全国公的データラボ読み込み中…
読み込んでいます…
脆弱性情報（JVN）
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 294,721 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 認可・権限・アクセス制御 の検索結果：3,921–3,960 件目を表示（ページ 99）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
Spring Framework の Spring MVC は、StAX XMLInputFactory の外部エンティティ解決を無効にしないため、任意のファイルを読まれる、サービス運用妨害 (DoS) 状態にされる、およびクロスサイトリクエストフォージェリ攻撃を実行される脆弱性が存在します。 本件は、XML 外部エンティティ (XXE) の問題に関する脆弱性であり、CVE-2013-4152 とは異なる脆弱性です。 本脆弱性は、影響を受けるバージョンが異なるため、CVE-2013-4152 から分割されました。
Spring Framework の Spring OXM ラッパーは、JAXB marshaller を使用する場合、エンティティ解決を無効にしないため、任意のファイルを読まれる、サービス運用妨害 (DoS) 状態にされる、およびクロスサイトリクエストフォージェリ攻撃を実行される脆弱性が存在します。 本件は、XML 外部エンティティ (XXE) の問題に関する脆弱性です。
Augeas の transform.c の transform_save 関数は、パーミッション値を適切に計算しないため、umask が "7" を含む場合、誰でも書き込み可能な権限 (world-writable permission) を新しいファイルに付与することで、ファイルを変更される脆弱性が存在します。
JBoss Web Framework Kit で使用される JBoss Seam 2 framework の JBoss Seam Remoting の InterfaceGenerator ハンドラには、WebRemote アノテーションの制限を回避され、サーバのクラスパス上の任意のクラスおよびメソッドに関する情報を取得される脆弱性が存在します。
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全294,721件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。
Cisco NX-OS には、TACACS+ コマンド制限を回避される脆弱性が存在します。 ベンダは、本脆弱性を Bug ID CSCum47367 として公開しています。
OpenStack Keystone (Folsom) で使用される python-keystoneclient は、PKI トークンの有効期限を適切にチェックしないため、(1) 有効期限が切れた後、トークンの使用を保持される、または (2) 有効期限が切れて失効したトークンを使用される脆弱性が存在します。
Cisco ASR 5000 シリーズのデバイス上で稼働する Gateway GPRS Support Node (GGSN) コンポーネントの Wireless Session Protocol (WSP) には、トップアップ支払の制限を回避される脆弱性が存在します。 ベンダは、本脆弱性を Bug ID CSCuh28371 として公開しています。
Cisco MediaSens の Search and Play インターフェースは、認証要件を適切に処理しないため、任意の記録をダウンロードされる脆弱性が存在します。
Plone の in_portal.py の URLTool クラスの isURLInPortal メソッドは、相対 URL としてスペースで始まる URL を扱うため、 allow_external_login_sites フィルタリングプロパティを回避され、ユーザを任意の Web サイトへリダイレクトされることで、フィッシング攻撃を実行される脆弱性が存在します。
WordPress の wp-admin/includes/class-wp-posts-list-table.php は、引用ビュー (excerpt-view) のアクセスを適切に制限しないため、重要な情報を取得される脆弱性が存在します。
WordPress の wp-admin/media-upload.php には、重要な情報を取得される、またはメディアアタッチメント (media-attachment) の制限を回避される脆弱性が存在します。
Moodle の course/loginas.php は、SEPARATEGROUPS 設定のグループ以外のユーザに対して moodle/site:accessallgroups ケーパビリティ要件を適用しないため、"login as" アクションを実行される脆弱性が存在します。
libxml2 は、アプリケーション開発者が xmlSAX2ResolveEntity または xmlSetExternalEntityLoader 関数を使用していない場合、外部エンティティ拡張を適切に処理しないため、サービス運用妨害 (リソース消費) 状態にされる、イントラネットサーバに HTTP リクエストを送信される、または任意のファイルを読まれる脆弱性が存在します。 本件は、XML 外部エンティティ (XXE) の問題に関する脆弱性です。
WordPress の wp-admin/press-this.php は、publish_posts ケーパビリティ要件を処理しないため、publish アクションを実行される脆弱性が存在します。
WordPress は、マルチサイトインストールが使用されている場合、一度変更された "site administrators can add users" オプションを永久に保持するため、アクセス制限を回避される脆弱性が存在します。
WordPress の wp-includes/capabilities.php は、マルチサイト機能が使用されている場合、delete_users ケーパビリティに対する Super Admin ロールを必要としないため、アクセス制限を回避される脆弱性が存在します。
WordPress の wp-includes/comment.php は、blogroll のトラックバックおよびピンバックを適切にホワイトリストに追加しないため、スパム制限を回避される脆弱性が存在します。
AMD K7 および K8 プラットフォーム上で稼働する Linux Kernel の arch/x86/include/asm/fpu-internal.h の restore_fpu_checking 関数は、EMMS 命令に移る前に保留中の例外を消去しないため、サービス運用妨害 (タスクの強制終了) 状態にされる、または権限を取得される脆弱性が存在します。
EC-CUBE には、認可回避の脆弱性が存在します。 株式会社イーシーキューブが提供する EC-CUBE は、オープンソースのショッピングサイト構築システムです。EC-CUBE には、認可回避(CWE-639)の脆弱性が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき開発者が JPCERT/CC に報告したものです。
EC-CUBE には、情報改ざんの脆弱性が存在します。 株式会社ロックオンが提供する EC-CUBE は、オープンソースのショッピングサイト構築システムです。EC-CUBE には、情報改ざんの脆弱性が存在します。 この脆弱性情報は、次の方が開発者に報告し、情報セキュリティ早期警戒パートナーシップに基づき JPCERT/CC が開発者との調整を行いました。 発見者: 株式会社アラタナ
Cisco Secure Access Control System (ACS) の RMI インターフェースには、認可の要求を適切に処理しないため、任意のファイルを読まれる脆弱性が存在します。 ベンダは、本脆弱性を Bug ID CSCud75169 として公開しています。
Cisco Secure Access Control System (ACS) の RMI インターフェースは、認可の要求を適切に処理しないため、superadmin のアクセス権を取得される脆弱性が存在します。 ベンダは、本脆弱性を Bug ID CSCud75180 として公開しています。
Cisco Secure Access Control System (ACS) の RMI インターフェースは、認証と認可の要求を適切に処理しないため、管理アクセス権を取得される脆弱性が存在します。 ベンダは、本脆弱性を Bug ID CSCud75187 として公開しています。
Adobe Flash Player および Adobe AIR には、ASLR 保護メカニズムを破られる脆弱性が存在します。
Adobe Flash Player および Adobe AIR には、不特定の保護メカニズムを回避される脆弱性が存在します。
WellinTech KingSCADA、KingAlarm&Event、および KingGraphic は、サーバ上ではなく KAEClientManager コンソールで認証を行うため、アクセス制限を回避され、認証情報を取得される脆弱性が存在します。
Apache CloudStack の (1) ListNetworkACL および (2) listNetworkACLLists API には、他のユーザのネットワーク ACL を一覧表示される脆弱性が存在します。
Cisco Identity Services Engine (ISE) Software の RBAC の実装は、サポートバンドルのダウンロードの権限を適切に検証しないため、重要な情報を取得される脆弱性が存在します。 ベンダは、本脆弱性を Bug ID CSCul83904 として公開しています。
Apache CloudStack の仮想ルータは、再起動後にファイアウォールルールにソースの制限を保存しないため、制限を回避される脆弱性が存在します。
Juniper Junos には、"certain combinations of Junos OS CLI commands and arguments" に関する処理に不備があるため、権限を取得される脆弱性が存在します。
Microsoft Windows 7 および Windows Server 2008 R2 のカーネルモードドライバの win32k.sys は、ウィンドウハンドルの処理中に thread-owned オブジェクトを適切に配慮しないため、権限を取得される脆弱性が存在します。 マイクロソフトセキュリティ情報には、この脆弱性は「Win32k のウィンドウ ハンドルの脆弱性」と記載されています。
Amberdms Billing System (ABS) は、不正なログイン試行を検出した後、ブラックリストを適切に実装しないため、アクセス権を取得される脆弱性が存在します。
Symantec Endpoint Protection (SEP) および Endpoint Protection Small Business Edition のクライアントの Application/Device Control (ADC) コンポーネントは、カスタムポリシーを適切に処理しないため、ポリシー制限を回避され、ファイルまたはディレクトリにアクセスされる脆弱性が存在します。
Ecava IntegraXor の SCADA サーバには、任意のプロジェクトバックアップファイルを読まれる脆弱性が存在します。
Cisco Unified Communications Manager (Unified CM) の管理ポータルは、ロールの制限を適切に処理しないため、ロールベースのアクセス制御を回避される脆弱性が存在します。 ベンダは、本脆弱性を Bug ID CSCuj83540 として公開しています。
Cisco Context Directory Agent (CDA) の管理インターフェースは、認証要求を適切に処理しないため、管理アクセス権を取得される脆弱性が存在します。 ベンダは、本脆弱性を Bug ID CSCuj45347 として公開しています。
libvirt の lxc/lxc_driver.c 内の lxcDomainGetMemoryParameters メソッドは、メモリチューナブル (memory tunable) を読み込む際、LXC ゲストのステータスを適切にチェックしないため、サービス運用妨害 (NULL ポインタデリファレンスおよび libvirtd クラッシュ) 状態にされる脆弱性が存在します。
Synology が提供する DiskStation Manager には、HTTP リクエストの処理に問題があり、アクセス制御不備の脆弱性が存在します。 本脆弱性を使用した攻撃が観測されています。また、本脆弱性を使用した攻撃コードも公開されています。
Ruby 用 Phusion Passenger gem には、サービス運用妨害 (アプリケーション起動の制限) 状態にされる、または権限を取得される脆弱性が存在します。
op5 Monitor および op5 Appliance は、セッション Cookie を適切に管理しないため、不特定の影響を受ける脆弱性が存在します。