セキュリティ脅威情報

SunEditor において、HTML サニタイズ処理を回避されることにより、クロスサイトスクリプティング（XSS）が可能となる脆弱性が報告された。特定の名前空間を持つ HTML 要素（例：<a:b>）に対する検証が不十分であり、onclick などのイベントハンドラ属性が除去されずに残る不備がある。攻撃者が細工した HTML コンテンツを注入し、ユーザーがその要素を操作すると、ブラウザ上で任意の JavaScript が実行される。CVSS スコアは最高値の 10.0 と判定されており、PoC（概念実証コード）も公開されているため、極めて危険である。

Decepticon が Web クロールなどで収集した外部データを LLM コンテキストに組み込む際、ChatML 等の特殊トークンを適切に無害化していない脆弱性が存在する。攻撃者が管理する Web ページに特定のトークン（<|im_start|>system 等）を配置しておくことで、モデルに対して「システムからの正当な命令」であると誤認させることが可能となる。これにより、エージェントのガードレールを完全に回避し、バックエンドの推論エンジンを介してサンドボックス環境内で任意のコマンドを実行される恐れがある。特に vLLM や Ollama 等の特殊トークンをフィルタリングしない推論エンジンを使用している場合に影響を受ける。

http4s-scala-xml が提供する XML デコーダーにおいて、XML 外部実体参照 (XXE) に関する脆弱性が存在する。このデコーダーは、適切なセキュリティ設定が行われていないデフォルトの SAXParserFactory を使用しており、JDK のデフォルト設定では DOCTYPE 宣言や外部エンティティの解決が有効になっている。その結果、信頼できない XML 入力をパースする際に、攻撃者によって細工されたリクエストを処理してしまう危険性がある。このライブラリを使用して XML ボディをデコードするすべてのサービスが影響を受ける。

DBHub の HTTP トランスポートモードにおいて、DNS リバインディング攻撃に対する防御が不十分な脆弱性が存在する。この問題により、悪意のある Web サイトを閲覧したユーザーのブラウザを経由して、ローカルや内部ネットワークで動作する DBHub サーバーへ不正にアクセスされる。サーバーはリクエストの Host ヘッダーと Origin ヘッダーの一致のみを確認しており、攻撃者が制御するホスト名を利用することで、認証なしで MCP ツールが呼び出され、SQL 実行などの致命的な操作が行われる可能性がある。

OnePlusおよびOPPO製端末の独自ソフトウェア（OxygenOS等）において、特別権限を持たないアプリからルート権限を奪取できる2件の脆弱性が発見されました。AtlasService経由で制限付きのroot権限を取得した後、olc2サービスを利用してシステムレベルの低水準権限に昇格させる手口です。

ワシントンホテル株式会社は、一部サーバーのランサムウェア感染に関する最終報を発表しました。外部接続機器を経由した不正アクセスによりサーバーが暗号化され、一部ホテルでクレジット決済障害が発生しました。現時点で情報流出を示す明確な痕跡やダークウェブ等での情報公開は確認されていませんが、管理業務サーバー上の従業員個人情報について対象者に個別通知を行っています。

株式会社ApplyNowは、提供する採用管理プラットフォーム『Interview Cloud』『ApplyNow』『ApplyNow Sign』が不正アクセスを受けたと発表しました。データ分析ツールの脆弱性を突かれ、データベース内のデータが閲覧された可能性があり、マイナンバーや口座情報を含む個人データが漏えいしたおそれがあります。

JCOMは、前日に発生したインターネット接続サービスの障害について、外部からの大量アクセスによりDNSサーバに高負荷が発生したことが原因だったと公表しました。最大で約408万世帯に影響が出ています。

株式会社ファイブフォックスは、サーバーがランサムウェアに感染した件に関する第二報を発表しました。調査の結果、顧客や従業員などの個人情報が流出した可能性があることが判明しています。

極東開発工業株式会社は、グループ会社の日本トレクス株式会社において不正アクセスによるシステム障害が発生したと発表しました。発注業務や部品受注システム、メール送受信が停止しており、現時点で個人情報や顧客データの外部流出は確認されていません。