデータ管理プロトコルコマンドを使用してBEエージェントマシン上でコマンドを実行できる可能性があります。
KEV掲載: 2023-04-07公式(NVD) →Veritas Backup Exec (BE) Agentには、ファイルアクセス脆弱性が存在します。この脆弱性により、攻撃者がデータ管理プロトコルコマンドの入力パラメータを特別に細工することで、BE Agentマシン上のファイルにアクセスする可能性があります。
KEV掲載: 2023-04-07公式(NVD) →Microsoft Windowsの証明書ダイアログに権限昇格の脆弱性が存在し、攻撃者は昇格されたコンテキストでプロセスを実行することが可能です。
KEV掲載: 2023-04-07公式(NVD) →Arm Mali GPUカーネルドライバに情報開示脆弱性が存在し、権限のないユーザーが有効なGPU処理操作を実行することで、機密のカーネルメタデータを露出させることができます。
KEV掲載: 2023-04-07公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS)は、エンドポイントURLがパラメータをサニタイズせずに受け入れることにより、クロスサイトスクリプティング脆弱性を含んでいます。
KEV掲載: 2023-04-03公式(NVD) →Sambaには、悪意のあるクライアントが書き込み可能な共有フォルダに共有ライブラリをアップロードし、その後サーバーにそれを読み込ませて実行させることを可能にするリモートコード実行の脆弱性が含まれています。
KEV掲載: 2023-03-30公式(NVD) →Microsoft Internet Explorerに、細工されたウェブサイトを介してリモート攻撃者がコードを実行したりサービス拒否を引き起こすことを可能にするメモリ破損脆弱性が存在します。
KEV掲載: 2023-03-30公式(NVD) →Google Chromiumのネットワークサービスに、Use-After-Free脆弱性が存在します。この脆弱性により、リモート攻撃者が細工されたHTMLページを利用してヒープ破損を悪用される可能性があります。Google Chrome、Microsoft Edge、Operaなど、Chromiumを使用する複数のWebブラウザに影響を及ぼす可能性があります。
KEV掲載: 2023-03-30公式(NVD) →Fortra Cobalt Strikeには、Teamserverに存在するクロスサイトスクリプティング(XSS)の脆弱性があり、攻撃者がBeaconの設定で不正な形式のユーザー名を設定することで、リモートからコードを実行できる可能性があります。
KEV掲載: 2023-03-30公式(NVD) →Arm Mali GPUカーネルドライバには、特権のないユーザーが根権限を獲得および/または情報を開示する可能性がある使用後解放脆弱性が含まれています。
KEV掲載: 2023-03-30公式(NVD) →Fortra Cobalt Strike ユーザーインターフェースに、Java Swingに起因する未指定の脆弱性が存在し、リモートコード実行を許可する可能性があります。
KEV掲載: 2023-03-30公式(NVD) →Appleの GPU ドライバ（iOS、iPadOS、macOS に含まれる）に境界外書き込み脆弱性が存在し、悪意のあるアプリケーションがカーネル権限でコードを実行することを許可する可能性があります。
KEV掲載: 2023-03-30公式(NVD) →Arm Mali GPUカーネルドライバに、非特権ユーザーがリードオンリーメモリページへの書き込みアクセスを取得できるおそれのある未指定の脆弱性が存在します。
KEV掲載: 2023-03-30公式(NVD) →Linuxカーネルに使用後解放（use-after-free）の脆弱性が存在し、システムユーザーからリング0アクセスを獲得し権限昇格を可能にします。
KEV掲載: 2023-03-30公式(NVD) →Adobe ColdFusionに含まれる信頼されていないデータの逆シリアル化の脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2023-03-15公式(NVD) →Microsoft Office Outlookに、ユーザーとして別のサービスに対するNTLMリレー攻撃を認証させることを可能にする権限昇格脆弱性が存在します。
KEV掲載: 2023-03-14公式(NVD) →Microsoftウィンドウズの スマートスクリーンに、セキュリティ機能バイパスの脆弱性が存在します。これにより、攻撃者が特別に細工された悪意あるファイルを使用して、ウェブからのマーク(MOTW)防御を回避することができる可能性があります。
KEV掲載: 2023-03-14公式(NVD) →Fortinet FortiOSには、パストトラバーサルの脆弱性が存在し、ローカルの特権を持つ攻撃者が細工されたCLIコマンドを経由してファイルの読み書きを行える可能性があります。
KEV掲載: 2023-03-14公式(NVD) →XStreamには、攻撃者が処理されたインプットストリームを操作し、オブジェクトを置換または挿入することで、サーバー上でローカルコマンド実行につながるリモートコード実行の脆弱性が含まれています。この脆弱性はVMware Cloud Foundationを含む複数の製品に影響を与える可能性があります。
KEV掲載: 2023-03-10公式(NVD) →Plex Media Serverには、サーバー管理者のPlexアカウントにアクセス可能な攻撃者が、カメラアップロード機能を悪用して悪意のあるファイルをアップロードし、メディアサーバーに実行させることができるリモートコード実行の脆弱性が存在します。
KEV掲載: 2023-03-10公式(NVD) →Teclib GLPIは、サードパーティライブラリのhtmlawedに存在するリモートコード実行脆弱性を含みます。
KEV掲載: 2023-03-07公式(NVD) →Apache Sparkは、Access Control Lists（ACL）が有効になっている場合、Spark User Interface（UI）経由のコマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2023-03-07公式(NVD) →Zoho ManageEngine ADSelfService Plusに、パスワード変更またはリセット実行時にリモートコード実行を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2023-03-07公式(NVD) →ZKフレームワークのAuUploadサーブレットに特定されていない脆弱性が存在し、攻撃者がウェブコンテキスト内に位置するファイルの内容を取得できる可能性があります。ZKフレームワークはオープンソースのJavaフレームワークです。この脆弱性は、ConnectWise R1Soft Server Backup Managerを含む複数の製品に影響を与える可能性があります。
KEV掲載: 2023-02-27公式(NVD) →IBM Aspera FaspexはYAML逆シリアライゼーション脆弱性により、リモート攻撃者がシステム上でコードを実行することを許可する可能性があります。
KEV掲載: 2023-02-21公式(NVD) →Mitel MiVoice Connectのディレクタコンポーネントにおいて、認証された攻撃者が内部ネットワークアクセスを持つ場合、アプリケーションのコンテキスト内でコードを実行することが可能です。
KEV掲載: 2023-02-21公式(NVD) →Mitel Edge Gatewayコンポーネント（MiVoice Connectに含まれる）では、認証された攻撃者が内部ネットワークアクセス権を持つ場合、システムのコンテキスト内でコマンドを実行することが可能です。
KEV掲載: 2023-02-21公式(NVD) →Cactiに、認証されていないユーザーがコードを実行できるコマンドインジェクション脆弱性が含まれています。
KEV掲載: 2023-02-16公式(NVD) →Apple iOS、macOS、Safari、iPadOSのWebKitに、悪意のあるウェブコンテンツを処理する際にタイプコンフュージョンの脆弱性が存在し、コード実行につながる可能性があります。この脆弱性は、Apple SafariおよびHTMLパーサーの処理にWebKitを使用する非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2023-02-14公式(NVD) →マイクロソフト Windows Common Log File System (CLFS) ドライバに、権限昇格を可能にする特定されていない脆弱性が含まれている。
KEV掲載: 2023-02-14公式(NVD) →Microsoft Office Publisherにはセキュリティ機能をバイパスする脆弱性が含まれており、ローカル認証済み攻撃者が対象システムに対して攻撃を実行することが可能です。
KEV掲載: 2023-02-14公式(NVD) →Microsoft Windows グラフィックコンポーネントに特定されていない脆弱性が存在し、権限昇格が可能です。
KEV掲載: 2023-02-14公式(NVD) →Fortra（旧HelpSystems）のGoAnywhere MFTは、License Response Servletにおいて、攻撃者が制御するオブジェクトをデシリアライズすることに起因する、認証前のリモートコード実行脆弱性を含んでいます。
KEV掲載: 2023-02-10公式(NVD) →TerraMaster OSに、認証なしで標的エンドポイント上でコマンドを実行できるリモートコマンド実行脆弱性が存在します。
KEV掲載: 2023-02-10公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。