脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Internet Explorerに情報開示の脆弱性が存在し、メモリにロードされたリソースをクエリできます。この脆弱性により、攻撃者がマルウェア対策アプリケーションを検出できる可能性があります。
KEV掲載: 2022-05-25公式(NVD) →Adobe ReaderおよびWindows上のAcrobatのサンドボックス保護メカニズムをバイパスすることで、攻撃者は特権コンテキストでネイティブコードを実行できます。
KEV掲載: 2022-05-25公式(NVD) →Microsoft Internet Explorer に含まれる不特定の脆弱性があり、細工されたウェブサイトを通じてリモート攻撃者が権限を取得することが可能です。
KEV掲載: 2022-05-25公式(NVD) →Adobe Flash Playerは、逆参照されたメモリポインタの処理方法に脆弱性があり、コード実行につながる可能性があります。
KEV掲載: 2022-05-25公式(NVD) →Adobe Flash PlayerおよびAIRの整数オーバーフロー脆弱性により、攻撃者がコードを実行することが可能です。
KEV掲載: 2022-05-25公式(NVD) →Oracle Fusion Middlewareの Oracle WebCenter Forms Recognition コンポーネントの未指定の脆弱性により、デザイナーに関連する未知のベクトルを通じて、リモート攻撃者が機密性、整合性、および可用性に影響を与える可能性があります。
KEV掲載: 2022-05-25公式(NVD) →Microsoft Internet Explorer では、細工された Web サイトを通じて、アドレス空間レイアウトランダマイズ (ASLR) 保護メカニズムをバイパスすることをリモート攻撃者に許可します。
KEV掲載: 2022-05-25公式(NVD) →Microsoft WindowsのカーネルモードドライバであるWin32k.sysは、ローカルユーザーに権限昇格またはサービス拒否(DoS)攻撃を許可します。
KEV掲載: 2022-05-25公式(NVD) →Oracle Solaris の XScreenSaver コンポーネントに、権限昇格を可能にする未指定の脆弱性が存在します。
KEV掲載: 2022-05-25公式(NVD) →Microsoft Windowsのカーネルに、細工されたアプリケーションを使用してローカルユーザーが権限昇格を実行できる脆弱性が存在します。
KEV掲載: 2022-05-25公式(NVD) →Adobe Flash Playerがメモリアドレスの検出を適切に制限していないため、攻撃者がアドレス空間配置のランダマイゼーション(ASLR)保護メカニズムをバイパスすることが可能です。
KEV掲載: 2022-05-25公式(NVD) →Windows Mount Managerコンポーネントが シンボリックリンクを不適切に処理する場合、権限昇格脆弱性が存在します。
KEV掲載: 2022-05-25公式(NVD) →BigInsights内の特定のAPIが無効な入力を受け付ける可能性があり、攻撃者が不正なアクセスによってデータの読み取り、書き込み、変更、削除を行う可能性があります。
KEV掲載: 2022-05-25公式(NVD) →Cisco ASA ソフトウェアの Simple Network Management Protocol (SNMP) コード内のバッファオーバーフロー脆弱性により、攻撃者は影響を受けるシステムの再ロードを引き起こすか、リモートからコードを実行する可能性があります。
KEV掲載: 2022-05-24公式(NVD) →ConnectWiseのManagedITSync統合機能はKaseya VSAに対して脆弱性を持っており、認証なしでリモートコマンドを実行でき、Kaseya VSAデータベースへの完全な直接アクセスが可能になります。
KEV掲載: 2022-05-24公式(NVD) →Microsoft Windowsで、Windows Searchがメモリ内のオブジェクトを適切に処理できない場合、攻撃者は影響を受けたシステムを支配することができます。
KEV掲載: 2022-05-24公式(NVD) →Microsoft Windowsの SMBv1 サーバーは、細工されたパケットを介してプロセスメモリから機密情報を取得することを可能にする脆弱性が存在します。リモート攻撃者がこの脆弱性を悪用することで、情報漏洩が発生する可能性があります。
KEV掲載: 2022-05-24公式(NVD) →Artifex Ghostscriptでは、"/OutputFileを使用した.rsdparamsの型混同により、-dSAFERバイパスとリモートコマンド実行が可能です。
KEV掲載: 2022-05-24公式(NVD) →Apple iOSのWebKitに、細工されたウェブサイトを通じてリモートコード実行またはサービス拒否(DoS)を引き起こすことを可能にするメモリ破損脆弱性が含まれています。この脆弱性は、Apple SafariおよびHTML処理にWebKitを利用する非Appleの製品を含む、WebKitを使用するHTMLパーサーに影響を及ぼす可能性があります。
KEV掲載: 2022-05-24公式(NVD) →QNAP NASのFile Stationに影響するコマンドインジェクション脆弱性により、リモート攻撃者がコマンドを実行できる可能性があります。
KEV掲載: 2022-05-24公式(NVD) →Microsoft Internet Explorerにメモリ破損の脆弱性が存在し、細工されたウェブサイトを介してリモート攻撃者が任意のコード実行またはサービス妨害（DoS）を実行される可能性があります。
KEV掲載: 2022-05-24公式(NVD) →Cisco ASA ソフトウェアのコマンドラインインターフェース(CLI)パーサーの脆弱性により、認証済みのローカル攻撃者がサービス拒否(DoS)状態を引き起こしたり、潜在的にコードを実行したりする可能性があります。
KEV掲載: 2022-05-24公式(NVD) →Internet Explorer がクロスドメインポリシーを適切に適用しない場合に、特権昇格の脆弱性が存在し、攻撃者が情報にアクセスできる可能性があります。
KEV掲載: 2022-05-24公式(NVD) →Apple iOSカーネルのメモリ破損脆弱性により、攻撃者は細工されたアプリケーションを通じて特権コンテキストでコードを実行するか、サービス拒否（DoS）を引き起こすことができます。
KEV掲載: 2022-05-24公式(NVD) →Microsoft Internet Messaging APIがメモリ内のオブジェクトを不適切に処理する場合、情報開示脆弱性が存在します。この脆弱性を悪用した攻撃者は、ディスク上のファイルの存在をテストすることが可能になります。
KEV掲載: 2022-05-24公式(NVD) →Microsoft Windows のグラフィックス デバイス インターフェース (GDI) により、細工されたアプリケーションを使用してローカル ユーザーが権限昇格を行うことが可能になります。
KEV掲載: 2022-05-24公式(NVD) →QNAP NASのFile Stationに影響するクロスサイトスクリプティングの脆弱性により、リモート攻撃者が悪意あるコードを注入される可能性があります。
KEV掲載: 2022-05-24公式(NVD) →Internet ExplorerおよびEdgeの特定の機能がメモリ内のオブジェクトを処理する方法に情報漏洩の脆弱性が存在します。この脆弱性により、攻撃者はユーザーのコンピュータ上の特定のファイルを検出できる可能性があります。
KEV掲載: 2022-05-24公式(NVD) →AppleのiOSカーネルは、細工されたアプリケーションを通じて攻撃者がメモリから機密情報を取得することを許可しています。
KEV掲載: 2022-05-24公式(NVD) →Windowsカーネルがメモリ内のオブジェクトを適切に処理できない場合、権限昇格の脆弱性が発生します。
KEV掲載: 2022-05-24公式(NVD) →Microsoft XML Core Services (MSXML) がメモリ内のオブジェクトを不適切に処理するため、攻撃者が細工された Web サイトを通じてディスク上のファイルの存在をテストできる脆弱性があります。
KEV掲載: 2022-05-24公式(NVD) →QNAP NASのFile Stationに存在するクロスサイトスクリプティング脆弱性により、リモート攻撃者が悪意あるコードを注入される可能性がある。
KEV掲載: 2022-05-24公式(NVD) →Internet ExplorerがJavaScriptを適切に処理しない場合に、情報開示の脆弱性が存在します。この脆弱性により、攻撃者はユーザーのコンピュータ上の特定のファイルを検出することが可能になる可能性があります。
KEV掲載: 2022-05-24公式(NVD) →Mozilla FirefoxおよびThunderbirdに含まれるサンドボックス脱出脆弱性により、リモートコード実行が可能になる可能性があります。
KEV掲載: 2022-05-23公式(NVD) →WhatsApp DesktopとWhatsApp for iPhoneの連携時における脆弱性により、クロスサイトスクリプティングおよびローカルファイル読み取りが可能になります。
KEV掲載: 2022-05-23公式(NVD) →Google Chromeのウェブオーディオに、細工されたHTMLページを通じてヒープ破損を悪用する可能性のあるuse-after-free脆弱性が含まれています。リモート攻撃者がこれを悪用する可能性があります。
KEV掲載: 2022-05-23公式(NVD) →Google Chrome Blinkに、細工されたHTMLページを介して境界外メモリアクセスを実行される可能性のあるヒープ解放後使用（Use-After-Free）の脆弱性が存在します。
KEV掲載: 2022-05-23公式(NVD) →Mozilla FirefoxおよびThunderbirdに含まれるタイプ混同脆弱性は、Array.popの問題により、JavaScriptオブジェクトの操作時に発生する可能性があり、悪用可能なクラッシュを引き起こします。
KEV掲載: 2022-05-23公式(NVD) →Adobe Flash Playerのスタックベースのバッファオーバーフロー脆弱性で、リモートコード実行につながる可能性があります。
KEV掲載: 2022-05-23公式(NVD) →WebKitGTKは、攻撃者がリモートコード実行を実行できる可能性のあるメモリ破損脆弱性を含んでいます。
KEV掲載: 2022-05-23公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。