NEWSkillSec — AI Skill のセキュリティを「マルウェア検知」から「能力監査」へSkillSec詳しく見る →
← 情報センターへ戻る
SECURITY INTEL · DAILY
RSS

2026-09-02 デイリーセキュリティ情報

CSSA 2 · CVE 2 · 汚染 2

10.0 超危険 · Drogon ORM コンポーネントの SQL インジェクションにより WHERE 条件の迂回とデータ漏洩に至る

CSSA 独自早期警戒 2

CSSA 独自早期警戒 10.0 超危険

Drogon ORM コンポーネントの SQL インジェクションにより WHERE 条件の迂回とデータ漏洩に至る

攻撃者は RestfulController が JSON フィルタを解析する際に演算子を検証しない欠陥を突き、悪意ある SQL 断片を WHERE 句へ連結します。この問題は Criteria のコンストラクタが in 演算子のみを遮断し、その他の文字列を SQL 文へ直接連結することに起因し、攻撃者は論理恒真やブラインドインジェクションのペイロードを組み立ててアクセス制御を迂回し、機微なデータベース記録を抽出できます。

コンポーネント
Drogon は高性能な C++ 非同期 Web フレームワークであり、その ORM モジュールはデータベース操作を簡素化し、RESTful コントローラの自動生成によって迅速な API 開発を実現することを目的としています。中核アーキテクチャは Criteria オブジェクトに依拠して動的な照会文…
種別
SQL Injection (CWE-89)
リポジトリ
github.com/drogonframework/drogon · Star 14234
対処方法
  • 演算子の許可リスト機構を実施し、許容する SQL 演算子の集合を厳格に限定して、利用者入力の演算子がすべて検証された後にのみ SQL 文の構築へ関与するよう担保し、任意文字列の連結によるインジェクションのリスクを避けてください。
CSSA 独自早期警戒 10.0 超危険

wg-easy の認証インターフェースにログイン試行制限がなく二次検証が迂回されシステムを完全に制御される

攻撃者は正当なアカウントのパスワードを取得した後、TOTP 二次検証のインターフェースへ無制限の総当たり要求を送れます。システムが認証失敗回数に対する制限やアカウントの一時ロックを一切実施せず、監査ログも欠くため、攻撃者は短時間で有効な検証コードを高い確率で推測し、二要素認証の障壁を迂回して管理者権限を直接掌握できます。

コンポーネント
wg-easy は Web ベースの WireGuard VPN 管理パネルで、中核アーキテクチャは RESTful API とデータベース連携のモデルを採り、仮想私設網の設定、利用者管理、鍵配布の流れを簡素化することを目的とし、グラフィカルな界面を通じてネットワーク接続点の集中運用と動的な方針配信…
種別
Improper Restriction of Excessive Authentication Attempts (CWE-307)
リポジトリ
github.com/wg-easy/wg-easy · Star 26840
対処方法
  • 後段の論理にセッションまたはアカウント単位の失敗カウンタを導入し、妥当な最大試行閾値を設定して一時ロックを発火させるとともに、指数バックオフと強制的なセキュリティ事象の監査ログ記録を組み合わせ、自動化された総当たり攻撃を効果的に抑えてください。

CVE 情報 2

CVE-2026-76657 CVSS 10.0 超危険 2026-09-02

HPE Networking Fabric Composer の API 認証迂回によりホストが完全に制御される

HPE Networking Fabric Composer の API に、未認証の遠隔攻撃者が既存の認証制御を迂回できる可能性のある脆弱性が発見されました。悪用に成功すると攻撃者は管理者権限を得て、HPE Networking Fabric Composer のホストが完全に制御されます。本問題は不適切な認証（CWE-287）に属し、攻撃経路はネットワーク、複雑さは低く、利用者の操作も特権も不要です。未修正のすべての HPE Networking Fabric Composer 配備に影響します。攻撃者は遠隔から特製の要求を送るだけで、認証なしに最高権限を取得できます。

コンポーネント
HPE Networking Fabric Composer は HPE が提供するネットワーク編成・管理ソフトウェアで、ネットワーク基盤の自動設定と管理に用いられます。
リスク
  • 一般利用者から管理者へ：攻撃者は初期の資格情報を一切要さず、直接管理者権限を取得できます
  • システムの完全な制御：攻撃者はこの脆弱性を用いて被害者のシステム上で任意のコードを実行でき、管理者権限に基づきプログラムの導入、データの閲覧・変更・削除、完全な権限を持つ新規アカウントの作成が可能です
  • 利用者の操作を要しない攻撃：遠隔のネットワーク要求（T1190）により、攻撃者は対象利用者のいかなる操作も要さず脆弱性を発火させ、遠隔コード実行を実現できます
出典
NVD · CVE-2026-76657
対処方法
  • ネットワーク境界にファイアウォール規則を配備し、API 端点への未認可アクセスを制限してください
  • API のアクセスログを監視し、異常な未認証要求の挙動を識別して遮断してください
CVE-2026-76658 CVSS 10.0 超危険 2026-09-02

HPE Networking Fabric Composer の SSH デーモンにおける遠隔コード実行によりシステムが完全に制御される

HPE Networking Fabric Composer の SSH デーモンに、未認証の遠隔攻撃者が脆弱な AFC ホストの管理アクセス権限を取得できる可能性のある脆弱性が発見されました。悪用に成功すると攻撃者は特権利用者として基盤のオペレーティングシステム上で任意のコマンドを実行でき、システムが完全に制御されます。本脆弱性は未修正のすべての HPE Networking Fabric Composer 配備に影響し、攻撃者は認証なしにネットワーク経由で遠隔から攻撃を開始でき、複雑さは低く利用者の操作も不要です。

コンポーネント
HPE Networking Fabric Composer は HPE が提供するネットワーク編成・管理ソフトウェアで、データセンターネットワークの設定と管理の簡素化・自動化に用いられます。
リスク
  • システムの完全な制御：攻撃者はこの脆弱性を用いて基盤のオペレーティングシステム上で特権利用者として任意のコマンドを実行し、システムを完全に制御できます
  • 未認証の遠隔攻撃：攻撃者はいかなる資格情報も要さずネットワーク経由で遠隔から本脆弱性を悪用し、AFC ホストの管理アクセス権限を取得できます
  • 高い影響範囲：CVSS 評価が 10.0 であるため、本脆弱性は機密性・完全性・可用性のいずれにも深刻な影響を与え、影響スコープは変更されます（Scope Changed）
出典
NVD · CVE-2026-76658
対処方法
  • 影響を受ける HPE Networking Fabric Composer ホストを直ちに隔離し、そのネットワークアクセスを制限してください
  • SSH デーモンの異常なログイン試行とコマンド実行のログを監視してください

パッケージ汚染 2

パッケージ汚染 npm 2026-09-02

eslint-rxjs@1.0.1 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
4c596e46c9fc02b6f12f5e64ff523ca2
パッケージ汚染 npm 2026-09-02

chromatitle-dev@1.0.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
fab750ab2964222e8cae6ba9e358d0ce
← 情報センターへ戻るRSSCleanSource SCA でこれらのリスクを自動監視 →