全国公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 292,332 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
深刻度 High 種別 認可・権限・アクセス制御 の検索結果：2,041–2,080 件目を表示（ページ 52）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
Symantec PGP Universal Server および Encryption Management Server には、任意のシェルコマンドを実行される脆弱性が存在します。
Siemens Ruggedcom WIN51xx デバイスのファームウェア、WIN52xx デバイスのファームウェア、WIN70xx デバイスのファームウェア、および WIN72xx デバイスのファームウェアの統合管理サービスには、認証を回避される、および管理アクションを実行される脆弱性が存在します。
Apple OS X のサンドボックスには、sandbox-profile キャッシュに書き込まれる脆弱性が存在します。
Apple iOS、Apple OS X、および Apple TV のカーネルは、カスタムキャッシュモードの使用中に共有メモリセグメントの読み取り専用属性を適用しないため、アクセス制限を回避される脆弱性が存在します。
Apple iOS の MobileInstallation の app-installation 機能には、ローカルのアプリケーションコンテナ (app container) の制御権を取得される脆弱性が存在します。
WordPress 用 Pixabay Images プラグインの pixabay-images.php は、アップロード機能へのアクセスを適切に制限しないため、任意のファイルに書き込まれる脆弱性が存在します。
Midgard2 のデフォルトの D-Bus アクセスコントロールルールには、システムバス上の任意のプロセスに任意のメソッド呼び出しまたは信号を送信され、ルート権限で任意のコードを実行される脆弱性が存在します。
SAP ERP の Dealer Portal は、アクセスを適切に制限しないため、重要な情報を取得される、権限を取得されるなど、不特定の影響を受ける脆弱性が存在します。 ベンダは、本脆弱性を SAP Note 2000401 として公開しています。
Adobe Flash Player は、メモリアドレスの検出を適切に制限しないため、Windows 上で ASLR 保護メカニズムを回避される、およびその他のプラットフォーム上で不特定の影響を受ける脆弱性が存在します。 本脆弱性への攻撃が 2015 年 1 月に観測されています。
ADB (旧 Pirelli Broadband Solutions) P.DGA4001N ルータのファームウェアは、Web インターフェースへのアクセスを適切に制限しないため、重要な情報を取得される、またはサービス運用妨害 (デバイスの再起動) 状態にされる脆弱性が存在します。
Symantec Critical System Protection (SCSP) および Symantec Data Center Security: Server Advanced (SDCS:SA) の管理サーバには、保護ポリシーを回避される脆弱性が存在します。
Samba には、Active Directory ドメインコントローラ (AD DC) が設定されている場合、LDB userAccountControl UF_SERVER_TRUST_ACCOUNT bit を設定され、その結果、権限を取得される脆弱性が存在します。
IBM AIX および VIOS の cmdlvm の lquerylv には、権限を取得される脆弱性が存在します。
RealNetworks GameHouse RealArcade Installer (別名 ActiveMARK Game Installer) は、GameHouse ゲームディレクトリツリーに脆弱なパーミッション (ファイル生成／データ書き込み) を使用するため、権限を取得される脆弱性が存在します。
複数の Microsoft Windows 製品の User Profile Service (別名 ProfSvc) には、権限を取得される脆弱性が存在します。 マイクロソフトセキュリティ情報には、この脆弱性は「Microsoft User Profile Service の特権の昇格の脆弱性」と記載されています。
複数の Microsoft Windows 製品の Application Compatibility コンポーネントの ahcache.sys の AhcVerifyAdminContext 関数は、偽装トークンが管理者アカウントに関連付けられていることを検証しないため、権限を取得される脆弱性が存在します。 マイクロソフトセキュリティ情報には、この脆弱性は「Microsoft Application Compatibility Infrastructure の特権の昇格の脆弱性」と記載されています。
Windows 上で稼動する Mozilla Firefox には、Gecko Media Plugin (GMP) サンドボックス保護メカニズムを回避される脆弱性が存在します。
ASUS RT-AC66U、RT-N66U、および他のルータで使用される WRT ファームウェアは、リクエストの MAC アドレスを適切にチェックしないため、認証を回避される、および任意のコマンドを実行される脆弱性が存在します。 本脆弱性は当初、CVE-2014-10000 と採番されていました。しかし、その ID は、2014 年の CVE ID 構成変更に伴い無効となりました。
Easewe FTP OCX の EaseWeFtp.ocx の EaseWeFtp.FtpLibrary ActiveX コントロールは、特定のメソッドへのアクセスを制限しないため、任意のファイルを実行される脆弱性が存在します。
Cisco-Meraki MS、MR、および MX デバイスのファームウェアには、任意のファームウェアをインストールされる脆弱性が存在します。 ベンダは、本脆弱性を Cisco-Meraki defect ID 00478565 として公開しています。
Cisco-Meraki MS、MR、および MX デバイスのファームウェアには、シェルアクセスを取得される脆弱性が存在します。 ベンダは、本脆弱性を Cisco-Meraki defect ID 00302077 として公開しています。
Innominate mGuard のファームウェアには、root 権限を取得される脆弱性が存在します。
SAP BussinessObjects Edge には、SI_PLATFORM_SEARCH_SERVER_LOGON_TOKEN トークンを取得され、権限を取得される脆弱性が存在します。
EMC Documentum Content Server には、権限を取得される脆弱性が存在します。 ベンダは、本脆弱性を ESA-2014-105 として扱っています。 NOTE: 本脆弱性は、CVE-2014-2515 に対する修正が不十分だったことによる脆弱性です。
Docker には、アーカイブ抽出処理における chroot に関する処理に不備があるため、ルート権限で任意のコードを実行される脆弱性が存在します。
Zenoss Core のデフォルト設定には、データベースの情報を読まれる、または変更される脆弱性が存在します。 ベンダは、本脆弱性を ZEN-15408 として公開しています。
Zenoss Core には、アクセス制限を回避され、(1) public read アクセス、または (2) public execute のアクセス権を持つディレクトリにファイルを配置される脆弱性が存在します。 ベンダは、本脆弱性を ZEN-15386 として公開しています。
Android の Settings アプリケーションの src/com/android/settings/accounts/AddAccountSettings.java の addAccount メソッドは、PendingIntent を適切に作成しないため、任意のコンポーネント情報、アクション情報またはカテゴリ情報を有するインテントをブロードキャストするために、SYSTEM UID を利用される脆弱性が存在します。 ベンダは、本脆弱性を Bug 17356824 として公開しています。
Android の java.io.ObjectInputStream の実装の luni/src/main/java/java/io/ObjectInputStream.java は、デシリアライズが、シリアライズするための要件に適合するオブジェクトをもたらすことを検証しないため、任意のコードを実行される脆弱性が存在します。
VMware vCloud Automation Center (vCAC) の VMware Remote Console (VMRC) 機能には、権限を取得される脆弱性が存在します。
Adobe Flash Player には、同一生成元ポリシーを回避される脆弱性が存在します。
Plex Media Server には、Web サーバのホワイトリストを回避される、SSRF 攻撃を実行される、および任意の管理アクションを実行される脆弱性が存在します。
EntryPass N5200 Active Network Control Panel は、アクセスを適切に制限しないため、管理者ユーザ名、パスワード、およびその他の重要な情報を取得される脆弱性が存在します。
kde-workspace および plasma-desktop の KDE Clock KCM policykit helper には、権限を取得される脆弱性が存在します。
EMC Documentum Content Server には、安全でない直接のオブジェクト参照に関する処理に不備があるため、任意のファイルを読まれる、または削除される脆弱性が存在します。
Huawei P2-6011 の hx170dec デバイスドライバには、任意のメモリ領域を読まれる、または書き込まれる脆弱性が存在します。
Thomson Reuters Fixed Assets CS のインストーラは、connectbgdl.exe に対して脆弱なパーミッションを使用するため、任意のコードを実行される脆弱性が存在します。
CCH Wolters Kluwer ProSystem fx Engagement (別名 PFX Engagement) は、PFX Engagement の以下のサービスファイルに対して、脆弱なパーミッション (認証されたユーザ: 変更および書き込み) を使用するため、ローカルシステムの権限を取得される脆弱性が存在します。 (1) Pfx.Engagement.WcfServices (2) PFXEngDesktopService (3) PFXSYNPFTService (4) P2EWinService
OSSEC の host-deny.sh は、所有者を検証せずに予測可能なファイル名の一時ファイルに書き込むため、hosts.deny のアクセス制限を変更される、およびルート権限を取得される脆弱性が存在します。
Wibu-Systems CodeMeter Runtime は、codemeter.exe に対して脆弱なパーミッション (全ユーザの読み込みおよび書き込みアクセス権) を使用するため、権限を取得される脆弱性が存在します。
脆弱性情報（JVN） よくある質問
脆弱性を製品名やベンダ名で検索できますか？
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
CVSS（深刻度）とは何ですか？
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
影響を受ける製品やベンダ企業は分かりますか？
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
情報の出典を教えてください。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全292,332件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。