脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Windows の Win32k コンポーネントがメモリ内のオブジェクトを適切に処理できない場合に、権限昇格の脆弱性が存在します。別名「Win32k EoP」。
KEV掲載: 2022-01-10公式(NVD) →GlobalProtectポータルまたはGlobalProtectゲートウェイインターフェイスが有効な場合のPAN-OSにおけるリモートコード実行
KEV掲載: 2022-01-10公式(NVD) →FatPipe WARP、IPVPN、およびMPVPNソフトウェアのウェブ管理インターフェースの脆弱性により、リモートの認証されていない攻撃者がファイルシステム上の任意の場所にファイルをアップロードすることができます。
KEV掲載: 2022-01-10公式(NVD) →vCenter Serverで使用されているRhttproxyに、URI正規化の不適切な実装による脆弱性が含まれています。
KEV掲載: 2022-01-10公式(NVD) →Fortinet FortiOSおよびFortiProxyのヒープバッファオーバーフローにより、ログイン済みユーザーのSSL VPN Webサービスが終了する可能性があります。
KEV掲載: 2022-01-10公式(NVD) →Google Chromeのメディアに使用後解放(use-after-free)脆弱性が存在し、リモート攻撃者が細工されたHTMLページを通じてコードを実行する可能性があります。
KEV掲載: 2022-01-10公式(NVD) →WinVerifyTrust関数がPEファイルのWindows Authenticode署名検証を処理する方法に、リモートコード実行の脆弱性が存在します。
KEV掲載: 2022-01-10公式(NVD) →Google Chromium V8エンジンには、use-after-free脆弱性が含まれており、リモート攻撃者が細工されたHTMLページを介してヒープ破損を悪用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2021-12-15公式(NVD) →Microsoft Windows AppX インストーラーに、機密性、完全性、および可用性に深刻な影響を与えるなりすまし脆弱性が存在します。
KEV掲載: 2021-12-15公式(NVD) →Apache Log4j2に、攻撃者が制御するJNDI関連エンドポイントに対するJNDI機能の保護がない脆弱性が存在し、リモートコード実行を引き起こされる可能性があります。
KEV掲載: 2021-12-10公式(NVD) →Zoho Desktop Centralに認証バイパスの脆弱性が存在し、攻撃者がDesktop Central MSPサーバー上で任意のコードを実行される可能性があります。
KEV掲載: 2021-12-10公式(NVD) →RealTek Jungle SDKには複数のメモリ破損脆弱性が含まれており、攻撃者がリモートコード実行を実行できる可能性があります。
KEV掲載: 2021-12-10公式(NVD) →JBoss Application Serverは、Red Hat Enterprise Application Platform 5.2に付属しており、攻撃者が細工されたシリアル化データを経由して任意のコードを実行できる可能性があります。
KEV掲載: 2021-12-10公式(NVD) →FUEL CMS 1.4.7では、/pages/items、/permissions/items、または/navigation/itemsのcolパラメータを通じたSQLインジェクションが可能です。
KEV掲載: 2021-12-10公式(NVD) →mongo-expressバージョン0.54.0より前は、`toBSON`メソッドを使用するエンドポイントを介したリモートコード実行に対して脆弱です。
KEV掲載: 2021-12-10公式(NVD) →Embedthis GoAhead 3.6.5より前のバージョンでは、CGIが有効になっており、CGIプログラムが動的にリンクされている場合、リモートコード実行が可能です。
KEV掲載: 2021-12-10公式(NVD) →Sonatype Nexus Repository Manager 3.15.0より前のバージョンには不正なアクセス制御の脆弱性があります。この脆弱性を悪用することで、リモートコード実行が可能になります。
KEV掲載: 2021-12-10公式(NVD) →JBoss Seam 2（jboss-seam2）は、Red Hat Linux用のJBoss Enterprise Application Platform 4.3.0で使用される場合、攻撃者にリモートコード実行を実行させる可能性があります。この脆弱性は、Javaセキュリティマネージャが適切に設定されていない場合にのみ悪用される可能性があります。
KEV掲載: 2021-12-10公式(NVD) →Apache SolrのオプションモジュールであるDataImportHandlerにコード注入脆弱性が含まれています。
KEV掲載: 2021-12-10公式(NVD) →Pi-hole Web v4.3.2 (別名 AdminLTE) は、細工された DHCP 静的リースを介して、特権を持つダッシュボードユーザーによるリモートコード実行を許可しています。
KEV掲載: 2021-12-10公式(NVD) →Linux カーネルの Kernel/ptrace.c における不適切な権限管理の脆弱性により、ローカルユーザーがルートアクセスを取得することが可能になります。
KEV掲載: 2021-12-10公式(NVD) →Fortinet FortiOS「execute restore src-vis」コマンドが整合性チェックなしでコードをダウンロードするため、攻撃者が任意にファイルをダウンロードできます。
KEV掲載: 2021-12-10公式(NVD) →細工されたリクエストのURIパスにより、mod_proxyが遠隔ユーザーによって選択されたオリジンサーバーにリクエストを転送する可能性があります。この問題はApache HTTP Server 2.4.48以前に影響します。
KEV掲載: 2021-12-01公式(NVD) →Zoho ManageEngine ServiceDesk Plus バージョン11302より前は、いくつかのREST-API URLが認証なしでアクセス可能となる認証回避の脆弱性に対して脆弱です。
KEV掲載: 2021-12-01公式(NVD) →Zoho ManageEngine ServiceDesk Plus 11306未満、ServiceDesk Plus MSP 10530未満、およびSupportCenter Plus 11014未満は、認証なしのリモートコード実行の脆弱性を有しています
KEV掲載: 2021-12-01公式(NVD) →MikroTik RouterOS バージョン6.42以前では、WinBoxインターフェースのディレクトリトラバーサル脆弱性により、認証されていないリモート攻撃者が任意のファイルを読み取ることができ、認証されたリモート攻撃者が任意のファイルを書き込むことができます。
KEV掲載: 2021-12-01公式(NVD) →Snapdragon Auto、Snapdragon Compute、Snapdragon Connectivity、Snapdragon Consumer IOT、Snapdragon Industrial IOT、Snapdragon Mobile、Snapdragon Voice & Music、Snapdragon Wearablesにおいて、ユーザーアプリケーションが巨大なサイズのメモリ割り当てを要求する際に、エラーを返すための適切なチェックが不十分なため、メモリ破損が発生する可能性がある脆弱性。
KEV掲載: 2021-12-01公式(NVD) →認証済みの攻撃者は、Microsoft Exchange内のコマンドレット引数の検証不備を悪用して、リモートコード実行を実行する可能性があります。
KEV掲載: 2021-11-17公式(NVD) →DjVuファイル形式におけるユーザーデータの不適切なニュートラライゼーションにより、Exiftoolバージョン7.44以上で悪意のある画像を解析する際に任意のコード実行が可能になります
KEV掲載: 2021-11-17公式(NVD) →認証されたユーザーが権限昇格を実行することを許可する未指定の脆弱性。
KEV掲載: 2021-11-17公式(NVD) →Microsoft Excelのセキュリティ機能回避脆弱性により、ローカルユーザーが任意のコード実行を実行することが可能になります。
KEV掲載: 2021-11-17公式(NVD) →Ivanti Pulse Connect Secureは、任意ファイル読み取り脆弱性を含んでおり、ネットワークアクセスを持つ認証されていないリモート攻撃者がHTTPSを介して細工されたURIを送信することで、この脆弱性を悪用できます。
KEV掲載: 2021-11-03公式(NVD) →GitHub Community EditionおよびEnterprise Editionで、GitLab Workhorse経由の画像アップロード機能を利用している場合、リモートコード実行の脆弱性にさらされます。Workhorse は画像ファイルの拡張子を ExifTool に渡しますが、ExifTool は画像ファイルの検証を不適切に行っています。
KEV掲載: 2021-11-03公式(NVD) →Apache Struts Jakarta Multipart パーサーは Content-Type 値を悪用した悪意のあるファイルアップロードを許可し、リモートコード実行につながる脆弱性があります。
KEV掲載: 2021-11-03公式(NVD) →Atlassian Confluence ServerおよびData Centerに存在するサーバーサイドテンプレートインジェクション脆弱性により、攻撃者がパストラバーサルおよびリモートコード実行を達成できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Drupal Coreに、Drupalサイトの複数の攻撃ベクトルを悪用することで、攻撃者が遠隔コード実行を実行でき、サイト全体の侵害をもたらす可能性のある脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Microsoft SharePointはアプリケーションパッケージのソースマークアップの確認に失敗します。この脆弱性を悪用した攻撃者は、SharePointアプリケーションプールおよびSharePointサーバーファームアカウントのコンテキストでリモートコードを実行できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Cisco HyperFlex HX インストーラー仮想マシンに入力値の検証が不十分な脆弱性が存在し、攻撃者がこの脆弱性を悪用して、影響を受けるデバイス上で root ユーザーとしてコマンドを実行できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →VMware vCenter Serverの分析サービスに、ファイルアップロード脆弱性が含まれており、ポート443へのネットワークアクセスを持つユーザーがコード実行を行うことを許可します。
KEV掲載: 2021-11-03公式(NVD) →VMware vSphere Clientは、vCenter Serverでデフォルトで有効になっているVirtual SAN Health Checkプラグインの不適切な入力検証脆弱性を含んでおり、リモートコード実行を許可しています。
KEV掲載: 2021-11-03公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。