Tech Insights

【CVE-2024-49028】Microsoft Excelに深刻な脆弱性、複数のOffice製品に影響

【CVE-2024-49028】Microsoft Excelに深刻な脆弱性、複数のOffic...

Microsoftは2024年11月12日、Microsoft Excelにおけるリモートコード実行の脆弱性を公開した。この脆弱性はCVSS 3.1で7.8の高スコアを記録しており、Microsoft Office LTSC for Mac 2024やMicrosoft Office 2019、Microsoft 365 Apps for Enterpriseなど、広範な製品に影響を及ぼす。攻撃者が特別に細工したファイルを作成してユーザーに開かせることで、システム権限を奪取される可能性がある。

【CVE-2024-49028】Microsoft Excelに深刻な脆弱性、複数のOffic...

Microsoftは2024年11月12日、Microsoft Excelにおけるリモートコード実行の脆弱性を公開した。この脆弱性はCVSS 3.1で7.8の高スコアを記録しており、Microsoft Office LTSC for Mac 2024やMicrosoft Office 2019、Microsoft 365 Apps for Enterpriseなど、広範な製品に影響を及ぼす。攻撃者が特別に細工したファイルを作成してユーザーに開かせることで、システム権限を奪取される可能性がある。

TRUSTDOCKがマイナンバーカードを活用した本人確認の最新手法を発表、なりすまし対策の強化へ向けて前進

TRUSTDOCKがマイナンバーカードを活用した本人確認の最新手法を発表、なりすまし対策の強化...

地方自治情報化推進フェア2024にてTRUSTDOCKが発表した、マイナンバーカードを活用した最新のeKYC手法について解説する。公的個人認証サービスとICチップ読み取り、さらに顔認証を組み合わせることで、なりすましや偽造による犯罪を防止し、より安全な本人確認を実現。福岡市での導入事例では、登録期間の短縮や申請数の増加など、具体的な成果も出始めている。

TRUSTDOCKがマイナンバーカードを活用した本人確認の最新手法を発表、なりすまし対策の強化...

地方自治情報化推進フェア2024にてTRUSTDOCKが発表した、マイナンバーカードを活用した最新のeKYC手法について解説する。公的個人認証サービスとICチップ読み取り、さらに顔認証を組み合わせることで、なりすましや偽造による犯罪を防止し、より安全な本人確認を実現。福岡市での導入事例では、登録期間の短縮や申請数の増加など、具体的な成果も出始めている。

【CVE-2024-47604】NuGetGalleryでXSS脆弱性が発見、HTMLの属性処理に深刻な問題

【CVE-2024-47604】NuGetGalleryでXSS脆弱性が発見、HTMLの属性処...

GitHubは2024年10月1日、NuGetGalleryにおいてXSS脆弱性を発見したことを公開した。CVSSスコア8.2の高リスク脆弱性で、HTMLの属性処理における不備により、攻撃者が任意のコードを実行可能な状態となっていた。影響を受けるバージョンは2024.06.21から2024.09.25までで、すでにパッチによる修正が行われている。

【CVE-2024-47604】NuGetGalleryでXSS脆弱性が発見、HTMLの属性処...

GitHubは2024年10月1日、NuGetGalleryにおいてXSS脆弱性を発見したことを公開した。CVSSスコア8.2の高リスク脆弱性で、HTMLの属性処理における不備により、攻撃者が任意のコードを実行可能な状態となっていた。影響を受けるバージョンは2024.06.21から2024.09.25までで、すでにパッチによる修正が行われている。

【CVE-2024-38255】Microsoft SQL Serverに深刻な脆弱性、複数バージョンで遠隔コード実行のリスクが発覚

【CVE-2024-38255】Microsoft SQL Serverに深刻な脆弱性、複数バ...

Microsoftは2024年11月12日、SQL Server Native Clientにおける遠隔コード実行の脆弱性を公開した。CVSSスコア8.8の高リスクとして評価されたこの脆弱性は、Microsoft SQL Server 2016 Service Pack 3、SQL Server 2017、SQL Server 2019など複数のバージョンに影響を及ぼす。ヒープベースのバッファオーバーフロー(CWE-122)として分類され、早急な対応が必要な状況だ。

【CVE-2024-38255】Microsoft SQL Serverに深刻な脆弱性、複数バ...

Microsoftは2024年11月12日、SQL Server Native Clientにおける遠隔コード実行の脆弱性を公開した。CVSSスコア8.8の高リスクとして評価されたこの脆弱性は、Microsoft SQL Server 2016 Service Pack 3、SQL Server 2017、SQL Server 2019など複数のバージョンに影響を及ぼす。ヒープベースのバッファオーバーフロー(CWE-122)として分類され、早急な対応が必要な状況だ。

【CVE-2024-52306】Laravel-Backpack FileManagerにデシリアライゼーションの脆弱性、バージョン3.0.9で修正完了

【CVE-2024-52306】Laravel-Backpack FileManagerにデシ...

Laravel-Backpack FileManagerのバージョン3.0.9未満において、mimesパラメータからの信頼できないデータのデシリアライゼーションによるリモートコード実行の脆弱性が発見された。CVSSスコア7.7の高リスク評価となり、バージョン3.0.9で修正が実施された。CWE-502に分類されるこの脆弱性は、適切な入力検証の重要性を再認識させる結果となっている。

【CVE-2024-52306】Laravel-Backpack FileManagerにデシ...

Laravel-Backpack FileManagerのバージョン3.0.9未満において、mimesパラメータからの信頼できないデータのデシリアライゼーションによるリモートコード実行の脆弱性が発見された。CVSSスコア7.7の高リスク評価となり、バージョン3.0.9で修正が実施された。CWE-502に分類されるこの脆弱性は、適切な入力検証の重要性を再認識させる結果となっている。

【CVE-2024-51679】WordPressのAppointmind 4.0.0にCSRF脆弱性、Stored XSSの実行が可能な深刻な問題に

【CVE-2024-51679】WordPressのAppointmind 4.0.0にCSR...

WordPressプラグインのAppointmind 4.0.0以前のバージョンにおいて、クロスサイトリクエストフォージェリ(CSRF)の脆弱性が発見された。CVSSスコア7.1のハイリスクと評価されており、攻撃者がネットワーク経由でStored XSSを実行可能。GentleSourceは対策版となるバージョン4.1.0をリリースしており、管理者は直ちにアップデートを実施することが推奨されている。

【CVE-2024-51679】WordPressのAppointmind 4.0.0にCSR...

WordPressプラグインのAppointmind 4.0.0以前のバージョンにおいて、クロスサイトリクエストフォージェリ(CSRF)の脆弱性が発見された。CVSSスコア7.1のハイリスクと評価されており、攻撃者がネットワーク経由でStored XSSを実行可能。GentleSourceは対策版となるバージョン4.1.0をリリースしており、管理者は直ちにアップデートを実施することが推奨されている。

【CVE-2024-42386】Mongoose Web Server v7.14に深刻な脆弱性、TLSパケットによるセグメンテーション違反の危険性が浮上

【CVE-2024-42386】Mongoose Web Server v7.14に深刻な脆弱...

Nozomi Networks社がCesanta社のMongoose Web Server v7.14に範囲外ポインタオフセットの使用による重大な脆弱性を発見した。CVSSスコア8.2の高リスク脆弱性として分類され、不正なTLSパケットの送信によりアプリケーションのセグメンテーション違反を引き起こす可能性がある。攻撃の複雑さは低く、特権やユーザーの操作も不要とされており、早急な対応が求められている。

【CVE-2024-42386】Mongoose Web Server v7.14に深刻な脆弱...

Nozomi Networks社がCesanta社のMongoose Web Server v7.14に範囲外ポインタオフセットの使用による重大な脆弱性を発見した。CVSSスコア8.2の高リスク脆弱性として分類され、不正なTLSパケットの送信によりアプリケーションのセグメンテーション違反を引き起こす可能性がある。攻撃の複雑さは低く、特権やユーザーの操作も不要とされており、早急な対応が求められている。

【CVE-2024-42384】Mongoose Web Server v7.14に整数オーバーフローの脆弱性、セグメンテーション違反のリスクが判明

【CVE-2024-42384】Mongoose Web Server v7.14に整数オーバ...

CesantaのMongoose Web Server v7.14において、整数オーバーフローまたはラップアラウンドの脆弱性が発見された。CVE-2024-42384として識別されたこの脆弱性は、攻撃者が予期せぬTLSパケットを送信することでアプリケーションにセグメンテーション違反を引き起こす可能性がある。CVSSスコア7.5の高リスク脆弱性として評価され、バージョン0から7.14までが影響を受ける。

【CVE-2024-42384】Mongoose Web Server v7.14に整数オーバ...

CesantaのMongoose Web Server v7.14において、整数オーバーフローまたはラップアラウンドの脆弱性が発見された。CVE-2024-42384として識別されたこの脆弱性は、攻撃者が予期せぬTLSパケットを送信することでアプリケーションにセグメンテーション違反を引き起こす可能性がある。CVSSスコア7.5の高リスク脆弱性として評価され、バージョン0から7.14までが影響を受ける。

【CVE-2024-21541】dom-iteratorに任意コード実行の脆弱性、Function構文の不適切な使用により深刻な影響の可能性

【CVE-2024-21541】dom-iteratorに任意コード実行の脆弱性、Functi...

Snykは2024年11月13日、dom-iteratorパッケージのすべてのバージョンに任意コード実行の脆弱性を発見したことを公開した。CVSSv3.1で基本スコア7.3の高リスクと評価されており、Function構文を使用する際の入力値のサニタイズが不十分であることから、攻撃者によって制御された入力値がFunction構文に到達する可能性がある。

【CVE-2024-21541】dom-iteratorに任意コード実行の脆弱性、Functi...

Snykは2024年11月13日、dom-iteratorパッケージのすべてのバージョンに任意コード実行の脆弱性を発見したことを公開した。CVSSv3.1で基本スコア7.3の高リスクと評価されており、Function構文を使用する際の入力値のサニタイズが不十分であることから、攻撃者によって制御された入力値がFunction構文に到達する可能性がある。

【CVE-2024-11237】TP-Link VN020 F3v(T)に重大な脆弱性、バッファオーバーフローによる遠隔攻撃のリスクが発覚

【CVE-2024-11237】TP-Link VN020 F3v(T)に重大な脆弱性、バッフ...

TP-Link VN020 F3v(T)のDHCP DISCOVER Packet Parserに重大な脆弱性が発見された。CVE-2024-11237として特定されたこの脆弱性は、スタックベースのバッファオーバーフローを引き起こす可能性があり、遠隔からの攻撃が可能。認証や特権が不要なため、深刻度の高い脆弱性としてCVSSスコア8.7を記録している。早急な対策が求められる状況だ。

【CVE-2024-11237】TP-Link VN020 F3v(T)に重大な脆弱性、バッフ...

TP-Link VN020 F3v(T)のDHCP DISCOVER Packet Parserに重大な脆弱性が発見された。CVE-2024-11237として特定されたこの脆弱性は、スタックベースのバッファオーバーフローを引き起こす可能性があり、遠隔からの攻撃が可能。認証や特権が不要なため、深刻度の高い脆弱性としてCVSSスコア8.7を記録している。早急な対策が求められる状況だ。

ELSOUL LABO B.V.がSolanaメインネットで手数料0%のバリデータ運用を開始、ネットワークの分散化とセキュリティ向上に貢献

ELSOUL LABO B.V.がSolanaメインネットで手数料0%のバリデータ運用を開始、...

ELSOUL LABO B.V.とEpics DAOは、Solanaエコシステムのセキュリティ向上とユーザーに最大TrueAPYを提供するため、メインネットで手数料完全0%のバリデータ運用を開始した。Jitoクライアントの採用でスパムトランザクションを削減し、高性能ハードウェアと最適なロケーションでの運用により、効率的なトランザクション処理を実現。ステーキングの分散化を促進し、ネットワークの健全性向上を目指す。

ELSOUL LABO B.V.がSolanaメインネットで手数料0%のバリデータ運用を開始、...

ELSOUL LABO B.V.とEpics DAOは、Solanaエコシステムのセキュリティ向上とユーザーに最大TrueAPYを提供するため、メインネットで手数料完全0%のバリデータ運用を開始した。Jitoクライアントの採用でスパムトランザクションを削減し、高性能ハードウェアと最適なロケーションでの運用により、効率的なトランザクション処理を実現。ステーキングの分散化を促進し、ネットワークの健全性向上を目指す。

【CVE-2024-11212】SourceCodester Best Employee Management System 1.0にSQLインジェクションの脆弱性が発見、早急な対策が必要に

【CVE-2024-11212】SourceCodester Best Employee Ma...

SourceCodesterのBest Employee Management System 1.0のfetch_product_details.phpファイルにSQLインジェクションの脆弱性が発見された。barcodeパラメータを操作することでリモートからの攻撃が可能で、既に一般に公開されている。CVSSスコアは中程度だが、認証情報があれば攻撃可能なため、早急なパッチ適用が推奨される。機密性・整合性・可用性への影響は限定的と評価されている。

【CVE-2024-11212】SourceCodester Best Employee Ma...

SourceCodesterのBest Employee Management System 1.0のfetch_product_details.phpファイルにSQLインジェクションの脆弱性が発見された。barcodeパラメータを操作することでリモートからの攻撃が可能で、既に一般に公開されている。CVSSスコアは中程度だが、認証情報があれば攻撃可能なため、早急なパッチ適用が推奨される。機密性・整合性・可用性への影響は限定的と評価されている。

【CVE-2024-1097】craigk5n/webcalendar 1.3.0でストアドXSS脆弱性、ユーザーアカウントとCookieの窃取リスクに警鐘

【CVE-2024-1097】craigk5n/webcalendar 1.3.0でストアドX...

Protect AIがcraigk5n/webcalendar 1.3.0における重大なストアドXSS脆弱性を報告した。この脆弱性はReport Name入力フィールドに存在し、悪意のあるスクリプトの実行によってユーザーアカウントとCookieの窃取が可能になる。CVSS3.0スコア7.6のHigh深刻度と評価され、現在も最新バージョンまで影響を受ける可能性があり、早急な対応が求められている。

【CVE-2024-1097】craigk5n/webcalendar 1.3.0でストアドX...

Protect AIがcraigk5n/webcalendar 1.3.0における重大なストアドXSS脆弱性を報告した。この脆弱性はReport Name入力フィールドに存在し、悪意のあるスクリプトの実行によってユーザーアカウントとCookieの窃取が可能になる。CVSS3.0スコア7.6のHigh深刻度と評価され、現在も最新バージョンまで影響を受ける可能性があり、早急な対応が求められている。

【CVE-2024-10534】Dataprom InformaticsのPACS-ACSSにアクセス制御の脆弱性、トラフィックインジェクションのリスクが浮上

【CVE-2024-10534】Dataprom InformaticsのPACS-ACSSに...

Dataprom InformaticsのPersonnel Attendance Control SystemsおよびAccess Control Security Systemsに深刻な脆弱性が発見された。CVE-2024-10534として特定されたこの脆弱性は、Origin Validation Errorに分類され、トラフィックインジェクションを可能にする。CVSSスコアは8.6と高く評価され、2024年より前のすべてのバージョンが影響を受ける。早急な対応が推奨されている。

【CVE-2024-10534】Dataprom InformaticsのPACS-ACSSに...

Dataprom InformaticsのPersonnel Attendance Control SystemsおよびAccess Control Security Systemsに深刻な脆弱性が発見された。CVE-2024-10534として特定されたこの脆弱性は、Origin Validation Errorに分類され、トラフィックインジェクションを可能にする。CVSSスコアは8.6と高く評価され、2024年より前のすべてのバージョンが影響を受ける。早急な対応が推奨されている。

【CVE-2024-9409】Schneider ElectricのPowerLogic製品に深刻な脆弱性、IGMPパケットによる通信障害のリスクが発生

【CVE-2024-9409】Schneider ElectricのPowerLogic製品に...

Schneider Electric社のPowerLogic PM5320、PM5340、PM5341において、IGMPパケットによるリソース消費の脆弱性が発見された。CVSS v4.0で8.7、v3.1で7.5と高い深刻度が評価され、特別な権限なく攻撃が可能。PowerLogic PM5320とPM5340はバージョン2.3.8以前、PM5341は2.6.6以前が影響を受け、デバイスの応答不能や通信途絶のリスクが指摘されている。

【CVE-2024-9409】Schneider ElectricのPowerLogic製品に...

Schneider Electric社のPowerLogic PM5320、PM5340、PM5341において、IGMPパケットによるリソース消費の脆弱性が発見された。CVSS v4.0で8.7、v3.1で7.5と高い深刻度が評価され、特別な権限なく攻撃が可能。PowerLogic PM5320とPM5340はバージョン2.3.8以前、PM5341は2.6.6以前が影響を受け、デバイスの応答不能や通信途絶のリスクが指摘されている。

【CVE-2024-52293】CraftのパストラバーサルとTwig SSTI脆弱性、深刻なリモートコード実行の可能性が判明

【CVE-2024-52293】CraftのパストラバーサルとTwig SSTI脆弱性、深刻な...

コンテンツ管理システムCraftにおいて、FileHelper::absolutePath関数のパス正規化機能の欠如により、Twig SSTIを介したリモートコード実行が可能となる脆弱性が発見された。CVE-2024-52293として識別されるこの問題は、CVSSスコア7.2のHigh評価を受け、バージョン4.12.2と5.4.3で修正された。影響を受けるバージョンのユーザーは速やかなアップデートが推奨される。

【CVE-2024-52293】CraftのパストラバーサルとTwig SSTI脆弱性、深刻な...

コンテンツ管理システムCraftにおいて、FileHelper::absolutePath関数のパス正規化機能の欠如により、Twig SSTIを介したリモートコード実行が可能となる脆弱性が発見された。CVE-2024-52293として識別されるこの問題は、CVSSスコア7.2のHigh評価を受け、バージョン4.12.2と5.4.3で修正された。影響を受けるバージョンのユーザーは速やかなアップデートが推奨される。

【CVE-2024-45611】GLPIにストアードXSSの脆弱性が発見、version 10.0.17で修正されたアクセス制御の問題に対応

【CVE-2024-45611】GLPIにストアードXSSの脆弱性が発見、version 10...

GitHubは2024年11月15日、資産・IT管理ソフトウェアGLPIにおいてストアードXSSの脆弱性を発見したことを公開した。認証済みユーザーがアクセス制御ポリシーをバイパスし、他のユーザーアカウントに紐付いた非公開RSSフィードを作成できる問題が確認されている。version 0.84から10.0.17未満のすべてのバージョンに影響があり、早急なアップグレードが推奨される。

【CVE-2024-45611】GLPIにストアードXSSの脆弱性が発見、version 10...

GitHubは2024年11月15日、資産・IT管理ソフトウェアGLPIにおいてストアードXSSの脆弱性を発見したことを公開した。認証済みユーザーがアクセス制御ポリシーをバイパスし、他のユーザーアカウントに紐付いた非公開RSSフィードを作成できる問題が確認されている。version 0.84から10.0.17未満のすべてのバージョンに影響があり、早急なアップグレードが推奨される。

【CVE-2024-42390】Mongoose Web Server v7.14にTLSパケット処理の脆弱性、ヒープメモリ読み取りのリスクが浮上

【CVE-2024-42390】Mongoose Web Server v7.14にTLSパケ...

CesantaのMongoose Web Server v7.14において範囲外ポインタオフセットの使用に関する脆弱性が発見された。攻撃者は特別に細工されたTLSパケットを送信することで、アプリケーションに意図しないヒープメモリ空間の読み取りを強制することが可能である。CVSSスコアは4.3(ミディアム)と評価されており、攻撃には利用者の関与が必要だが特権は不要とされている。

【CVE-2024-42390】Mongoose Web Server v7.14にTLSパケ...

CesantaのMongoose Web Server v7.14において範囲外ポインタオフセットの使用に関する脆弱性が発見された。攻撃者は特別に細工されたTLSパケットを送信することで、アプリケーションに意図しないヒープメモリ空間の読み取りを強制することが可能である。CVSSスコアは4.3(ミディアム)と評価されており、攻撃には利用者の関与が必要だが特権は不要とされている。

【CVE-2024-11211】EyouCMS 1.6.7に重大な脆弱性、Webサイトロゴの無制限アップロードが可能に

【CVE-2024-11211】EyouCMS 1.6.7に重大な脆弱性、Webサイトロゴの無...

VulDBはEyouCMSバージョン1.6.0から1.6.7に影響を及ぼす重大な脆弱性を報告した。Webサイトロゴハンドラーコンポーネントにおける無制限アップロードの脆弱性により、高い特権を持つ攻撃者によるリモートからの攻撃が可能な状態となっている。CVSSスコアは中程度だが、ベンダーからの応答がないまま脆弱性情報が公開され、早急な対応が求められる状況となっている。

【CVE-2024-11211】EyouCMS 1.6.7に重大な脆弱性、Webサイトロゴの無...

VulDBはEyouCMSバージョン1.6.0から1.6.7に影響を及ぼす重大な脆弱性を報告した。Webサイトロゴハンドラーコンポーネントにおける無制限アップロードの脆弱性により、高い特権を持つ攻撃者によるリモートからの攻撃が可能な状態となっている。CVSSスコアは中程度だが、ベンダーからの応答がないまま脆弱性情報が公開され、早急な対応が求められる状況となっている。

【CVE-2024-0787】phpIPAM 1.5.1に認証回避の脆弱性、パスワード総当たり攻撃のリスクが判明

【CVE-2024-0787】phpIPAM 1.5.1に認証回避の脆弱性、パスワード総当たり...

IPアドレス管理ソフトウェアphpIPAM 1.5.1において、X-Forwarded-Forヘッダーを利用してIPブロックメカニズムを回避できる脆弱性が発見された。この脆弱性により、攻撃者は管理者を含むすべてのユーザーアカウントに対してパスワードの総当たり攻撃が可能となる。CVSSスコアは5.3(Medium)で評価され、バージョン1.7.0で修正されている。早急なアップデートが推奨される重要な問題だ。

【CVE-2024-0787】phpIPAM 1.5.1に認証回避の脆弱性、パスワード総当たり...

IPアドレス管理ソフトウェアphpIPAM 1.5.1において、X-Forwarded-Forヘッダーを利用してIPブロックメカニズムを回避できる脆弱性が発見された。この脆弱性により、攻撃者は管理者を含むすべてのユーザーアカウントに対してパスワードの総当たり攻撃が可能となる。CVSSスコアは5.3(Medium)で評価され、バージョン1.7.0で修正されている。早急なアップデートが推奨される重要な問題だ。

【CVE-2024-8001】VIWIS LMS 9.11に重大な認証機能の脆弱性、試験問題と解答への不正アクセスが可能な状態に

【CVE-2024-8001】VIWIS LMS 9.11に重大な認証機能の脆弱性、試験問題と...

VIWIS社の学習管理システムVIWIS LMS 9.11において、Print Handler機能に重大な脆弱性が発見された。認証機能の不備により、学習者ロールを持つユーザーが管理者向け印刷機能を使用できる状態となっており、試験前後のタイミングで試験問題や解答への不正アクセスが可能となっている。CVSSスコアは6.9(Medium)で、早急なパッチ適用が推奨されている。

【CVE-2024-8001】VIWIS LMS 9.11に重大な認証機能の脆弱性、試験問題と...

VIWIS社の学習管理システムVIWIS LMS 9.11において、Print Handler機能に重大な脆弱性が発見された。認証機能の不備により、学習者ロールを持つユーザーが管理者向け印刷機能を使用できる状態となっており、試験前後のタイミングで試験問題や解答への不正アクセスが可能となっている。CVSSスコアは6.9(Medium)で、早急なパッチ適用が推奨されている。

【CVE-2024-42388】Mongoose Web Server v7.14でヒープメモリの脆弱性を発見、情報漏洩のリスクに警戒

【CVE-2024-42388】Mongoose Web Server v7.14でヒープメモ...

Nozomi Networks Incは2024年11月18日、Cesanta社のMongoose Web Server v7.14に範囲外ポインタオフセットの使用による脆弱性を発見したことを公開した。CVE-2024-42388として特定されたこの脆弱性は、攻撃者が予期しないTLSパケットを送信することで意図しないヒープメモリ空間へのアクセスを強制できる問題が存在しており、早急な対策が求められている。

【CVE-2024-42388】Mongoose Web Server v7.14でヒープメモ...

Nozomi Networks Incは2024年11月18日、Cesanta社のMongoose Web Server v7.14に範囲外ポインタオフセットの使用による脆弱性を発見したことを公開した。CVE-2024-42388として特定されたこの脆弱性は、攻撃者が予期しないTLSパケットを送信することで意図しないヒープメモリ空間へのアクセスを強制できる問題が存在しており、早急な対策が求められている。

【CVE-2024-1240】pyload/pyload 0.5.0でオープンリダイレクトの脆弱性が発見、フィッシング攻撃のリスクに警戒

【CVE-2024-1240】pyload/pyload 0.5.0でオープンリダイレクトの脆...

セキュリティ企業Protect AIは、pyload/pyload 0.5.0においてオープンリダイレクトの脆弱性を発見した。ログイン機能のnextパラメータの不適切な処理により、悪意のあるサイトへのリダイレクトが可能となる脆弱性が確認された。CVSSスコアは4.6(MEDIUM)と評価され、フィッシング攻撃などの悪用が懸念される。修正版のpyload-ng 0.5.0b3.dev79がリリースされ、早急なアップデートが推奨される。

【CVE-2024-1240】pyload/pyload 0.5.0でオープンリダイレクトの脆...

セキュリティ企業Protect AIは、pyload/pyload 0.5.0においてオープンリダイレクトの脆弱性を発見した。ログイン機能のnextパラメータの不適切な処理により、悪意のあるサイトへのリダイレクトが可能となる脆弱性が確認された。CVSSスコアは4.6(MEDIUM)と評価され、フィッシング攻撃などの悪用が懸念される。修正版のpyload-ng 0.5.0b3.dev79がリリースされ、早急なアップデートが推奨される。

【CVE-2024-11209】Apereo CAS 6.6に認証バイパスの脆弱性、リモート攻撃のリスクが浮上

【CVE-2024-11209】Apereo CAS 6.6に認証バイパスの脆弱性、リモート攻...

VulDBによって、Apereo CAS 6.6の2要素認証機能に重大な脆弱性が発見された。CVE-2024-11209として識別されるこの問題は、/login?serviceコンポーネントの認証機能に影響を及ぼし、リモートからの攻撃が可能な状態にある。CVSSスコアは中程度と評価されているが、脆弱性の詳細が公開されており、早急な対応が必要とされている。

【CVE-2024-11209】Apereo CAS 6.6に認証バイパスの脆弱性、リモート攻...

VulDBによって、Apereo CAS 6.6の2要素認証機能に重大な脆弱性が発見された。CVE-2024-11209として識別されるこの問題は、/login?serviceコンポーネントの認証機能に影響を及ぼし、リモートからの攻撃が可能な状態にある。CVSSスコアは中程度と評価されているが、脆弱性の詳細が公開されており、早急な対応が必要とされている。

【CVE-2024-10820】WooCommerce Upload Files 84.3の脆弱性が発覚、リモートコード実行のリスクで緊急対応が必要に

【CVE-2024-10820】WooCommerce Upload Files 84.3の脆...

WordPressのプラグインWooCommerce Upload Filesにおいて、バージョン84.3以前に深刻な脆弱性が発見された。upload_files()関数でのファイルタイプ検証の不備により、未認証の攻撃者が任意のファイルをアップロード可能な状態となっている。CVSSスコア9.8の重大な脆弱性であり、リモートコード実行のリスクも指摘されているため、早急な対応が求められる。

【CVE-2024-10820】WooCommerce Upload Files 84.3の脆...

WordPressのプラグインWooCommerce Upload Filesにおいて、バージョン84.3以前に深刻な脆弱性が発見された。upload_files()関数でのファイルタイプ検証の不備により、未認証の攻撃者が任意のファイルをアップロード可能な状態となっている。CVSSスコア9.8の重大な脆弱性であり、リモートコード実行のリスクも指摘されているため、早急な対応が求められる。

H.I.F.が10月度のAIスコアリング情報を公開、引受債権額85億円で業界平均を大幅に上回るパフォーマンスを達成

H.I.F.が10月度のAIスコアリング情報を公開、引受債権額85億円で業界平均を大幅に上回る...

H.I.F.株式会社が2024年10月度のFintech取扱総額を公開し、引受債権額が85億円を突破したことを発表。AI定性与信審査技術により、業界平均1.08%に対して0.04%という圧倒的に低いデフォルト率を実現。約7.5万件の取引データを活用した独自の審査システムにより、大手企業からベンチャー企業まで幅広い与信評価を可能にしている。

H.I.F.が10月度のAIスコアリング情報を公開、引受債権額85億円で業界平均を大幅に上回る...

H.I.F.株式会社が2024年10月度のFintech取扱総額を公開し、引受債権額が85億円を突破したことを発表。AI定性与信審査技術により、業界平均1.08%に対して0.04%という圧倒的に低いデフォルト率を実現。約7.5万件の取引データを活用した独自の審査システムにより、大手企業からベンチャー企業まで幅広い与信評価を可能にしている。

アンカー・ジャパンが充電式カード型トラッカーEufy SmartTrack Card E30を発売、Amazonで20%ポイント還元キャンペーンを実施

アンカー・ジャパンが充電式カード型トラッカーEufy SmartTrack Card E30を...

アンカー・ジャパンが新型カード型トラッカー「Anker Eufy SmartTrack Card E30」を4,990円で発売。充電式バッテリーを搭載し、1回の充電で最長1年間の稼働が可能。Amazonでは初回3,000個限定で20%のポイント還元を実施。マグネット式充電器とUSB Type-C接続に対応し、iPhoneの「探す」機能やAndroidのEufy Securityアプリで利用可能。

アンカー・ジャパンが充電式カード型トラッカーEufy SmartTrack Card E30を...

アンカー・ジャパンが新型カード型トラッカー「Anker Eufy SmartTrack Card E30」を4,990円で発売。充電式バッテリーを搭載し、1回の充電で最長1年間の稼働が可能。Amazonでは初回3,000個限定で20%のポイント還元を実施。マグネット式充電器とUSB Type-C接続に対応し、iPhoneの「探す」機能やAndroidのEufy Securityアプリで利用可能。

【CVE-2024-8403】三菱電機のMELSEC iQ-F Series FX5-ENETにDoS脆弱性、Ethernet通信への攻撃リスクが判明

【CVE-2024-8403】三菱電機のMELSEC iQ-F Series FX5-ENET...

三菱電機のMELSEC iQ-F Series FX5-ENETおよびFX5-ENET/IPに深刻なDoS脆弱性が発見された。CVSSスコア7.5のHigh評価となる本脆弱性は、特別に細工されたSLMPパケットによってEthernet通信に障害を引き起こす可能性がある。FX5-ENETのバージョン1.100以降およびFX5-ENET/IPのバージョン1.100から1.104が影響を受け、早急な対応が求められている。

【CVE-2024-8403】三菱電機のMELSEC iQ-F Series FX5-ENET...

三菱電機のMELSEC iQ-F Series FX5-ENETおよびFX5-ENET/IPに深刻なDoS脆弱性が発見された。CVSSスコア7.5のHigh評価となる本脆弱性は、特別に細工されたSLMPパケットによってEthernet通信に障害を引き起こす可能性がある。FX5-ENETのバージョン1.100以降およびFX5-ENET/IPのバージョン1.100から1.104が影響を受け、早急な対応が求められている。

MicrosoftがWindows 365 Linkを発表、クラウドPCへの高速接続とセキュリティ強化を実現するシンクライアントデバイス

MicrosoftがWindows 365 Linkを発表、クラウドPCへの高速接続とセキュリ...

MicrosoftはMicrosoft Ignite 2024において、Windows 365専用のシンクライアントデバイス「Windows 365 Link」を発表した。デュアル4Kモニター対応やWi-Fi 6E、Bluetooth 5.3などの高度な接続性を備え、Microsoft Teamsなどのビデオコンファレンスにもローカル処理で対応。ローカルデータを持たないセキュアな設計とMicrosoft Intuneによる効率的な管理機能を実現している。2025年4月から349ドルで販売開始予定。

MicrosoftがWindows 365 Linkを発表、クラウドPCへの高速接続とセキュリ...

MicrosoftはMicrosoft Ignite 2024において、Windows 365専用のシンクライアントデバイス「Windows 365 Link」を発表した。デュアル4Kモニター対応やWi-Fi 6E、Bluetooth 5.3などの高度な接続性を備え、Microsoft Teamsなどのビデオコンファレンスにもローカル処理で対応。ローカルデータを持たないセキュアな設計とMicrosoft Intuneによる効率的な管理機能を実現している。2025年4月から349ドルで販売開始予定。

GoogleがGoogle Chatで複数ファイル送信機能を実装、最大20個のマルチメディアファイルを1度に送信可能に

GoogleがGoogle Chatで複数ファイル送信機能を実装、最大20個のマルチメディアフ...

GoogleはGoogle Chatの新機能として、1つのメッセージで最大20個のマルチメディアファイルを送信できる機能を実装した。2024年11月19日からRapid Release向けに順次展開され、従来のWeb版での1枚ずつの画像送信という制限が解消される。デスクトップからのドラッグ&ドロップにも対応し、すべてのGoogle Workspaceユーザーと個人向けGoogleアカウント所有者が利用可能となる。

GoogleがGoogle Chatで複数ファイル送信機能を実装、最大20個のマルチメディアフ...

GoogleはGoogle Chatの新機能として、1つのメッセージで最大20個のマルチメディアファイルを送信できる機能を実装した。2024年11月19日からRapid Release向けに順次展開され、従来のWeb版での1枚ずつの画像送信という制限が解消される。デスクトップからのドラッグ&ドロップにも対応し、すべてのGoogle Workspaceユーザーと個人向けGoogleアカウント所有者が利用可能となる。

HOT TOPICS