脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Adobe Flash Playerに、リモート攻撃者がコードを実行するか、サービス拒否（DoS）を引き起こす可能性のある、詳細が明記されていない脆弱性が存在します。
KEV掲載: 2022-06-08公式(NVD) →複数のNETGEAR デバイスに、認証回避およびリモートコード実行を可能にするバッファオーバーフロー脆弱性が存在します。
KEV掲載: 2022-06-08公式(NVD) →Microsoft Officeには、不正な長さフィールドを含む細工されたタグを持つWordドキュメント経由で、リモート攻撃者がコードを実行することを可能にするバッファオーバーフロー脆弱性が存在します。
KEV掲載: 2022-06-08公式(NVD) →Google ChromiumのV8エンジンに、細工されたHTMLページを介してリモート攻撃者がコード実行を可能にするメモリ破損脆弱性が存在します。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを利用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2022-06-08公式(NVD) →Microsoft PowerPointに含まれるバッファオーバーフロー脆弱性により、リモートコード実行が可能です。
KEV掲載: 2022-06-08公式(NVD) →Microsoft Word と Microsoft Works Suites に含まれる不正な形式のオブジェクトポインタにより、攻撃者がコードを実行可能になります。
KEV掲載: 2022-06-08公式(NVD) →Google ChromiumのV8エンジンに境界外書き込みの脆弱性が存在し、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を悪用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを使用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2022-06-08公式(NVD) →Google Chromium V8エンジンに境界外書き込み脆弱性が存在し、遠隔の攻撃者が細工されたHTMLページを通じてサンドボックス内でコード実行を許可します。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2022-06-08公式(NVD) →Microsoft Officeに、不正な形式のレコードオブジェクトを含む細工されたExcelファイルを介してリモート攻撃者がコードを実行できるオブジェクトレコード破損の脆弱性が存在します。
KEV掲載: 2022-06-08公式(NVD) →Google Chromium V8エンジンに境界外メモリアクセス脆弱性が存在します。この脆弱性により、リモート攻撃者が細工されたHTMLページを通じて読み取り/書き込み操作を実行し、コード実行につながる可能性があります。この脆弱性はChromiumを利用する複数のウェブブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaなどが該当します。
KEV掲載: 2022-06-08公式(NVD) →Google Chromium V8エンジンに型混同の脆弱性が存在し、細工されたHTMLページを通じてリモート攻撃者がサンドボックス内でコード実行することが可能です。この脆弱性はChromiumを使用する複数のウェブブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaを含みますが、これらに限定されません。
KEV掲載: 2022-06-08公式(NVD) →Adobe Acrobat および Reader に設計上の欠陥が存在し、特別に細工されたファイルが指定なしの脆弱性を引き起こす可能性があります。この脆弱性により、攻撃者が細工したファイルをユーザーに気づかれないまま任意の回数サイレント印刷することができます。
KEV掲載: 2022-06-08公式(NVD) →Adobe AcrobatおよびReaderにおけるダブルフリー脆弱性により、リモートコード実行に至る可能性があります。
KEV掲載: 2022-06-08公式(NVD) →QNAP QTSには不正な入力検証の脆弱性が存在し、リモート攻撃者がシステムに対してコードインジェクションを実行することを許容しています。
KEV掲載: 2022-06-08公式(NVD) →Adobe Flash Playerに、不正な引数を通じてリモート攻撃者にコード実行を許可する整数オーバーフロー脆弱性が含まれています。
KEV掲載: 2022-06-08公式(NVD) →特定のCisco Small Business RV Seriesルーターのウェブベースの管理インターフェースの信頼されていないデータのデシリアライゼーション脆弱性により、攻撃者はroot権限でコードを実行できる可能性があります。
KEV掲載: 2022-06-08公式(NVD) →Adobe AcrobatおよびReaderならびにAdobe Flash Playerは、リモート攻撃者がコードを実行したり、サービス拒否（DoS）を引き起こしたりすることを許可しています。
KEV掲載: 2022-06-08公式(NVD) →Adobe Flash Playerには、リモート攻撃者がウェブスクリプトまたはHTMLをインジェクションすることを可能にするXSS脆弱性が存在します。
KEV掲載: 2022-06-08公式(NVD) →Atlassian Confluence Server および Data Center に、認証されていない攻撃者が遠隔からコードを実行することを可能にする遠隔コード実行の脆弱性が存在します。
KEV掲載: 2022-06-02公式(NVD) →Java がJavaアプレットのパーミッションを制限する方法における脆弱性により、攻撃者は脆弱なシステム上でコマンドを実行することができる可能性があります。
KEV掲載: 2022-05-25公式(NVD) →Java SE コンポーネントの Java Runtime Environment (JRE) における未指定の脆弱性により、リモート攻撃者が不明なベクトルを介して機密性、完全性、および可用性に影響を与えることが可能です。
KEV掲載: 2022-05-25公式(NVD) →Mozilla Firefoxは、リモート攻撃者が同一生成元ポリシーをバイパスして、任意のファイルを読み込んだり、権限を取得したりすることを許可しています。
KEV掲載: 2022-05-25公式(NVD) →Microsoft Windowsのチャットコンポーネント「TS WebProxy（TSWbPrxy）」におけるディレクトリトラバーサル脆弱性により、リモート攻撃者が権限昇格を行う可能性があります。
KEV掲載: 2022-05-25公式(NVD) →Windowsフォントライブラリが特別に細工された埋め込みフォントを不適切に処理する場合、リモートコード実行の脆弱性が存在します。この脆弱性を悪用した攻撃者は、影響を受けたシステムを制御することができます。
KEV掲載: 2022-05-25公式(NVD) →Microsoft SilverlightはHTML オブジェクトレンダリング時にポインタを適切に検証しないため、細工されたSilverlightアプリケーションを経由してリモート攻撃者がコードを実行することを許可する脆弱性。
KEV掲載: 2022-05-25公式(NVD) →Windows GDIコンポーネントがメモリ内のオブジェクトを処理する方法に起因するリモートコード実行の脆弱性が存在します。この脆弱性を悪用した攻撃者は、影響を受けたシステムを制御できる可能性があります。
KEV掲載: 2022-05-25公式(NVD) →Windowsカーネルモードドライバが TrueType フォントを不適切に処理する場合、リモートコード実行の脆弱性が存在します。
KEV掲載: 2022-05-25公式(NVD) →Microsoft Silverlightはデコード処理中に負のオフセットを不適切に処理するため、攻撃者がリモートコード実行または サービス拒否(DoS)を引き起こすことが可能です。
KEV掲載: 2022-05-25公式(NVD) →Adobe Flash Playerの整数オーバーフローの脆弱性により、攻撃者がコードを実行可能。
KEV掲載: 2022-05-25公式(NVD) →Oracle の Java Runtime Environment (JRE) コンポーネントの仕様が明確でない脆弱性により、リモートの攻撃者が Java セキュリティサンドボックスを回避することが可能になります。
KEV掲載: 2022-05-25公式(NVD) →Adobe Flash PlayerおよびAdobe AIRにおけるUse-after-free脆弱性により、攻撃者が任意のコード実行を可能にする。
KEV掲載: 2022-05-25公式(NVD) →JBossアプリケーションサーバーのウェブコンソール（/web-console）への認証なしアクセスはデフォルトでブロックされています。しかし、このブロック機能に不完全な点が見つかりました。GETおよびPOSTのHTTP動詞のみがブロックされていました。リモート攻撃者はこの脆弱性を悪用して、機密情報へのアクセスを取得する可能性があります。
KEV掲載: 2022-05-25公式(NVD) →Windows、.NET Framework、Office、Lync、およびSilverlightのコンポーネントがTrueTypeフォントを適切に処理しない場合に、リモートコード実行脆弱性が存在します。
KEV掲載: 2022-05-25公式(NVD) →Microsoft Internet Explorerに、特別に細工されたウェブサイト経由で権限を取得することを可能にする未指定の脆弱性が存在します。
KEV掲載: 2022-05-25公式(NVD) →Red HatのJBoss Enterprise Application PlatformのJBossAsに含まれるJMX-Consoleウェブアプリケーションは、GETおよびPOSTメソッドのみに対してアクセス制御を実行するため、リモート攻撃者が異なるメソッドを使用することでこのアプリケーションのGETハンドラーにリクエストを送信することが可能です。
KEV掲載: 2022-05-25公式(NVD) →Microsoft Input Method Editor (IME) Japanese は、Windows システムでデフォルトで含まれており有効化できる日本語文字対応のキーボードです（デフォルトでは無効に設定されています）。IME Japanese に含まれる未指定の脆弱性は、IMJPDCT.EXE（日本語用 IME）がインストールされている場合に存在し、攻撃者がサンドボックスを回避し、権限昇格を実行することを可能にします。
KEV掲載: 2022-05-25公式(NVD) →Microsoft Internet Explorerにはメモリ破損の脆弱性が含まれており、リモート攻撃者がコード実行またはサービス拒否(DoS)を引き起こすことが可能です。
KEV掲載: 2022-05-25公式(NVD) →Java Runtime Environment（JRE）のホットスポット（Hotspot）における未指定の脆弱性により、リモート攻撃者が整合性に影響を与える可能性があります。
KEV掲載: 2022-05-25公式(NVD) →Microsoft Silverlightがシルバーライト要素へのアクセス時にポインタを適切に検証していない脆弱性により、細工されたシルバーライトアプリケーション経由で、リモート攻撃者が機密情報を取得される可能性があります。
KEV掲載: 2022-05-25公式(NVD) →Linux kernelのkernel/futex.cにおけるfutex_requeue関数は、呼び出しが2つの異なるfutexアドレスを持つことを確認していないため、ローカルユーザーが権限を取得することを可能にします。
KEV掲載: 2022-05-25公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。