NEWSkillSec — AI Skill のセキュリティを「マルウェア検知」から「能力監査」へSkillSec詳しく見る →
← 情報センターへ戻る
SECURITY INTEL · DAILY
RSS

2026-10-22 デイリーセキュリティ情報

CSSA 2 · CVE 2 · 汚染 8

10.0 超危険 · InsForge の未認可 SSRF 攻撃により、内部ネットワークの探査と資格情報の漏えいが可能になる

CSSA 独自早期警戒 2

CSSA 独自早期警戒 10.0 超危険

InsForge の未認可 SSRF 攻撃により、内部ネットワークの探査と資格情報の漏えいが可能になる

攻撃者は Express フレームワークが URL パラメータをデコードする特性を悪用し、二重スラッシュを含む特殊な slug パラメータ（例：`%2F%2F169.254.169.254`）を組み立てることで、元のホスト制限を回避して任意の HTTP リクエストを直接発行できます。このルートには認証ミドルウェアがなく、既定で Authorization などの機微なリクエストヘッダーを転送するため、攻撃者は認証なしでクラウドメタデータやデータベースなどの内部サービスにアクセスでき、深刻な情報漏えいと潜在的な横展開のリスクが生じます。

コンポーネント
InsForge は Node.js と Express フレームワーク上に構築されたバックエンドサービスコンポーネントで、中核機能は関数ルートのリクエストを処理し、プロキシサーバーとしてデータを転送することにあります。統一された API インタフェースを通じて外部クライアントと内部バックエンドサービス間の通信を実現し、動的パスマッチングとリクエストヘッダーの透過転送をサポートして、分散システムにおけるリソーススケジューリングとサービス呼び出しを最適化することを目指しています。
種別
SSRF (CWE-918)
リポジトリ
github.com/InsForge/InsForge · Star 13158
対処方法
  • ターゲット URL を構築する前に slug の形式を厳格に検証し、事前定義した文法に合う文字のみを許可してください。あわせて同一オリジン方針のチェックを実施してリダイレクト先がベースドメインと一致するようにし、機微な操作パスでは認証を必須にして、未認可のリクエスト転送を遮断することを推奨します。
CSSA 独自早期警戒 10.0 超危険

gost の API サービスで認証設定が欠落しているため、リモートからの権限外制御とシステムの悪用が可能になる

攻撃者は、既定の起動パラメータにユーザー資格情報が埋め込まれていない特性を悪用し、露出した API ポートへ直接アクセスできます。明示的な認証設定がない場合ミドルウェアが無効になるため、ネットワーク到達可能な攻撃者は誰でもプロキシサービスの作成・変更・削除といった高リスク操作を無制限に実行でき、制御下のホストをオープンリレー化したりサービスを中断したりして、機密性と完全性を深刻に損ないます。

コンポーネント
gost は Go 言語で開発された多機能ネットワークプロキシツールで、HTTP や SOCKS5 など複数のプロトコルとチェーン型プロキシ構成をサポートします。中核機能は柔軟なネットワーク転送経路とトラフィック処理の仕組みを構築することにあり、開発者や運用担当者に軽量かつ効率的なネットワークデバッグ、トンネリング、プロキシサービスの展開能力を提供することを目指しています。
種別
Missing Authentication for Critical Function (CWE-306)
リポジトリ
github.com/go-gost/gost · Star 7669
対処方法
  • API サービスを使う際は、ユーザー名とパスワードを含む URL 形式を必ず指定して Basic 認証を有効にし、あわせてファイアウォールポリシーで API ポートへのアクセス元を厳格に制限し、インターネットに公開しないことを推奨します。

CVE 情報 2

CVE-2026-89035 CVSS 10.0 超危険 2026-10-22

Microsoft Exchange Server における細工された HTTP リクエストによるリモートコード実行

Microsoft Exchange Server では、特定の HTTP リクエストの処理に欠陥があり、攻撃者は細工された HTTP リクエストを送信することで、認証なしに任意のコードを実行できます。この脆弱性により攻撃者はその欠陥を利用して任意のコードを実行でき、サーバーの安定性と安全性が脅かされます。Microsoft Exchange Server は特定の HTTP リクエスト処理シナリオにセキュリティ上の欠陥があり、攻撃者は悪意あるリクエストを組み立てて引き起こし、リモートコード実行やサービス中断につながります。この脆弱性は未修正のすべての Microsoft Exchange Server ユーザーに影響し、エンタープライズ向けメールサーバーの導入環境も含まれます。攻撃者は細工された HTTP リクエストを送信するだけでよく、認証は不要でリモートから操作できます。

コンポーネント
Microsoft Exchange Server は企業向けのメールおよびコラボレーションサーバーソフトウェアで、メール転送、カレンダー共有、チームコラボレーション機能をサポートします。
リスク
  • 一般ユーザーから管理者へ：サーバーの設定が不適切である場合や、攻撃者が脆弱性を利用して権限を昇格した場合、攻撃者はシステム管理者権限を取得できる
  • システムの完全な制御：攻撃者はこの脆弱性を利用して被害者のシステム上で任意のコードを実行し、ユーザー権限に応じてプログラムのインストール、データの閲覧/変更/削除、完全な権限を持つ新規アカウントの作成が可能
  • 認証不要の攻撃：攻撃者は資格情報なしにリモートで脆弱性を引き起こし、サーバーへ直接攻撃できる
出典
NVD · CVE-2026-89035
対処方法
  • 異常な HTTP リクエストの挙動をログで監視する
  • Exchange Server にネットワーク隔離とアクセス制御の仕組みを有効にする
  • 信頼できない送信元からの細工された HTTP リクエストを遮断する
CVE-2026-110264 CVSS 10.0 超危険 2026-10-22

GitLab の正規表現コンパイルにおける整数オーバーフローによりリモートコード実行が可能になる

GitLab CE/EE の 7.0 から 18.11.13 より前、19.0 から 19.0.10 より前、19.1 から 19.1.9 より前、19.2 から 19.2.9 より前、19.3 から 19.3.6 より前、19.4 から 19.4.3 より前、および 19.5 から 19.5.1 より前のすべてのバージョンでは、巧妙に組み立てられた正規表現をコンパイルする際に整数オーバーフロー（CWE-190）が発生するという深刻なセキュリティ上の欠陥があります。特定の条件下では、未認証のユーザーがこの脆弱性を利用して GitLab サーバー上で任意のコードを実行できます。この脆弱性は、上記のセキュリティバージョンへ更新していないすべての GitLab インスタンスに影響し、コミュニティ版（CE）とエンタープライズ版（EE）の両方が含まれます。攻撃者は認証なしにリモートから攻撃を開始でき、細工された正規表現リクエストを送って整数オーバーフローを引き起こし、リモートコード実行によってサーバーを完全に制御できます。

コンポーネント
GitLab は Ruby on Rails ベースのオープンソース DevOps プラットフォームで、コードホスティング、CI/CD、プロジェクト管理などの機能を提供し、企業のソフトウェア開発プロセスで広く使われています。
リスク
  • システムの完全な制御：攻撃者はこの脆弱性を利用して GitLab サーバー上で任意のコードを実行し、サーバーの最高権限を取得して、GitLab インスタンス全体とその基盤となるオペレーティングシステムを制御できる
  • 認証不要の攻撃：攻撃者は資格情報なしに攻撃でき、攻撃面が非常に大きく、GitLab のネットワークインタフェースに到達できるユーザーなら誰でも悪用を試みられる
  • データの漏えいと改ざん：攻撃者はプロジェクトに保存されたソースコード、鍵、設定情報などの機微なデータを読み取り、変更、または削除できる
  • サービスの中断：攻撃者は悪意あるコードによってサービスをクラッシュさせたりサービス拒否を引き起こしたりし、開発チームの通常業務に影響を与える可能性がある
出典
NVD · CVE-2026-110264
対処方法
  • 直ちに GitLab CE/EE を 18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3、または 19.5.1 以降へアップグレードする
  • 直ちにアップグレードできない場合は、GitLab インスタンスへのネットワークアクセスを制限し、信頼できる IP アドレスのみ接続を許可する
  • Web アプリケーションファイアウォール（WAF）を導入し、異常に複雑または極端に長い正規表現を含むリクエストを遮断する
  • サーバーログを監視し、異常なプロセス生成やリソース消費の挙動を検出して、潜在的な侵入を速やかに発見する

パッケージ汚染 8

パッケージ汚染 gem 2026-10-22

zzhelloworld_socktest@0.2.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
460645827ee078f361385547df90731d
パッケージ汚染 npm 2026-10-22

@sudobility/wildduck_client@2.3.102 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
55953e8f60f14008a042a9d0c28789f0
パッケージ汚染 PyPI 2026-10-22

iterquarry@2.2.1 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
dda37aea89f95c929c896ea4560a7696
パッケージ汚染 PyPI 2026-10-22

libseal@1.1.3 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
85e7ab6cecf9e7c671477531e34496db
パッケージ汚染 PyPI 2026-10-22

orchestril@0.1.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
aaa929ce9f6bdb2766325bd3b7f24417
パッケージ汚染 PyPI 2026-10-22

phonoviatts@0.1.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
bc86b57126bfd831da3cab9282449382
パッケージ汚染 pypi 2026-10-22

quillonatts@0.1.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
71277aa914a4a9ecd2d7b4384248bb28
パッケージ汚染 PyPI 2026-10-22

shellgrip@0.1.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
91d55d3dd55f5cb181a8e8a8fa91b4fe
← 情報センターへ戻るRSSCleanSource SCA でこれらのリスクを自動監視 →