NEWSkillSec — AI Skill のセキュリティを「マルウェア検知」から「能力監査」へSkillSec詳しく見る →
← 情報センターへ戻る
SECURITY INTEL · DAILY
RSS

2026-07-08 デイリーセキュリティ情報

CSSA 1 · CVE 2 · 汚染 2

10.0 超危険 · arthas のトンネルサービスがインターフェースの認証欠落を突かれ OGNL 式を実行され JVM が掌握される

CSSA 独自早期警戒 1

CSSA 独自早期警戒 10.0 超危険

arthas のトンネルサービスがインターフェースの認証欠落を突かれ OGNL 式を実行され JVM が掌握される

本脆弱性はトンネルサーバーのセキュリティフィルタ連鎖の設定欠陥に起因します。重要な代理経路とインターフェース列挙の端点が既定ですべての要求を通し、身元検証の機構を実施していません。攻撃者は有効なプローブ識別子を把握するだけで悪意ある HTTP 要求を組み立てて対象の代理ノードへ直接接続でき、内蔵の OGNL 式解析エンジンを通じて遠隔の Java 仮想機械の文脈で任意のロジックを実行させられます。統制されていない WebSocket の登録処理と情報を反射する補助インターフェースを組み合わせることで、攻撃側は識別子の探査から命令注入までの攻撃連鎖を完全に構築でき、最終的にプロセスの境界を突破してヒープメモリの読み書き権限を取得し、環境変数の機微な資格情報を窃取し、OS の下層機能を直接呼び出せます。これは多テナント配備における横方向の分離境界を著しく破壊します。

コンポーネント
arthas は Java 応用向けのオンライン診断ツールです。中核のトンネルサーバーは Spring Boot で構築され、ウェブクライアントと下層の JVM プローブとの間のネットワーク経路制御を主に担います。WebSocket と HTTP の 二種のプロトコル経路で長時間接続を維持し、診断命…
種別
Missing Authentication for Critical Function (CWE-306)
リポジトリ
github.com/alibaba/arthas · Star 37421
対処方法
  • セキュリティフィルタ規則を再構築して重要な経路に強固な身元認証を強制し、トークン検証の機構と組み合わせて未認可のアクセスを遮断することを推奨します。あわせてセッション確立の段階で主体識別子の束縛方針を導入し、細粒度の資源分離を実現してください。

CVE 情報 2

CVE-2026-59705 CVSS 9.8 超危険 2026-07-08

mem0 の openmemory/api における認可欠落によりデータ漏洩とサービス拒否に至る

mem0 の openmemory/api コンポーネントでは、重要な API 経路に認証ミドルウェアが登録されていないため、重要機能の認証機構の欠落（CWE-306）というセキュリティ上の欠陥が存在します。未認証の攻撃者はこれら露出した端点へアクセスし、任意の利用者の記憶データを読み取り、書き込み、削除できます。攻撃者は任意の user_id 引数を与えるか、記憶検索の端点へ直接アクセスして私的な記憶内容を露出させられ、あるいは global_pause=true を伴う一時停止の端点を呼び出して、すべての利用者に対するサービス拒否を引き起こせます。本脆弱性は修正を適用していないすべての mem0 の配備実体に影響します。攻撃者は認証情報なしに遠隔から攻撃でき、データの機密性・完全性およびサービスの可用性を直接脅かします。

コンポーネント
mem0 は AI 応用に長期的な記憶管理能力を提供することを目的としたオープンソースの記憶層プロジェクトで、openmemory/api コンポーネントが記憶の保存、検索、管理のインターフェースを担います。
リスク
  • データの完全な漏洩：攻撃者は任意の利用者の私的な記憶内容を読み取り、機微情報の漏洩を招きます
  • データの改竄と破壊：攻撃者は利用者の記憶を任意に書き込み、あるいは削除してデータの完全性を損ないます
  • サービス拒否：全体一時停止の機構を発火させることで、攻撃者はサービス全体を利用不能にし、すべての利用者に影響を与えられます
  • 認証を要しない遠隔攻撃：攻撃者は本人認証なしにネットワーク経由で直接悪用でき、攻撃の敷居は極めて低いものです
出典
NVD · CVE-2026-59705
対処方法
  • API ゲートウェイまたはリバースプロキシの層で認証ミドルウェアを強制し、すべての経路が検証を要するようにしてください
  • API のアクセスログを監視し、異常な未認証の要求と全体一時停止の操作を検出して遮断してください
CVE-2026-56843 CVSS 9.9 超危険 2026-07-08

WebPros Plesk の XML-RPC API 認可回避によりテナントをまたぐ資格情報漏洩とリモートコード実行に至る

WebPros Plesk の 18.0.78.4 より前のバージョンでは、XML-RPC API に認可の誤り（CWE-522）が存在します。所有権の検証が一部のクエリフィルタに対してのみ強制され、旧版のプロトコルではスキーマ検証が回避されるため、低い権限の認証済み顧客が自身の所有しないドメインを照会できます。これにより他のテナントが平文で保存している FTP の資格情報がテナントをまたいで漏洩し、攻撃者はこれを用いて他のテナントのシステム利用者としてコードを実行できます。本脆弱性は 18.0.78.4 へ更新していないすべての利用者に影響します。攻撃者は低い権限のアカウントを持つだけで脆弱性を発火でき、ネットワーク経由で遠隔から、利用者の操作なしに悪用できます。

コンポーネント
WebPros Plesk はウェブホスティング、メールサービス、データベース管理を簡便にする、広く利用されているウェブサイトおよびサーバー管理パネルです。
リスク
  • テナントをまたぐデータ漏洩：攻撃者は他のテナントの平文 FTP 資格情報を取得でき、多テナント環境のデータ分離を著しく破壊します
  • リモートコード実行：漏洩した資格情報を用いて、攻撃者は他のテナントのシステム利用者として任意のコードを実行し、影響を受けたテナントのサービスを完全に制御できます
  • 権限昇格：低い権限の顧客アカウントから他のテナントのシステム利用者の権限へ昇格し、さらにサーバーの下層へ侵入する可能性があります
出典
NVD · CVE-2026-56843
対処方法
  • 認可ロジックの欠陥を修正するため、WebPros Plesk を直ちに 18.0.78.4 以降へ更新してください
  • XML-RPC API のアクセス権限を見直して限定し、不要な旧版プロトコルの対応を無効にしてください
  • 異常なドメイン照会の挙動と FTP のログイン試行を監視し、侵入検知システムを配備してテナントをまたぐアクセスの試みを検出してください

パッケージ汚染 2

パッケージ汚染 npm 2026-07-08

hello244b@1.0.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
5176d65186cce392554af85470d874a4
パッケージ汚染 npm 2026-07-08

rio-design-tokens@99.99.100 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
e8384a06b64c485e99def83ab86c46f3
← 情報センターへ戻るRSSCleanSource SCA でこれらのリスクを自動監視 →