Welcome to your new site.
Welcome to your new site! You can edit this page by clicking on the Edit link. For more information about customizing your site check out http://learn.wordpress.com/
Latest from the Blog
Node.js の 10件の脆弱性が FIX：TLS／ DNS／Brotli などの深刻な問題に対応
Node.js Releases Security Updates to Fix High-Severity TLS, DNS and Brotli Vulnerabilities 2026/10/21 CyberSecurityNews — Node.js が公開したのは、DNS の名前解決／TLS 証明書の検証／Brotli の解凍に影響する深刻度 High の 4 件の脆弱性を含む、計 10 件の脆弱性に対処する 26.x／24.x／22.x の各ブランチ向けのセキュリティ・アップデートである。提供されたリリース情報によると、最も深刻な潜在的影響は Brotli デコーダを介したリモート・コード実行 (RCE) であり、修正済みバージョンは 26.12.1／24.22.1／22.23.4 である。 今回の 10 月のセキュリティ・アップデートでは、HTTP 接続の処理／暗号学的乱数値の重複／ZIP ファイルの処理／ファイルシステムのアクセス権限チェックに関する問題も対処されている。Node.js は 2026年10月21日にリリースを予定しており、サポート対象の 3 つのブランチにおいて、最高の深刻度を High と評価している。 脆弱性 CVE-2026-111497 は、3 つのリリース系列の Brotli デコーダに影響する。提供されたアドバイザリでは、リモートコード実行を可能にする境界外書き込みの脆弱性として説明されている。 それが意味するのは、本来のメモリ領域の外部に、このデコーダがデータを書き込む可能性があることだ。信頼できない Brotli 圧縮コンテンツを処理するアプリケーションは、パッチ適用計画において特に注意が必要となる。ただし、提供された通知では、悪用が成立するための具体的な条件は説明されていない。 重大度…
Oracle の 2026年10月の Critical Patch Update：1,295 の脆弱性に対応
Oracle Releases 1,295 Security Patches to Fix Critical Vulnerabilities Across Multiple Products2026/10/21 gbhackers — Oracle が公表した 2026年10月の Critical Patch Update (CPU) において、エンタープライズ製品全体を対象とする 1,295 件のセキュリティ・パッチが提供された。今回のアドバイザリは、Oracle ソフトウェアの脆弱性に加え、サードパーティ製コンポーネントの脆弱性にも対処している。未認証のリモート攻撃者が悪用できる、緊急度の高い脆弱性が含まれている点に注意する必要がある。影響を受ける製品には、データベース／ミドルウェア／業務アプリケーション／Java／MySQL／仮想化プラットフォームなどが含まれる。 すでにパッチが提供されている脆弱性についても、攻撃者による悪用の試みが続いていると、Oracle は警告している。報告された攻撃の中には、必要な修正を適用していなかった顧客における悪用の事例がある。それにより浮き彫りにされるのは、迅速な脆弱性対応と、サポート対象のソフトウェアバージョンを維持することの重要性である。 Oracle がセキュリティ・パッチを公開 Oracle Database Products においては、126 件の新たなセキュリティ・パッチが提供されている。具体的な対象には、Database Server／APEX／Essbase／GoldenGate／REST Data Services などの各種コンポーネントが含まれる。 Product Family / Product Security Patches Remotely Exploitable Without Authentication Oracle Fusion Middleware 206 134 Oracle E-Business…
Fortinet FortiSIEM の脆弱性 CVE-2026-106173：未認証 RCE の PoC が登場
Fortinet FortiSIEM RCE Vulnerability Gets Public Exploit That Requires No Login 2026/10/21 CyberSecurityNews — Fortinet FortiSIEM に存在する緊急度の高い脆弱性 CVE-2026-106173 に対して、公開された概念実証コード (PoC) が提供された。この脆弱性を悪用する未認証のリモート攻撃者は、ファイルを書き込み、コード実行を引き起こす可能性がある。この脆弱性は FortiSIEM 7.5.0 に影響する。すでに Fortinet は、バージョン 7.5.1 で修正を提供しており、バージョン 7.6 は影響を受けないと、公開されたアドバイザリに記されている。2026年10月13日に Fortinet は、FortiGuard に関するセキュリティ・アドバイザリを公開し、この脆弱性について詳述している。その後、Horizon3.ai が、技術的な調査結果と PoC エクスプロイトを GitHub で公開した。 この調査結果が示すのは、未認証のクライアントを用いる攻撃者が、TCP ポート 27918 で稼働する gRPC サービスにアクセスし、”SendQueryResult” メソッドを悪用することで、自身で指定したデータを FortiSIEM アプライアンスに書き込む方法である。 この gRPC サービスはクエリ結果のデータを受け取り、クライアントから渡された値を使用してファイルパスを構築する。Horizon3.ai が発見したのは、サービスがクエリ ID をパスに追加する前に、適切な検証を行っていないことである。この欠陥を突く攻撃者は、ディレクトリ・トラバーサルの文字列を使用することで、本来のクエリ結果保存フォルダの外部にファイルを書き込むことが可能になる。 このサービスは、ファイル名の末尾に独自の文字列を追加する。Horizon3.ai が明らかにしたのは、細工されたフィールドに…
Get new content delivered directly to your inbox.
