脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Microsoft Win32kカーネルモードドライバがメモリ内のオブジェクトを適切に処理できない脆弱性により、特権昇格が可能になります。この脆弱性を悪用することに成功した攻撃者は、カーネルモードでコードを実行することができます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows Media Centerには、悪意のあるコードを参照する特別に細工されたMedia Centerリンク(.mcl)ファイルをWindows Media Centerが開く場合、リモートコード実行の脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Microsoft WindowsのAdobe Font Manager Libraryに、特別に細工されたマルチマスターフォント（Adobe Type 1 PostScript形式）を処理する際の未指定の脆弱性が存在します。Windows 10以外のすべてのシステムではリモートコード実行が可能になります。Windows 10を実行しているシステムの場合、この脆弱性を悪用した攻撃者は、権限と機能が限定されたAppContainerサンドボックスコンテキスト内でコードを実行することができます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Win32kに特権昇格を可能にする不特定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Adobe ColdFusionは、信頼されていないデータの逆シリアル化の脆弱性を含んでおり、コード実行が可能になる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOS、および watchOS の CoreGraphics に整数オーバーフロー脆弱性が存在し、悪意のある細工された PDF を処理する際にコード実行を許可する可能性があります。この脆弱性は FORCEDENTRY というニックネームでも知られています。
KEV掲載: 2021-11-03公式(NVD) →SaltStack Saltのsalt-masterプロセス内のClearFuncsに、認証済みユーザーによるディレクトリアクセスを可能にするパストトラバーサル脆弱性が含まれています。基本的なインターネットセキュリティガイドラインとベストプラクティスに従うSaltユーザーはこの脆弱性の影響を受けません。
KEV掲載: 2021-11-03公式(NVD) →Apache HTTP Serverは、MPM event、worker、preforkで動作する場合、権限が低い子プロセスまたはスレッド（インプロセススクリプトインタプリタで実行されるスクリプトを含む）内で実行されるコードが、スコアボードを操作することにより、親プロセス（通常はroot）の権限でコードを実行できる脆弱性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Internet Explorerにメモリ破損脆弱性が存在し、現在のユーザーのコンテキストでリモートコード実行を許可する可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Ivanti Pulse Connect Secureは、ライセンスサービスを経由して、リモートの認証されていない攻撃者がコードを実行することを可能にするuse-after-free脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →DotNetNuke（DNN）は、入力パラメータを保護するために弱い暗号化アルゴリズムを使用していることに起因する、不十分な暗号化強度の脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows ローカルセキュリティオーソリティ(LSA)に、認証されていない攻撃者がLSARPCインターフェース上のメソッドを呼び出し、ドメインコントローラーに別のサーバーに対するNTLM認証を強制することができるなりすまし脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Netgear JGS516PEデバイスに機能レベルのアクセス制御が不足している脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows カーネルに未指定の脆弱性が存在し、情報開示が可能になります。攻撃者が成功時にユーザーモード プロセスからカーネル メモリの内容を読み取ることを許可します。
KEV掲載: 2021-11-03公式(NVD) →Accellion FTAは、各種管理エンドポイントへの細工されたPOSTリクエストを通じて悪用されるOSコマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →Androidカーネルのbinderでuse-after-free脆弱性が存在し、アプリケーションからLinuxカーネルへの権限昇格が可能です。この脆弱性はCVE-2020-0041およびCVE-2020-0069と組み合わせて、エクスプロイトチェーン「AbstractEmu」下で観測されました。
KEV掲載: 2021-11-03公式(NVD) →IBM Data Risk Managerに、リモート認証済み攻撃者がシステム上でコマンドを実行できる可能性がある未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →D-Link DIR-825 R1デバイスのウェブインターフェースにはバッファオーバーフロー脆弱性が存在し、リモートコード実行を許可する可能性があります。
KEV掲載: 2021-11-03公式(NVD) →DotNetNuke (DNN) は、入力パラメータを保護するために脆弱な暗号化アルゴリズムを使用することに起因する、不十分な暗号化強度の脆弱性が存在します。この CVE ID は CVE-2018-15811 の不完全なパッチを解決するものです。
KEV掲載: 2021-11-03公式(NVD) →Fortinet FortiOSのSSL VPNに認証不備の脆弱性が存在します。この脆弱性により、ユーザーがユーザー名の大文字小文字を変更した場合、2段階認証（FortiToken）の入力を求められずにログインに成功する可能性があります。
KEV掲載: 2021-11-03公式(NVD) →WordPressのSocial Warfareプラグインにはクロスサイトスクリプティング（XSS）脆弱性が存在し、リモートコード実行を可能にしています。この脆弱性はSocial WarfareおよびSocial Warfare Proに影響します。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows MSHTMLプラットフォームに、リモートコード実行を許可する未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium V8エンジンに型の混同脆弱性が存在し、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を引き起こす可能性があります。この脆弱性はChromiumを使用する複数のWebブラウザ（Google Chrome、Microsoft Edge、Operaなど）に影響を及ぼす可能性があります。
KEV掲載: 2021-11-03公式(NVD) →SonicWall SSLVPN SMA100にはSQL注入脆弱性が存在し、認証されていない攻撃者がリモートから資格情報にアクセスすることを可能にします。
KEV掲載: 2021-11-03公式(NVD) →Mozilla FirefoxおよびThunderbirdは、配列要素を設定する際にIonMonkey JITコンパイラの不正なエイリアス情報が原因で、型混同脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft MSHTMLエンジンに、入力値の不正な検証を含む脆弱性があり、リモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →EyesOfNetworkに不適切な権限管理の脆弱性が存在し、攻撃者が細工されたNmap Scripting Engine（NSE）スクリプトをnmap7経由で実行することで、rootとしてコマンドを実行できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Adobe AcrobatとReaderに含まれるUse-After-Free脆弱性により、認証されていない攻撃者が現在のユーザーのコンテキストでコード実行を達成できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Office Outlookには、メモリ内のオブジェクトが不適切に処理されることによって生じるセキュリティ機能回避の脆弱性が存在します。この脆弱性を悪用された場合、攻撃者はコマンドを実行することができます。
KEV掲載: 2021-11-03公式(NVD) →Ivanti Pulse Connect Secure Collaboration Suiteに含まれるバッファオーバーフロー脆弱性により、リモート認証ユーザーが悪意のあるミーティングルームを通じてrootユーザーとしてコード実行を行うことができます。
KEV掲載: 2021-11-03公式(NVD) →Docker Desktop Community Editionに、%PROGRAMDATA%\DockerDesktop\version-bin\ディレクトリにトロイの木馬型のdocker-credential-wincred.exeファイルを配置することにより、ローカルユーザーが権限昇格を行う可能性のある脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Sophos Firewall オペレーティングシステム（SFOS）ファームウェアには、管理（HTTPS）サービスまたはユーザーポータルがWANゾーンに公開されている場合にSQLインジェクション脆弱性が存在します。この脆弱性を悪用されると、リモートコード実行が発生し、ローカルデバイス管理者、ポータル管理者、およびリモートアクセスに使用されるユーザーアカウントのユーザー名とハッシュ化されたパスワードが流出する可能性があります（ただし、外部のActive DirectoryまたはLDAPパスワードは該当しません）。
KEV掲載: 2021-11-03公式(NVD) →Google Chromiumの Indexed DB APIに使用後解放（use-after-free）の脆弱性が存在します。これにより、レンダラープロセスを侵害した遠隔攻撃者が、細工されたHTMLページを通じてサンドボックスエスケープを実行する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のWebブラウザに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →ImageMagickには、細工された画像を介してサーバーサイドリクエストフォージェリー(SSRF)を実行することを許可する、特定されていない脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →ImageMagickに、「ephemeral」疑似プロトコルを使用してファイルを削除可能な未指定の脆弱性が存在します。このプロトコルはファイル読み込み後にファイルを削除する機能を持つため、ユーザーがファイルを削除することが可能になります。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium V8エンジンのJSON.stringifyに脆弱性があり、内部的な「TheHole」値がスクリプトコードに漏洩して、メモリ破損を引き起こす可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のウェブブラウザに影響を及ぼす可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Roundcube Webmailは、デフォルトで使用されるファイルベースのアタッチメントプラグインと組み合わせて、入力値の検証が不十分であることに起因するファイル開示脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Win32kには、Windowsカーネルモードドライバがメモリ内のオブジェクトを適切に処理できない場合に、権限昇格の脆弱性が存在します。この脆弱性を悪用することで、攻撃者はカーネルモードでコードを実行することができます。
KEV掲載: 2021-11-03公式(NVD) →Zoho ManageEngine ServiceDesk Plus (SDP)に、ログインページのカスタマイズを経由してリモートユーザーがファイルをアップロードできる未特定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Win32kにはメモリ内のオブジェクトの適切な処理に失敗することに起因する特権昇格脆弱性が存在します。この脆弱性を悪用されると、攻撃者はカーネルモードでコードを実行することが可能になります。
KEV掲載: 2021-11-03公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。