セキュリティ脅威情報

Project Jupyterのjupyterlab-gitにおいて、クロスサイトスクリプティング（XSS）の脆弱性が存在します。具体的には、PlainTextDiff.tsのcreateHeader()メソッドにおいて、コミット履歴内のリネームされたファイル名をレンダリングする際、適切にサニタイズせず直接innerHTMLへ渡す処理が行われています。このため、攻撃者が細工したファイル名を含むリポジトリを被害者が閲覧し、Git履歴タブのリネーム差分を確認した場合、被害者のブラウザ上で任意のJavaScriptが実行される可能性があります。CVSSスコアは9.0（Critical）であり、悪用された場合の影響が大きいため、速やかな対応が求められます。

Adobe Commerceおよび関連製品において、不適切な出力のエンコードまたはエスケープ処理に起因する脆弱性が存在する。攻撃者はこの脆弱性を悪用することで、現在のユーザーの権限で任意のコードを実行する可能性がある。本脆弱性はネットワーク経由でリモートから悪用可能であり、攻撃の前提条件としてユーザーの操作を必要としない。CVSSスコアが10.0と極めて高く、システム全体が侵害されるリスクがあるため、早急な対応が必要である。

WordPress CoreのREST API処理およびWP_Queryパラメータの不備を組み合わせた、認証不要のリモートコード実行（RCE）攻撃チェーン。攻撃者はこれを悪用して管理者権限の取得や任意コード実行が可能となります。

ロシアのSandworm傘下グループUAC-0145が、偽のCAPTCHAを悪用してユーザーにPowerShellコマンドを実行させ、マルウェアを感染させる「ClickFix」攻撃を展開しています。この手法は、Webサイトの閲覧者を標的にし、情報窃取やバックドア設置を目的としています。

NGINXのスクリプトエンジンにおけるヒープバッファオーバーフローの脆弱性です。特定の正規表現ベースの「map」設定を使用している環境において、認証されていない攻撃者が細工されたHTTPリクエストを送ることで、ワーカープロセスのクラッシュやリモートコード実行を誘発する恐れがあります。

日本ケンタッキー・フライド・チキン株式会社は、食材配送を委託しているニチレイロジグループで発生した不正アクセスによるシステム障害の影響を報告しました。これに伴い、全店舗で配送遅延やメニュー制限が発生しており、現在順次復旧を進めています。

埼玉縣信用金庫は、提携先であるアフラック生命保険の契約者専用サイトが第三者による不正アクセスを受け、同金庫の顧客情報が漏洩した可能性があると公表しました。対象となる顧客には、アフラック生命保険より個別に通知が行われる予定です。