NEWSkillSec — AI Skill のセキュリティを「マルウェア検知」から「能力監査」へSkillSec詳しく見る →
← 情報センターへ戻る
SECURITY INTEL · DAILY
リンクをコピーしましたRSS

2026-08-24 デイリーセキュリティ情報

全 13 件最高深刻度 10.0（超危険）CSSA 2 · CVE 3 · 汚染 8

CSSA 独自早期警戒2

CSSA 独自早期警戒10.0 超危険

sub2api が偽造された HTTP ヘッダーを信頼し、IP アクセス制御と流量制限が無効化される

攻撃者は既定構成における CF-Connecting-IP ヘッダーへの無条件な信頼を突き、悪意ある HTTP 要求を組み立てて送信元 IP アドレスを偽装することで、API キーの IP 許可リストの検証とログイン接口の流量制限の機構を回避できます。この欠陥は、後段が信頼できるリバースプロキシと通常のクライアントを区別していないことに起因し、安全防護の処理が完全に迂回されます。

コンポーネント
sub2api は Go 言語で開発された購読変換・管理の API サービスです。中核アーキテクチャはリバースプロキシの方式でクライアントの要求を処理し、複数源の購読集約、通信の監視、細やかな権限管理を実現することを目的としています。システムは要求ヘッダーを解析して送信元 IP を判定し、アクセス方…
種別
Reliance on Untrusted Inputs in a Security Decision (CWE-807)
リポジトリ
github.com/Wei-Shaw/sub2api · Star 39055
対処方法
  • 設定ファイルを変更して転送 IP を既定で信頼する選択肢を無効化し、リバースプロキシの層で信頼できない送信元からの該当 HTTP ヘッダーを取り除くか上書きすることを推奨します。あわせて厳格な代理連鎖の信頼検証の機構を設け、IP 解決の正確さを担保してください。
CSSA 独自早期警戒10.0 超危険

CubeSandbox が認証機構を欠き流量制限も適用されないため、任意の利用者が遠隔からサンドボックスの全生命周期の操作を実行できる

本脆弱性は、CubeAPI が認証の資格情報を構成していない場合に既定で 0.0.0.0:3000 へ束縛し、しかもその旨を警告ではなく INFO 水準のログにしか記録しないことに起因します。攻撃者は資格情報なしにネットワークの任意の場所から機微な端点へアクセスできます。流量制限のミドルウェアは認証を有効にした分岐でのみ読み込まれるため、認証のないモードでは頻度の制御が完全に欠落します。無条件に適用される緩いクロスオリジンの方策と相まって、攻撃者は大規模な同時要求やクロスサイトスクリプティングの攻撃を容易に仕掛けられ、サンドボックス管理の接口を濫用して計算資源の枯渇、データの漏洩、サービス拒否といった深刻な結果を招けます。

コンポーネント
CubeSandbox は KVM に基づく高性能な隔離サンドボックスのシステムで、中核部品の CubeAPI がサンドボックスの生成、削除、実行、スナップショット、巻き戻しといった制御面の要求を処理します。クラウドネイティブの応用に軽量なコンテナ代替を提供することを目的とし、RESTful API…
種別
Missing Authentication for Critical Function (CWE-306)
リポジトリ
github.com/TencentCloud/CubeSandbox · Star 11315
対処方法
  • 認証と流量制限のモジュールを切り離すようコードの処理を改め、認証の有無にかかわらず流量制限の機構を必ず適用することを推奨します。あわせて既定の束縛アドレスを 127.0.0.1 に改めるか、認証のない構成を検知した際に重大な警告を発して起動を拒否してください。さらにクロスオリジンの設定を許可リストの方策へ最適化して越境要求の濫用を防ぎ、本番配備の前に環境変数の設定を厳格に検証してください。

CVE 情報3

CVE-2026-78155CVSS 9.9 超危険2026-08-23

StackGres Operator の権限昇格により管理者権限が取得される

StackGres operator では、信頼できない検索パス（CWE-426）というセキュリティ上の欠陥により、権限昇格の脆弱性が存在します。データベースを保有する低い権限のテナントはこれを悪用して管理者権限を取得できます。本脆弱性はネットワーク環境において低い複雑さで悪用でき、利用者の操作なしに安全の範囲を変え、機密性・完全性・可用性に深刻な影響をもたらします。修正を適用していないすべての配備環境が影響を受けます。攻撃者は低い権限のテナントの身元を持つだけで発火でき、そこから管理者の水準まで権限を昇格させられます。

コンポーネント
StackGres operator は PostgreSQL のデータベースクラスタを管理するための Kubernetes オペレーターで、データベースの生命周期管理を簡便にすることを目的としています。
リスク
  • 低い権限から管理者権限へ：データベースを保有する低い権限のテナントは、本脆弱性によってクラスタ管理者の権限を直接取得できます
  • システムの完全な制御：管理者権限を得た攻撃者はデータベースクラスタを完全に制御でき、すべてのデータの閲覧・改変・削除と任意の管理操作を行えます
  • 遠隔からのネットワーク攻撃：攻撃経路はネットワーク（NETWORK）で、攻撃の複雑さは低く、利用者の操作なしに悪用できます
出典
NVD · CVE-2026-78155
対処方法
  • 最小権限の原則を実施し、テナントによる operator の資源へのアクセス権限を厳しく限定してください
  • operator の監査ログを監視し、異常な権限昇格の挙動を検知してください
CVE-2026-5388CVSS 9.8 超危険2026-08-23

justhtml の URL 清浄化と HTML 直列化の回避によりクロスサイトスクリプティングに至る

justhtml の 1.15.0 より前のバージョンでは、URL 清浄化の補助関数（clean_url_value／clean_url_in_js_string）、HTML の直列化、Markdown の直通（html_passthrough=True）、および複数の独自清浄化方策の周辺的な場合に、複数のセキュリティ上の問題が存在します。構成によっては、攻撃者は清浄化の機構を回避して活性の HTML と JavaScript を注入できます。たとえば符号化された javascript: の URL、遠隔ホストとして解決される逆斜線に基づく相対 URL、標記の構造を壊すプログラム的な要素名・属性名や HTML コメント、Markdown の直通による生の閉じ textarea タグの再導入、独自方策における style・meta http-equiv=refresh・base href タグの温存などです。独自方策に関わる問題の大半は既定の sanitize=True の構成には影響せず、主に補助 API、プログラムによる DOM 構築、html_passthrough=True、独自の方策や変換の経路に影響します。

コンポーネント
justhtml は HTML の清浄化、直列化、変換を扱うオープンソースのライブラリで、ウェブ応用において利用者の入力や第三者の内容を処理する際によく用いられます。
リスク
  • クロスサイトスクリプティング（XSS）：攻撃者は悪意あるスクリプトを注入し、利用者のセッショントークン、Cookie、機微情報を窃取できます
  • ページ内容の改竄：style や meta http-equiv=refresh のタグを注入することで、攻撃者はページの見た目を変えたり、利用者を悪意あるサイトへ転送したりできます
  • 利用者の操作を要しない攻撃：html_passthrough=True といった特定の構成では、攻撃者は追加の操作なしに悪意ある入力を組み立てるだけで脆弱性を発火させ、コードを実行できる可能性があります
出典
NVD · CVE-2026-5388
対処方法
  • justhtml を直ちに 1.15.0 以降へ更新してください
  • html_passthrough=True と独自の清浄化方策を用いる場面を見直し、限定してください
  • 入力データに厳格な許可リストの絞り込みを適用し、既定の緩い清浄化構成の使用を避けてください
CVE-2026-78167CVSS 10.0 超危険2026-08-24

EFM ipTIME T16000M のセッション検証の回避によりリモートコード実行に至る

EFM ipTIME T16000M の 14.20.2 では、Session Validation Handler 部品の httpcon_check_session_url 関数に不適切な認証（CWE-287）というセキュリティ上の欠陥が存在します。本脆弱性は認証の回避を招き、攻撃者による遠隔からの悪用を許します。悪用コードはすでに公開され、攻撃に使用され得ます。ベンダーには公表の初期段階で連絡が取られましたが応答はありません。本脆弱性は 14.20.2 のファームウェアで動作するすべての機器に影響します。攻撃者はネットワーク経由で遠隔から攻撃を仕掛けられ、利用者の操作なしに認証を回避して、機器の制御権を取得し得ます。

コンポーネント
EFM ipTIME T16000M はネットワーク接続と安全制御の機能を提供する企業向けのルーター／ファイアウォール機器です。
リスク
  • システムの完全な制御：攻撃者は認証を回避して被害者のシステム上で任意のコードを実行でき、利用者の権限に応じてプログラムの導入、データの閲覧・改変・削除、完全な権限を持つ新規アカウントの作成が可能になります
  • 利用者の操作を要しない攻撃：遠隔のネットワーク要求だけで脆弱性が発火し、対象の利用者による追加の操作を必要としません
  • 権限の昇格：通常のネットワーク利用者から機器の管理者へ。悪用に成功すると機器の完全な管理権限を得られます
出典
NVD · CVE-2026-78167
対処方法
  • 異常なネットワークセッション検証の要求ログを監視してください
  • 機器の管理インターフェースに IP 許可リストによるアクセス制御を有効化してください
  • 信頼できない出所からのセッション検証の通信を遮断してください

パッケージ汚染8

パッケージ汚染npm2026-08-24

hydration-dim-kit@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
d79bd7cc5b3b0ebc4965048b95085c88
パッケージ汚染npm2026-08-24

@opap/player-kyc-widget@3.999.999 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
3ce114537783f4070a1cb5505878a89a
パッケージ汚染npm2026-08-24

sm-admin@99.0.1 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
76f7e1cd450f825b53524b56d68e927a
パッケージ汚染npm2026-08-24

sm-apikey-model@99.0.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
7038e95a7c012ea16476ed0d7051fa7b
パッケージ汚染npm2026-08-24

sm-billing-form@99.0.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
8ab97513ba4bac76b3a7b91a292f31c1
パッケージ汚染npm2026-08-24

sm-cart@99.0.1 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
777c691cce9d2a45a8f8d2df4b496d04
パッケージ汚染npm2026-08-24

sm-checkout@99.0.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
0a4c9fa76e0f5812e5a5385ed1afe80a
パッケージ汚染npm2026-08-24

sm-payment@99.0.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
8e9de7bb06d9561edc377c3aca86429d
← 情報センターへ戻るRSSCleanSource SCA でこれらのリスクを自動監視 →