セキュリティの脆弱性

CVE-2025-6554 は、Google Chrome V8 JavaScript エンジンの型混乱の脆弱性です。この脆弱性は、プログラムがあるデータ型を別のデータ型として誤って解釈した場合に、安全でないメモリ操作を引き起こし、攻撃者が被害者のシステム上で任意のコードを実行することを可能にします。

この脆弱性は、V8 TurboFanコンパイラがストアストア・エリミネーション最適化を実行する際に、動的インデックス・ローディングを誤って処理することに起因しており、これによりエイリアス関係の分類が誤って行われ、重要なストア操作が誤って排除され、その結果、メモリ・アクセスがアウトオブバウンズになります。攻撃者は、特別に細工された HTML ページを構築してユーザーアクセスを誘導し、悪意のある JavaScript コードの実行をトリガーし、脆弱性を悪用してリモート・コードの実行とサンドボックスからの脱出を達成し、最終的に被害者のデバイスを完全に制御することができます。

Apache Struts のコード実行の脆弱性 (CVE-2023-50164) により、攻撃者はファイル アップロード パラメータの実行パス トラバーサルを制御でき、場合によっては悪意のあるファイルをアップロードして任意のコードを実行する可能性があります。

Apache OFBiz は、エンタープライズ プロセス オートメーション用のオープンソース製品です。これには、ERP、CRM、電子商取引、サプライ チェーン管理、製造リソース プランニングのためのフレームワーク コンポーネントとビジネス アプリケーションが含まれています。 Apache OFBiz バージョン 18.12.10 より前のバージョンには、リモートでコードが実行される脆弱性があります。 xml-RPC は維持されなくなったため、認証された攻撃者は xml-RPC を使用してリモート コード実行エクスプロイトを実行し、サーバーを制御する可能性があります。

最近、Google は HTTP/2 プロトコルの脆弱性 CVE-2023-44487 を発表しました。
攻撃者はこの脆弱性を利用して、低コストで非常に大規模な攻撃 (http2-rapid-reset-ddos-攻撃) を開始する可能性があります。攻撃者は 8 月からこの方法を使用して Google Cloud Platform の顧客に対して攻撃を開始しており、ある攻撃では、攻撃者は 1 秒間に最大 3 億 9,800 万のリクエストを発行しましたが、これは 1 秒あたりのリクエスト数としては過去最高となっています。

説明: cURL は、URL 構文を使用してデータを送信し、SSL、TLS、HTTP、FTP、SMTP などのさまざまなネットワーク プロトコルをサポートする、広く使用されている多機能のオープン ソース コマンド ライン ツールです。リブカールとは…