脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Fortra（旧HelpSystems）のGoAnywhere MFTは、License Response Servletにおいて、攻撃者が制御するオブジェクトをデシリアライズすることに起因する、認証前のリモートコード実行脆弱性を含んでいます。
KEV掲載: 2023-02-10公式(NVD) →TerraMaster OSに、認証なしで標的エンドポイント上でコマンドを実行できるリモートコマンド実行脆弱性が存在します。
KEV掲載: 2023-02-10公式(NVD) →Intel イーサネット診断ドライバの Windows 版 IQVW32.sys および IQVW64.sys に、不特定の脆弱性が存在し、サービス妨害（DoS）攻撃を許可します。
KEV掲載: 2023-02-10公式(NVD) →Oracle E-Business Suiteに、HTTP経由でネットワークアクセスが可能な認証されていない攻撃者がOracle Web Applications Desktop Integratorを侵害することを許可する、特定されていない脆弱性が含まれています。
KEV掲載: 2023-02-02公式(NVD) →複数のSugarCRM製品のEmailTemplatesに、リモートコード実行の脆弱性が存在します。特別に細工されたリクエストを使用することで、EmailTemplatesを通じてカスタムPHPコードをインジェクションすることが可能です。
KEV掲載: 2023-02-02公式(NVD) →Telerik UI for ASP.NET AJAXのRadAsyncUploadに、不適切なオブジェクト参照の脆弱性が存在します。この脆弱性により、制限された場所へのファイルアップロードおよび/またはリモートコード実行が可能になる可能性があります。
KEV掲載: 2023-01-26公式(NVD) →複数のZoho ManageEngineプロダクトに、期限切れのサードパーティ依存関係であるApache Santuarioの使用が原因で、認証なしでリモートコード実行が可能な脆弱性が存在します。
KEV掲載: 2023-01-23公式(NVD) →CWP Control Web Panel（旧CentOS Web Panel）は、ログインパラメータのシェルメタ文字を通じてリモート攻撃者がコマンドを実行することを可能にするOSコマンドインジェクションの脆弱性を含んでいます。
KEV掲載: 2023-01-17公式(NVD) →Microsoft Exchange Serverに、権限昇格を可能にする未指定の脆弱性が含まれています。この脆弱性はリモートコード実行を可能にするCVE-2022-41082と連鎖攻撃が可能です。
KEV掲載: 2023-01-10公式(NVD) →Microsoft Windows Advanced Local Procedure Call (ALPC) に含まれる未指定の脆弱性により、特権昇格が可能になります。
KEV掲載: 2023-01-10公式(NVD) →TIBCO JasperReports Libraryに、ウェブサーバーユーザーがホストシステムの内容にアクセスできる可能性のあるディレクトリトラバーサル脆弱性が含まれています。
KEV掲載: 2022-12-29公式(NVD) →TIBCO JasperReportsサーバーには、認証されたすべてのユーザーがウェブアプリケーションの内容（主要な設定ファイルを含む）への読み取り専用アクセスを取得することを許可する可能性のある脆弱性が含まれています。
KEV掲載: 2022-12-29公式(NVD) →Apple iOSは、悪意のあるウェブコンテンツを処理する際の型混同脆弱性を含んでおり、これにより任意のコード実行が引き起こされる可能性があります。
KEV掲載: 2022-12-14公式(NVD) →Fortinet FortiOSの複数のバージョンに含まれるSSL-VPN機能にヒープベースのバッファオーバーフロー脆弱性が存在し、認証されていないリモート攻撃者が特別に細工されたリクエストを通じて任意のコードまたはコマンドを実行できる可能性があります。
KEV掲載: 2022-12-13公式(NVD) →Microsoft Defender SmartScreenには、特別に細工された悪意あるファイルを通じて、Web上のマーク(MOTW)の防御を回避するための攻撃者を許可する可能性のあるセキュリティ機能バイパス脆弱性が含まれています。
KEV掲載: 2022-12-13公式(NVD) →Citrix Application Delivery Controller (ADC) およびGatewayは、SAML SPまたはIdP設定で構成されている場合、認証バイパスの脆弱性を含んでおり、攻撃者が管理者権限でコードを実行することを可能にします。
KEV掲載: 2022-12-13公式(NVD) →Veeam Backup & Replication アプリケーションのVeeam Distribution Serviceは、認証されていないユーザーが内部API関数にアクセスすることを許可しています。リモート攻撃者は内部APIに入力を送信することで、悪意のあるコードのアップロードと実行につながる可能性があります。
KEV掲載: 2022-12-13公式(NVD) →Veeam Backup & Replicationアプリケーション内のVeeam Distribution Serviceは、認証されていないユーザーが内部API機能にアクセスすることを許可しています。リモート攻撃者が内部APIに入力を送信することで、悪意のあるコードのアップロードと実行につながる可能性があります。
KEV掲載: 2022-12-13公式(NVD) →Google Chromium V8エンジンに型混同脆弱性が存在します。この脆弱性により、リモート攻撃者は巧妙に細工されたHTMLページを通じてヒープ破損を悪用する可能性があります。この脆弱性はChromiumを利用する複数のWebブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaなどが該当します。
KEV掲載: 2022-12-05公式(NVD) →Oracle Fusion Middleware Access Manager は、HTTP 経由でネットワークアクセス可能な認証されていない攻撃者による Access Manager 製品の乗っ取りを許可しています。
KEV掲載: 2022-11-28公式(NVD) →Google Chromium GPUにはヒープバッファオーバーフロー脆弱性が存在し、レンダラープロセスが侵害された遠隔の攻撃者が、細工されたHTMLページを通じてサンドボックス回避を実行できる可能性があります。この脆弱性はChromiumを利用する複数のWebブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaを含みますが、これらに限定されません。
KEV掲載: 2022-11-28公式(NVD) →Microsoft Windows 「Web のマーク」(MOTW) に、セキュリティ機能のバイパスの脆弱性が存在します。この脆弱性により、セキュリティ機能の整合性と可用性の限定的な喪失が生じる可能性があります。
KEV掲載: 2022-11-14公式(NVD) →Microsoft Windowsに含まれるJScript9スクリプト言語の未特定の脆弱性により、リモートコード実行が可能です。
KEV掲載: 2022-11-08公式(NVD) →Microsoft Windows Cryptographic Next Generation（CNG）キーアイソレーションサービスに、攻撃者がSYSTEMレベルの権限を取得することを可能にする未特定の脆弱性が存在します。
KEV掲載: 2022-11-08公式(NVD) →Microsoft Windows Print Spoolerに、攻撃者がSYSTEMレベルの権限を取得することを可能にする特定されていない脆弱性が存在します。
KEV掲載: 2022-11-08公式(NVD) →Samsungのモバイルデバイスに含まれるクリップボードサービスにおける不正なアクセス制御の脆弱性により、信頼されていないアプリケーションが任意のファイルを読み取りまたは書き込みすることが可能になります。この脆弱性はCVE-2021-25369およびCVE-2021-25370と組み合わせて悪用されました。
KEV掲載: 2022-11-08公式(NVD) →Microsoft Windows マーク・オブ・ザ・ウェブ (MOTW) に含まれるセキュリティ機能バイパスの脆弱性により、セキュリティ機能の完全性と可用性が限定的に損なわれる可能性があります。
KEV掲載: 2022-11-08公式(NVD) →Samsungのモバイルデバイスで使用されているMali GPUに含まれるsec_logファイルのアクセス制御不適切な脆弱性です。この脆弱性を悪用すると、機密なカーネル情報がユーザースペースに露出します。この脆弱性はCVE-2021-25337およびCVE-2021-25370と組み合わせて利用されました。
KEV掲載: 2022-11-08公式(NVD) →SamsungのモバイルデバイスにおけるMali GPUを使用したdpuドライバーに、ファイルディスクリプタの処理実装に誤りが存在する。この誤った実装はメモリ破損をもたらし、カーネルパニックに至る。本脆弱性はCVE-2021-25337およびCVE-2021-25369と組み合わせて悪用されました。
KEV掲載: 2022-11-08公式(NVD) →Google Chromium V8エンジンに型混同脆弱性が存在し、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を悪用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のWebブラウザに影響を与える可能性があります。
KEV掲載: 2022-10-28公式(NVD) →Apple iOSおよびiPadOSカーネルに範囲外書き込み脆弱性が存在し、アプリケーションがカーネル権限でコード実行を行う可能性があります。
KEV掲載: 2022-10-25公式(NVD) →Cisco AnyConnect Secure Mobility Client for Windows は、ディレクトリパスの不正な処理を許可します。Windows 上で有効な認証情報を持つ攻撃者は、システムレベルの権限で任意の場所に悪意のあるファイルをコピーすることが可能になります。これには DLL プリロード、DLL ハイジャック、および関連する攻撃が含まれる可能性があります。
KEV掲載: 2022-10-24公式(NVD) →GIGABYTE App Center、AORUS Graphics Engine、XTREME Gaming Engine、およびOC GUREの低レベルドライバーであるGPCIDrvおよびGDrvは、任意の物理メモリを読み書きする機能を公開しています。これはローカル攻撃者によって権限昇格に悪用される可能性があります。
KEV掲載: 2022-10-24公式(NVD) →Cisco AnyConnect Secure Mobility Client for Windows のプロセス間通信（IPC）チャネルにおいて、実行時にアプリケーションによってロードされるリソースの検証が不十分です。Windows上で有効な認証情報を持つ攻撃者は、影響を受けたマシン上でSYSTEM権限でコードを実行できる可能性があります。
KEV掲載: 2022-10-24公式(NVD) →GIGABYTEのApp Center、AORUS Graphics Engine、XTREME Gaming Engine、およびOC GURU IIに含まれるGPCIDrvおよびGDrvの低レベルドライバは、任意の物理メモリの読み書き機能を公開しています。ローカル攻撃者はこれを悪用して権限昇格を実行する可能性があります。
KEV掲載: 2022-10-24公式(NVD) →GIGABYTE App Center、AORUS Graphics Engine、XTREME Gaming Engine、およびOC GURU IIのGDrvローレベルドライバは、ring0レベルのmemcpy様の機能を露出しており、ローカル攻撃者が影響を受けるシステムの完全な制御を奪う可能性があります。
KEV掲載: 2022-10-24公式(NVD) →GIGABYTE App Center、AORUS Graphics Engine、XTREME Gaming Engine、OC GURU IIの低レベルドライバーGPCIDrvおよびGDrvは、IOポートからのデータ読み書き機能を露出しています。これは、最終的に昇格された権限でコードを実行するために、複数の方法で悪用される可能性があります。
KEV掲載: 2022-10-24公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS)は、攻撃者がcpioパッケージを使用して任意のファイルをアップロードし、他のユーザーアカウントへの不正なアクセスを獲得することを許可します。
KEV掲載: 2022-10-20公式(NVD) →Linuxカーネルのoverlayfsスタッキングファイルシステムがユーザー名前空間に対するファイルケーパビリティの適用を適切に検証していないため、権限昇格につながる可能性があります。
KEV掲載: 2022-10-20公式(NVD) →Fortinet FortiOS、FortiProxy、およびFortiSwitchManagerに認証回避の脆弱性が存在し、特別に細工されたHTTPまたはHTTPSリクエストを介して、認証されていない攻撃者が管理インターフェース上で操作を実行できる可能性があります。
KEV掲載: 2022-10-11公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。