NEWSkillSec — AI Skill のセキュリティを「マルウェア検知」から「能力監査」へSkillSec詳しく見る →
← 情報センターへ戻る
SECURITY INTEL · DAILY
RSS

2026-08-19 デイリーセキュリティ情報

CSSA 2 · CVE 2 · 汚染 9

10.0 超危険 · CubeSandbox の CubeOps が脆弱な資格情報の構成により管理者トークンを偽造され、認証が回避される

CSSA 独自早期警戒 2

CSSA 独自早期警戒 10.0 超危険

CubeSandbox の CubeOps が脆弱な資格情報の構成により管理者トークンを偽造され、認証が回避される

起動時に BootstrapJWTSecret 関数が空文字列の妥当性を検証しないため、データベース内の JWT 鍵が空、あるいは読み出しに異常があると、システムは長さゼロの HMAC 鍵を読み込みます。攻撃者はこの欠陥を突き、ネットワークでのやり取りも複雑な前提条件も要さずに、管理者ロールを含む正当なアクセストークンを自ら組み立てられ、認証ミドルウェアを直接回避して /api/v1 配下の保護されたすべてのインターフェースに対する完全な制御権を得られます。

コンポーネント
CubeSandbox はテンセントクラウドが提供する一気通貫のクラウドネイティブ応用開発基盤で、その中核となる制御面の部品 CubeOps はシステムの初期化、設定管理、API ゲートウェイの経路制御を担います。アーキテクチャはモジュール設計を採り、標準化された RESTful API を通じて多…
種別
Use of Weak Credentials (CWE-1391)
リポジトリ
github.com/TencentCloud/CubeSandbox · Star 11255
対処方法
  • コード中に JWT 鍵の非空検証の機構を追加し、鍵の長さが安全上の規範を満たすようにし、初回配備時に高強度の乱数鍵の生成を必須とすることを推奨します。あわせて保存層がデータベースの誤りを飲み込んでしまう処理を修正し、頑健性を高めてください。
CSSA 独自早期警戒 10.0 超危険

better-auth の URL 検証処理の欠陥により SSRF 防護が回避され、内部網の探査とデータ漏洩に至る

本脆弱性は、発見用の端点の URL 検証処理と手動設定の経路との間に非対称性があることに起因します。テナントが外部の身元提供者を登録する際、システムは未知の出所を信頼リストへ加えることを検証通過の条件として求めますが、この操作は同時に私有アドレスと DNS 解決に対する安全確認の機構を無効化します。攻撃者はこの論理上の欠陥を突いて悪意ある HTTPS 要求を組み立て、サーバーに内部網への接続を行わせ、サーバーサイドリクエストフォージェリの攻撃を成立させて、内部サービスの露出や機微情報の漏洩を招けます。

コンポーネント
better-auth は現代的なウェブ応用に安全で柔軟、かつ統合しやすい認証の仕組みを提供することを目的としたオープンソースの認証ライブラリです。アーキテクチャは SSO を含む複数のプロトコル統合に対応し、モジュール設計によって利用者のセッション管理、権限制御、第三者の身元提供者との接続を実現し…
種別
SSRF (CWE-918)
リポジトリ
github.com/better-auth/better-auth · Star 29597
対処方法
  • URL 検証のモデルを統一し、公開網で到達可能な HTTPS のホストは信頼リストへ加えずとも厳格な IP アドレスと DNS 解決の安全確認を受けられるようにすることを推奨します。信頼リストによる免除は標準外のプロトコルや私有アドレスに限って残すことで、機能性を損なわずに SSRF 防護の回避を解消できます。

CVE 情報 2

CVE-2026-74990 CVSS 9.8 超危険 2026-08-18

Thunderbird のメモリ破壊によりリモートコード実行に至る

Thunderbird ESR 140.13、Thunderbird ESR 153.0、Thunderbird 153 において、内部で発見されたメモリ破壊の脆弱性（CWE-119）が存在します。一部にはメモリ破壊やその他の安全に関わる欠陥の痕跡が見られ、十分な労力をかければ悪用され得ると推測されます。本問題は Firefox 154、Firefox ESR 115.39、Firefox ESR 140.14、Firefox ESR 153.1、Thunderbird 154、Thunderbird 140.14、Thunderbird 153.1 で修正されました。Thunderbird は特定のデータを処理する際にメモリ破壊の危険を持ち、攻撃者は悪意あるメールや添付ファイルを組み立てて発火させ、リモートコード実行やサービス停止に至らせられます。本脆弱性は上記の修正版へ更新していないすべての利用者に影響します。攻撃者は対象に特製のメールを開かせるだけで悪用でき、利用者の操作を必要とせず遠隔から制御できます。

コンポーネント
Thunderbird は Mozilla が開発したオープンソースのクロスプラットフォームな電子メールクライアントで、メール管理、ニュースグループの購読、カレンダーの機能に対応します。
リスク
  • 一般利用者から管理者へ：被害者がメールクライアントを管理者権限で実行している場合、攻撃者も同じ権限を得ます
  • システムの完全な制御：攻撃者は被害者のシステム上で任意のコードを実行でき、利用者の権限に応じてプログラムの導入、データの閲覧・改変・削除、完全な権限を持つ新規アカウントの作成が可能になります
  • 利用者の操作を要しない攻撃：ドライブバイ侵害（T1189）の手法により、利用者は悪意あるメールを開くだけで脆弱性が発火し、追加の操作を必要としません
出典
NVD · CVE-2026-74990
対処方法
  • 異常なメモリアクセスの挙動ログを監視してください
  • 実行環境にサンドボックスによる隔離機構を有効化してください
  • 信頼できない出所のメール添付ファイルの読み込みを遮断してください
CVE-2026-59940 CVSS 9.8 超危険 2026-08-18

Seroval の fromJSON のデシリアライズによりリモートコード実行に至る

Seroval の 1.5.3 より前のバージョンでは、seroval.fromJSON() 関数が内部の Promise 解決器の記録が本物かを検証しないため、信頼されたデータのデシリアライズ（CWE-502）というセキュリティ上の欠陥が存在します。攻撃者が制御する JSON の Promise 制御ノードは、汎用のデシリアライズ参照表の値を操作でき、プラグインが有効な場合にデシリアライズの副作用を生じさせ、下流のフレームワークが呼び出し可能な包装を登録する際に意図しないサーバー側の呼び出しやリモートコード実行を招き得ます。本脆弱性は 1.5.3 へ更新していないすべての利用者に影響します。攻撃者は悪意ある JSON データを組み立てて発火させられ、利用者の操作を必要とせず遠隔から制御できます。

コンポーネント
Seroval は JavaScript の値の文字列化を助けるライブラリで、JSON.stringify の能力を超える複雑な構造も含めた直列化と復元の操作に対応します。
リスク
  • 一般利用者から管理者へ：被害者が Seroval に依存する応用を管理者権限で実行している場合、攻撃者も同じ権限を得ます
  • システムの完全な制御：攻撃者は被害者のシステム上で任意のコードを実行でき、利用者の権限に応じてプログラムの導入、データの閲覧・改変・削除、完全な権限を持つ新規アカウントの作成が可能になります
  • 利用者の操作を要しない攻撃：悪意ある JSON データを組み立てることで、下流のフレームワークが処理する際に自動的に脆弱性が発火し、追加の操作を必要としません
出典
NVD · CVE-2026-59940
対処方法
  • Seroval を直ちに 1.5.3 以降へ更新してください
  • 入力データに厳格な許可リスト検証を適用し、信頼できない Promise 制御ノードを拒否してください
  • 下流のフレームワークで呼び出し可能な包装の登録範囲を限定し、意図しないサーバー側の呼び出しを避けてください

パッケージ汚染 9

パッケージ汚染 PyPI 2026-08-19

infogram-bot@1.6.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
37664be0544034a16e1dc98660079415
パッケージ汚染 npm 2026-08-19

bqq1@1.0.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
880e8dd99bcdab7a264b2d2bd7de4a2e
パッケージ汚染 npm 2026-08-19

txs-lib-sdk@1.0.2 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
27e9b8dce5f0871365c2f122737a12d2
パッケージ汚染 npm 2026-08-19

chaikit@2.3.5 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
79ac17604df97b414e0160628044f14a
パッケージ汚染 npm 2026-08-19

@sarex-team/sdk-js@9.9.11 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
e6e48ce32fd1c1f8fef18345dbbd0b55
パッケージ汚染 npm 2026-08-19

@sarex-team/viewer@9.9.11 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
65dd93d31b3160314132bcc0a7e18237
パッケージ汚染 npm 2026-08-19

hardhat-hold@2.0.1 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
f920d19a4402378da0355080c805ef0f
パッケージ汚染 npm 2026-08-19

secp256k1-lib@1.0.3 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
1418cb9c240e36876b980e5783057672
パッケージ汚染 npm 2026-08-19

price-scripping-js@1.1.2 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
4dc78f582330b9510eea2a5f3b8ee256
← 情報センターへ戻るRSSCleanSource SCA でこれらのリスクを自動監視 →