脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Microsoftウインドウズ COM集約マーシャラーの脆弱性により、攻撃者が特別に細工されたアプリケーションを実行した場合、権限昇格が可能になります。
KEV掲載: 2022-03-28公式(NVD) →Atlassianの影響を受けるバージョンのConfluence Serverでは、/s/エンドポイントの認可前任意ファイル読み取り脆弱性を介して、リモート攻撃者が制限されたリソースを閲覧できる可能性があります。
KEV掲載: 2022-03-28公式(NVD) →Microsoft EdgeのChakra JavaScriptスクリプティングエンジンに脆弱性があり、細工されたWebサイトを通じてリモート攻撃者が任意のコード実行またはサービス拒否（メモリ破損）を引き起こすことが可能です。
KEV掲載: 2022-03-28公式(NVD) →Mozilla FirefoxおよびThunderbirdは、ページ再読み込みに伴うonreadystatechangeイベントを適切に処理しないため、リモート攻撃者が細工されたウェブサイトを通じてサービス拒否（DoS）またはマルウェアコード実行を引き起こす可能性があります。
KEV掲載: 2022-03-28公式(NVD) →Microsoft EdgeおよびInternet Explorerのmshtml.dllに型混同脆弱性が存在し、これによってリモートコード実行が可能になります。
KEV掲載: 2022-03-28公式(NVD) →Adobe ReaderおよびAcrobatの整数オーバーフロー脆弱性により、攻撃者がリモートコード実行を可能にされる。
KEV掲載: 2022-03-28公式(NVD) →Microsoft Internet Explorerのuse-after-free脆弱性により、削除されたオブジェクトへのアクセスをトリガーする細工されたウェブサイトを通じて、リモート攻撃者が遠隔でコード実行を行うことが可能になります。
KEV掲載: 2022-03-28公式(NVD) →Microsoft の Client-Server Run-time Subsystem (CSRSS) におけるプロセストークンの不適切な管理により、ローカルユーザーが細工されたアプリケーションを通じて特権を取得できる脆弱性。
KEV掲載: 2022-03-28公式(NVD) →Microsoft Internet Explorerのジャバスクリプトエンジンが、細工されたウェブサイトを通じてリモート攻撃者が任意のコード実行またはサービス拒否(メモリ破損)を引き起こすことを可能にする脆弱性。
KEV掲載: 2022-03-28公式(NVD) →SonicWall Secure Remote Access（SRA）製品に、SQL コマンドの不適切なニュートラライゼーションに起因する SQL インジェクションの脆弱性が存在します。
KEV掲載: 2022-03-28公式(NVD) →Microsoft Wordは、細工されたRTFデータを介して、リモートコード実行またはサービス拒否（DoS）攻撃を実行するのを許可します。
KEV掲載: 2022-03-28公式(NVD) →Microsoft Officeは、細工されたOfficeドキュメントを通じて、リモート攻撃者が任意のコードを実行することを許可します。
KEV掲載: 2022-03-28公式(NVD) →Google Chromium V8エンジンに型混同脆弱性が含まれており、リモート攻撃者が細工されたHTMLページを介してヒープ破損を悪用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを使用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2022-03-28公式(NVD) →Microsoft のカーネルモードドライバの win32k.sys に含まれる EPATHOBJ::pprFlattenRec 関数が、特定のリスト内の次のオブジェクトに対するポインタを適切に初期化しないため、ローカルユーザーが権限を昇格させることができます。
KEV掲載: 2022-03-28公式(NVD) →Microsoftカーネルの脆弱性により、細工されたアプリケーションを通じてローカルユーザーが権限昇格を行うことができます。
KEV掲載: 2022-03-28公式(NVD) →Microsoft Internet Explorerの脆弱性により、リモート攻撃者が細工されたウェブサイトを介してプロセスメモリから機密情報を取得することが可能です。
KEV掲載: 2022-03-28公式(NVD) →Microsoft Windowsの補助機能ドライバ（Ancillary Function Driver）のafd.sysが、カーネルモードに渡されるユーザーモード入力を適切に検証していないため、細工されたアプリケーションを通じてローカルユーザーが特権を昇格させることができます。
KEV掲載: 2022-03-28公式(NVD) →Windows が Advanced Local Procedure Call (ALPC) への呼び出しを不適切に処理する場合に、権限昇格の脆弱性が存在します。
KEV掲載: 2022-03-28公式(NVD) →Microsoft Windows Event Tracing に含まれる未指定の脆弱性が存在し、権限昇格を許可する可能性があります。
KEV掲載: 2022-03-28公式(NVD) →win32k.sysのRtlQueryRegistryValues関数におけるスタックベースのバッファオーバーフローにより、ローカルユーザーが権限を取得し、ユーザーアカウント制御(UAC)機能をバイパスすることが可能になります。
KEV掲載: 2022-03-28公式(NVD) →SonicWall SMA100のhandleWAFRedirect CGIにおける認証されていないディレクトリトラバーサル脆弱性により、ユーザーはサーバー上のファイルの存在を確認することができます。
KEV掲載: 2022-03-28公式(NVD) →Microsoft Office Access Connectivity Engine に含まれる不特定の脆弱性により、リモートコード実行が可能になる可能性があります。
KEV掲載: 2022-03-28公式(NVD) →Adobe Flash Playerに、メモリ破損脆弱性が存在し、リモートコード実行またはサービス妨害（DoS）を許可します。
KEV掲載: 2022-03-28公式(NVD) →DirectX Graphics Kernel (DXGKRNL) ドライバーがメモリ内のオブジェクトを不適切に処理する場合、権限昇格の脆弱性が存在します。
KEV掲載: 2022-03-28公式(NVD) →DirectX Graphics Kernel（DXGKRNL）ドライバーがメモリ内のオブジェクトを不適切に処理する場合、権限昇格の脆弱性が存在します。
KEV掲載: 2022-03-28公式(NVD) →Oracle Fusion Middlewareに含まれるOracle Application Server Single Sign-Onコンポーネントの仕様不明な脆弱性により、リモート攻撃者は未知の攻撃ベクトルを通じて整合性に影響を与える可能性があります
KEV掲載: 2022-03-28公式(NVD) →Apache Strutsは、リモート攻撃者が任意のObject-Graph Navigation Language（OGNL）式を実行することを許可しています。
KEV掲載: 2022-03-25公式(NVD) →PHP が CGI スクリプトとして設定されている場合、sapi/cgi/cgi_main.c のクエリ文字列の処理が不適切であるため、リモート攻撃者が任意のコードを実行できる可能性があります。
KEV掲載: 2022-03-25公式(NVD) →一部のPHPバージョンにおいて、特定のFPM設定下で、FPMモジュールが割り当てられたバッファを超えて書き込みを行う可能性があり、リモートコード実行の可能性につながる恐れがあります。
KEV掲載: 2022-03-25公式(NVD) →Cisco IOS および Cisco IOS XE ソフトウェアの Cisco Cluster Management Protocol (CMP) 処理コードの脆弱性により、認証されていないリモート攻撃者が影響を受けるデバイスの再起動を引き起こすか、昇格された権限でコードをリモートから実行できる可能性があります。
KEV掲載: 2022-03-25公式(NVD) →Citrix SD-WANおよびNetScaler SD-WANはSQLインジェクションを許可しています。
KEV掲載: 2022-03-25公式(NVD) →Elasticsearchの Groovy スクリプティングエンジンは、サンドボックス保護メカニズムを回避し、任意のシェルコマンドを実行することを可能にする脆弱性を含んでいます。
KEV掲載: 2022-03-25公式(NVD) →複数のD-Linkルーターにはコマンドインジェクション脆弱性が存在し、攻撃者がシステムの完全な侵害を実現することを可能にする。
KEV掲載: 2022-03-25公式(NVD) →Zyxelのネットワーク接続ストレージ(NAS)デバイスに複数の認証前コマンドインジェクション脆弱性が存在し、リモートの認証されていない攻撃者が任意のコードを実行できる可能性があります。
KEV掲載: 2022-03-25公式(NVD) →Adobe ColdFusionの管理者コンソールにディレクトリトラバーサル脆弱性が存在し、リモート攻撃者が任意のファイルを読み取ることが可能です。
KEV掲載: 2022-03-25公式(NVD) →Webminで脆弱性が発見されました。password_change.cgiの「old」パラメータにコマンドインジェクション脆弱性が存在します。
KEV掲載: 2022-03-25公式(NVD) →Rejetto HTTP File Server（HFSまたはHttpFileServer）のparserLib.pasにあるfindMacroMarker関数により、遠隔攻撃者が任意のプログラムを実行することが可能になります。
KEV掲載: 2022-03-25公式(NVD) →Apache Kylinに含まれるOSコマンドインジェクション脆弱性により、攻撃者がリモートコード実行を実行することが可能になる可能性があります。
KEV掲載: 2022-03-25公式(NVD) →OpenBSD等で使用されるOpenSMTPDのsmtp_session.cのsmtp_mailaddr機能は、細工されたSMTPセッションを通じてリモート攻撃者がrootとして任意のコマンドを実行することを可能にします。
KEV掲載: 2022-03-25公式(NVD) →複数のNETGEAR無線アクセスポイントデバイスでは、認証されていないウェブページがフォーム入力をコマンドラインインターフェースに直接渡すことを許可しており、これにより任意のコード実行が可能になります。
KEV掲載: 2022-03-25公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。