← 情報センターへ戻る

2026-11-10 デイリーセキュリティ情報

RSS

CSSA 2 CVE 3 汚染 8

10.0 超危険 Tinyproxy の Transfer-Encoding 大小文字処理の欠陥によりリクエストスマグリングが発生しセキュリティ制御を回避

CSSA 独自早期警戒 2

CSSA 独自早期警戒 10.0 超危険

Tinyproxy の Transfer-Encoding 大小文字処理の欠陥によりリクエストスマグリングが発生しセキュリティ制御を回避

攻撃者は Chunked のような小文字でない変種を含む Transfer-Encoding ヘッダーを構成して欠陥を誘発できます。コンポーネントは is_chunked_transfer 関数で大小文字を区別する比較によりチャンク転送符号化を誤って識別するため、プロキシは Content-Length でフレームを区切り、元のヘッダーをバックエンドへ転送します。バックエンドは RFC に従いチャンク解析するためリクエスト境界が同期せず、HTTP リクエストスマグリングが成立し、WAF 回避、キャッシュポイズニング、ユーザー間のリクエストハイジャックなどの深刻な結果を招きます。

コンポーネント
Tinyproxy は軽量で高性能な HTTP/HTTPS プロキシサーバーです。小規模ネットワークに効率的な前置リバースプロキシまたはフォワードプロキシを提供するよう設計され、上流サーバーへのリクエスト転送、レスポンスキャッシュ、基本的なアクセス制御ポリシーの実施を中核として、リソース配分を最適化しネットワーク層の分離を強めます。
種別
HTTP Request/Response Smuggling (CWE-444)
リポジトリ
github.com/tinyproxy/tinyproxy Star 6054
対処方法
  • 関連コードの文字列比較関数を strcmp から strcasecmp に置き換え、大小文字を区別しない照合にしてください。RFC 7230 に基づく CL と TE の衝突解決を追加し、Transfer-Encoding があるときは Content-Length ヘッダーを除去してください。さらにそのヘッダーをスキップリストへ加えて防御を深めてください。
CSSA 独自早期警戒 9.9 超危険

open-mercato のシングルサインオン設定管理に権限検査がなく攻撃者がスーパー管理者権限を越権取得

攻撃者は sso.config.manage 権限を持つ一般管理者として悪意ある SSO 設定リクエストを構成し、任意の外部 IdP グループをプラットフォームのスーパー管理者ロールへ対応付けるか、既存の高権限アカウントを関連付けます。サーバーがアプリケーションのロール対応を書き込むとき、およびメールの自動リンクを実行するときに対象ロールの特権を検査しないため、攻撃者はパスワードと多要素認証を迂回してスーパー管理者セッションを直接乗っ取れます。制御されたシステムはデータの完全性破壊とサービス中断の脅威にさらされます。

コンポーネント
open-mercato は企業のユーザー管理向けリソース計画システムです。中核アーキテクチャは RESTful API による多機能の連携と複数ロールの権限設定に依存し、組織内のリソース配分、プロセス自動化、身元認証の統合を最適化します。
種別
Improper Privilege Management (CWE-269)
リポジトリ
github.com/open-mercato/open-mercato Star 1916
対処方法
  • SSO 設定の作成または更新時にサーバー側の権限検査を追加し、操作者が自身の権限を超えるロール対応を付与できないようにしてください。アカウントを自動リンクする前に対象ユーザーがスーパー管理者かどうかを検証し、不正な権限昇格の経路を断ってください。

CVE 情報 3

CVE-2026-76964 CVSS 10.0 超危険 2026-11-10

SAP NetWeaver AS ABAP のメモリ破損によりリモートコード実行

SAP NetWeaver Application Server ABAP では、内部コンポーネントが特定のネットワーク入力を十分に検証せず、指定された入力型の検証不備（CWE-1287）があります。未認証の攻撃者は巧妙に作ったネットワークトラフィックを送り、影響を受ける機能でメモリ破損条件を誘発し、システムの安定性と安全性を脅かします。SAP NetWeaver AS ABAP はネットワークリクエストの処理にメモリ破損の欠陥があり、攻撃者は悪意あるネットワークパケットで誘発してリモートコード実行またはシステムの完全制御に至ります。未修正のすべての SAP NetWeaver Application Server ABAP 展開が影響を受けます。攻撃者は認証不要で遠隔から攻撃でき、利用者の操作は不要で、対象システムを完全に制御できます。

コンポーネント
SAP NetWeaver Application Server ABAP は SAP が提供する企業向けアプリケーションサーバー基盤で、ABAP で開発された企業アプリケーションを実行し、複雑な業務論理の処理とネットワーク対話を支えます。
リスク
  • 完全なシステム制御: 攻撃者は被害システムで任意コードを実行し、システム権限に応じてプログラムの導入、データの閲覧・変更・削除、完全な権限を持つ新規アカウントの作成ができる
  • 認証不要の攻撃: 攻撃者は資格情報なしにネットワーク経由で悪意あるトラフィックを送り欠陥を誘発し、リモートコード実行を達成できる
  • 高影響の破壊: 悪用に成功すると機密性・完全性・可用性へ高い影響があり、データ漏えい、システムの改ざん、サービス中断につながり得る
出典
NVD CVE-2026-76964
対処方法
  • 異常なネットワークトラフィックとメモリアクセス行為のログを監視する
  • サーバー環境で厳格なネットワークアクセス制御リスト（ACL）を有効にする
  • SAP 公式のセキュリティパッチを速やかに適用するか、暫定の緩和で疑わしいネットワーク入力を遮断する
CVE-2026-89103 CVSS 10.0 超危険 2026-11-10

SAP Gateway の高権限な既定 ACL により未認可のリモートコード実行

SAP Gateway では高権限の既定アクセス制御リスト（ACL）が有効なため、外部の攻撃者が内部アプリケーションサーバーとして誤って分類されます。この設定欠陥（CWE-863 不適切な認可）により、ネットワークから SAP Gateway へ到達できる未認証の攻撃者は、認証なしにアプリケーション環境で未認可の操作を実行できます。影響を受けるシステムの機密性・完全性・可用性は深刻に損なわれ、攻撃者はリモートコード実行またはアプリケーション環境の完全制御を達成できます。この既定の高権限 ACL を持つすべての SAP Gateway インスタンスが影響を受けます。攻撃者はネットワークアクセスだけで悪用を完了でき、利用者の操作は不要で、遠隔から操作できます。

コンポーネント
SAP Gateway は SAP ソリューションの一部で、OData サービスを提供し、クライアントとバックエンドの SAP システムとの通信ゲートウェイとして、企業アプリケーションの統合とデータ交換を支えます。
リスク
  • 未認可アクセス: 攻撃者は認証なしに保護されたリソースへアクセスし、セキュリティ境界を迂回できる
  • 完全なシステム制御: 攻撃者はアプリケーション環境で任意の未認可操作を実行でき、データ漏えい、改ざん、サービス中断につながり得る
  • 利用者操作不要の攻撃: 直接のネットワークアクセスだけで欠陥を誘発でき、利用者にクリックや操作を促す必要がなく、攻撃の隠密性が高い
出典
NVD CVE-2026-89103
対処方法
  • SAP Gateway の既定アクセス制御リスト（ACL）を直ちに見直し変更し、高権限の既定設定を除去する
  • 厳格なネットワークアクセス制御を実施し、SAP Gateway への外部アクセスを制限する
  • 多要素認証と強力な身元認証を有効にし、認可された利用者だけが重要リソースへアクセスできるようにする
CVE-2026-107246 CVSS 10.0 超危険 2026-11-10

Plesk Site Import のパストラバーサルにより root 権限で任意コードが実行される

Plesk 拡張「Site Import」の 1.13.2 より前では、ドメイン名とセッション識別子が正しく検証されず、パストラバーサル（CWE-22）があります。所有者でないサブスクリプションユーザーは、特権付きバックエンドセッションを自身が制御するディレクトリへリダイレクトし、root 権限で任意コードを実行できます。1.13.2 へ更新していないすべての Plesk 利用者が影響を受けます。攻撃者に複雑な操作は不要で、所有者でないサブスクリプションアカウントだけで欠陥を誘発し、低権限ユーザーからシステムの最高権限である root へ昇格してシステムを完全に制御できます。

コンポーネント
Plesk は広く使われるウェブサイトおよびサーバー管理パネルで、Linux と Windows サーバー上のウェブサイト、ドメイン、メール、データベースの管理を簡素化します。
リスク
  • 一般ユーザーから管理者へ: 所有者でないサブスクリプションユーザーはこの欠陥で権限制限を迂回し、サーバーの root 権限を取得できる
  • 完全なシステム制御: 攻撃者は被害システムで root 権限の任意コードを実行してサーバーを完全に制御し、マルウェアの導入、データの窃取、システムの破壊ができる
  • 横展開のリスク: root 権限を得ると、攻撃者は内部ネットワークの他システムへさらに侵入できる
出典
NVD CVE-2026-107246
対処方法
  • Plesk の「Site Import」拡張を直ちに 1.13.2 以降へアップグレードする
  • サーバーログを調べ、異常なパスアクセスやセッションのリダイレクトを探す
  • 管理者以外のユーザーによるバックエンドセッションへのアクセスを制限し、最小権限を適用する

パッケージ汚染 8

パッケージ汚染 npm 2026-11-10

focashi@1.1.0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
24de2af1d3255763f124f7a6bb8070c6
パッケージ汚染 npm 2026-11-10

yonzofficial@2.1.1 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
45345c6d98a896b8b7abfa52daacf21b
パッケージ汚染 npm 2026-11-10

react-bootstrap-table2-toolkit-bg@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
2f7f411adbc0ed2249b065bb813ffce8
パッケージ汚染 npm 2026-11-10

template-cards@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
2b166d3cdd0fa68476010237ddc5421e
パッケージ汚染 npm 2026-11-10

template-projection-map@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
98deaddf03d422e5d7d844ab16ff7cae
パッケージ汚染 npm 2026-11-10

dowload_ebok_la_historia_universal_en_100_preguntas_by_luis_e_inigo_fernandez_0w097@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
24cbf3891c4be86e536b1d6fc8d45efd
パッケージ汚染 npm 2026-11-10

moltbook-api-helper@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
f9d7e79aec6ee2638b8cade802a5ea14
パッケージ汚染 npm 2026-11-10

moltbook-health@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
54f3796a960695d65077513727996e87
← 情報センターへ戻るRSSCleanSource SCA でこれらのリスクを自動監視 →