全国公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 289,806 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
深刻度 High 直近3年 の検索結果：2,441–2,480 件目を表示（ページ 62）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
Wikimedia FoundationのOATHAuthにおいて、未承認の者へ機密情報が露出してしまう脆弱性があります。この問題はOATHAuthのバージョン1.43.7、1.44.4、1.45.2より前のバージョンに影響を及ぼします。
Wikimedia FoundationのMediaWikiにおける権限のない第三者への機密情報漏洩の脆弱性です。この問題はMediaWikiの以下のバージョンに影響を与えます：1.43.7未満、1.44.4、1.45.2です。
Wikimedia FoundationのCheckUserにおいて、未承認者に機密情報が漏洩する脆弱性があります。この問題はCheckUserのバージョン1.45.0から1.45.2未満に影響を及ぼします。
Wikimedia FoundationのMediaWikiにおいて、未承認のアクターに機密情報が露出する脆弱性があります。この問題は、MediaWikiのバージョン1.43.7未満、1.44.4および1.45.2に影響します。
Wikimedia FoundationのMediaWikiにおいて、未承認の攻撃者による機密情報漏洩の脆弱性が存在します。この脆弱性はプログラムファイル includes/Skin/Skin.Php に関連しています。この問題はMediaWikiのバージョン1.43.7以前、1.44.4、および1.45.2に影響を与えます。
Windowsメッセージキューイングにおけるヒープベースのバッファオーバーフローにより、不正な攻撃者は隣接するネットワーク上でコードを実行できます。
Windows Win32K の GRFX における整数オーバーフローまたはラップアラウンドの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。
Windows Win32K - GRFX における不適切な同期が原因で共有リソースの同時実行（レースコンディション）が発生し、認可された攻撃者がローカルで権限を昇格させることが可能となります。
WindowsカーネルモードドライバーにおけるUse after freeの脆弱性により、認可された攻撃者がネットワーク経由でコードを実行する可能性があります。
Windows Win32KのGRFXにおけるUse After Freeの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。
Windows TCP/IP における不適切な同期が原因で共有リソースを用いた同時実行（レースコンディション）が発生し、認可された攻撃者がローカルで権限を昇格させることが可能になります。
Windows DWM Core Libraryにおけるバッファオーバーリードの脆弱性により、認証された攻撃者がローカル環境で情報を不正に開示できる可能性があります。
Windows Cloud Files Mini Filter DriverにおけるUse after freeの脆弱性により、認証された攻撃者がローカルで権限を昇格させることが可能となります。
Windows Telephony ServiceのUse after freeの脆弱性により、権限を持つ攻撃者がローカルで権限を昇格させることが可能です。
Windows Projected File SystemにおけるUse after freeの脆弱性により、認証された攻撃者がローカルで権限を昇格させることが可能です。
Windowsのリンク層探索プロトコル（LLDP）におけるダブルフリーの脆弱性により、認証された攻撃者がローカルで特権を昇格させることが可能です。
Windows Print Spooler コンポーネントにおける不適切な同期（レースコンディション）により共有リソースが同時にアクセスされ、認可された攻撃者がローカルで権限を昇格させることが可能になります。
Windowsアプリケーションアイデンティティ（AppID）サブシステムにおけるヒープベースのバッファオーバーフローの脆弱性により、認証された攻撃者がローカル環境で権限を昇格させる可能性があります。
Windows Ancillary Function Driver for WinSockにおける互換性のない型の使用（「型の混同」）によるリソースへのアクセスは、認可された攻撃者がローカルで権限を昇格させることを可能にします。
Windows Ancillary Function Driver for WinSockにおける不適切な同期による共有リソースの同時実行（レースコンディション）が原因で、認可された攻撃者がローカルで権限昇格を行うことを可能にします。
Windows Win32K の GRFX における Use after free の脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。
Windows TCP/IP における不適切な同期を伴う共有リソースの同時実行（レースコンディション）により、権限のある攻撃者がローカルで権限を昇格させることが可能となります。
Windows Storage Spaces Controllerにおける整数オーバーフローまたはラップアラウンドの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。
Windows Ancillary Function Driver for WinSockにおけるUse after freeの脆弱性により、認可された攻撃者がローカルで特権を昇格させることが可能となります。
Windows Win32K における互換性のない型を使用したリソースアクセス（「型の混乱」）により、認可された攻撃者がローカルで特権を昇格させることが可能です。
Windows Cloud Files Mini Filter DriverにおけるUse after freeの脆弱性により、権限を持つ攻撃者がローカルで特権を昇格させることが可能となります。
Windowsカーネルのヒープベースのバッファオーバーフローにより、認証された攻撃者がローカルで権限を昇格させることが可能になる脆弱性が存在します。
Windows GDIにおけるヒープベースのバッファオーバーフローの脆弱性により、不正な攻撃者がローカル環境でコードを実行できる可能性があります。
Windowsインターネットキー交換（IKE）プロトコルにおいて、有効なライフタイム後にメモリの解放漏れが発生するため、不正な攻撃者がネットワーク上でサービス拒否を引き起こすことが可能です。
Windowsカーネルにおける信頼されていないポインタの逆参照により、認可された攻撃者がローカルで権限を昇格させることが可能となります。
Windowsの暗号化サービスにおけるヒープベースのバッファオーバーフローの脆弱性により、認証された攻撃者がローカルで権限を昇格させることが可能です。
PhpSpreadsheetはスプレッドシートファイルの読み書きのための純粋なPHPライブラリです。バージョン1.30.4、2.1.16、2.4.5、3.10.5、および5.7.0以前では、XLSXリーダーのColumnAndRowAttributes::readRowAttributes()メソッドがXML属性から行番号を読み取る際に、スプレッドシートの最大行制限（AddressRange::MAX_ROW = 1,048,576）に対する検証を行いません。攻撃者は最小限のXLSXファイル（約1.6KB）を作成し、row r="999999999"/要素を含めることで、cachedHighestRowを999,999,999に膨らませる可能性があります。その結果、その後の行の反復処理が約10億回のループを試みてCPUリソースを枯渇させる可能性があります。この脆弱性はバージョン1.30.4、2.1.16、2.4.5、3.10.5、および5.7.0で修正されています。
SonicWall SMA1000シリーズ機器において、SQLコマンドで使用される特殊要素が不適切に無害化される（「SQLインジェクション」）ため、読み取り専用の管理者権限を持つリモート認証済みの攻撃者が権限をプライマリ管理者に昇格させることが可能です。
SonicWall SMA1000シリーズのアプライアンスに存在する観察可能な応答の不一致の脆弱性により、リモートの攻撃者がSSL VPNユーザーの資格情報を列挙する可能性があります。
SonicWall SMA1000シリーズ機器におけるUnicodeエンコーディングの不適切な処理により、リモート認証済みのSSLVPNユーザーはWorkplace/ConnectトンネルのTOTP認証を回避できる可能性があります。
Apache Tomcatにおいて、リソースの割り当てに制限やスロットリングがない脆弱性が存在します。この問題はApache Tomcatのバージョン11.0.0-M1から11.0.21まで、10.1.0-M1から10.1.54まで、9.0.0-M1から9.0.117までに影響します。サポートされていない古いバージョンも影響を受ける可能性があります。ユーザーは、この問題を修正したバージョン[FIXED_VERSION]へアップグレードすることを推奨します。
RusshはRust製のSSHクライアントおよびサーバーライブラリです。バージョン0.60.1以前のサーバーのキーボードインタラクティブ認証ハンドラーに、認証前のサービス拒否（DoS）の脆弱性が存在します。悪意のあるクライアントは資格情報を必要とせず、単一の不正なパケットにより、キーボードインタラクティブ認証を実装している任意のrusshベースのサーバー（例：2要素認証やTOTP用）をクラッシュさせることができます。この問題はバージョン0.60.1で修正されました。
ModSecurityは、Apache、IIS、Nginx向けのオープンソースでクロスプラットフォームのウェブアプリケーションファイアウォール（WAF）エンジンです。バージョン3.0.0から3.0.15未満の間、管理者が@verifySSN、@verifyCPF、または@verifySVNRのいずれかのルールを使用すると、libmodsecurity3内で符号なし整数のアンダーフローにより未処理の例外（std::out_of_range）が発生する脆弱性が存在していました。この脆弱性はバージョン3.0.15で修正されました。
Argo Workflowsは、Kubernetes上で並列ジョブのオーケストレーションを目的としたオープンソースのコンテナネイティブワークフローエンジンです。バージョン3.7.14および4.0.5以前のバージョンでは、Webhookインターセプターがリクエストの認証や署名検証を行う前に、リクエストボディ全体をメモリに読み込んでいました。この問題は、パブリックにアクセス可能な（ただしWebhook用に意図された）/api/v1/events/エンドポイントで発生します。攻撃者は極めて大きなボディ（例えば複数ギガバイト）を含むリクエストを送信でき、これによりArgoサーバーが過剰なメモリを割り当てます。その結果、メモリ不足（OOM）によるクラッシュやサービス拒否（DoS）が引き起こされる可能性があります。この問題はバージョン3.7.14および4.0.5で修正されています。
PillowはPythonの画像処理ライブラリです。バージョン10.3.0から12.2.0未満のバージョンにおいて、悪意のあるPSDファイルを処理するとメモリ破損が発生し、クラッシュや任意のコード実行につながる可能性がありました。この問題はバージョン12.2.0で修正されました。
脆弱性情報（JVN） よくある質問
脆弱性を製品名やベンダ名で検索できますか？
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
CVSS（深刻度）とは何ですか？
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
影響を受ける製品やベンダ企業は分かりますか？
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
情報の出典を教えてください。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全289,806件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。