脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Google Chromium WebGL には、細工された HTML ページを介してヒープ破損を悪用する可能性のあるリモート攻撃者による Use-After-Free 脆弱性が含まれています。この脆弱性は、Google Chrome、Microsoft Edge、Opera を含む Chromium を使用する複数の Web ブラウザに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Tenda AC7、AC9、AC10デバイスには、「formsetUsbUnload」関数が信頼されていない入力で「dosystemCmd」関数を実行することに起因するコマンドインジェクション脆弱性が存在します。この脆弱性を悪用すると、攻撃者は細工されたgoform/setUsbUnloadリクエストを通じてOSコマンドを実行できます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Internet Explorerにメモリ破損の脆弱性が存在し、現在のユーザーのコンテキストでリモートコード実行が可能になる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、およびmacOSのWebKitに、リモート攻撃者がコードを実行することを可能にする特定されていないロジックの脆弱性が存在します。この脆弱性は、Apple SafariおよびHTMLの処理にWebKitに依存する非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Micro Focus Access Managerは、Assertion Consumer Service URLの使用時にSAMLサービスプロバイダーのリダイレクト問題に起因する情報漏洩脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOSのWebKitに特定されていない論理上の脆弱性が存在し、リモート攻撃者がコードを実行される可能性があります。この脆弱性は、Apple SafariおよびHTMLの処理にWebKitに依存する非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を及ぼす可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Trend Micro OfficeScanは、zipファイルから特定のフォルダへファイルを抽出する際のディレクトリトラバーサル脆弱性を含んでおり、これによりOfficeScanサーバーへのリモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Accellion FTAは、document_root.htmlへのリクエストで細工されたホストヘッダを介して悪用されるSQL インジェクション脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOS、watchOSのFontParserに、悪意を持って細工されたフォントを処理する際にコード実行を許可する可能性のあるメモリ破損の脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →SonicWall Email Securityには、認証後の攻撃者がリモートホストにファイルをアップロードすることを許可する危険なタイプのファイルの無制限アップロード脆弱性が含まれています。この脆弱性は、CVE-2021-20021およびCVE-2021-20023と共に、SonicWall Email Securityのエクスプロイトチェーンで既知の使用方法があり、権限昇格を達成するために利用されています。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOSのWebKitに、悪意のあるウェブコンテンツを処理する際にコード実行につながるuse-after-freeの脆弱性が存在します。この脆弱性は、Apple SafariおよびHTMLの処理にWebKitを使用する他社製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Desktop Window Manager (DWM) Core Library に、権限昇格を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →SIMalliance Toolbox Browserには、攻撃メッセージを改ざんすることにより、リモート攻撃者が位置情報とIMEI情報を取得したり、その他の様々な攻撃を実行したりできるコマンドインジェクション脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium V8エンジンに不適切な実装脆弱性が存在し、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を引き起こす可能性があります。この脆弱性はChromiumを採用している複数のウェブブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaなどが含まれます。
KEV掲載: 2021-11-03公式(NVD) →Cisco IOS XRの距離ベクトルマルチキャストルーティングプロトコル(DVMRP)には、インターネットグループ管理プロトコル(IGMP)パケットの処理に不備があります。この脆弱性を悪用すると、認証されていないリモート攻撃者がIGMPプロセスを直ちにクラッシュさせたり、利用可能なメモリを消費させて最終的にクラッシュさせたりすることが可能です。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windowsカーネルに、権限昇格を許可する未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Arm Mali Graphics Processing Unit (GPU)カーネルドライバに、解放後使用（use-after-free）脆弱性が存在します。この脆弱性により、権限のないユーザが不正なGPUメモリ操作を実行し、ルート権限を取得したり、情報を開示したりする可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Cisco IOS XR距離ベクトルマルチキャストルーティングプロトコル（DVMRP）には、インターネットグループ管理プロトコル（IGMP）パケットの不正な処理に関する脆弱性があります。この脆弱性を悪用されると、認証されていないリモート攻撃者がIGMPプロセスを直ちにクラッシュさせたり、利用可能なメモリを消費させて最終的にクラッシュさせたりする可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Google Chromiumのコアメモリコンポーネントに情報漏洩脆弱性が存在し、リモート攻撃者が細工されたHTMLページを通じてプロセスメモリから機密情報を取得される可能性があります。この脆弱性はChromiumを利用する複数のWebブラウザに影響を与える可能性があり、Google Chrome、Microsoft Edge、Operaが含まれますが、これに限定されません。
KEV掲載: 2021-11-03公式(NVD) →Mozilla FirefoxおよびThunderbirdは、特定の条件下でReadableStreamを処理する際の競合状態の脆弱性を含んでいます。この競合状態はuse-after-free脆弱性を引き起こし、特定されない影響をもたらします。
KEV掲載: 2021-11-03公式(NVD) →SAP顧客関係管理(CRM)には、ユーザーが提供するパス情報の検証が不十分であるため、攻撃者がパストラバーサル脆弱性を悪用することを許可する問題が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Ivanti Pulse Connect Secure には、管理者ウェブインターフェースで不正に細工されたアーカイブアップロードを通じて、認証された管理者が任意のファイル書き込みを実行できる無制限ファイルアップロード脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Apple iOSのWebKitに、悪意を持って細工されたウェブコンテンツを処理する際にコード実行に至るUse-After-Free脆弱性が含まれています。この脆弱性は、Apple SafariおよびHTML処理にWebKitを利用する非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Trend Micro Apex OneおよびOfficeScanに含まれるマイグレーションツールコンポーネント内の不特定の脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Apple iOSのWebKitに、悪意を持って細工されたウェブコンテンツを処理する際にメモリ破損を引き起こし、コード実行につながる脆弱性が存在します。この脆弱性は、Apple SafariやWebKitをHTMLプロセッシングのために使用するその他のApple非提供製品を含む、WebKitを使用するHTMLパーサーに影響を及ぼす可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Fortinet FortiOSは、デフォルト設定の脆弱性を含んでおり、同一サブネット上の認証されていない攻撃者がLightweight Directory Access Protocol（LDAP）サーバーになりすまして、機密情報を傍受される可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows Installerに、MSIパッケージがシンボリックリンクを処理する際に特権昇格の脆弱性が存在します。この脆弱性により、攻撃者はアクセス制限をバイパスして、ファイルの追加または削除が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Hyper-V RemoteFX vGPUに、認証されたゲストオペレーティングシステムのユーザーからの入力をホストサーバーが適切に検証しない不適切な入力検証の脆弱性が存在します。この脆弱性を正常に悪用されると、ホストオペレーティングシステム上でリモートコード実行が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windowsカーネルに、権限昇格を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Mozilla FirefoxおよびThunderbirdに、特定の条件下でnsDocShellデストラクタを実行する際の競合状態の脆弱性が存在します。この競合状態により解放後使用(use-after-free)の脆弱性が発生し、特定されていない影響をもたらします。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows Error Reporting (WER)には、ファイル処理の方法に起因する権限昇格の脆弱性が含まれており、カーネルモードでのコード実行を許可します。
KEV掲載: 2021-11-03公式(NVD) →Microsoftの Windows カーネルに、権限昇格を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Trend Microの Apex One、OfficeScan、および Worry-Free Business Security エージェントには、コンテンツ検証のエスケープ脆弱性が含まれており、攻撃者は特定のエージェント クライアント コンポーネントを操作することが可能になる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows Common Log File System (CLFS) ドライバに、権限昇格を許可する特定されていない脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →SAP NetWeaver Application Server Java プラットフォームのBC-BMT-BPM-DSKに特定されていない脆弱性が存在し、リモート認証ユーザーがXML外部エンティティ（XXE）攻撃を実施できます。
KEV掲載: 2021-11-03公式(NVD) →Arm Mali Graphics Processing Unit (GPU) カーネルドライバに未指定の脆弱性が存在し、非特権ユーザーが読み取り専用メモリへの書き込みアクセスを取得したり、ルート権限を奪取したり、メモリを破損したり、他のプロセスのメモリを改ざんしたりする可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Internet Explorerに、リモートコード実行を許可する未特定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Trend Micro Apex One、Apex One as a Service、および Worry-Free Business Security に入力値の不適切な検証に関する脆弱性が含まれており、リモート攻撃者がファイルをアップロードできます。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOS、tvOS、watchOS、およびSafari WebKitストレージに、悪意のあるウェブコンテンツを処理する際にコード実行につながるuse-after-free脆弱性が存在します。この脆弱性は、Apple SafariおよびHTMLの処理にWebKitに依存する非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を及ぼす可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOS、watchOS、およびtvOSのWebKitには、悪意を持って作成されたウェブコンテンツを処理する際にコード実行につながるメモリ破損脆弱性が含まれています。この脆弱性は、Apple SafariおよびHTMLの処理にWebKitに依存するApple以外の製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。