脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Google Chromium V8エンジンに、解放後利用(use-after-free)脆弱性が存在します。この脆弱性により、リモート攻撃者が細工されたHTMLページを介してヒープ破損を悪用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを利用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Exchange Serverがコマンドレット引数を不適切に検証しているため、攻撃者がリモートコード実行を実行できる。
KEV掲載: 2021-11-03公式(NVD) →Apple macOSのシステム環境設定に未指定のロジックの問題が存在し、悪意のあるアプリケーションがGatekeeperのチェックをバイパスされる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Internet Explorerのスクリプトエンジンには、メモリ内のオブジェクト処理におけるメモリ破損の脆弱性が含まれています。悪用に成功した場合、現在のユーザーのコンテキストでリモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windowsにはファイル署名の検証が不適切に実行される偽造の脆弱性が含まれており、攻撃者がセキュリティ機能をバイパスして不正に署名されたファイルを読み込むことができます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Win32kに、メモリ内のオブジェクトを適切に処理しないことに起因する特定されていない脆弱性が存在します。この脆弱性により権限昇格が可能です。悪意のある者による悪用が成功した場合、攻撃者はカーネルモードでコードを実行することができます。
KEV掲載: 2021-11-03公式(NVD) →SAP NetWeaver Application Server Java プラットフォームには、CrashFileDownloadServlet の fileName パラメータにおける ..\ (ドットドットバックスラッシュ) を経由したディレクトリトラバーサル脆弱性が含まれています。これにより、リモート攻撃者がファイルを読み取ることができます。
KEV掲載: 2021-11-03公式(NVD) →Amcrestのカメラおよびnvrはポート37777を通じたスタックベースのバッファオーバーフロー脆弱性を含んでおり、認証なしのリモート攻撃者がデバイスをクラッシュさせ、コード実行の可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Symantec Messaging Gatewayは特定されていない脆弱性を含んでおり、リモートコード実行を許可する可能性があります。リモートコード実行を実行する能力があれば、攻撃者は権限昇格アクションを実行することも望む可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Office オブジェクト リンク & エンベディング（OLE）ダイナミック リンク ライブラリ（DLL）には、ライブラリ読み込み前のインプット検証が不十分なため、DLL サイドローディング脆弱性が存在します。この脆弱性を悪用されると、リモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Google Chromiumには、細工されたHTMLページを使用してリモート攻�ターがヒープ破損を悪用する可能性があるレース条件脆弱性が含まれています。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む複数のChromiumを利用するウェブブラウザに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows スクリプティング エンジンに、メモリ破損を引き起こす未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Ivanti Pulse Connect Secure は Windows ファイルリソースプロファイル経由でリモート認証ユーザーがリモートコード実行を実行できるコマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →IBM Data Risk Managerに、ディレクトリトラバーサル脆弱性が存在します。この脆弱性により、リモート認証済み攻撃者がディレクトリを走査し、特別に細工されたURLリクエストを送信することで、システムから任意のファイルをダウンロードされる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Defenderに未指定の脆弱性が含まれており、リモートコード実行が可能です。
KEV掲載: 2021-11-03公式(NVD) →SonicWallメールセキュリティは、パストトラバーサル脆弱性を含んでおり、認証後の攻撃者がリモートホスト上のファイルを読み取ることを可能にします。この脆弱性は、CVE-2021-20021およびCVE-2021-20022と組み合わせたSonicWallメールセキュリティの悪用チェーンで既知の使用法があり、権限昇格を達成するために利用されます。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium V8エンジンに、ヒープバッファオーバーフロー脆弱性が存在します。この脆弱性により、リモート攻撃者は細工されたHTMLページを介してヒープ破損を悪用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のWebブラウザに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Citrix StoreFront サーバーには XML 外部エンティティ (XXE) 処理の脆弱性が含まれており、認証されていない攻撃者が機密情報を取得できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Google Chromiumポータルに、レンダラープロセスが侵害された遠隔攻撃者が、細工されたHTMLページを利用してサンドボックスエスケープを実行する可能性がある、Use-After-Free脆弱性が存在します。この脆弱性は、Google ChromeおよびMicrosoft Edgeを含む、Chromiumを使用するウェブブラウザに影響します。
KEV掲載: 2021-11-03公式(NVD) →SAP NetWeaver Application Server Java プラットフォームの Invoker Servlet が認証を要求しないため、HTTP または HTTPS リクエストを通じてリモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Citrix Workspace ApplicationおよびReceiver for Windowsには、ローカルドライブアクセスの設定が適切にクライアントのローカルドライブに適用されないことに起因するリモートコード実行脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows Update Medic Serviceには、権限昇格を可能にする未指定の脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Citrix ADC、Citrix Gateway、および複数のCitrix SD-WAN WANOPアプライアンスモデルに情報開示の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows New Technology File System (NTFS) に、特別に細工されたアプリケーションを通じて攻撃者が権限昇格を行うことを可能にする特定されていない脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Sumavision Enhanced Multimedia Router (EMR)には、デバイス上で管理者権限を持つユーザーの作成を許可するクロスサイトリクエストフォージェリ(CSRF)脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Google Chrome for AndroidのUIに、ヒープバッファオーバーフロー脆弱性が存在します。レンダラープロセスを侵害した遠隔攻撃者が、細工されたHTMLページを介してサンドボックスエスケープを実行される可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Cisco IOS XRは、Cisco Discovery Protocolメッセージの特定フィールドからの文字列入力を不適切に検証しています。悪用された場合、認証されていない隣接ネットワーク上の攻撃者が、影響を受けたデバイスで管理者権限を持つコードを実行するか、デバイスのリロードを引き起こすことができます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windowsには、ws2ifsl.sys (Winsock)がメモリ内のオブジェクトを処理する方法に関する未指定の脆弱性が存在し、権限昇格を引き起こす可能性があります。この脆弱性が悪用された場合、攻撃者は昇格された権限でコードを実行することが可能になります。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOS、watchOSのIOMobileFrameBufferに存在するメモリ破損脆弱性により、アプリケーションがカーネル権限でコードを実行される可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Internet Explorerのスクリプティングエンジンがメモリ内のオブジェクトを処理する方法に起因するメモリ破損の脆弱性があり、リモートコード実行につながる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium BlinkにはUse-After-Freeの脆弱性が存在し、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を利用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを使用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Trend Micro Apex OneおよびOfficeScanサーバーに含まれる脆弱なEXEファイルが存在し、リモート攻撃者が影響を受けるインストール環境のパスにデータを書き込み、ルートログインをバイパスすることを可能にする可能性があります。
KEV掲載: 2021-11-03公式(NVD) →VMware Workspace One Access、Access Connector、Identity Manager、および Identity Manager Connectorにコマンドインジェクションの脆弱性が存在します。ポート8443上の管理者用設定ツールにネットワークアクセスでき、設定ツール管理者アカウントの有効なパスワードを持つ攻撃者は、基盤となるオペレーティングシステム上で無制限の権限でコマンドを実行することができます。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium BlinkにおいてUse-After-Free脆弱性が存在し、リモート攻撃者が細工されたHTMLページを介してヒープ破損を潜在的に悪用される可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のWebブラウザに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Accellion FTAには、wmProgressstat.htmlへの細工されたPOSTリクエストを経由して悪用されるサーバー側リクエストフォージェリ（SSRF）の脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →マイクロソフト インターネット エクスプローラーのスクリプティングエンジンがメモリ内のオブジェクトを処理する方法に起因するメモリ破損の脆弱性が存在し、リモートコード実行につながる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Google Chromeに、コンプロマイズされたレンダラープロセスを持つリモート攻撃者が、細工されたHTMLページを経由してサンドボックスエスケープを実行する可能性がある、Use-After-Freeの脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium V8エンジンに型混同の脆弱性が存在し、細工されたHTMLページを経由してリモートの攻撃者がヒープの破損をもたらす可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを利用する複数のウェブブラウザに影響を及ぼす可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windowsカーネルがメモリ内のオブジェクトを処理する際の未指定の脆弱性により、攻撃者がカーネルモードで特権を昇格させてコードを実行することが可能になります。
KEV掲載: 2021-11-03公式(NVD) →Netis WF2419デバイスに、未指定の脆弱性が含まれており、攻撃者がルーターのウェブ管理ページを通じてrootとしてリモートコード実行を行うことを可能にします。
KEV掲載: 2021-11-03公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。