Tech Insights
【CVE-2024-50310】SIMATIC CP 1543-1 V4.0に認証の不備、非認...
Siemens社のSIMATIC CP 1543-1 V4.0において、認証処理の不備による重大な脆弱性が発見された。影響を受けるバージョンV4.0.44からV4.0.50未満のデバイスでは、非認証の攻撃者がリモートからファイルシステムにアクセス可能な状態となっており、CVSS v3.1で7.5、CVSS v4.0で8.7のHIGHスコアが付与されている。早急な対応が必要とされる重大な脆弱性である。
【CVE-2024-50310】SIMATIC CP 1543-1 V4.0に認証の不備、非認...
Siemens社のSIMATIC CP 1543-1 V4.0において、認証処理の不備による重大な脆弱性が発見された。影響を受けるバージョンV4.0.44からV4.0.50未満のデバイスでは、非認証の攻撃者がリモートからファイルシステムにアクセス可能な状態となっており、CVSS v3.1で7.5、CVSS v4.0で8.7のHIGHスコアが付与されている。早急な対応が必要とされる重大な脆弱性である。
【CVE-2024-49579】JetBrainsのYouTrackにプラグインiframe関...
JetBrainsは、YouTrackの2024.3.47197より前のバージョンにプラグインiframeの脆弱性【CVE-2024-49579】が存在することを公開した。CVSSスコア8.1（High）と評価されるこの脆弱性は、任意のJavaScript実行と不正なAPIリクエストを許可する問題であり、攻撃者による悪用の可能性が指摘されている。ユーザーの関与は必要だが、特権レベルは不要とされており、早急なアップデートによる対策が推奨される。
【CVE-2024-49579】JetBrainsのYouTrackにプラグインiframe関...
JetBrainsは、YouTrackの2024.3.47197より前のバージョンにプラグインiframeの脆弱性【CVE-2024-49579】が存在することを公開した。CVSSスコア8.1（High）と評価されるこの脆弱性は、任意のJavaScript実行と不正なAPIリクエストを許可する問題であり、攻撃者による悪用の可能性が指摘されている。ユーザーの関与は必要だが、特権レベルは不要とされており、早急なアップデートによる対策が推奨される。
【CVE-2024-47941】Solid Edge SE2024にバッファオーバーフロー脆弱...
Siemensの3D CADソフトウェアSolid Edge SE2024において、バッファオーバーフローの脆弱性が発見された。特別に細工されたPARファイルを処理する際に、割り当てられた構造の末尾を超えて読み取りが発生し、任意のコードが実行される可能性がある。CVSSスコアは3.1で7.8、4.0で7.3と評価されており、V224.0 Update 9より前のすべてのバージョンが影響を受ける。
【CVE-2024-47941】Solid Edge SE2024にバッファオーバーフロー脆弱...
Siemensの3D CADソフトウェアSolid Edge SE2024において、バッファオーバーフローの脆弱性が発見された。特別に細工されたPARファイルを処理する際に、割り当てられた構造の末尾を超えて読み取りが発生し、任意のコードが実行される可能性がある。CVSSスコアは3.1で7.8、4.0で7.3と評価されており、V224.0 Update 9より前のすべてのバージョンが影響を受ける。
【CVE-2024-47781】MirahezeのCreateWikiにXSS脆弱性、wiki...
MirahezeのCreateWikiにXSS脆弱性が発見され、Special:RequestWikiQueueページでwiki名の不適切なエスケープ処理により任意のHTMLコードが実行可能となる問題が明らかになった。CVSSスコア5.3の中程度の深刻度だが、wiki作成者のセッションを通じた機密情報へのアクセスリスクがあり、早急なパッチ適用が推奨される。
【CVE-2024-47781】MirahezeのCreateWikiにXSS脆弱性、wiki...
MirahezeのCreateWikiにXSS脆弱性が発見され、Special:RequestWikiQueueページでwiki名の不適切なエスケープ処理により任意のHTMLコードが実行可能となる問題が明らかになった。CVSSスコア5.3の中程度の深刻度だが、wiki作成者のセッションを通じた機密情報へのアクセスリスクがあり、早急なパッチ適用が推奨される。
【CVE-2024-46892】SINEC INS V1.0 SP2 Update 3未満にセ...
Siemens社はSINEC INS V1.0 SP2 Update 3未満のバージョンにおいて、ユーザーアカウントの削除や無効化、権限変更後もセッションが適切に無効化されない脆弱性を公開した。CVSSスコアは3.1で4.9、4.0で6.9と評価され、認証済み攻撃者による不正操作の継続が可能な状態となっている。セキュリティ強化のため、V1.0 SP2 Update 3へのアップデートを提供している。
【CVE-2024-46892】SINEC INS V1.0 SP2 Update 3未満にセ...
Siemens社はSINEC INS V1.0 SP2 Update 3未満のバージョンにおいて、ユーザーアカウントの削除や無効化、権限変更後もセッションが適切に無効化されない脆弱性を公開した。CVSSスコアは3.1で4.9、4.0で6.9と評価され、認証済み攻撃者による不正操作の継続が可能な状態となっている。セキュリティ強化のため、V1.0 SP2 Update 3へのアップデートを提供している。
【CVE-2024-46889】SINEC INSにハードコードされた暗号鍵の脆弱性が発見、バ...
Siemens社のSINEC INSにおいて、設定ファイルの難読化に使用される暗号鍵材料がハードコードされている脆弱性が発見された。この脆弱性は【CVE-2024-46889】として識別され、V1.0 SP2 Update 3未満のすべてのバージョンに影響を及ぼす。攻撃者がアプリケーションバイナリのリバースエンジニアリングを通じて暗号鍵を取得し、任意のバックアップファイルを復号できる可能性がある。
【CVE-2024-46889】SINEC INSにハードコードされた暗号鍵の脆弱性が発見、バ...
Siemens社のSINEC INSにおいて、設定ファイルの難読化に使用される暗号鍵材料がハードコードされている脆弱性が発見された。この脆弱性は【CVE-2024-46889】として識別され、V1.0 SP2 Update 3未満のすべてのバージョンに影響を及ぼす。攻撃者がアプリケーションバイナリのリバースエンジニアリングを通じて暗号鍵を取得し、任意のバックアップファイルを復号できる可能性がある。
【CVE-2024-36513】FortiClientWindows7.2.4以下に特権昇格の...
Fortinet社がFortiClientWindowsの複数バージョンに特権昇格の脆弱性が存在することを公開した。CVE-2024-36513として識別されるこの脆弱性は、認証済みユーザーがluaオートパッチスクリプトを介して権限昇格を実行可能。CVSSスコア7.4のHIGHと評価され、早急な対応が必要とされている。影響を受けるバージョンは7.2.4以下、7.0.12以下、6.4の全バージョン。
【CVE-2024-36513】FortiClientWindows7.2.4以下に特権昇格の...
Fortinet社がFortiClientWindowsの複数バージョンに特権昇格の脆弱性が存在することを公開した。CVE-2024-36513として識別されるこの脆弱性は、認証済みユーザーがluaオートパッチスクリプトを介して権限昇格を実行可能。CVSSスコア7.4のHIGHと評価され、早急な対応が必要とされている。影響を受けるバージョンは7.2.4以下、7.0.12以下、6.4の全バージョン。
【CVE-2024-36509】FortiWebに認証情報漏洩の脆弱性、管理者パスワードの露出...
Fortinet社が公開したFortiWebの脆弱性【CVE-2024-36509】は、認証済み攻撃者がLog Access Eventのログページを通じて他の管理者の暗号化パスワードにアクセス可能な問題だ。影響を受けるバージョンは7.6.0から6.3.23までと広範囲に及び、CWE-497に分類される重要システム情報の露出が指摘されている。CVSSスコアは3.8でLowと評価されているものの、管理者権限の奪取リスクが懸念される。
【CVE-2024-36509】FortiWebに認証情報漏洩の脆弱性、管理者パスワードの露出...
Fortinet社が公開したFortiWebの脆弱性【CVE-2024-36509】は、認証済み攻撃者がLog Access Eventのログページを通じて他の管理者の暗号化パスワードにアクセス可能な問題だ。影響を受けるバージョンは7.6.0から6.3.23までと広範囲に及び、CWE-497に分類される重要システム情報の露出が指摘されている。CVSSスコアは3.8でLowと評価されているものの、管理者権限の奪取リスクが懸念される。
つなぐネットがMcloudにオンライン決済機能を追加し、マンション管理のDX化を推進
マンションISP国内シェアNo.1のつなぐネットコミュニケーションズが、マンション専用のクラウド管理システム「Mcloud」に共用施設使用料のオンライン決済機能を追加。クレジットカード、PayPay、コンビニ決済に対応し、鍵連携機能と組み合わせることで予約から解錠までをシームレスに実現。2024年11月20日より販売を開始し、マンション管理業務の効率化と省人化を目指す。
つなぐネットがMcloudにオンライン決済機能を追加し、マンション管理のDX化を推進
マンションISP国内シェアNo.1のつなぐネットコミュニケーションズが、マンション専用のクラウド管理システム「Mcloud」に共用施設使用料のオンライン決済機能を追加。クレジットカード、PayPay、コンビニ決済に対応し、鍵連携機能と組み合わせることで予約から解錠までをシームレスに実現。2024年11月20日より販売を開始し、マンション管理業務の効率化と省人化を目指す。
NECネッツエスアイがVirtual Trusted Overlay Networkを発表、C...
NECネッツエスアイは2024年11月18日、セキュアかつ高速な通信環境を実現する新コンセプト「Virtual Trusted Overlay Network」を発表した。Cloudbrink社のオーバーレイ型ネットワーク技術を基盤とし、AIによるルート選択と独自のパケット複製技術で通信を最適化。ブロックチェーン技術を活用した分散型IDサービスとの組み合わせにより、セキュアなアクセス認証を実現する。
NECネッツエスアイがVirtual Trusted Overlay Networkを発表、C...
NECネッツエスアイは2024年11月18日、セキュアかつ高速な通信環境を実現する新コンセプト「Virtual Trusted Overlay Network」を発表した。Cloudbrink社のオーバーレイ型ネットワーク技術を基盤とし、AIによるルート選択と独自のパケット複製技術で通信を最適化。ブロックチェーン技術を活用した分散型IDサービスとの組み合わせにより、セキュアなアクセス認証を実現する。
【CVE-2024-50239】Linuxカーネルのqmp-usb-legacyドライバにNU...
Linuxカーネルのqmp-usb-legacyドライバにおいて、ランタイムサスペンド時にNULLポインタ参照が発生する脆弱性が発見された。この問題は、コミット413db06c05e7によってプラットフォームデバイスドライバデータの初期化処理が削除されたことに起因している。現在、修正パッチがリリースされ、Linux 6.6.60、6.11.7、6.12-rc6以降のバージョンで対応が完了している。
【CVE-2024-50239】Linuxカーネルのqmp-usb-legacyドライバにNU...
Linuxカーネルのqmp-usb-legacyドライバにおいて、ランタイムサスペンド時にNULLポインタ参照が発生する脆弱性が発見された。この問題は、コミット413db06c05e7によってプラットフォームデバイスドライバデータの初期化処理が削除されたことに起因している。現在、修正パッチがリリースされ、Linux 6.6.60、6.11.7、6.12-rc6以降のバージョンで対応が完了している。
Adobe Audition 24.4.6以前に境界外読み取りの脆弱性を確認、メモリ情報の漏洩...
Adobe社は音声編集ソフトウェアAuditionのバージョン23.6.9、24.4.6以前に境界外読み取りの脆弱性【CVE-2024-47449】を確認した。この脆弱性により、攻撃者は機密性の高いメモリ情報を漏洩させ、ASLRなどの緩和策をバイパスする可能性がある。CVSSスコアは5.5（中程度）で、攻撃には悪意のあるファイルを開く必要があるため、ユーザーの迅速なアップデートが推奨される。
Adobe Audition 24.4.6以前に境界外読み取りの脆弱性を確認、メモリ情報の漏洩...
Adobe社は音声編集ソフトウェアAuditionのバージョン23.6.9、24.4.6以前に境界外読み取りの脆弱性【CVE-2024-47449】を確認した。この脆弱性により、攻撃者は機密性の高いメモリ情報を漏洩させ、ASLRなどの緩和策をバイパスする可能性がある。CVSSスコアは5.5（中程度）で、攻撃には悪意のあるファイルを開く必要があるため、ユーザーの迅速なアップデートが推奨される。
【CVE-2024-44196】macOS Ventura 13.7.1とSonoma 14....
Appleが公開したmacOS Ventura 13.7.1とmacOS Sonoma 14.7.1のセキュリティアップデートにより、ファイルシステムの保護領域に関する権限の問題が修正された。CVSSスコア7.5と高い深刻度を示すこの脆弱性は、アプリケーションが保護された部分を変更できてしまう問題を含んでおり、追加の制限によって対処されている。
【CVE-2024-44196】macOS Ventura 13.7.1とSonoma 14....
Appleが公開したmacOS Ventura 13.7.1とmacOS Sonoma 14.7.1のセキュリティアップデートにより、ファイルシステムの保護領域に関する権限の問題が修正された。CVSSスコア7.5と高い深刻度を示すこの脆弱性は、アプリケーションが保護された部分を変更できてしまう問題を含んでおり、追加の制限によって対処されている。
【CVE-2024-50257】Linuxカーネルのnetfilterでuse-after-f...
Linuxカーネルのnetfilterコンポーネントにおいて、ip6table_natモジュールのアンロード時にget_info()関数で発生するuse-after-free脆弱性が発見された。この問題はモジュールのアンロードとテーブル参照の競合状態によって引き起こされ、特にxt_templatesリストからテーブルが削除された後もxt_netリスト内のテーブル参照が残存することで発生する。複数のLinuxバージョンに影響を及ぼす可能性があり、早急な対応が必要とされている。
【CVE-2024-50257】Linuxカーネルのnetfilterでuse-after-f...
Linuxカーネルのnetfilterコンポーネントにおいて、ip6table_natモジュールのアンロード時にget_info()関数で発生するuse-after-free脆弱性が発見された。この問題はモジュールのアンロードとテーブル参照の競合状態によって引き起こされ、特にxt_templatesリストからテーブルが削除された後もxt_netリスト内のテーブル参照が残存することで発生する。複数のLinuxバージョンに影響を及ぼす可能性があり、早急な対応が必要とされている。
トリートエンドワークスがASACアクセラレーションプログラム第19期に採択、治療と仕事の両立支...
株式会社トリートエンドワークスが東京都主催のASACアクセラレーションプログラム第19期に採択された。134件の応募から選ばれた同社は、治療と仕事の両立支援に関するプラットフォームを開発中で、患者や企業、医療関係者など多様なステークホルダーが必要な情報にアクセスできる環境整備を目指している。ASACの短期集中型育成プログラムを通じて、事業の成長加速が期待される。
トリートエンドワークスがASACアクセラレーションプログラム第19期に採択、治療と仕事の両立支...
株式会社トリートエンドワークスが東京都主催のASACアクセラレーションプログラム第19期に採択された。134件の応募から選ばれた同社は、治療と仕事の両立支援に関するプラットフォームを開発中で、患者や企業、医療関係者など多様なステークホルダーが必要な情報にアクセスできる環境整備を目指している。ASACの短期集中型育成プログラムを通じて、事業の成長加速が期待される。
【CVE-2024-49510】Adobe InDesign Desktopに境界外読み取りの...
Adobe InDesign DesktopのID18.5.3、ID19.5以前のバージョンに境界外読み取りの脆弱性が発見された。CVSSスコア5.5の中程度の脆弱性として【CVE-2024-49510】が割り当てられ、機密メモリの開示やASLRバイパスのリスクが指摘されている。攻撃には悪意のあるファイルを開く必要があり、ユーザーの操作が不可欠となる。早急なアップデートと不審なファイルの取り扱いに注意が必要だ。
【CVE-2024-49510】Adobe InDesign Desktopに境界外読み取りの...
Adobe InDesign DesktopのID18.5.3、ID19.5以前のバージョンに境界外読み取りの脆弱性が発見された。CVSSスコア5.5の中程度の脆弱性として【CVE-2024-49510】が割り当てられ、機密メモリの開示やASLRバイパスのリスクが指摘されている。攻撃には悪意のあるファイルを開く必要があり、ユーザーの操作が不可欠となる。早急なアップデートと不審なファイルの取り扱いに注意が必要だ。
【CVE-2024-49381】Plentiの任意のファイル削除の脆弱性が発見、バージョン0....
静的サイトジェネレーターPlentiにおいて、バージョン0.7.2未満に任意のファイル削除の脆弱性が発見された。/postLocalエンドポイントが影響を受けており、CVSSスコアは7.7（HIGH）と評価されている。この脆弱性は【CVE-2024-49381】として識別され、攻撃に特権レベルは不要だが利用者の関与が必要とされている。影響を受けるバージョンを使用しているユーザーは速やかにバージョン0.7.2へのアップデートが推奨される。
【CVE-2024-49381】Plentiの任意のファイル削除の脆弱性が発見、バージョン0....
静的サイトジェネレーターPlentiにおいて、バージョン0.7.2未満に任意のファイル削除の脆弱性が発見された。/postLocalエンドポイントが影響を受けており、CVSSスコアは7.7（HIGH）と評価されている。この脆弱性は【CVE-2024-49381】として識別され、攻撃に特権レベルは不要だが利用者の関与が必要とされている。影響を受けるバージョンを使用しているユーザーは速やかにバージョン0.7.2へのアップデートが推奨される。
【CVE-2024-11063】D-Link DSL6740CモデムにOS Command I...
D-Link DSL6740CモデムにOS Command Injection脆弱性が発見され、管理者権限を持つ攻撃者がSSHやTelnetを介して任意のシステムコマンドを実行できる問題が明らかになった。CVE-2024-11063として識別されるこの脆弱性は、CVSS v3.1で7.2のスコアを記録し、機密性・整合性・可用性のすべてに高レベルの影響が想定される深刻な問題となっている。
【CVE-2024-11063】D-Link DSL6740CモデムにOS Command I...
D-Link DSL6740CモデムにOS Command Injection脆弱性が発見され、管理者権限を持つ攻撃者がSSHやTelnetを介して任意のシステムコマンドを実行できる問題が明らかになった。CVE-2024-11063として識別されるこの脆弱性は、CVSS v3.1で7.2のスコアを記録し、機密性・整合性・可用性のすべてに高レベルの影響が想定される深刻な問題となっている。
【CVE-2024-9539】GitHub Enterprise Serverで情報漏洩の脆弱...
GitHubはGitHub Enterprise Serverにおいて、攻撃者がアップロードしたアセットURLを介してユーザーのメタデータ情報を取得できる情報漏洩の脆弱性を公開した。この脆弱性はCVE-2024-9539として識別され、CVSSスコア5.7（MEDIUM）と評価された。バージョン3.14.2、3.13.5、3.12.10、3.11.16でパッチが提供され、修正が完了している。
【CVE-2024-9539】GitHub Enterprise Serverで情報漏洩の脆弱...
GitHubはGitHub Enterprise Serverにおいて、攻撃者がアップロードしたアセットURLを介してユーザーのメタデータ情報を取得できる情報漏洩の脆弱性を公開した。この脆弱性はCVE-2024-9539として識別され、CVSSスコア5.7（MEDIUM）と評価された。バージョン3.14.2、3.13.5、3.12.10、3.11.16でパッチが提供され、修正が完了している。
【CVE-2024-37365】FactoryTalk View MEにリモートコード実行の脆...
Rockwell AutomationのFactoryTalk View Machine Editionにリモートコード実行の脆弱性が発見された。CVE-2024-37365として識別されたこの脆弱性は、パブリックディレクトリへのプロジェクト保存とマクロを介した任意のコード実行を可能にし、製造プロセスに重大な影響を及ぼす可能性がある。CVSSスコアは7.3と高く、早急な対応が必要とされている。
【CVE-2024-37365】FactoryTalk View MEにリモートコード実行の脆...
Rockwell AutomationのFactoryTalk View Machine Editionにリモートコード実行の脆弱性が発見された。CVE-2024-37365として識別されたこの脆弱性は、パブリックディレクトリへのプロジェクト保存とマクロを介した任意のコード実行を可能にし、製造プロセスに重大な影響を及ぼす可能性がある。CVSSスコアは7.3と高く、早急な対応が必要とされている。
【CVE-2024-34662】Samsung MobileのActivityManagerに...
Samsung MobileはActivityManagerにおける不適切なアクセス制御の脆弱性【CVE-2024-34662】を公開した。Android 12、13のSMR Oct-2024 Release 1およびAndroid 14のSMR Sep-2024 Release 1以前のバージョンが影響を受け、ローカル攻撃者による特権的な操作が可能となる。CVSSスコアは6.2を記録し、アップデートによる対応が推奨されている。
【CVE-2024-34662】Samsung MobileのActivityManagerに...
Samsung MobileはActivityManagerにおける不適切なアクセス制御の脆弱性【CVE-2024-34662】を公開した。Android 12、13のSMR Oct-2024 Release 1およびAndroid 14のSMR Sep-2024 Release 1以前のバージョンが影響を受け、ローカル攻撃者による特権的な操作が可能となる。CVSSスコアは6.2を記録し、アップデートによる対応が推奨されている。
【CVE-2024-11127】code-projects Job Recruitment 1...
code-projects Job Recruitment 1.0において、admin.phpファイルのuserid引数に対するSQL injection脆弱性が発見された。CVSSスコアは中程度と評価されているものの、遠隔からの攻撃が可能で既に一般に公開されている。CVE-2024-11127として識別されたこの脆弱性は、データベースへの不正アクセスや改ざんのリスクが存在するため、早急な対応が必要とされている。
【CVE-2024-11127】code-projects Job Recruitment 1...
code-projects Job Recruitment 1.0において、admin.phpファイルのuserid引数に対するSQL injection脆弱性が発見された。CVSSスコアは中程度と評価されているものの、遠隔からの攻撃が可能で既に一般に公開されている。CVE-2024-11127として識別されたこの脆弱性は、データベースへの不正アクセスや改ざんのリスクが存在するため、早急な対応が必要とされている。
【CVE-2024-50240】Linuxカーネルのqmp-usbドライバーにNULLポインタ...
Linuxカーネルの開発チームが、qmp-usbドライバーにおけるNULLポインタ参照の脆弱性【CVE-2024-50240】の修正パッチをリリース。この問題は、プラットフォームデバイスドライバーデータの初期化不備に起因し、ランタイムサスペンド時にシステムの不安定化を引き起こす可能性がある。Linux 6.2以降のバージョンが影響を受け、6.6.60、6.11.7、6.12-rc6などで修正が提供された。
【CVE-2024-50240】Linuxカーネルのqmp-usbドライバーにNULLポインタ...
Linuxカーネルの開発チームが、qmp-usbドライバーにおけるNULLポインタ参照の脆弱性【CVE-2024-50240】の修正パッチをリリース。この問題は、プラットフォームデバイスドライバーデータの初期化不備に起因し、ランタイムサスペンド時にシステムの不安定化を引き起こす可能性がある。Linux 6.2以降のバージョンが影響を受け、6.6.60、6.11.7、6.12-rc6などで修正が提供された。
【CVE-2024-50255】LinuxカーネルのBluetooth HCIモジュールでnu...
kernel.orgは2024年11月9日、LinuxカーネルのBluetoothスタックにおける重要な脆弱性CVE-2024-50255を公開した。この脆弱性は__hci_cmd_sync_sk()関数が未知のopcodeに対してNULLを返すことにより、hci_read_supported_codecs関数でnullポインタ参照が発生する問題となっている。影響を受けるバージョンは5.17から6.1.115までで、最新版では修正済みとなっている。
【CVE-2024-50255】LinuxカーネルのBluetooth HCIモジュールでnu...
kernel.orgは2024年11月9日、LinuxカーネルのBluetoothスタックにおける重要な脆弱性CVE-2024-50255を公開した。この脆弱性は__hci_cmd_sync_sk()関数が未知のopcodeに対してNULLを返すことにより、hci_read_supported_codecs関数でnullポインタ参照が発生する問題となっている。影響を受けるバージョンは5.17から6.1.115までで、最新版では修正済みとなっている。
【CVE-2024-47595】SAP Host Agent 7.22に特権昇格の脆弱性、アプ...
SAPは同社のSAP Host Agent 7.22において、sapsysグループのメンバーシップを持つ攻撃者が特権アクセスによって保護されているローカルファイルを置換できる脆弱性を公開した。CVSSスコアは6.3（MEDIUM）を記録しており、攻撃成功時にはアプリケーションの機密性と整合性に重大な影響を及ぼす可能性がある。CWE-266として分類されているこの脆弱性への早急な対応が求められている。
【CVE-2024-47595】SAP Host Agent 7.22に特権昇格の脆弱性、アプ...
SAPは同社のSAP Host Agent 7.22において、sapsysグループのメンバーシップを持つ攻撃者が特権アクセスによって保護されているローカルファイルを置換できる脆弱性を公開した。CVSSスコアは6.3（MEDIUM）を記録しており、攻撃成功時にはアプリケーションの機密性と整合性に重大な影響を及ぼす可能性がある。CWE-266として分類されているこの脆弱性への早急な対応が求められている。
【CVE-2024-47183】Parse Serverで深刻な認証の脆弱性が発見、ロール権限...
Parse Serverにおいて、カスタムオブジェクトIDを悪用した重大な認証の脆弱性が発見された。CVE-2024-47183として識別されたこの脆弱性は、allowCustomObjectId: trueオプションが設定されている環境で、新規ユーザーが特定のロールの権限を不正に取得できる問題を引き起こす。CVSS v3.1で8.1の深刻度が評価され、バージョン6.5.9と7.3.0で修正された。
【CVE-2024-47183】Parse Serverで深刻な認証の脆弱性が発見、ロール権限...
Parse Serverにおいて、カスタムオブジェクトIDを悪用した重大な認証の脆弱性が発見された。CVE-2024-47183として識別されたこの脆弱性は、allowCustomObjectId: trueオプションが設定されている環境で、新規ユーザーが特定のロールの権限を不正に取得できる問題を引き起こす。CVSS v3.1で8.1の深刻度が評価され、バージョン6.5.9と7.3.0で修正された。
【CVE-2024-46956】Artifex Ghostscript 10.04.0未満に深...
Artifex Ghostscriptの10.04.0より前のバージョンにおいて、psi/zfile.cのfilenameforall機能に重大な脆弱性が発見された。CVSSスコア7.8の高リスク脆弱性で、攻撃者による任意のコード実行が可能となる。特別な権限は不要だがユーザーの関与が必要となる点が特徴的だ。CISAの分析では自動化可能な攻撃への脆弱性も指摘されており、早急な対応が求められる。
【CVE-2024-46956】Artifex Ghostscript 10.04.0未満に深...
Artifex Ghostscriptの10.04.0より前のバージョンにおいて、psi/zfile.cのfilenameforall機能に重大な脆弱性が発見された。CVSSスコア7.8の高リスク脆弱性で、攻撃者による任意のコード実行が可能となる。特別な権限は不要だがユーザーの関与が必要となる点が特徴的だ。CISAの分析では自動化可能な攻撃への脆弱性も指摘されており、早急な対応が求められる。
【CVE-2024-47446】After Effects 24.6.2以前にメモリ読み取りの...
Adobeは2024年11月12日、After Effects 23.6.9および24.6.2以前のバージョンに影響を与えるメモリ読み取りの脆弱性を公開した。CVE-2024-47446として識別されるこの脆弱性は、攻撃者が機密メモリの内容を読み取ることでASLRなどの保護機能を回避する可能性がある。CVSSスコアは5.5と中程度だが、機密性への影響は高く評価されており、早急な対応が推奨される。
【CVE-2024-47446】After Effects 24.6.2以前にメモリ読み取りの...
Adobeは2024年11月12日、After Effects 23.6.9および24.6.2以前のバージョンに影響を与えるメモリ読み取りの脆弱性を公開した。CVE-2024-47446として識別されるこの脆弱性は、攻撃者が機密メモリの内容を読み取ることでASLRなどの保護機能を回避する可能性がある。CVSSスコアは5.5と中程度だが、機密性への影響は高く評価されており、早急な対応が推奨される。
【CVE-2024-50238】Linuxカーネルのqmp-usbcドライバにNULLポインタ...
Linuxカーネル開発チームは、qmp-usbcドライバにおけるNULLポインタ参照の脆弱性【CVE-2024-50238】を修正するアップデートを公開した。この問題は、プラットフォームデバイスドライバデータの初期化処理が誤って削除されたことに起因しており、ランタイムサスペンド時にNULLポインタ参照が発生する可能性がある。影響を受けるのはLinux 6.9から6.11系列の一部のバージョンとなっている。
【CVE-2024-50238】Linuxカーネルのqmp-usbcドライバにNULLポインタ...
Linuxカーネル開発チームは、qmp-usbcドライバにおけるNULLポインタ参照の脆弱性【CVE-2024-50238】を修正するアップデートを公開した。この問題は、プラットフォームデバイスドライバデータの初期化処理が誤って削除されたことに起因しており、ランタイムサスペンド時にNULLポインタ参照が発生する可能性がある。影響を受けるのはLinux 6.9から6.11系列の一部のバージョンとなっている。
【CVE-2024-50250】Linuxカーネルのfsdaxモジュールに深刻な脆弱性、データ...
Linuxカーネルのfsdaxモジュールにおいて、dax_unshare_iterがブロック全体をコピーしない重大な脆弱性が発見された。この問題により、fsblock境界に位置が揃っていない場合にデータの整合性が損なわれ、ユーザーデータの破損や機密情報の漏洩のリスクがある。影響を受けるバージョンは6.2から6.11まで多岐にわたり、各バージョン向けに修正パッチが提供されている。
【CVE-2024-50250】Linuxカーネルのfsdaxモジュールに深刻な脆弱性、データ...
Linuxカーネルのfsdaxモジュールにおいて、dax_unshare_iterがブロック全体をコピーしない重大な脆弱性が発見された。この問題により、fsblock境界に位置が揃っていない場合にデータの整合性が損なわれ、ユーザーデータの破損や機密情報の漏洩のリスクがある。影響を受けるバージョンは6.2から6.11まで多岐にわたり、各バージョン向けに修正パッチが提供されている。