脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Apple iOS、macOS、watchOS、およびtvOSに含まれるメモリ破損脆弱性により、権限昇格が可能になる可能性があります。
KEV掲載: 2022-05-23公式(NVD) →Windows Kernelのメモリ内オブジェクト処理に権限昇格の脆弱性が存在します。この脆弱性を悪用した攻撃者は、昇格された権限でコードを実行できる可能性があります。
KEV掲載: 2022-05-23公式(NVD) →Apple iOS、macOS、watchOS、およびtvOSに含まれるメモリ破損の脆弱性により、リモートコード実行が可能になる可能性があります。
KEV掲載: 2022-05-23公式(NVD) →Windows AppX Deployment Extensionsが権限管理を不適切に実行した場合に、システムファイルへのアクセスが可能になる特権昇格の脆弱性が存在します。
KEV掲載: 2022-05-23公式(NVD) →splwow64.exeが特定の呼び出しを処理する方法に、ローカル権限昇格の脆弱性が存在します。この脆弱性を悪用した攻撃者は、影響を受けたシステムの権限を低整合性から中整合性に昇格させることができます。
KEV掲載: 2022-05-23公式(NVD) →Windows AppX Deployment Service (AppXSVC)がハードリンクを不適切に処理する場合、権限昇格の脆弱性が存在します。
KEV掲載: 2022-05-23公式(NVD) →Cisco IOS XR ソフトウェアのヘルスチェック機能は、アクティベーション時にデフォルトで TCP ポート 6379 を開きます。攻撃者はこのオープンポート上の Redis インスタンスに接続し、NOSi コンテナ内で実行されている Redis インスタンスへのアクセスを許可することができます。
KEV掲載: 2022-05-23公式(NVD) →Windows SMBサーバーが特定のリクエストを処理する方法に情報開示の脆弱性が存在し、サーバーからの情報開示につながる可能性があります。
KEV掲載: 2022-05-23公式(NVD) →Apple iOSにメモリ破損の脆弱性が存在し、攻撃者がリモートコード実行を実行できる可能性があります。
KEV掲載: 2022-05-23公式(NVD) →Windowsがwin32k.sysへの呼び出しを不適切に処理する場合に権限昇格の脆弱性が存在します。この脆弱性を悪用した攻撃者は、ローカルシステムのセキュリティコンテキストでリモートコードを実行することが可能になります。
KEV掲載: 2022-05-23公式(NVD) →Microsoft Update Notification Managerに、特権昇格を可能にする未指定の脆弱性が含まれている。
KEV掲載: 2022-05-23公式(NVD) →Androidカーネルに存在するUse-After-Free脆弱性により、権限昇格が可能になります。
KEV掲載: 2022-05-23公式(NVD) →Internet Explorerがメモリ内のオブジェクトを不適切に処理する際に情報開示の脆弱性が存在します。この脆弱性を悪用した攻撃者は、ディスク上のファイルの存在を検査することができる可能性があります。
KEV掲載: 2022-05-23公式(NVD) →Androidカーネルに競合状態が存在し、解放後使用（Use-After-Free）の脆弱性を引き起こします。この脆弱性を悪用することで、権限昇格が可能になります。
KEV掲載: 2022-05-23公式(NVD) →Spring Cloud Gatewayアプリケーションは、Gateway Actuatorエンドポイントが有効化され、露出し、セキュリティ保護されていない場合、コード注入攻撃に対して脆弱です。
KEV掲載: 2022-05-16公式(NVD) →いくつかのZyxelファイアウォール版のCGIプログラムに存在するコマンドインジェクション脆弱性により、攻撃者は特定ファイルを修正してから、脆弱なデバイス上でOSコマンドを実行することができる可能性がある。
KEV掲載: 2022-05-16公式(NVD) →F5 BIG-IPに、重要な機能における認証不備の脆弱性が存在し、リモートコード実行、ファイルの作成または削除、またはサービスの無効化が可能になる可能性があります。
KEV掲載: 2022-05-10公式(NVD) →OpenSSLのTLSおよびDTLS実装は、Heartbeat Extension パケットを適切に処理しないため、リモート攻撃者が機密情報を取得することを許可します。
KEV掲載: 2022-05-04公式(NVD) →Microsoft Internet Explorerの解放後メモリ使用後(use-after-free)脆弱性により、リモート攻撃者が任意のコード実行を可能にされます。
KEV掲載: 2022-05-04公式(NVD) →Microsoft Win32kに、権限昇格を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2022-05-04公式(NVD) →複数のApple製品に影響する型混同の脆弱性により、悪意のある細工されたWebコンテンツを処理することで、任意のコード実行が可能になります。
KEV掲載: 2022-05-04公式(NVD) →Apple の複数製品に影響する型混同の問題により、悪意のあるウェブコンテンツを処理すると、任意のコード実行につながる可能性があります。
KEV掲載: 2022-05-04公式(NVD) →複数のWSO2製品において、ファイルアップロード制限がないため、リモートコード実行が可能です。
KEV掲載: 2022-04-25公式(NVD) →Linuxカーネルには不適切な初期化の脆弱性が含まれており、権限を持たないローカルユーザーがシステム上で権限昇格を実行される可能性があります。この脆弱性は「Dirty Pipe」という別名を持っています。
KEV掲載: 2022-04-25公式(NVD) →Jenkins Script Security Plugin には保護メカニズムの欠陥があり、攻撃者がサンドボックスをバイパスすることが可能です。
KEV掲載: 2022-04-25公式(NVD) →Microsoftウィンドウズのユーザープロファイルサービスに、特定されていない脆弱性が存在し、権限昇格が可能になります。
KEV掲載: 2022-04-25公式(NVD) →Microsoft Windows User Profile Service に特権昇格を許可する未指定の脆弱性が存在します。
KEV掲載: 2022-04-25公式(NVD) →Microsoft Win32kに、特権昇格を許可する未指定の脆弱性が含まれています。
KEV掲載: 2022-04-25公式(NVD) →Microsoft Win32kに含まれる未指定の脆弱性により、権限昇格が可能になります。
KEV掲載: 2022-04-25公式(NVD) →WhatsAppのVOIPスタックにおけるバッファオーバーフロー脆弱性により、特別に細工されたRTCPパケットのシリーズを対象の電話番号に送信することで、リモートコード実行が可能になりました。
KEV掲載: 2022-04-19公式(NVD) →Microsoft Windows プリント スプーラーに、特定されていない脆弱性が存在し、権限昇格が可能になります。
KEV掲載: 2022-04-19公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS)には、クロスサイトスクリプティングの脆弱性が含まれており、リモート攻撃者が任意のウェブスクリプトまたはHTMLを挿入する可能性があります。
KEV掲載: 2022-04-19公式(NVD) →複数のCrestron製品は、file_transfer.cgi HTTPエンドポイント経由のコマンドインジェクション脆弱性の影響を受けています。認証されていないリモート攻撃者はこの脆弱性を悪用して、rootとしてオペレーティングシステムコマンドを実行することができます。
KEV掲載: 2022-04-15公式(NVD) →Alcatel OmniPCX Enterprise Communication ServerのUnified Maintenance Tool内のmasterCGIは、リモート攻撃者が任意のコマンド実行を行うことを許可します。
KEV掲載: 2022-04-15公式(NVD) →D-Link DNS-320のlogin_mgr.cgiスクリプトがリモートコード実行の脆弱性を持っています。
KEV掲載: 2022-04-15公式(NVD) →InduSoft Web StudioのNTWebServerにはディレクトリトラバーサルの脆弱性が存在し、リモート攻撃者がAPPファイル内の管理者パスワードを読み取り、リモートコード実行を実行することが可能です。
KEV掲載: 2022-04-15公式(NVD) →U.motion Builder ソフトウェアに SQL インジェクション脆弱性が存在し、不正な文字セットが入力された場合に意図しないコード実行が発生する可能性があります。
KEV掲載: 2022-04-15公式(NVD) →特定のUbiquiti デバイスは、stainfo.cgi への GET リクエストを介したコマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2022-04-15公式(NVD) →VMware Workspace ONE Access、Identity Manager、vRealize Automationに含まれる特権昇格脆弱性は、サポートスクリプトの不適切な権限設定に起因するものです。
KEV掲載: 2022-04-15公式(NVD) →Google Chromium V8エンジンに型混同の脆弱性が存在し、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を悪用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む複数のChromiumを使用するWebブラウザに影響を与える可能性があります。
KEV掲載: 2022-04-15公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。