脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Cisco HyperFlex HX インストーラー仮想マシンに入力値の検証が不十分な脆弱性が存在し、攻撃者がこの脆弱性を悪用して、影響を受けるデバイス上で root ユーザーとしてコマンドを実行できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →VMware vCenter Serverの分析サービスに、ファイルアップロード脆弱性が含まれており、ポート443へのネットワークアクセスを持つユーザーがコード実行を行うことを許可します。
KEV掲載: 2021-11-03公式(NVD) →Apache HTTP Serverには、パストトラバーサル脆弱性が存在します。Aliasのようなディレクティブで設定されたディレクトリ外のファイルがデフォルトの「require all denied」の下にない場合、またはCGIスクリプトが有効になっている場合、攻撃者はリモートコード実行を実行できます。このCVE IDはCVE-2021-41773の不完全なパッチを解決するものです。
KEV掲載: 2021-11-03公式(NVD) →Atlassian Confluence ServerおよびData Centerに存在するサーバーサイドテンプレートインジェクション脆弱性により、攻撃者がパストラバーサルおよびリモートコード実行を達成できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Apache HTTP Serverに、Aliasのようなディレクティブで設定されたディレクトリ外のファイルがデフォルトの「require all denied」下にないか、CGIスクリプトが有効になっている場合、攻撃者がリモートコード実行を実行できるパストラバーサル脆弱性が存在します。このCVE IDの下で発行された元のパッチは不十分であり、CVE-2021-42013の修復情報を確認してください。
KEV掲載: 2021-11-03公式(NVD) →Fortinet FortiOSのSSL VPN Webポータルに、パストラバーサル脆弱性が存在します。認証されていない攻撃者が、特別に細工されたHTTPリソースリクエストを通じてFortiOSシステムファイルをダウンロードできる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Ivanti MobileIronのCore & Connector、Sentry、およびMonitor and Reporting Database（RDB）製品に、リモートコード実行を可能にする未指定の脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →VMware vCenter Server vSphere Client に含まれるリモートコード実行脆弱性があります。この脆弱性は vCenter Server プラグイン内に存在し、ポート 443 へのネットワークアクセスを持つ攻撃者が、基盤となるオペレーティングシステム上で無制限の権限でコマンドを実行することを可能にします。
KEV掲載: 2021-11-03公式(NVD) →Cisco IOSおよびIOS XEソフトウェアにおけるパケットデータの不適切な検証により、認証を受けていないリモート攻撃者が影響を受けたデバイスのリロードをトリガーし、サービス妨害(DoS)状態を引き起こすか、影響を受けたデバイス上でコード実行を実行することが可能になります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows DNSサーバーがリクエストを適切に処理できない脆弱性により、攻撃者がローカルシステムアカウントのコンテキストでリモートコード実行を実行することが可能となります。この脆弱性はSIGRedとしても知られています。
KEV掲載: 2021-11-03公式(NVD) →VMware ESXiおよびHorizon Desktop as a Service (DaaS)に含まれるOpenSLPのヒープベースバッファオーバーフロー脆弱性により、ポート427への網络アクセスを持つ攻撃者がOpenSLPサービスのヒープを上書きしてリモートコード実行を実行できます。
KEV掲載: 2021-11-03公式(NVD) →WordPress File Manager プラグインに、認証されていないユーザーが対象サイト上で PHP コードを実行し、悪意のあるファイルをアップロードできるリモートコード実行脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Apache Strutsにおけるオブジェクトグラフナビゲーション言語（OGNL）の強制的な評価は、タグ属性の未処理のユーザー入力に対して評価される場合、リモートコード実行につながる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →AtlassianのCrowdおよびCrowd Data Centerは、リリースビルドでpdkinstallという開発用プラグインが誤って有効化されていることに起因するリモートコード実行脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Exchange Serverに含まれる未指定の脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Exchange Serverには、リモートコード実行を許可する未指定の脆弱性が含まれています。この脆弱性はProxyLogon エクスプロイトチェーンの一部です。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Exchange Serverに、特権昇格を引き起こす未指定の脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Apache Shiroに脆弱性が存在します。「remember me」機能の暗号鍵が設定されていない場合、指定されていないリクエストパラメータを介して、リモート攻撃者がコード実行または意図されたアクセス制限の回避を行える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Exchange Serverの検証キーがインストール時に一意のキーを適切に生成できないため、リモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Microsoftの Windows Print Spoolerに、Windows Print Spoolerサービスが特権付きファイル操作を不適切に実行することに起因する未指定の脆弱性が存在します。この脆弱性を悪用することで、攻撃者はSYSTEM権限でリモートコード実行を実行することができます。この脆弱性はPrintNightmareとしても知られています。
KEV掲載: 2021-11-03公式(NVD) →VMware vCenter Serverは、Platform Services Controller（PSC）がアクセス制御を正しく実装していない場合、VMware Directory Service（vmdir）に情報開示脆弱性を含んでいます。攻撃者がポート389へのネットワークアクセスを保持している場合、悪用に成功すると機密情報を抽出することができます。
KEV掲載: 2021-11-03公式(NVD) →Zoho ManageEngine Desktop Centralは、認証なしでリモートコード実行を許可するファイルアップロード脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →Oracle WebLogic Serverに未指定の脆弱性が存在します。この脆弱性はCVE-2020-14750に関連しており、リモートコード実行を可能にすると評価されています。
KEV掲載: 2021-11-03公式(NVD) →Liferay Portalに含まれる信頼されていないデータのデシリアライゼーション脆弱性があり、JSONウェブサービス経由でリモート攻撃者がコード実行を可能にします。
KEV掲載: 2021-11-03公式(NVD) →ForgeRock Access Management (AM) Core Serverは、3つのエンドポイント（/ccversion/Version、/ccversion/Masthead、または/ccversion/ButtonFrame）のいずれかに特別に細工されたHTTPリクエストを送信する攻撃者が、現在のユーザーのコンテキストでコードを実行することを許可しています（ForgeRock AMがrootユーザーとして実行されている場合を除き、ベンダーは推奨していません）。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Remote Desktop Services（以前はTerminal Serviceとして知られていた）には特定されない脆弱性が存在します。認証されていない攻撃者はRDPを使用してターゲットシステムに接続し、特別に細工されたリクエストを送信することができます。悪用に成功すると、リモートコード実行が可能になります。この脆弱性はBlueKeepというコード名でも知られています。
KEV掲載: 2021-11-03公式(NVD) →Arcadyanバッファロー製ファームウェアに含まれるパストラバーサル脆弱性により、認証されていないリモート攻撃者が認証をバイパスして機密情報にアクセスされる可能性があります。この脆弱性は複数のベンダーの様々なルーターに影響します。
KEV掲載: 2021-11-03公式(NVD) →D-Link DNS-320デバイスのsytem_mgr.cgiコンポーネントにコマンドインジェクション脆弱性が存在し、リモートコード実行が可能になる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →F5 BIG-IPトラフィック管理ユーザーインターフェース（TMUI）の未公開ページに、リモートコード実行脆弱性が存在する。
KEV掲載: 2021-11-03公式(NVD) →Adobe ColdFusionは、コード実行を許可する可能性がある無制限のファイルアップロード脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →DrayTekのVigor3900、Vigor2960、およびVigor300Bルーターに、リモートコード実行を可能にする未指定の脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Azure VM管理拡張機能に含まれるMicrosoft Open Management Infrastructure（OMI）に、リモートコード実行を許可する未指定の脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →vBulletinのPHPモジュール内に、ajax/render/widget_phpルート文字列リクエストのwidgetConfig[code]パラメータを経由したリモートコード実行を許可する特定されていない脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →F5 BIG-IPおよびBIG-IQ Centralized Managementに含まれるiControl RESTインターフェースの遠隔コード実行脆弱性により、ネットワークアクセスを持つ認証されていない攻撃者がシステムコマンドを実行し、ファイルを作成または削除し、サービスを無効化することが可能です。
KEV掲載: 2021-11-03公式(NVD) →Progress Telerik UI for ASP.NET AJAXのRadAsyncUploadに含まれる信頼できないデータの逆シリアル化脆弱性により、w3wp.exeプロセスのコンテキストでサーバー上のコード実行が発生する可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows Server 2003 R2に含まれるInternet Information Services (IIS) 6.0には、バッファオーバーフロー脆弱性が存在します。この脆弱性により、リモート攻撃者はPROPFINDリクエストにおいて「If: <http://」で始まるロングヘッダーを用いてコードを実行される可能性があります。
KEV掲載: 2021-11-03公式(NVD) →ThinkPHP「noneCms」に、filterパラメータを悪用した不正な使用方法によるリモートコード実行を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →SaltStackのSaltは、Salt APIへのネットワークアクセスを持つ認証されていないユーザーがシェルインジェクションを利用してSSHクライアントを経由してSalt API上でコードを実行することを許可しています。この脆弱性はSalt APIを実行しているすべてのユーザーに影響します。
KEV掲載: 2021-11-03公式(NVD) →Oracle WebLogic Serverには、認証されていない攻撃者がリモートコード実行を実行できるようにする未指定の脆弱性が含まれています。この脆弱性はCVE-2020-14882に関連しています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft .NET Frameworkに、入力値の不正な検証により遠隔コード実行を許可する脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。