脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Apple iOS、iPadOS、macOS、tvOS、およびSafari WebKitに、悪意のあるウェブコンテンツを処理する際にコード実行につながる整数オーバーフロー脆弱性が存在します。この脆弱性は、Apple SafariおよびHTML処理にWebKitを利用する非Apple製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windowsの共通ログファイルシステム(CLFS)ドライバが、メモリ内のオブジェクトを不適切に処理することで、権限昇格を許可する可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Open Management Infrastructure (OMI) 内の Azure VM Management Extensions に含まれる指定されていない脆弱性により、権限昇格が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Apple iOSのWebKitに、悪意のあるウェブコンテンツを処理する際にバッファオーバーフローの脆弱性が存在し、コード実行に至る可能性があります。この脆弱性は、Apple SafariおよびHTML処理にWebKitを利用する非Appleの製品を含む、WebKitを使用するHTMLパーサーに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、およびwatchOS Mailに境界外書き込み脆弱性が存在します。悪意のあるメールメッセージを処理する際に、メモリ改変またはアプリケーション終了が発生する可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOS、およびwatchOSに、悪意のあるアプリケーションがカーネル権限でコードを実行することを可能にする可能性のある型混同脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Citrix ADC、Citrix Gateway、および複数のCitrix SD-WAN WANOPアプライアンスモデルは、情報開示脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Windows Win32kに、権限昇格を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →VMware Fusion、Mac用Remote Console（VMRC）、およびMac用Horizon Clientは、setuidバイナリの不適切な使用による権限昇格の脆弱性を含んでおり、攻撃者がroot権限に昇格することを可能にします。
KEV掲載: 2021-11-03公式(NVD) →Apple macOS の Transparency, Consent, and Control (TCC) に特定されていない権限の問題が存在し、悪意のあるアプリケーションがプライバシー設定を回避される可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Win32kに存在する未指定の脆弱性により、細工されたアプリケーションを介した権限昇格が可能になります
KEV掲載: 2021-11-03公式(NVD) →Microsoft Officeに、リモートコード実行を許可する未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOSに含まれるXNUの型混同脆弱性により、悪意のあるアプリケーションがカーネル特権で実行される可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Win32kが メモリ内のオブジェクトを適切に処理できず、特権昇格が発生します。悪用に成功した場合、攻撃者はカーネルモードでコードを実行することができます。
KEV掲載: 2021-11-03公式(NVD) →SolarWinds仮想化マネージャーは、sudoの設定ミスを悪用することで、権限昇格を許容します。
KEV掲載: 2021-11-03公式(NVD) →Accellion FTAには、ローカルウェブサービス呼び出しを経由して悪用されるOSコマンドインジェクション脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →Androidカーネルのbinderドライバのbinder.cにおけるbinder_transaction関数に、不正な境界チェックに起因するバッファオーバーフロー脆弱性が存在します。この脆弱性により、ローカル権限昇格が可能になる可能性があります。この脆弱性はCVE-2019-2215およびCVE-2020-0069と連鎖して悪用され、「AbstractEmu」というエクスプロイトチェーンの一部として観測されています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Open Management Infrastructure (OMI) 内の Azure VM 管理拡張機能に含まれる未指定の脆弱性により、権限昇格が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Trend Micro Apex One、OfficeScan、およびWorry-Free Business SecurityのMicrosoft Windows版には、不適切なアクセス制御の脆弱性が含まれており、攻撃者が特定のプロダクトフォルダを操作してセキュリティを一時的に無効化し、特定のWindows機能を悪用して、権限昇格を達成する可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Win32kは、Win32kコンポーネントがメモリ内のオブジェクトを適切に処理できない場合、権限昇格脆弱性を含んでいます。攻撃者がこの脆弱性を悪用することに成功した場合、カーネルモードでコードを実行できます。
KEV掲載: 2021-11-03公式(NVD) →複数のQualcommチップセットは、複数のプロセスの同時メモリマッピング処理が不適切であるために、ユース・アフター・フリー脆弱性を含む。
KEV掲載: 2021-11-03公式(NVD) →複数のMediaTekチップセットのCommand Queueドライバのioctlハンドラに入力値の検証不足とSELinuxの制限がないため、範囲外書き込みが発生し、権限昇格につながる脆弱性が存在する。この脆弱性はCVE-2019-2215およびCVE-2020-0041と連鎖して、「AbstractEmu」というエクスプロイトチェーンで悪用されることが確認されている。
KEV掲載: 2021-11-03公式(NVD) →Google Chromium Intentsに入力値の検証不備が存在する脆弱性があり、リモート攻撃者は細工されたHTMLページを通じて任意のブラウザを悪意のあるURLに誘導することができます。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む複数のChromiumを採用したウェブブラウザに影響を与える可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Trend Micro Apex One、Apex One as a Service、およびWorry-Free Business Securityに、入力検証が不十分な脆弱性が存在し、権限昇格を許可します。
KEV掲載: 2021-11-03公式(NVD) →McAfee Total Protection (MTP)に含まれる不適切な権限管理の脆弱性により、ローカルユーザがMTPのセルフディフェンス機構を回避して、昇格した権限を取得し、コードを実行することができます。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOS、watchOS、tvOSに、アプリケーションがカーネル権限でコードを実行する可能性がある未指定の脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →AppleのiOSおよびmacOSのGroup FaceTimeに、通話開始者が受信者のAppleデバイスに対して、ユーザーの認識なしあるいはユーザーの操作なしに通話に応答させることができる、特定されていない脆弱性が存在します。
KEV掲載: 2021-11-03公式(NVD) →TeamViewer Desktopは、異なる顧客のインストール間で同じAES鍵が使用されるため、リモートログインアクセス制御を回避することが可能です。攻撃者がこの鍵を知っている場合、レジストリまたは設定ファイルに保存されている保護された情報を復号化したり、システムへのリモートログインを可能にする無人アクセスパスワードを復号化したりする可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOS、watchOSにはメモリ初期化の脆弱性が存在し、悪意のあるアプリケーションがカーネルメモリを開示される可能性があります。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Open Management Infrastructure (OMI) within Azure VM Management Extensions に含まれる、未特定の脆弱性により、権限昇格が可能になります。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、macOS、watchOS、およびtvOSに含まれるレース条件の脆弱性により、悪意のあるアプリケーションが権限昇格を実行できる可能性があります。
KEV掲載: 2021-11-03公式(NVD) →AppleのiOS、iPadOS、およびwatchOS WebKitに、悪意を持って細工されたウェブコンテンツを処理する際に、汎用的なクロスサイトスクリプティング（XSS）を許可する未指定の脆弱性が存在します。この脆弱性は、WebKitを使用するHTMLパーサーに影響を与える可能性があり、Apple SafariおよびWebKitをHTML処理に依存する非Apple製品を含みますが、これらに限定されません。
KEV掲載: 2021-11-03公式(NVD) →Arm Trusted Firmwareには、非セキュア(NS)ワールドがセキュア処理環境(NSPE)ハンドラーモードでセキュア機能を呼び出す際に、システムハルト、セキュアデータの上書き、またはセキュアデータの出力をトリガーできる境界外書き込み脆弱性が存在します。この脆弱性はYealinkデバイス管理サーバーに影響を及ぼします。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Enhanced Cryptographic Providerに、権限昇格を許可する未指定の脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →複数のQualcommチップセットは、失敗時のアドレス登録解除の不適切な処理により、新しいGPUアドレス割り当ての失敗につながる可能性があるエラー条件の検出が対応なしという脆弱性を含んでいます。
KEV掲載: 2021-11-03公式(NVD) →Microsoft Enhanced Cryptographic Providerに未指定の脆弱性が含まれており、これを悪用することで権限昇格が可能です。
KEV掲載: 2021-11-03公式(NVD) →Apple iOS、iPadOS、およびwatchOSのMailアプリケーションには、悪意を持って細工されたメールメッセージを処理する際にヒープ破損を引き起こす可能性のあるメモリ破損脆弱性が含まれています。
KEV掲載: 2021-11-03公式(NVD) →Microsoft EdgeとInternet Explorerにメモリ破損の脆弱性が存在し、攻撃者が現在のユーザーのコンテキストでコードを実行することが可能です。
KEV掲載: 2021-11-03公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。