脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Cisco Secure Access Control System (ACS)で使用されるJavaデシリアライゼーションの脆弱性により、認証されていないリモート攻撃者が影響を受けたデバイス上で任意のコマンドを実行される可能性があります。この脆弱性は、影響を受けたソフトウェアがユーザーが供給したコンテンツを不安全にデシリアライゼーションすることが原因です。
KEV掲載: 2022-03-25公式(NVD) →Adobe Flash Playerの未指定の脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2022-03-25公式(NVD) →Palo Alto Networks PAN-OSに含まれるSAML脆弱性により、攻撃者が認証を回避することが可能になります。
KEV掲載: 2022-03-25公式(NVD) →D-Link DSL-2760Uゲートウェイにクロスサイトスクリプティング(XSS)の脆弱性が存在し、リモート認証ユーザーが任意のウェブスクリプトまたはHTMLを注入できます。
KEV掲載: 2022-03-25公式(NVD) →Windows グラフィックス デバイス インターフェイス (GDI) がメモリ内のオブジェクトを処理する方法に、リモート コード実行の脆弱性が存在します。この脆弱性を悪用した攻撃者は、影響を受けたシステムを制御することができます。
KEV掲載: 2022-03-25公式(NVD) →D-Link DIR-610デバイスは、command.phpの cmdパラメータを通じてリモートコード実行を許可しています。
KEV掲載: 2022-03-25公式(NVD) →Eximは、eximユーザーアカウントが任意のコマンドを含むディレクティブを持つ別の設定ファイルを指定する機能を利用することで、ローカルユーザーが権限昇格を行うことを許可しています。
KEV掲載: 2022-03-25公式(NVD) →Adobe Flash Playerの TextField クラスに、悪用可能なuse-after-free脆弱性が存在します。
KEV掲載: 2022-03-25公式(NVD) →J-Web、Web Authentication、Dynamic-VPN (DVPN)、Firewall Authentication Pass-Through with Web-Redirect、およびZero Touch Provisioning (ZTP)で使用されるHTTP/HTTPSサービスのパストラバーサル脆弱性により、認証されていない攻撃者がリモートコード実行を実行することができます。
KEV掲載: 2022-03-25公式(NVD) →QNAPヘルプデスクに不適切なアクセス制御脆弱性が存在し、攻撃者が特権を取得したり機密情報を読み取ったりする可能性があります。
KEV掲載: 2022-03-25公式(NVD) →Cisco IOS XRで、BGPが設定されたルーティング機能である場合、リモート攻撃者がサービス拒否(DoS)攻撃を引き起こすことが可能です。
KEV掲載: 2022-03-25公式(NVD) →Cisco IOS XRは、BGPが設定されたルーティング機能である場合、リモート攻撃者がサービス拒否(DoS)を引き起こすことを許可します。
KEV掲載: 2022-03-25公式(NVD) →Windows トランザクション マネージャーがメモリ内のオブジェクトを不適切に処理する場合に、特権昇格の脆弱性が存在します。
KEV掲載: 2022-03-15公式(NVD) →Windows の Win32k コンポーネントがメモリ内のオブジェクトを適切に処理しなかった場合に、権限昇格の脆弱性が存在します。
KEV掲載: 2022-03-15公式(NVD) →SonicOS のバッファオーバーフロー脆弱性により、リモート攻撃者がファイアウォールに悪意のあるリクエストを送信することで、サービス拒否（DoS）を引き起こしたり、任意のコード実行を行ったりする可能性があります。
KEV掲載: 2022-03-15公式(NVD) →Windows AppXSVCが硬リンクを不適切に処理する場合に、特権昇格の脆弱性が存在します。この脆弱性を正常に悪用した攻撃者は、昇格されたコンテキストでプロセスを実行できる可能性があります。
KEV掲載: 2022-03-15公式(NVD) →Windows UPnP サービスが COM オブジェクト の生成を不適切に許可する場合、特権昇格の脆弱性が存在します。
KEV掲載: 2022-03-15公式(NVD) →Windowsカーネルがメモリ内のオブジェクトを適切に処理できない場合に、権限昇格の脆弱性が存在します。この脆弱性を悪用した攻撃者は、カーネルモードで任意のコードを実行することができます。
KEV掲載: 2022-03-15公式(NVD) →Windowsが認証リクエストを不正に処理する場合、権限昇格の脆弱性が存在します。この脆弱性を悪用した攻撃者は、昇格されたコンテキストでプロセスを実行することができます。
KEV掲載: 2022-03-15公式(NVD) →Windows AppX展開サーバーがジャンクションを不適切に処理する場合に、特権昇格の脆弱性が存在します。
KEV掲載: 2022-03-15公式(NVD) →Windows AppXSVCがハードリンクを不適切に処理する場合に、特権昇格の脆弱性が存在します。この脆弱性を悪用した攻撃者は、昇格されたコンテキストでプロセスを実行することができます。
KEV掲載: 2022-03-15公式(NVD) →Windows が認証リクエストを不適切に処理する場合に権限昇格脆弱性が存在します。この脆弱性を正常に悪用した攻撃者は、昇格されたコンテキストでプロセスを実行することができます。
KEV掲載: 2022-03-15公式(NVD) →Windows エラー報告マネージャーが ハードリンクを不適切に処理する場合、権限昇格の脆弱性が存在します。この脆弱性を悪用した攻撃者は、対象ファイルを上書きして昇格された状態を獲得する可能性があります。
KEV掲載: 2022-03-15公式(NVD) →Microsoft Windows OSおよびServerのカーネルモードドライバに存在する脆弱性により、ローカルユーザーが細工されたアプリケーションを介して権限昇格を実行されることが可能です。
KEV掲載: 2022-03-15公式(NVD) →Windows AppXSVCが硬リンクを不正に処理する場合に、特権昇格の脆弱性が存在します。この脆弱性を悪用した攻撃者は、昇格されたコンテキストでプロセスを実行することができます。
KEV掲載: 2022-03-15公式(NVD) →Windows の Win32k コンポーネントがメモリ内のオブジェクトを適切に処理できない場合に、権限昇格の脆弱性が存在します。
KEV掲載: 2022-03-15公式(NVD) →タスク スケジューラー サービスが特定のファイル操作を検証する方法に、権限昇格の脆弱性が存在します。
KEV掲載: 2022-03-15公式(NVD) →Atlassian Jiraサーバーおよびデータセンターにサーバーサイドテンプレートインジェクション脆弱性が含まれており、リモートコード実行を可能にする可能性があります。
KEV掲載: 2022-03-07公式(NVD) →Adobe Coldfusionに認証回避の脆弱性が含まれており、認可されていないユーザーが管理者アクセスを取得される可能性があります。
KEV掲載: 2022-03-07公式(NVD) →NETGEARは複数のルータにおいて、認証されていないWebページがフォーム入力をコマンドラインインターフェースに直接渡すことを許可しており、リモートコード実行を可能にしていることを確認しました。
KEV掲載: 2022-03-07公式(NVD) →NETGEAR DGN2200無線ルーターに、リモートコード実行を可能にする脆弱性が存在します。
KEV掲載: 2022-03-07公式(NVD) →Adobe BlazeDS（LifeCycleおよびColdfusionで使用される）に情報開示を許可する脆弱性が含まれています。
KEV掲載: 2022-03-07公式(NVD) →VMware vCenter Server および Cloud Foundation Server に、vCenter Server プラグイン内の URL の検証が不十分であることに起因する SSRF 脆弱性が存在します。これにより、情報開示が可能になります。
KEV掲載: 2022-03-07公式(NVD) →Adobe Coldfusionに未指定の脆弱性が存在し、侵害されたサーバーから情報漏洩を引き起こす可能性があります。
KEV掲載: 2022-03-07公式(NVD) →Adobe ColdFusionにはディレクトリトラバーサルの脆弱性が含まれており、認可されていないユーザーが制限されたディレクトリへのアクセスを許可される可能性があります。
KEV掲載: 2022-03-07公式(NVD) →Pulse Connect Secure に存在するコード注入脆弱性により、攻撃者が細工された URI を作成して、管理者向けウェブインターフェース経由で任意のコード実行を行うことができます。
KEV掲載: 2022-03-07公式(NVD) →Mozilla Firefoxの、XSLT パラメータ処理における使用後解放（use-after-free）の脆弱性により、任意のコード実行を実行される可能性があります。
KEV掲載: 2022-03-07公式(NVD) →Mozilla Firefoxに含まれるWebGPU IPCフレームワークのユーズアフターフリー脆弱性により、任意のコード実行が可能になります。
KEV掲載: 2022-03-07公式(NVD) →Apache Tomcatは、Apache JServ Protocol（AJP）接続をHTTP接続など他の接続よりも高い信頼レベルで扱います。攻撃者がこのような接続にアクセスできる場合、これらは悪用される可能性があります。
KEV掲載: 2022-03-03公式(NVD) →Adobe Flash Playerのアクションスクリプト3 ByteArrayクラスに使用後解放（use-after-free）の脆弱性が存在し、攻撃者がリモートコード実行を実行することが可能です。
KEV掲載: 2022-03-03公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。