脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Zoho ManageEngine ADSelfService Plusに含まれる認証回避の脆弱性は、リモートコード実行を可能にするREST API URLに影響を及ぼします。
KEV掲載: 2021-11-03公式(NVD) →Atlassian Confluence ServerおよびData Centerは、downloadallattachmentsリソースにパストラバーサルの脆弱性を含んでいます。特権を持つリモート攻撃者がファイルを書き込むことを許可する可能性があります。悪用によりリモートコード実行につながる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →SonicWall Email Securityには、不適切な権限管理の脆弱性が含まれており、攻撃者がリモートホストに細工されたHTTPリクエストを送信することで管理者アカウントを作成することが可能です。この脆弱性はCVE-2021-20022およびCVE-2021-20023と組み合わせてSonicWall Email Securityエクスプロイトチェーンで既知の使用方法があり、権限昇格を達成するために悪用されます。
KEV掲載: 2021-11-03公式(NVD) →Realtek AP-Router SDK のHTTP Webサーバー boa に、フォーム経由で送信された過度に長いパラメータの unsafe なコピーが原因となるバッファオーバーフロー脆弱性が存在し、サービス拒否 (DoS) につながる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →SAP Solution Manager User Experience Monitoring に、重要な機能に対する認証の欠落という脆弱性が存在します。この脆弱性により、Solution Manager に接続されているすべての SMDAgent が完全に侵害される可能性があります。
KEV掲載: 2021-11-03公式(NVD) →複数のOracleプロダクトに、認証なしの攻撃者がT3またはHTTPを経由してネットワークアクセスを取得し、影響を受けるシステムを乗っ取ることができるリモートコード実行脆弱性が存在します。影響を受けるOracleプロダクトは以下の通りです：Fusion MiddlewareのOracle Coherence、Oracle Utilities Framework、Oracle Retail Assortment Planning、Oracle Commerce、Oracle Communications Diameter Signaling Router（DSR）。
KEV掲載: 2021-11-03公式(NVD) →Micro Focus Operation Bridge Report (OBR)に、リモートコード実行を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →SaltStack Saltのsalt-masterプロセスに含まれるClearFuncsの認証回避脆弱性は、メソッド呼び出しの不適切な検証に起因します。この脆弱性により、リモートユーザーが認証なしで一部のメソッドにアクセスでき、salt masterからユーザートークンを取得したり、salt minionでコマンドを実行したりするために悪用される可能性があります。基本的なインターネットセキュリティガイドラインとベストプラクティスに従うSaltユーザーはこの脆弱性の影響を受けません。
KEV掲載: 2021-11-03公式(NVD) →SAP NetWeaver Application Server Javaプラットフォームには、重要な機能の認証が欠落している脆弱性が存在し、認証なしで設定タスクを実行し、管理ユーザーを作成することが可能です。
KEV掲載: 2021-11-03公式(NVD) →Apache Strutsに脆弱性が含まれており、2つの状況下でリモートコード実行が可能です。1つ目は、alwaysSelectFullNamespaceオプションがtrueに設定されており、基盤となる設定で定義されたresultに対してvalueが設定されていない場合で、かつその上位のpackage設定にno namespaceまたはワイルドカードnamespaceがある場合です。2つ目は、valueとactionが設定されていないURLタグを使用する場合で、かつその上位のpackage設定にno namespaceまたはワイルドカードnamespaceがある場合です。
KEV掲載: 2021-11-03公式(NVD) →Unraidに含まれる脆弱性は、extractというPHP関数の不安全な使用に起因するもので、rootとして遠隔コード実行を実行するために悪用される可能性があります。このCVEはCVE-2020-5849と連鎖させることで、初期アクセスのために悪用できます。
KEV掲載: 2021-11-03公式(NVD) →Apache Struts REST プラグインは、タイプフィルタリングなしで逆シリアル化を行うXStreamHandlerとXStreamのインスタンスを使用しており、XMLペイロードを逆シリアル化する際にリモートコード実行につながる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows Server Message Block 1.0 (SMBv1) に、リモートコード実行を可能にする未指定の脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Oracle WebLogic Serverは、Apache Commons内の信頼されていないデータの逆シリアル化の脆弱性を含んでいます。これにより、リモートコード実行が可能になる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Cisco IP Phonesに含まれるHTTPリクエストの不適切な入力検証脆弱性があります。これを悪用することで、攻撃者がroot権限でリモートからコードを実行したり、サービス妨害(DoS)状態を引き起こしたりする可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Exchange Serverに、リモートコード実行を可能にする未指定の脆弱性が存在します。この脆弱性はProxyLogon エクスプロイトチェーンの一部です。
KEV掲載: 2021-11-03公式(NVD) →Oracle Fusion Middleware Reportsディベロッパーに特定されていない脆弱性が含まれており、これにより遠隔の攻撃者が影響を受けるシステムの機密性と完全性に悪影響を及ぼす可能性があります。
KEV掲載: 2021-11-03公式(NVD) →VMware ESXiのOpenSLPに解放後使用(use-after-free)の脆弱性が存在します。管理ネットワークに位置し、ポート427へのアクセス権を持つ攻撃者は、リモートコード実行を行うことができます。
KEV掲載: 2021-11-03公式(NVD) →SolarWinds Serv-Uに特定されていないメモリエスケープの脆弱性が存在し、リモートコード実行を許可する可能性があります。
KEV掲載: 2021-11-03公式(NVD) →EximのSMTPリスナーに含まれるbase64d関数にバッファオーバーフロー脆弱性が存在し、リモートコード実行を許可する可能性があります。
KEV掲載: 2021-11-03公式(NVD) →SolarWinds Orion APIに認証バイパス脆弱性が存在し、リモート攻撃者がAPIコマンドを実行できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft MSCOMCTL.OCXに特定されていない脆弱性が存在し、リモートコード実行が可能になります。この脆弱性により、攻撃者は現在のユーザーのコンテキスト下で影響を受けたシステムを完全に制御することができます。
KEV掲載: 2021-11-03公式(NVD) →EyesOfNetworkには、デフォルトで同じAPIキーを使用しているため、ハードコードされた認証情報の使用脆弱性が存在します。この脆弱性を悪用することで、攻撃者は管理者アクセストークンを計算または推測することができます。
KEV掲載: 2021-11-03公式(NVD) →SonicWall SMA100には、認証なしのユーザーが不正なリソースへの読み取り専用アクセスを獲得することを許可するSQLインジェクション脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Cisco Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) は、HTTP リクエスト処理時の URL に対する不適切な入力検証の脆弱性を含有しています。攻撃者は、ディレクトリトラバーサル文字シーケンスを含むカスタマイズされた HTTP リクエストを影響を受けたデバイスに送信することで、この脆弱性を悪用する可能性があります。悪用に成功した場合、攻撃者は対象デバイス上のウェブサービスファイルシステム内の任意のファイルを閲覧することができます。
KEV掲載: 2021-11-03公式(NVD) →Cisco Adaptive Security Appliance（ASA）には、HTTPのURLに関する不正なインプット検証の脆弱性が存在します。この脆弱性を悪用することで、攻撃者はサービス拒否（DoS）状態を引き起こしたり、情報の開示を引き起こしたりする可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Cisco Small Business RV320およびRV325デュアルギガビットWAN VPNルータは、URLに対する不適切なアクセス制御を含んでいます。この脆弱性を悪用することで、攻撃者はルータの設定情報または詳細な診断情報をダウンロードすることが可能になります。
KEV掲載: 2021-11-03公式(NVD) →Sonatype Nexus Repositoryに、リモートコード実行を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Apache Solrの VelocityResponseWriterプラグインに、リモートコード実行を許可する可能性のある不特定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Zyxelファイアウォール（ATP、USG、VM）およびAPコントローラー（NXC2500およびNXC5500）に、ドキュメント化されていないアカウント（「zyfwp」）に硬化されたクレデンシャルが使用されている脆弱性が含まれており、パスワードを変更できません。
KEV掲載: 2021-11-03公式(NVD) →Microsoft MSHTMLに、リモートコード実行を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Exchange Serverに、リモートコード実行を可能にする未指定の脆弱性が存在します。この脆弱性はProxyLogon エクスプロイトチェーンの一部です。
KEV掲載: 2021-11-03公式(NVD) →WordPressのSnap Creek Duplicator プラグインには、管理者がサイトの新しいコピーを作成する際にファイルダウンロード脆弱性が存在します。この脆弱性により、攻撃者はWordPress ダッシュボードから生成されたファイルをダウンロードすることが可能になります。この脆弱性はDuplicatorおよびDuplicator Proに影響を与えます。
KEV掲載: 2021-11-03公式(NVD) →ThinkPHPには、public//?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=の後にコマンドを続けることで、リモートコード実行を許可する不特定の脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Microsoft .NET Framework、Microsoft SharePoint、および Visual Studio には、XML ファイル入力のソースマークアップをチェックしない場合に生じるリモートコード実行の脆弱性が含まれています。この脆弱性を悪用されると、攻撃者は XML コンテンツの逆シリアル化を担当するプロセスのコンテキストでコードを実行することができます。
KEV掲載: 2021-11-03公式(NVD) →Ivanti Pulse Connect SecureおよびPolicy Secureは、管理Webインターフェースから認証された攻撃者がコマンドインジェクションおよびコマンド実行を行うことを許可しています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Exchange Serverに含まれる不特定の脆弱性により、リモートコード実行が可能です。この脆弱性はProxyLogon エクスプロイトチェーンの一部です。
KEV掲載: 2021-11-03公式(NVD) →vBulletinのPHPモジュールに、ajax/render/widget_tabbedcontainer_tab_panelリクエスト内の細工されたsubWidgetsデータを介してリモートコード実行を許可する未指定の脆弱性が存在します。このCVE IDはCVE-2019-16759の不完全なパッチを解決しています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Officeは、メモリ内のオブジェクト処理方法に起因するメモリ破損の脆弱性を含んでいます。この脆弱性を悪用されると、現在のユーザーのコンテキストでリモートコード実行が可能になります。この脆弱性はCVE-2018-0802と連鎖して悪用されることが知られています。
KEV掲載: 2021-11-03公式(NVD) →DotNetNuke (DNN)は、クッキーの逆シリアライズを介したリモートコード実行を許可する可能性がある脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。