脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Microsoft Windows COM+ イベント システムサービスに含まれる未指定の脆弱性により、権限昇格が可能になります。
KEV掲載: 2022-10-11公式(NVD) →Microsoft Exchange Serverがサーバーサイドリクエストフォージェリーを許容する脆弱性があります。「ProxyNotShell」と呼ばれるこの脆弱性は、リモートコード実行を可能にするCVE-2022-41082と組み合わせることで、チェーン攻撃が可能です。
KEV掲載: 2022-09-30公式(NVD) →Atlassian Bitbucket Server および Data Center の複数の API エンドポイントにコマンドインジェクション脆弱性が存在します。公開リポジトリにアクセス可能な攻撃者、または非公開リポジトリへの読み取り権限を持つ攻撃者が、悪意のある HTTP リクエストを送信することにより、コードを実行できます。
KEV掲載: 2022-09-30公式(NVD) →Microsoft Exchange Serverに認証済みのリモートコード実行を許可する未指定の脆弱性が存在します。「ProxyNotShell」と呼ばれるこの脆弱性は、リモートコード実行を可能にするCVE-2022-41040と組み合わせて悪用されます。
KEV掲載: 2022-09-30公式(NVD) →Sophos Firewallのユーザーポータルおよび管理画面における code injection脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2022-09-23公式(NVD) →Zoho ManageEngine PAM360、Password Manager Pro、およびAccess Manager Plusに、リモートコード実行を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2022-09-22公式(NVD) →マイクロソフト Windows は、ショートカットの解析を不正に行うため、悪意あるショートカットファイルのアイコンをオペレーティングシステムが表示する際に、悪意あるコードが実行される可能性があります。この脆弱性を悪用して成功した攻撃者は、ログオンしているユーザーの権限でコードを実行できる可能性があります。
KEV掲載: 2022-09-15公式(NVD) →Linuxカーネルは、ユーザースペースから渡されるattr.configの全64ビットをチェックできず、sw_perf_event_destroy()内のperf_swevent_enabledアレイへのバウンダリ外アクセスが発生します。この脆弱性の悪用により、権限昇格が可能になります。
KEV掲載: 2022-09-15公式(NVD) →Linuxカーネルのget_userおよびput_user API関数は、ARM v6k/v7プラットフォームで使用される場合、ターゲットアドレスの検証に失敗します。これにより、アプリケーションがカーネルメモリを読み書きでき、権限昇格につながる可能性があります。
KEV掲載: 2022-09-15公式(NVD) →Linuxカーネルの drivers/video/fbmem.c にある fb_mmap 関数に整数オーバーフロー脆弱性が存在し、権限昇格が可能になります。
KEV掲載: 2022-09-15公式(NVD) →Code Auroraのオーディオキャリブレーションデータベース(acdb)オーディオドライバーに、スタックベースのバッファオーバーフロー脆弱性が存在します。この脆弱性により、権限昇格が可能になります。Code Auroraはqualcommおよびandroidなどのサードパーティ製品で使用されています。
KEV掲載: 2022-09-15公式(NVD) →Trend Micro Apex OneおよびApex One as a Serviceに含まれるロールバックメカニズムコンポーネントの不適切な検証により、リモートコード実行が可能になる可能性があります。
KEV掲載: 2022-09-15公式(NVD) →Microsoft Windows Common Log File System (CLFS) ドライバに、権限昇格を許可する未指定の脆弱性が含まれています。
KEV掲載: 2022-09-14公式(NVD) →Appleカーネル（iOS、iPadOS、およびmacOSに含まれる）には、アプリケーションがカーネル権限でコードを実行できる可能性のある、未指定の脆弱性が含まれています。
KEV掲載: 2022-09-14公式(NVD) →Oracle WebLogic Serverに未確認の脆弱性が存在し、T3ネットワークアクセスを持つ認証されていない攻撃者がサーバーを侵害する可能性があります。
KEV掲載: 2022-09-08公式(NVD) →複数のD-Linkルーターに、OSコマンドの実行を可能にする特定されていない脆弱性が存在します。
KEV掲載: 2022-09-08公式(NVD) →D-Link DIR-820L の /lan.asp ファイルにおけるデバイス名パラメータに未指定の脆弱性が存在し、リモートコード実行を許可します。
KEV掲載: 2022-09-08公式(NVD) →特定のインターネット公開されたPhoto Station搭載QNAP NASに、外部から制御可能なリソース参照の脆弱性が存在し、攻撃者がシステムファイルを改ざんすることが可能です。この脆弱性はDeadboltランサムウェアキャンペーンで悪用されていることが確認されています。
KEV掲載: 2022-09-08公式(NVD) →複数のNETGEAR機器は、ウェブ管理サーバーへの単純な細工されたリクエストを通じて管理者パスワードの漏洩に対する脆弱性があります。
KEV掲載: 2022-09-08公式(NVD) →MikroTik RouterOSにおいて、NetBIOSセッション要求メッセージを処理する際にスタックベースのバッファオーバーフローが発生します。このサービスにアクセス可能なリモート攻撃者は、この脆弱性を悪用してシステム上でコード実行を獲得することができます。
KEV掲載: 2022-09-08公式(NVD) →Android カーネルの vold ボリュームマネージャデーモンが PF_NETLINK ソケットからのメッセージを信頼しているため、攻撃者がコードを実行してルート権限を取得することができます。この脆弱性は GingerBreak および Exploit.AndroidOS.Lotoor に関連しています。
KEV掲載: 2022-09-08公式(NVD) →Google ChromiumのMojoには不十分なデータ検証の脆弱性が存在し、レンダラープロセスを侵害した遠隔の攻撃者が、細工されたHTMLページを通じてサンドボックスエスケープを実行する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2022-09-08公式(NVD) →Fortinet FortiOSおよびFortiADCに含まれるアクセス制御の不適切な実装の脆弱性により、攻撃者はLDAPサーバーの接続テストリクエストを不正なLDAPサーバーに向けることで、FortiGateで設定されているLDAPサーバーのログイン認証情報を取得することが可能になります。
KEV掲載: 2022-09-08公式(NVD) →D-Link DIR-300ルーターは平文でパスワードを保存しており、状況次第では攻撃者が機密情報を取得することが可能です。
KEV掲載: 2022-09-08公式(NVD) →Apple iOS、iPadOS、およびmacOSに含まれる入力検証に関連する不特定の脆弱性が存在し、ローカル攻撃者がユーザーの機密情報を閲覧される可能性があります。
KEV掲載: 2022-09-08公式(NVD) →VMware Tanzu の Spring Cloud Function のルーティング機能を使用する場合、ユーザーが特別に細工された SpEL をルーティング式として提供することで、リモートコード実行およびローカルリソースへのアクセスが可能になる可能性があります。
KEV掲載: 2022-08-25公式(NVD) →Apache APIXIXに認証バイパスの脆弱性が存在し、リモートコード実行が可能になります。
KEV掲載: 2022-08-25公式(NVD) →Apache CouchDBに存在する安全でないリソースのデフォルト初期化の脆弱性により、攻撃者が管理者権限にエスカレートされる可能性があります。
KEV掲載: 2022-08-25公式(NVD) →dotCMS ContentResource APIに、ファイル型の制限されていないアップロード脆弱性が存在します。これはディレクトリトラバーサルを可能にし、ファイルが意図した保存場所外に保存される可能性があります。この脆弱性の悪用により、リモートコード実行が可能になります。
KEV掲載: 2022-08-25公式(NVD) →Grafanaには認証バイパスの脆弱性が含まれており、認証済みおよび未認証のユーザーがすべてのスナップショットデータを表示および削除できるため、スナップショットデータの完全な喪失につながる可能性があります。
KEV掲載: 2022-08-25公式(NVD) →PEAR Archive_Tarは、phar:がブロックされていますがPHAR:がブロックされていないため、非直列化攻撃を許可します。PEARはPHP Extension and Application Repositoryの略で、Drupal CoreやRed Hat Linuxなどのサードパーティ製品で知られている使用がある、再利用可能なPHPコンポーネント向けのオープンソースフレームワークおよび配布システムです。
KEV掲載: 2022-08-25公式(NVD) →WebRTC（ウェブブラウザにリアルタイム通信機能を提供するオープンソースプロジェクト）には、ヒープバッファオーバーフロー脆弱性が存在し、攻撃者がシェルコード実行を行うことを可能にします。この脆弱性は、Google Chromeを含むWebRTCを使用するウェブブラウザに影響を及ぼします。
KEV掲載: 2022-08-25公式(NVD) →Delta Electronics DOPSoft 2は、特定のプロジェクトファイルをパースする際にユーザー供給データの適切な検証が欠けており、境界外書き込みが発生する不正な入力検証の脆弱性があり、これによってコード実行が可能になります。
KEV掲載: 2022-08-25公式(NVD) →PEAR Archive_Tar の Tar.php は、シンボリックリンクの不十分なチェックにより、ディレクトリトラバーサルを伴う書き込み操作が可能です。PEAR は PHP Extension and Application Repository の略で、Drupal Core や Red Hat Linux などのサードパーティ製品で知られている利用がある、再利用可能な PHP コンポーネントのためのオープンソースフレームワークおよび配布システムです。
KEV掲載: 2022-08-25公式(NVD) →影響を受けるバージョンのApple iOS、macOS、およびwatchOSにおいて、サンドボックス化されたプロセスがサンドボックス制限を回避できる可能性があります。
KEV掲載: 2022-08-25公式(NVD) →Palo Alto Networks PAN-OSのURLフィルタリングポリシーの設定誤りにより、ネットワークベースの攻撃者が反射型および増幅型TCP サービス妨害(RDoS)攻撃を実行できる可能性があります。
KEV掲載: 2022-08-22公式(NVD) →Palo Alto Networks PAN-OSは複数の未指定の脆弱性を含んでおり、これらを組み合わせることでリモートコード実行を可能にします。
KEV掲載: 2022-08-18公式(NVD) →SAP NetWeaver Application Server ABAP、SAP NetWeaver Application Server Java、ABAP Platform、SAP Content Server、およびSAP Web Dispatcherは、HTTPリクエストスマグリングを許可します。認証されていない攻撃者は、被害者のリクエストに任意のデータを先頭に追加することができ、被害者になりすましての機能実行または中間Webキャッシュの汚染が可能になります。
KEV掲載: 2022-08-18公式(NVD) →認証されたユーザーは自身が所有または管理するコンピュータアカウントの属性を操作し、Active Directory証明書サービスから証明書を取得して、SYSTEMへの権限昇格を実行することができます。
KEV掲載: 2022-08-18公式(NVD) →Microsoft Windows Runtime に、リモートコード実行を可能にする不特定の脆弱性が含まれています。
KEV掲載: 2022-08-18公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。