脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Apple iOSおよびmacOSは、悪意を持って作成されたウェブコンテンツを処理する際にリモートコード実行を許可する可能性があるバッファオーバーフロー脆弱性を含んでいます。
KEV掲載: 2022-08-18公式(NVD) →Google Chromium Intentsに、信頼できない入力の不十分な検証脆弱性が存在し、リモート攻撃者が細工されたHTMLページを介して悪意のあるウェブサイトへのブラウジングを可能にします。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2022-08-18公式(NVD) →AppleのiOSおよびmacOSに含まれる境界外書き込み脆弱性により、アプリケーションがカーネル特権でコードを実行される可能性があります。
KEV掲載: 2022-08-18公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS)のMailboxImportServletに認証回避脆弱性が存在します。この脆弱性はCVE-2022-27925と組み合わせることで、認証なしでリモートコード実行を可能にします。
KEV掲載: 2022-08-11公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS) の mboximport 機能に脆弱性が存在し、認証済みの攻撃者が任意のファイルをアップロードしてリモートコード実行を実行することが可能です。この脆弱性は、認証なしでリモートコード実行を可能にする CVE-2022-37042 と組み合わせて悪用されました。
KEV掲載: 2022-08-11公式(NVD) →RARLAB UnRARのLinuxおよびUNIX版には、ディレクトリトラバーサル脆弱性が存在し、攻撃者は抽出（アンパック）操作中にファイルへの書き込みを行うことができます。
KEV掲載: 2022-08-09公式(NVD) →Microsoft Windows MSLHTへの呼び出しがURLプロトコル経由でアプリケーションから実行される場合に、リモートコード実行の脆弱性が存在します。
KEV掲載: 2022-08-09公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS) は、攻撃者が対象インスタンスにmemcacheコマンドを注入でき、任意のキャッシュエントリを上書きされる脆弱性を持っています。
KEV掲載: 2022-08-04公式(NVD) →Atlassian Questions For Confluence アプリケーションにハードコードされた認証情報が存在し、ユーザー名とパスワードがプレーンテキストで露出しています。認証されていないリモート攻撃者はこれらの認証情報を使用して Confluence にログインし、confluence-users グループのユーザーがアクセス可能なすべてのコンテンツにアクセスできます。
KEV掲載: 2022-07-29公式(NVD) →マイクロソフト Windows CSRSS に、SYSTEM 権限への権限昇格を可能にする未公開の脆弱性が含まれています。
KEV掲載: 2022-07-12公式(NVD) →Microsoft Windows Local Security Authority (LSA)には、攻撃者がドメインコントローラーをNTLMを使用して攻撃者に認証するよう強制できるなりすまし脆弱性が含まれています。
KEV掲載: 2022-07-01公式(NVD) →Red Hatのpolkitのpkexec ユーティリティに、境界外読み取りおよび書き込みの脆弱性が存在し、管理者権限を持つ権限昇格が可能になります。
KEV掲載: 2022-06-27公式(NVD) →Mitel MiVoice ConnectのService Applianceコンポーネントは、不適切なデータ検証により、リモートコード実行を許可します。
KEV掲載: 2022-06-27公式(NVD) →Apple iOS、macOS、tvOS、watchOSに存在するuse-after-free脆弱性により、悪意のあるアプリケーションがシステム権限でコードを実行する可能性があります。
KEV掲載: 2022-06-27公式(NVD) →Google Chromiumのポップアップブロッカーに不十分なポリシー実装の脆弱性が存在し、リモートの攻�者が細工されたiframeを介してナビゲーション制限をバイパスできます。この脆弱性はGoogle ChromeやMicrosoft Edge、Operaを含む複数のChromiumベースのWebブラウザに影響を及ぼす可能性があります。
KEV掲載: 2022-06-27公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、watchOSに含まれるメモリ破損脆弱性により、アプリケーションがカーネル権限でコードを実行できる可能性があります。
KEV掲載: 2022-06-27公式(NVD) →AppleのiOS、iPadOS、およびtvOSには、メモリ破損の脆弱性が含まれており、アプリケーションがカーネル権限でコードを実行できる可能性があります。
KEV掲載: 2022-06-27公式(NVD) →Apple iOSおよびiPadOSに、カーネル権限でコードを実行できる可能性のあるバッファオーバーフロー脆弱性が存在します。
KEV掲載: 2022-06-27公式(NVD) →AppleのiOS、macOS、tvOS、およびwatchOSに含まれるメモリ破損脆弱性により、コード実行が可能になる可能性があります。
KEV掲載: 2022-06-27公式(NVD) →MSDTがWord等の呼び出し元アプリケーションからURLプロトコルを使用して呼び出される場合、リモートコード実行の脆弱性が存在します。この脆弱性を悪用した攻撃者は、呼び出し元アプリケーションの権限でコードを実行することができます。
KEV掲載: 2022-06-14公式(NVD) →SAP NetWeaver J2EE エンジン 7.40 の UDDI サーバーの SQL インジェクション脆弱性により、リモート攻撃者が不特定のベクトルを通じて任意の SQL コマンドを実行することができます。
KEV掲載: 2022-06-09公式(NVD) →SAP NetWeaverに、ファイルの無制限アップロードを許可する脆弱性が含まれています。
KEV掲載: 2022-06-09公式(NVD) →SAP NetWeaver AS JAVA 7.4のUniversal Worklist設定により、リモート攻撃者は細工されたHTTPリクエストを通じて機密のユーザー情報を取得することができます。
KEV掲載: 2022-06-09公式(NVD) →QNAP デバイスで動作する Photo Station に含まれるファイル名またはパスの外部制御の脆弱性により、リモート攻撃者がシステムファイルにアクセスまたは変更することが可能です。
KEV掲載: 2022-06-08公式(NVD) →Adobe ReaderおよびAcrobatの Universal 3D（U3D）コンポーネントにメモリ破損脆弱性が存在し、リモート攻撃者がコードを実行またはサービス妨害（DoS）を引き起こす可能性があります。
KEV掲載: 2022-06-08公式(NVD) →QNAP NASデバイスで実行されているPhoto Stationに、不適切なアクセス制御の脆弱性が存在し、リモート攻撃者がシステムへの不正アクセスを取得することを可能にします。
KEV掲載: 2022-06-08公式(NVD) →Google Chromiumエンジンのはい脆弱性により、リモート攻撃者が細工されたHTMLページを介してサンドボックス内でコードを実行することが可能になります。この脆弱性はChromiumを使用する複数のウェブブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaなどが含まれます。
KEV掲載: 2022-06-08公式(NVD) →QNAP デバイスで動作する Photo Station に含まれるファイル名またはパスの外部制御脆弱性があり、リモート攻撃者がシステムファイルにアクセスまたは変更することを可能にします。
KEV掲載: 2022-06-08公式(NVD) →マイクロソフト Windows の Authenticode 署名検証機能 (WinVerifyTrust) は署名付き実行可能ファイル (PE ファイル) のダイジェストを適切に検証しないため、ユーザーの操作を伴うリモート攻撃者がコードを実行することが可能になります。
KEV掲載: 2022-06-08公式(NVD) →Adobe Flash Playerには、リモート攻撃者がコードを実行したり、サービス妨害(DoS)を引き起こしたりすることを可能にするメモリ破損の脆弱性が存在します。
KEV掲載: 2022-06-08公式(NVD) →Microsoft XML Core Services にはメモリ破損の脆弱性が存在し、リモートコード実行を引き起こす可能性があります。
KEV掲載: 2022-06-08公式(NVD) →Adobe AcrobatとReaderの汎用3D（U3D）サポートに配列境界外アクセスの脆弱性が存在し、リモートコード実行につながる可能性があります。
KEV掲載: 2022-06-08公式(NVD) →Adobe AcrobatおよびReaderに含まれるバッファオーバーフロー脆弱性により、未指定のJavaScriptメソッドへの長い引数を含むPDFファイルを経由して、リモート攻撃者が任意のコード実行を行える可能性があります。
KEV掲載: 2022-06-08公式(NVD) →Adobe Flash Playerに、リモート攻撃者がコードを実行するか、またはサービス拒否(DoS)を引き起こすことを可能にするメモリ破損の脆弱性が含まれています。
KEV掲載: 2022-06-08公式(NVD) →Microsoft Internet Explorerに存在する解放後使用(use-after-free)脆弱性により、リモート攻撃者が細工されたウェブサイトを通じてコードを実行することが可能です。
KEV掲載: 2022-06-08公式(NVD) →Adobe AcrobatおよびReaderの解放後使用(Use-after-free)脆弱性により、リモート攻撃者が細工されたPDFファイルを介してコード実行を行うことが可能です。
KEV掲載: 2022-06-08公式(NVD) →Microsoft Officeには、Officeドキュメント内の細工されたPNGデータを介してリモート攻撃者がコードを実行できるバッファオーバーフロー脆弱性が含まれています。
KEV掲載: 2022-06-08公式(NVD) →Google Chromium V8エンジンに整数オーバーフロー脆弱性が存在します。この脆弱性により、リモート攻撃者が細工されたHTMLページを通じてヒープ破損の可能性のある悪用を実行できます。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2022-06-08公式(NVD) →Adobe AcrobatおよびReaderに存在するスタックベースのバッファオーバーフロー脆弱性により、リモート攻撃者は任意のコード実行またはサービス拒否(DoS)攻撃を実行できます。
KEV掲載: 2022-06-08公式(NVD) →Google Chromium V8エンジンに境界外読み取り脆弱性が存在し、リモート攻撃者が細工されたJavaScriptコードを使用してサービス拒否または他の未指定の影響を引き起こす可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む複数のChromiumベースのWebブラウザに影響を与える可能性があります。
KEV掲載: 2022-06-08公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。