← 情報センターへ戻る
SECURITY INTEL · DAILY
RSS

2026-10-29 デイリーセキュリティ情報

CSSA 2 · CVE 2 · 汚染 2

10.0 超危険 · Websoft9 アプリケーション管理基盤のプロキシ API に認証がなく、リバースプロキシ設定を未認可で改ざん可能

CSSA 独自早期警戒 2

CSSA 独自早期警戒 9.9 超危険

Apache Iggy の Java / C# SDK における出力エンコード欠陥によりパストラバーサルが発生し、権限外削除が可能

攻撃者は、個人アクセストークン削除リクエスト構築時に Java または C# HTTP クライアントがパスパラメータを正しくエスケープしない特性を悪用し、../ などのパストラバーサル列を注入して URL パーサにパスを正規化させ、意図しない機微エンドポイントへ誘導します。特殊文字の厳格なフィルタ不足により、リクエストがユーザー管理など高リスクインタフェースへリダイレクトされ、任意アカウントデータの不正削除やシステム状態の予期せぬ変更が可能となり、完全性と可用性を深刻に損ないます。

コンポーネント
Apache Iggy はイベント駆動の高性能メッセージストリームストレージ基盤で、低遅延のデータ永続化を目指します。SDK が多言語クライアントに標準的なデータ連携インタフェースを提供し、接続管理とリソーススケジューリングを支え、マイクロサービス間でデータを効率的かつ信頼性高く流通・保存できる拡張可能な分散データ処理インフラの構築を目的とします。
種別
Improper Encoding or Escaping of Output (CWE-116)
リポジトリ
github.com/apache/iggy · Star 5222
対処方法
  • URL パス結合時は動的入力に厳格なパーセントエンコードを行い、未洗浄のユーザー制御文字列を直接連結しないでください。あわせてサーバー側でパス正当性を検証し、ディレクトリトラバーサル特徴を含む要求を拒否し、各言語 SDK の下層ネットワーク要求ラッパを統一して差異を解消してください。
CSSA 独自早期警戒 10.0 超危険

Websoft9 アプリケーション管理基盤のプロキシ API に認証がなく、リバースプロキシ設定を未認可で改ざん可能

攻撃者は /apphub/src/api/v1/routers/proxy.py において /api/proxys/* パス接頭辞がグローバル鍵ミドルウェアにインターセプトされず、セッション Cookie 検証もない論理欠陥を突けます。資格情報なしで HTTP GET・POST・PUT・DELETE を送り、SSL 証明書在庫の列挙、アプリのリバースプロキシ規則の任意作成・変更、既存プロキシ設定の削除まで可能となり、ドメインハイジャックやサービス中断を招き、管理対象アプリのアクセス制御の完全性と可用性を深刻に損ないます。

コンポーネント
Websoft9 はコンテナ技術に基づく多アプリの迅速デプロイ・管理基盤です。中核の AppHub がバックエンドマイクロサービスの統一スケジューリング、アプリケーションライフサイクル管理、ネットワークルーティング設定を担い、フロント／バック分離設計で標準 API によるインフラストラクチャ・アズ・コードの自動運用を目指します。
種別
Missing Authentication for Critical Function (CWE-306)
リポジトリ
github.com/Websoft9/websoft9 · Star 2132
対処方法
  • グローバル認証を免除するすべてのルート処理関数にセッショントークン検証を強制し、業務ロジック層が完全な権限コンテキスト検査を持つようにし、API の認証カバレッジを定期監査してセキュリティ盲点を解消してください。

CVE 情報 2

CVE-2026-14571 CVSS 10.0 超危険 2026-10-28

Futurum Software 管理ソフトのブラインド SQL インジェクションにより機微データが漏えい

Futurum Software の管理ソフトでは、プライベート領域のデータベース照会におけるユーザー入力の検証・浄化不足と WAF 設定不備により、ブラインド SQL インジェクション（CWE-89）の欠陥があります。攻撃者は改ざんした HTTP リクエストを送るだけで防護を迂回できます。悪用に成功すると未認証の攻撃者が任意の DB 照会を実行し、完全なスキーマを抽出し、個人識別情報（PII）を含む機微な顧客情報を取得できます。未修正のすべての Futurum Software 管理ソフト配備が影響を受けます。認証なしでリモート攻撃でき、データ機密性を直接脅かします。

コンポーネント
Futurum Software は社内業務ロジックと顧客データ管理を扱う企業管理ソフトで、機微情報の保存とやり取りを含みます。
リスク
  • 機微データ漏えい：攻撃者が DB 完全スキーマと PII を含む機微な顧客データを抽出可能
  • 未認可アクセス：未認証の攻撃者が任意の DB 照会を実行し、認証機構を完全に迂回
  • データ完全性の破壊：SQL インジェクションで重要業務データを改変・削除し、業務ロジックを混乱させる可能性
出典
NVD · CVE-2026-14571
対処方法
  • 直ちに WAF 設定を更新し、プライベート領域の DB 照会に厳格な入力検証と浄化を強制する
  • DB 照会パラメータにパラメータ化照会またはプリペアドステートメントを用い、SQL インジェクションを根本防止する
  • 異常な HTTP リクエストパターン、特にプライベート領域インタフェース向けの非常規照会を監視する
CVE-2026-112197 CVSS 10.0 超危険 2026-10-28

NoviGest の Java RMI 未認証リモートコード実行によりサーバーを完全掌握可能

NoviGest デスクトップアプリでは、Java RMI サービスが重要機能で認証を欠き（CWE-306）、重大な欠陥があります。当該サービスへネットワーク到達できる攻撃者は未認証でリモートメソッドを呼び出し、機微な資格情報を取得し、PostgreSQL 上で任意の SQL を実行できます。DB アカウントが高権限のため、これらを連鎖させて OS コマンドを実行し、機密性・完全性・可用性を破壊できます。未修正のすべての NoviGest デスクトップ配備が影響を受けます。ネットワーク到達だけで足り、ユーザー操作なしにリモート攻撃可能です。

コンポーネント
NoviGest はデスクトップアプリで、重要業務ロジック処理と PostgreSQL 連携を担う Java RMI サービスコンポーネントを内包します。
リスク
  • 一般ユーザーから管理者へ：被害者が管理者権限でアプリを実行していれば、攻撃者も同等権限を取得
  • 完全なシステム制御：任意コード実行により、権限に応じてプログラム導入、データの閲覧・変更・削除、完全権限の新規アカウント作成が可能
  • ユーザー操作不要の攻撃：サービスへの直接ネットワークアクセスだけで誘発でき、クリック誘導なしにリモートコード実行を実現
出典
NVD · CVE-2026-112197
対処方法
  • Java RMI サービスのネットワークアクセスを制限し、信頼できる IP のみ許可する
  • DB アカウントに最小権限原則を適用し、高権限アカウントでのアプリ接続を避ける

パッケージ汚染 2

パッケージ汚染 npm 2026-10-29

mock-transactions-sdk@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
a44897d057c33ac9e65085cebf75a923
パッケージ汚染 npm 2026-10-29

transaction-info-generate-sdk@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
9101a77d1804fa33d36a3d64bc8aed20
← 情報センターへ戻るRSSCleanSource SCA でこれらのリスクを自動監視 →