全国公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 292,332 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
深刻度 Medium 種別 認可・権限・アクセス制御 の検索結果：1,441–1,480 件目を表示（ページ 37）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
Windows 上で稼働する Google Chrome には、NVIDIA の GPU を使用している場合、スクリーンデータへのアクセス制限を回避される脆弱性が存在します。
Microsoft Windows 7 および Windows Server 2008 R2 上で稼働する Windows Defender の署名更新 (signature-update) 機能は、誤ったパス名を信頼するため、権限を取得される脆弱性が存在します。 マイクロソフトセキュリティ情報には、この脆弱性は「Microsoft Windows 7 Defender の不適切なパス名の脆弱性」と記載されています。
WordPress には、アップロードディレクトリへの書き込みアクセスを禁止している場合、重要な情報を取得される脆弱性が存在します。
WordPress は、ロールの機能を適切にチェックしないため、公開 (publishing) および寄稿 (authorship) の再割り当てについての制限を回避される脆弱性が存在します。
WordPress の HTTP API には、サーバサイドのリクエストフォージェリ (SSRF) の問題に関連して、イントラネットサーバへ HTTP リクエストを送信される脆弱性が存在します。 本脆弱性は、CVE-2013-0235 と類似した脆弱性です。
MongoDB には、内部システム権限を取得される脆弱性が存在します。
phpMyAdmin の import.php は、ファイル形式を指定する入力データを適切に制限しないため、GLOBALS のスーパーグローバル配列を変更され、その結果、設定を変更される脆弱性が存在します。
Red Hat Enterprise Virtualization Manager (RHEVM) は、ターゲットストレージドメイン用のパーミッションを適切にチェックしないため、サービス運用妨害 (ディスク容量の消費) 状態にされる脆弱性が存在します。
IBM Sterling B2B Integrator および Sterling File Gateway は、ファイルタイプおよび拡張子を適切に制限しないため、アクセス制限を回避される脆弱性が存在します。
FreeBSD のカーネルの mmap の実装の sys/vm/vm_map.c 内の vm_map_lookup 関数は、タスクがメモリロケーションへの書き込み権限を持つべきかどうかを適切に判定しないため、ファイルシステムの書き込み権限を回避され、その結果、権限を取得される脆弱性が存在します。
HP NonStop サーバ上で稼働する HP NonStop SQL/MX には、SQL/MP オブジェクトが使用される場合、アクセス制限を回避される、およびデータを変更される脆弱性が存在します。 ベンダは、本脆弱性を「SQL/MP テーブル」の問題であると説明しています。
Mozilla Firefox の getUserMedia 許可の実装は、特定のページの URL の代わりにトップレベルドキュメントの URL を参照するため、ユーザを騙してカメラやマイクへのアクセスを許可させる脆弱性が存在します。
Mozilla Firefox は、X-Frame-Options 保護メカニズムを適切に実行しないため、クリックジャッキング攻撃を実行される脆弱性が存在します。
Mozilla Firefox は、IFRAME 要素のサンドボックス属性に対する特定の DocShell の継承動作を適切に実装していないため、アクセス制限を回避される脆弱性が存在します。
Mozilla Firefox および Thunderbird の SVG フィルタの実装には、ピクセル値を読まれる、および同一生成元ポリシーを回避され異なるドメインからテキストを読まれる脆弱性が存在します。
Mozilla Firefox および Thunderbird は、XMLHttpRequest の HEAD リクエスト内の body データのインクルードを制限しないため、クロスサイトリクエストフォージェリ (CSRF) 攻撃を実行される脆弱性が存在します。
Fortinet FortiGate デバイス上で稼働する FortiOS は、Guest 機能を適切に制限しないため、任意のユーザのレコードを読まれる、変更される、または削除される脆弱性が存在します。
IBM Sterling Connect:Direct のブラウザは、HTTPS セッション内のセッション Cookie に対して secure フラグを設定しないため、Cookie をキャプチャされる脆弱性が存在します。
Google Chrome の Flash プラグインには、Flash アプリケーション対してカメラまたはマイクロフォンへのアクセスが許可されているかどうかを適切に判定しないため、マシンの物理的環境から重要な情報を取得される脆弱性が存在します。
REDCap は、分岐ロジックおよび計算内の文書化されていない特定の構文を拒否しないため、アクセス制限を回避される脆弱性が存在します。
Linux Kernel の KVM サブシステムの virt/kvm/assigned-dev.c 内の kvm_vm_ioctl_assign_device 関数は、PCI 設定空間 (PCI configuration space) と BAR リソースへのアクセス権を検証しないため、PCI デバイスを割り当てられる、およびサービス運用妨害 (ホスト OS クラッシュ) 状態にされる脆弱性が存在します。
Apple Mac OS X の SMB には、ファイル共有が有効の場合、共有ディレクトリ以外にファイルを作成される、または共有ディレクトリ以外のファイルを変更される脆弱性が存在します。
TIBCO Silver Mobile のサーバは、コマンド実行前に管理者ロールへのアクセスを適切に検証しないため、権限を取得される脆弱性が存在します。
AIX 上で稼働する UNIX 用の IBM Sterling Connect:Direct の file-copying 機能は、不正な権限を使用するため、ファイルシステムの読み取り権限および書き込み権限を回避される脆弱性が存在します。
Moodle は、ブログのコメントを読むための能力要件 (capability requirement) を適用しないため、重要な情報を取得される脆弱性が存在します。
Moodle は、ハブへの登録の間、送信しない (don't send) 属性を配慮しないため、重要なサイト情報を取得される脆弱性が存在します。
Moodle の core_grade コンポーネントは、隠し評価 (hidden grade) の存在を適切に配慮しないため、重要な情報を取得される脆弱性が存在します。
Moodle の assignment モジュール の mod/assign/locallib.php は、ZIP assignment-archive ダウンロード (別名 downloadall) リクエスト を処理している間、機能要件 (capability requirement) を配慮しないため、他のユーザのアサインメントを読まれる脆弱性が存在します。
Elgg の engine/lib/access.php には、プラグインブート中にキャッシュしたアクセスリストを適切にクリアしないため、個人のエンティティ (private entity) を読まれる脆弱性が存在します。
Elgg の engine/lib/users.php には、useradd アクション用の権限を適切に指定しないため、任意のアカウントを作成される脆弱性が存在します。
Xen は、non-v1、non-transitive グラントを解放する際に、グラントへの参照 (grant reference) を誤って解放するため、サービス運用妨害 (ホストクラッシュ) 状態にされる、重要な情報を取得される、またはその他の影響を受ける脆弱性が存在します。
Xen で使用される Qemu の qemu guest エージェントは、デーモンモードで開始した場合、特定のファイルに対して脆弱なパーミッションを使用するため、これらのファイルを読まれる、および書き込まれる脆弱性が存在します。
株式会社ロックオンが提供する EC-CUBE は、オープンソースのショッピングサイト構築システムです。EC-CUBE には、特定の環境における URL の解析処理に問題があり、アクセス制限不備の脆弱性が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: 佐藤 元 氏
株式会社ロックオンが提供する EC-CUBE は、オープンソースのショッピングサイト構築システムです。EC-CUBE には、セッション固定の脆弱性が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: bogus.jp 東内 裕二 氏
EMC VNX Control Station および Celerra Control Station は、不特定のスクリプトファイルに対して不適切なグループオーナーシップを持たせるため、権限を取得される脆弱性が存在します。
Windows 上で稼働する Mozilla Firefox の Mozilla Updater は、古い Firefox のバージョンからのアップグレードを含む特定の状況下において、Mozilla Maintenance Service のレジストリエントリを適切に管理しないため、権限を取得される脆弱性が存在します。
Windows 上で稼働する Mozilla Firefox および Thunderbird の Mozilla Maintenance Service には、完全性評価を回避される、および権限を取得される脆弱性が存在します。
Microsoft Windows Essentials 2011 および 2012 の Windows Writer には、プロキシ設定を回避される、および任意のファイルを上書きされる脆弱性が存在します。 マイクロソフトセキュリティ情報には、この脆弱性は「Windows Essentials の不適切な URI 処理の脆弱性」と記載されています。
Xen は、IRQ へのアクセスを適切に制限しないため、IRQ へのアクセス権を取得される、およびサービス運用妨害 (DoS) 状態にされる脆弱性が存在します。
GroundWork Monitor Enterprise の NeDi コンポーネント内の html/System-NeDi.php には、任意のコマンドを実行される脆弱性が存在します。
脆弱性情報（JVN） よくある質問
脆弱性を製品名やベンダ名で検索できますか？
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
CVSS（深刻度）とは何ですか？
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
影響を受ける製品やベンダ企業は分かりますか？
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
情報の出典を教えてください。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全292,332件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。