脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Tenda AC11デバイスの/goform/setmacに、スタックバッファオーバーフロー脆弱性が存在します。この脆弱性により、攻撃者が細工されたPOSTリクエストを送信することでコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →PlaySMSは、リモートコード実行を可能にするサーバーサイドテンプレートインジェクション脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →IBM Planning Analyticsは設定上書きの脆弱性に対して脆弱であり、認証されていないユーザーが「admin」としてログインでき、その後TM1スクリプトを介してrootまたはSYSTEM権限でコードを実行できます。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium V8エンジンに型混同脆弱性が存在し、これにより攻撃者が細工されたHTMLページを通じてサンドボックス内でコードを実行できます。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のWebブラウザに影響を及ぼす可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Kaseya Virtual System/Server Administrator (VSA) には情報開示の脆弱性が存在し、攻撃者がシステムに対するさらなる攻撃を実行するために使用可能な sessionId を取得できます。
KEV掲載: 2021-11-03公式(NVD) →Pulse Connect Secureに、認証済みの攻撃者が無制限のgzip展開を使用してコード実行を実行することを可能にする未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows の CryptoAPI (Crypt32.dll) に、楕円曲線暗号 (ECC) 証明書の検証方法に関するなりすまし脆弱性が存在します。攻撃者は、なりすまされたコード署名証明書を使用して悪質な実行ファイルに署名することで、この脆弱性を悪用し、ファイルが信頼できる正当なソースから提供されたように見せかけることができます。悪用に成功した場合、攻撃者は中間者攻撃を実行し、影響を受けるソフトウェアへのユーザー接続上の機密情報を復号化することもできます。この脆弱性は CurveBall というニックネームでも知られています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Exchange Serverに、セキュリティ機能のバイパスを許可する未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Officeにメモリ破損の脆弱性が存在し、現在のユーザーのコンテキストでリモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft OfficeおよびWordPadに、アプリケーションが特別に細工されたファイルを解析する方法に起因する不特定の脆弱性が存在します。この脆弱性を悪用することで、リモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Yealink Device Managementにはサーバーサイドリクエストフォージェリ(SSRF)の脆弱性が存在し、認証なしのリモートコード実行を可能にします。
KEV掲載: 2021-11-03公式(NVD) →Oracle SolarisおよびOracle ZFS Storage Appliance Kitに、影響を受けるシステムの機密性、完全性、および可用性に対して高度な影響を与える、特定されていない脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Officeは、リッチテキストフォーマットファイルをメモリ内で適切に処理できないことに起因するメモリ破損の脆弱性を含んでいます。この脆弱性を悪用した場合、現在のユーザーのコンテキストでリモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium V8エンジンに型混同脆弱性が存在し、攻撃者が細工されたHTMLページを通じてヒープ破損を悪用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む複数のChromiumベースのウェブブラウザに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Ivanti Pulse Connect Secureの管理Webインターフェースに未指定の脆弱性が存在し、認証済みの攻撃者がカスタムテンプレートをアップロードしてコード実行を実行できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Tenda AC1900 Router AC15 モデルは未指定の脆弱性を含んでおり、deviceName POST パラメータを経由したリモート攻撃者によるシステムコマンド実行を許可します。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows Print Spoolerに、リモートコード実行を許可する未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →AdobeのAcrobatおよびReaderにはヒープベースのバッファオーバーフロー脆弱性が存在し、未認証の攻撃者が現在のユーザーのコンテキストでコード実行を実現できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →TVTデバイスのNVMS-1000ソフトウェアに、GET /..リクエストを経由したディレクトリトラバーサル脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Officeは、メモリ内のオブジェクト処理方法に起因するメモリ破損脆弱性を含んでいます。この脆弱性の悪用に成功した場合、現在のユーザーのコンテキストでリモートコード実行が可能になります。この脆弱性はCVE-2018-0798と組み合わせて悪用されることが知られています。
KEV掲載: 2021-11-03公式(NVD) →Oracle WebLogic Serverのコンソールコンポーネントに含まれる未指定の脆弱性があり、機密性、完全性、および可用性に対して高い影響を与えます。
KEV掲載: 2021-11-03公式(NVD) →Progress Telerik UI for ASP.NET AJAX および Sitefinity の Telerik.Web.UI.dll に暗号化の脆弱性が存在し、暗号化キー（Telerik.Web.UI.DialogParametersEncryptionKey および/または MachineKey）の漏洩、クロスサイトスクリプティング（XSS）攻撃、ASP.NET ViewState の侵害、ならびにファイルのアップロードおよびダウンロードが可能となる。
KEV掲載: 2021-11-03公式(NVD) →Unraidに認証バイパス脆弱性が存在し、攻撃者が管理インターフェースへのアクセスを取得することが可能です。このCVEはCVE-2020-5847と組み合わせてリモートコード実行を実現できます。
KEV掲載: 2021-11-03公式(NVD) →Adobe Flash Playerに含まれるUse-After-Free脆弱性により、コード実行が可能になる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →BQE BillQuick Web Suiteには、usernameパラメータにアクセスする際のSQLインジェクション脆弱性が存在します。この脆弱性により、認証なしでリモートコード実行が可能になる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Internet Explorerに含まれる仕様が明記されていない脆弱性により、メモリ破損が発生する可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft .NET Frameworkが信頼されていない入力を処理する際のリモートコード実行脆弱性を含んでおり、攻撃者が影響を受けたシステムを制御することを可能にする可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium V8エンジンに不正な入力検証の脆弱性が存在します。この脆弱性により、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を悪用される可能性があります。Chromiumを使用する複数のウェブブラウザ（Google Chrome、Microsoft Edge、Operaを含みますが、これに限定されません）が影響を受ける可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Google ChromeはフォントをレンダリングするためにオープンソースのソフトウェアライブラリであるFreeTypeを使用していますが、フォントに埋め込まれたPNG画像を処理する際にLoad_SBit_Png関数にヒープバッファオーバーフロー脆弱性が存在します。この脆弱性は、Windows上のCVE-2020-17087およびAndroid上のCVE-2020-16010とのエクスプロイトチェーンの一部です。
KEV掲載: 2021-11-03公式(NVD) →Citrix ADC、Citrix Gateway、および複数のCitrix SD-WAN WANOP アプライアンスモデルに含まれる認可バイパスの脆弱性により、認証なしで特定のURLエンドポイントへのアクセスが可能になる可能性があります。この脆弱性を悪用するには、攻撃者がNetScaler IP（NSIP）へのアクセス権を持つ必要があります。
KEV掲載: 2021-11-03公式(NVD) →IBM Data Risk Manager には、SAML認証で構成されている場合、リモート攻撃者がセキュリティ制限をバイパスすることを可能にするセキュリティバイパス脆弱性が含まれています。特別に細工されたHTTPリクエストを送信することで、攻撃者はこの脆弱性を悪用して認証プロセスをバイパスし、システムへの完全な管理者アクセスを取得する可能性があります。
KEV掲載: 2021-11-03公式(NVD) →rConfig の lib/ajaxHandlers/ajaxAddTemplate.php に OS コマンドインジェクション脆弱性が存在します。この脆弱性により、fileName POST パラメータのシェルメタ文字を通じてリモート攻撃者が OS コマンドを実行される可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Nagios XIには、ユーザーがcheck_pluginの実行可能ファイルを修正して悪意のあるコマンドを挿入し、rootとして実行できるリモートコード実行脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Internet Explorerに含まれるメモリ破損の脆弱性で、スクリプティングエンジンがメモリ内のオブジェクトを処理する方法に起因しています。悪用に成功した場合、現在のユーザーのコンテキストでリモートコード実行が可能になる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windowsのactive Directoryは、グループポリシー設定を使用して配布されるパスワードの処理方法に起因する権限昇格の脆弱性を含んでいます。この脆弱性を悪用した認証済み攻撃者は、パスワードを復号化し、ドメイン上で権限を昇格させるためにそれらを使用することができます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows Adobe Font Manager Library には、特別に細工されたマルチマスターフォント（Adobe Type 1 PostScript形式）を処理する際の未指定の脆弱性が含まれており、Windows 10を除くすべてのシステムでリモートコード実行が可能になります。Windows 10を実行しているシステムの場合、この脆弱性を悪用した攻撃者は、権限と機能が制限されたAppContainerサンドボックスコンテキスト内でコードを実行できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium V8エンジンに型混同の脆弱性が存在します。この脆弱性により、リモート攻撃者が細工されたHTMLページを経由してヒープ破損を悪用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを使用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Cisco Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) には、ウェブサービスインターフェースによるユーザー供給入力に対する入力検証の不足脆弱性が含まれています。この脆弱性が悪用されると、攻撃者はインターフェースのコンテキストでクロスサイトスクリプティング (XSS) を実行したり、ブラウザベースの機密情報にアクセスしたりする可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Google ChromiumのV8エンジンに、細工されたHTMLページを通じてヒープ破損を引き起こす可能性のあるバッファオーバーフロー脆弱性が存在します。この脆弱性により、リモート攻撃者がヒープ破損を悪用する可能性があります。この脆弱性はChromiumを採用する複数のウェブブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、およびOperaを含みますが、これらに限定されません。
KEV掲載: 2021-11-03公式(NVD) →マイクロソフトのNetlogonリモートプロトコル（MS-NRPC）には、攻撃者がドメインコントローラーへの脆弱なNetlogonセキュアチャネル接続を確立した場合に権限昇格の脆弱性が存在します。この脆弱性を悪用された場合、攻撃者はネットワーク上のデバイスで特別に細工されたアプリケーションを実行できる可能性があります。この脆弱性はZerologonというニックネームでも知られています。
KEV掲載: 2021-11-03公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。