脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Trihedral VTScada（旧VTS）のWAPインターフェースは、リモート攻撃者によるサービス妨害（DoS）攻撃を許容します。
KEV掲載: 2022-04-15公式(NVD) →VMware Workspace ONE Access および Identity Manager は、サーバーサイドテンプレートインジェクションにより、リモートコード実行を許可する脆弱性が存在します。
KEV掲載: 2022-04-14公式(NVD) →Drupalの複数のサブシステム内に存在するリモートコード実行脆弱性により、攻撃者がDrupalサイト上の複数の攻撃ベクトルを悪用することが可能になります。
KEV掲載: 2022-04-13公式(NVD) →Adobe Flash Playerのヒープベースバッファオーバーフロー脆弱性により、リモート攻撃者がコードを実行できます。
KEV掲載: 2022-04-13公式(NVD) →Adobe Flash Playerの使用後解放（use-after-free）脆弱性により、リモート攻撃者がコードを実行できます。
KEV掲載: 2022-04-13公式(NVD) →Adobe Flash Playerの ActionScript 3（AS3）実装に含まれるDisplayObjectクラスのUse-after-free脆弱性により、リモート攻撃者は任意のコード実行またはサービス拒否（DoS）を引き起こすことが可能です。
KEV掲載: 2022-04-13公式(NVD) →Adobe Flash Playerの特定されていない脆弱性により、リモートの攻撃者が任意のコードを実行することを可能にする。
KEV掲載: 2022-04-13公式(NVD) →Microsoft Internet Explorerに、攻撃者がコード実行またはサービス妨害（DoS）を引き起こすことを可能にするメモリ破損脆弱性が存在します。
KEV掲載: 2022-04-13公式(NVD) →Kaseya VSA RMM では、権限のないリモート攻撃者がすべての管理対象デバイス上で PowerShell ペイロードを実行できます。
KEV掲載: 2022-04-13公式(NVD) →Adobe Flash Playerのスタックベースのバッファオーバーフローにより、攻撃者はリモートでコードを実行できます。
KEV掲載: 2022-04-13公式(NVD) →ActionScript 3（AS3）実装内のAdobe Flash PlayerのBitmapDataクラスにおけるuse-after-free脆弱性により、リモート攻撃者がコード実行またはサービス拒否（DoS）を引き起こされる可能性があります。
KEV掲載: 2022-04-13公式(NVD) →Microsoft Windows Common Log File System (CLFS) ドライバに、権限昇格を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2022-04-13公式(NVD) →Progress Telerik UI for ASP.NET AJAXの Telerik.Web.UI は、リモート攻撃者が任意のファイルアップロードを実行または任意のコードを実行することを許可します。
KEV掲載: 2022-04-11公式(NVD) →Microsoft Active Directory Domain Services には、権限昇格を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2022-04-11公式(NVD) →Microsoft Active Directory Domain Services に、権限昇格を許可する未指定の脆弱性が含まれています。
KEV掲載: 2022-04-11公式(NVD) →QNAP NASデバイスにはコマンドインジェクション脆弱性が存在し、攻撃者がリモートコード実行を実行できる可能性があります。
KEV掲載: 2022-04-11公式(NVD) →CheckboxWeb.dllのCheckbox Surveyにおける信頼できないデータの逆シリアル化脆弱性により、認証されていないリモート攻撃者が任意のコードを実行することができます。
KEV掲載: 2022-04-11公式(NVD) →WatchGuard FireboxおよびXTMアプライアンスは、特権のない認証情報を持つリモート攻撃者が、公開されたマネジメントアクセスを介して特権管理セッションでシステムにアクセスすることを許可しています。
KEV掲載: 2022-04-11公式(NVD) →Linuxカーネルのパケットソケット（AF_PACKET）実装に欠陥が存在し、メモリの不正な解放につながる可能性があります。ローカルユーザーはこれを利用して、サービス拒否（DoS）または権限昇格を引き起こす可能性があります。
KEV掲載: 2022-04-11公式(NVD) →Google Pixelには、コード内のロジックエラーに起因する可能性のある範囲外書き込みが含まれており、ローカル権限昇格につながる可能性があります。
KEV掲載: 2022-04-11公式(NVD) →Microsoft HTTP Protocol Stack（http.sys）に含まれる脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2022-04-06公式(NVD) →Sudoに含まれるオフバイワンエラーにより、ヒープベースのバッファオーバーフローが発生する可能性があり、これにより権限昇格が可能になります。
KEV掲載: 2022-04-06公式(NVD) →Microsoftの SMBv1 サーバーは、細工されたパケットを介してリモート攻撃者が任意のコードを実行することを許可します。
KEV掲載: 2022-04-06公式(NVD) →JDK 9以上で実行されているSpring MVCまたはSpring WebFluxアプリケーションは、データバインディングを経由したリモートコード実行（RCE）の脆弱性の影響を受ける可能性があります。
KEV掲載: 2022-04-04公式(NVD) →すべてのシリーズH/W改訂版ルータにおいて、ncc2バイナリファイルのDDNS機能を経由したリモートコード実行脆弱性が存在します。
KEV掲載: 2022-04-04公式(NVD) →macOS Montereyに含まれるアウト・オブ・バウンズ・ライトの脆弱性により、アプリケーションがカーネル権限で任意のコードを実行される可能性があります。
KEV掲載: 2022-04-04公式(NVD) →macOS Montereyは、アプリケーションがカーネルメモリを読み取ることを可能にする境界外読み取り脆弱性を含んでいます。
KEV掲載: 2022-04-04公式(NVD) →Dasan GPON ルーターに認証バイパスの脆弱性が存在します。CVE-2018-10561と組み合わせることで、攻撃者はリモートコード実行を実行することができます。
KEV掲載: 2022-03-31公式(NVD) →Sophos Firewallのユーザーポータルおよびウェブ管理画面における認証回避の脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2022-03-31公式(NVD) →Dasan GPON ルーターは認証回避の脆弱性を含んでいます。CVE-2018-10562と組み合わせた場合、攻撃者はリモートコード実行を実行することが可能になります。
KEV掲載: 2022-03-31公式(NVD) →QNAP NASで実行されているHBS 3は、不適切な認可の脆弱性を含んでおり、リモート攻撃者がデバイスにログインすることを可能にします。
KEV掲載: 2022-03-31公式(NVD) →Dell dbutil ドライバに不十分なアクセス制御の脆弱性が存在し、権限昇格、サービス拒否（DoS）、または情報開示につながる可能性があります。
KEV掲載: 2022-03-31公式(NVD) →Trend Micro Apex Centralの任意のファイルアップロード脆弱性により、リモートコード実行が可能になる可能性があります。
KEV掲載: 2022-03-31公式(NVD) →マイクロソフト Windows ユーザー プロファイル サービスに、特定されていない脆弱性が存在し、権限昇格が可能になります。
KEV掲載: 2022-03-31公式(NVD) →Redisは（Debianに特有の）Luaサンドボックス回避の脆弱性があり、リモートコード実行につながる可能性があります。
KEV掲載: 2022-03-28公式(NVD) →Oracle Java SEのJava Runtime Environment(JRE)コンポーネントの未指定の脆弱性により、2Dに関連する不明なベクトルを通じて、リモート攻撃者が機密性、完全性、および可用性に影響を与えることができます。
KEV掲載: 2022-03-28公式(NVD) →デフォルトのJavaセキュリティプロパティ設定では、com.sun.org.glassfish.externalおよびcom.sun.org.glassfish.gmbalパッケージへのアクセスが制限されていませんでした。信頼できないJavaアプリケーションまたはアプレットは、これらの脆弱性を悪用してJavaサンドボックス制限をバイパスする可能性がありました。
KEV掲載: 2022-03-28公式(NVD) →Microsoft Windowsの Windows Adobe Type Manager ライブラリが特別に細工された OpenType フォントを不適切に処理する場合、リモートコード実行の脆弱性が存在します。
KEV掲載: 2022-03-28公式(NVD) →Microsoft JScript および VBScript エンジン (Internet Explorer およびその他の製品で使用されている) は、細工された Web サイトを介してリモートコード実行または サービス拒否 (メモリ破損) を実行できる脆弱性を持っています。
KEV掲載: 2022-03-28公式(NVD) →Microsoft Edgeに含まれるChakra JavaScriptスクリプティングエンジンの脆弱性により、リモート攻撃者が不正に製造されたWebサイトを介して、リモートコード実行またはサービス拒否(メモリ破損)を実行できます。
KEV掲載: 2022-03-28公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。