全国公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 292,331 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
深刻度 Medium 種別 認可・権限・アクセス制御 の検索結果：841–880 件目を表示（ページ 22）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
IDrive Online Backup の UniBasic100_EDA1811C.ocx の UniBasicPack.UniTextBox ActiveX コントロールの SaveToFile メソッドには、任意のファイルに書き込まれる脆弱性が存在します。
aTube Catcher の ChilkatCrypt2.dll の ChilkatCrypt2.ChilkatOmaDrm.1 ActiveX コントロールの SaveDecrypted メソッドには、任意のファイルに書き込まれる脆弱性が存在します。
Facebook HipHop Virtual Machine (HHVM) は、hphp/util/capability.cpp および hphp/util/light-process.cpp 内の追加のグループメンバーシップをドロップしないため、アクセス制限を回避される脆弱性が存在します。
IBM WebSphere Service Registry and Repository (WSRR) には、オブジェクトアクセス制限を回避される脆弱性が存在します。
IBM WebSphere Service Registry and Repository (WSRR) は、深さ 0 の retrieve オペレーションに対するアクセス制御チェックを行わないため、重要な情報を取得される脆弱性が存在します。
IBM WebSphere Service Registry and Repository (WSRR) は、contained オブジェクトに対するアクセス制御チェックを行わないため、重要な情報を取得される脆弱性が存在します。
IBM Security AppScan Enterprise には、任意のフォルダに書き込まれ、その結果、任意のコマンドを実行される脆弱性が存在します。
Cisco Identity Services Engine (ISE) の Sponsor Portal には、任意のスポンサーのゲストアカウントへのアクセス権を取得される脆弱性が存在します。 ベンダは、本脆弱性を Bug ID CSCur64400 として公開しています。
OTRS Help Desk の GenericInterface には、任意のチケットにアクセスされ、変更される脆弱性が存在します。
Huawei P7-L10 スマートフォンの PackageInstaller モジュールには、元のウェブサイトになりすまされる、およびウェブサイトのホワイトリスト保護メカニズムを回避される脆弱性が存在します。
IBM WebSphere Application Server Liberty Profile には、権限を取得される脆弱性が存在します。
IBM Business Process Manager (BPM) のインポート/エクスポート機能には、アクセス制限を回避される脆弱性が存在します。
Zenoss Core には、アクセス制限を回避される脆弱性が存在します。 ベンダは、本脆弱性を ZEN-15407 として公開しています。
Docker には、イメージコンテナのデフォルトの実行プロファイルを変更される、およびコンテナを回避される脆弱性が存在します。
BMC Track-It! には、権限を取得され、任意のコードを実行される脆弱性が存在します。
Icecast は、設定時に補助グループの権限を変更しないため、権限を取得される脆弱性が存在します。
Windows および Mac OS X 上で稼働する Adobe Reader および Acrobat には、同一生成元ポリシーを回避される脆弱性が存在します。
OpenStack PackStack は、Open vSwitch (OVS) monolithic プラグインが使用されていない場合、nova.conf 設定を生成する際に libvirt_vif_driver 設定オプションを適切に設定しないため、ファイアウォールを無効にされ、アクセス制限を回避される脆弱性が存在します。
Drupal 用 Fasttoggle モジュールには、アカウントをブロックまたは、ブロック解除される脆弱性が存在します。
Linux Kernel は、特定の名前空間のシナリオの、補助グループのメンバーシップ (supplemental group membership) のドロップを適切に制限しないため、ファイルパーミッションを回避される脆弱性が存在します。
JExperts Channel Platform には、アクセス制限を回避される脆弱性が存在します。
Drupal には、セッションをハイジャックされる脆弱性が存在します。
Asterisk および Certified Asterisk の ConfBridge には、以下の脆弱性が存在します。 (1) CONFBRIDGE ダイヤルプラン機能の外部プロトコルに関する処理に不備があるため、権限を取得される脆弱性が存在します。 (2) 巧妙に細工された ConfbridgeStartRecord AMI アクションを介して、任意のシステムコマンドを実行される脆弱性が存在します。
Asterisk Open Source および Certified Asterisk の (1) VoIP チャネルドライバ、(2) DUNDi、および (3) Asterisk Manager Interface (AMI) には、ACL 制限を回避される脆弱性が存在します。
MantisBT には、$g_download_attachments_threshold および $g_view_attachments_threshold の制限を回避される、およびプライベートプロジェクトの添付を読まれる脆弱性が存在します。
Ubuntu の apparmor パッケージの apparmor_parser には、"miscompilation flaw" に関する処理に不備があるため、AppArmor ポリシーを回避される脆弱性が存在します。
Moodle の tag/tag_autocomplete.php は、タグを追加する前に moodle/tag:edit ケーパビリティを考慮しないため、アクセス制限を回避される脆弱性が存在します。
Moodle の mod/wiki/admin.php には、wiki ページを削除される脆弱性が存在します。
Moodle の mod/forum/externallib.php は、グループのパーミッションを検証しないため、フォーラムへアクセスされる脆弱性が存在します。
Moodle の LTI モジュールの mod/lti/launch.php は、コースレベルではなくアクティビティのレベルでアクセス制御を行うため、mod/lti:view ケーパビリティの要求を回避される脆弱性が存在します。
Cisco Unified Communications Manager IM and Presence Service は、ユーザ名が存在するかどうかに応じて URL リクエストに対して異なる返信メッセージを生成するため、ユーザアカウントを列挙される脆弱性が存在します。 ベンダは、本脆弱性を Bug ID CSCur63497 として公開しています。
TIBCO Managed File Transfer Internet Server、Managed File Transfer Command Center、Slingshot、および Vault には、重要な情報を取得される、またはデータを変更される脆弱性が存在します。
Drupal 用 Ubercart モジュールは、ユーザごとの注文履歴の表示を適切に保護しないため、重要な情報を取得される脆弱性が存在します。
Drupal 用 Twilio モジュールは、Twilio の管理ページへのアクセスを適切に制限しないため、認証トークンを読まれる、および変更される脆弱性が存在します。
Drupal 用 Webform Component Roles モジュールには、disabled 制限を回避される、および読み取り専用のコンポーネントを変更される脆弱性が存在します。
ZTE ZXHN H108L のファームウェアには、CWMP 設定を変更される脆弱性が存在します。
Mule Enterprise Management Console (MMC) は、handler/securityService.rpc へのアクセスを適切に制限しないため、管理者権限を取得され、任意のコードを実行される脆弱性が存在します。 本脆弱性は、当初、ESB Runtime 3.5.1 に対する報告でしたが、MMC に起因していることが判明しました。
vTiger のインストールモジュールの views/Index.php は、アクセスを適切に制限しないため、アプリケーションを再インストールされる脆弱性が存在します。
ZendOpenId の Consumer コンポーネントの GenericConsumer クラスおよび Zend Framework の Zend_OpenId_Consumer クラスは、同一の Identity Provider を関連付けハンドル (association handle) で使用されるプロバイダであると識別する openid_op_endpoint の値を検証しないため、認証を回避され、任意の OpenID identity をなりすまされる脆弱性が存在します。
Microsoft Internet Explorer 10 および 11 には、権限を取得される脆弱性が存在します。 マイクロソフトセキュリティ情報には、この脆弱性は「Internet Explorer 特権の昇格の脆弱性」と記載されています。 本脆弱性は、CVE-2014-6349 とは異なる脆弱性です。
脆弱性情報（JVN） よくある質問
脆弱性を製品名やベンダ名で検索できますか？
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
CVSS（深刻度）とは何ですか？
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
影響を受ける製品やベンダ企業は分かりますか？
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
情報の出典を教えてください。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全292,331件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。