CVE-2026-73080CVSS 9.3 超危険2026-08-12
SeaweedFS の未認証 SSRF によりクラウドのメタデータが漏洩する
SeaweedFS の 4.24 より前のバージョンでは、weed/server/volume_grpc_remote.go の VolumeServer.FetchAndWriteNeedle 関数に重大なセキュリティ上の欠陥が存在します。この関数は weed/remote_storage/s3/s3_storage_client.go を通じて呼び出し側が指定した遠隔端点を取得し、その応答を needle へ書き込みますが、認証も宛先の検証も一切行いません。このためボリュームサーバーの gRPC ポートへ到達できる者は誰でも、ループバック、リンクローカル、RFC 1918 の私有アドレス、169.254.169.254 のようなクラウドのメタデータ端点を含む任意のホストへ要求を発し、その応答を読み取れます。クラウド配備の環境では、インスタンスのメタデータと IAM 資格情報の漏洩、および公開されていない内部サービスへのアクセスを招きかねません。ボリュームサーバーの gRPC 面は既定で認証が有効でなく、設定文書に記載された JWT 署名鍵もこの RPC を保護しません。本問題は 4.24 で修正されました。
コンポーネント
SeaweedFS は数十億のファイルを容易に保存し提供することを目指した分散ストレージシステムです。
リスク
- クラウド資格情報の漏洩：攻撃者はクラウドインスタンスのメタデータを読み取って IAM 資格情報を取得し、クラウドアカウントの権限を掌握できます
- 内部網への侵入：攻撃者は公開されていない内部サービスへアクセスし、横展開やさらなる攻撃を行えます
- 認証を要しない悪用：gRPC 面は既定で認証が有効でないため、攻撃者は資格情報なしに攻撃を開始できます
- システムの完全な制御：クラウド資格情報を得た攻撃者は、クラウド基盤の完全な制御権を得る可能性があります
出典
対処方法- SeaweedFS を直ちに 4.24 以降へ更新してください
- ボリュームサーバーの gRPC ポートへのネットワークアクセスを限定し、信頼できる IP アドレスからの接続のみを許可してください
- クラウド環境では 169.254.169.254 などのメタデータ端点へのアクセスを無効化または制限してください
CVE-2026-71384CVSS 9.6 超危険2026-08-12
Adobe 製品の不適切な認可によりセキュリティ機能が回避され、未認可アクセスとサービス拒否に至る
不適切な認可の脆弱性により、セキュリティ機能が回避される可能性があります。攻撃者はこれを悪用して安全対策を迂回し、未認可の読み書きアクセスを取得でき、アプリケーションのサービス拒否を招く恐れがあります。既定では、脆弱な部品は管理用のネットワーク領域に限定されています。本問題の悪用に利用者の操作は不要です。スコープは変更されます。本脆弱性は修正を適用していないすべての該当製品に影響し、攻撃者は隣接するネットワークから攻撃を仕掛け、利用者の操作なしにセキュリティ機能の回避を実現して、機密性・完全性・可用性に高い被害をもたらし得ます。
コンポーネント
Adobe はデジタルメディアとデジタル体験の解決策を提供する世界的な企業で、そのソフトウェアは創作、文書管理、デジタルマーケティングの領域で広く用いられています。
リスク
- 未認可の読み書きアクセス：攻撃者はセキュリティ機構を回避し、システムデータへの未認可の読み取りと書き込みの権限を取得できます
- アプリケーションのサービス拒否：悪用により対象アプリケーションが異常終了または応答不能となり、サービスが停止する恐れがあります
- 隣接ネットワークからの攻撃：攻撃者は隣接するネットワーク領域に位置する必要がありますが、利用者の操作は不要で、悪用の敷居が下がります
出典
対処方法- 管理用ネットワーク領域へのアクセス権限を限定し、厳格なネットワーク隔離の方策を実施してください
- 異常な認可要求とセキュリティ機能の回避に関わる挙動ログを監視してください
パッケージ汚染npm2026-08-12
base65-11x@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
64d4b6f0c83a72a7639d6eb1f8c90081
パッケージ汚染npm2026-08-12
base65-13x@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
5c0f6f0c3668dadc1d0025e22d451501
パッケージ汚染npm2026-08-12
base65-15x@5.0.2 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
92fa050c6094d46b81d456ffbba00678
パッケージ汚染npm2026-08-12
base65-33x@5.0.2 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
e5fc278e5bf32bed5e8e257584a6e22a
パッケージ汚染npm2026-08-12
base65-77x@5.0.2 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
6411c497a62cad0fcbeb70c7fc2a0594
パッケージ汚染npm2026-08-12
bs58-11@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
145f295335be81d7c847e3f3a95c132e
パッケージ汚染npm2026-08-12
bs58-12@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
c304aedc8b2128db4ad65835425f4c11
パッケージ汚染npm2026-08-12
internallib_v164@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
60883016233e92a9555b220803520378
パッケージ汚染npm2026-08-12
sui-bcs-codec@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
ecdfe8481df8b52ac16b25209f7b3652
パッケージ汚染npm2026-08-12
sui-gql-client@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
9b192eab20fab0ca821a8f0a82837394
