セキュリティ脅威情報

シスコシステムズ社内での包括的なセキュリティレビューにより、Cisco IOS XE ソフトウェアにおけるインジェクションに関する脆弱性が発見された。この脆弱性（CVE-2026-20272）は、入力に含まれる特別な要素の不適切な無害化（CWE-74）に起因する。CVSSスコアは9.8と極めて高く、認証を必要とせずネットワーク経由で攻撃が実行可能である。シスコ社はこの問題に対処するためのソフトウェア強化リリースを実施したとしており、内部調査で見つかった複数の脆弱性の一つとして追跡されている。ネットワークインフラの根幹に関わる製品の脆弱性であり、重大な懸念事項である。

Linux カーネルの RDMA/siw (Software iWARP) ドライバにおいて、境界外書き込み（Out-of-bounds Write）の深刻な脆弱性が修正された。 siw_proc_rresp() 関数における受信データの累積長チェックに不備があり、接続されたリモートの攻撃者が、当初の読み取り要求（RREAD）を超えるサイズのペイロードを含む応答セグメントを送信することで、バッファ範囲外への書き込みを誘発できる。このドライバは通常のルーティング可能な TCP 上で動作するため、攻撃者はローカル特権なしにネットワーク経由でこの問題を悪用可能であり、カーネルメモリを破壊されるリスクがある。

GPU DDKにおいて、スパースPMR（物理メモリ範囲）の物理オフセットを計算する際の整数オーバーフローの脆弱性が報告された。4GBを超えるアドレス計算が32ビットで切り捨てられることで、GPU MMU（メモリ管理ユニット）のマッピングに誤りが生じる。これにより、権限のないユーザーが本来アクセスできない物理メモリ領域へアクセスできるようになる。ネットワーク越しに認証なしで攻撃が可能であり、CVSS 9.8の極めて高い深刻度となっている。

Microchip Technology社が提供する時刻同期デバイス「TimeProvider 4100」のファームウェアにおいて、ハードコードされた認証情報が使用されている極めて深刻な脆弱性が判明した。本脆弱性は、製品内部に固定の認証情報が埋め込まれていることに起因する。遠隔の攻撃者がこの情報を悪用することで、認証を介さずに、悪意のあるソフトウェア更新をネットワーク経由で手動実行できる可能性がある。この問題はTimeProvider 4100のバージョン2.5.0未満に影響を及ぼす。重要インフラの根幹を支える時刻同期機能が侵害された場合、社会システム全体に甚大な影響が出る恐れがある。

株式会社両毛システムズは、社内システムに対して不正アクセスが発生したことを確認したと公表しました。現在、原因究明や被害範囲の調査、システムの復旧対応を進めており、情報の流出有無については確認中としています。