本日はNVDで200件のCVE（重複除去後）を確認しました。うちCriticalが9件、Highが74件です。最も深刻なのはファイル同期ツール「rsync」のデーモン（rsyncd）に存在するヒープバッファオーバーフロー（CVE-2024-12084、CVSS9.8）で、あわせてLinuxカーネルの既知脆弱性クラスタ（Critical 8件）も本日まとめてCVE番号付きで公表されています。GHSAではPython証明書バンドルcertifi・パッケージマネージャuvの信頼ルート証明書問題や、画像処理ライブラリPillowのヒープバッファオーバーフローもCritical評価で確認されました。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE（NVD、重複除去後） | 200件 |
| Critical (9.0+) | 9件 |
| High (7.0-8.9) | 74件 |
| Medium (4.0-6.9) | 113件 |
| Low (0超-4.0未満) | 3件 |
| CVSS未評価 | 1件 |
| GHSA Advisory | 3,332件（詳細情報を持つもの82件） |
| OSV（監視対象16パッケージ） | 6件（vite / launch-editor） |
| JVN（日本語） | 0件 |
※ NVDの取得データに同一CVEの重複エントリが含まれていたため、ユニークなCVE単位で集計しています。GHSAの3,332件中3,250件はLinuxカーネルCVEの一括登録によるsummary未記載のスタブで、実質的な詳細情報（summary/影響パッケージ）を持つアドバイザリは82件です。
Critical / High 脆弱性の詳細解説
CVE-2024-12084: rsyncデーモンのヒープバッファオーバーフロー
- CVSSスコア: 9.8（Critical）
- 影響ソフトウェア: rsync（ファイル同期ツール）のrsyncdデーモン
- 概要: 攻撃者が制御可能なチェックサム長（s2length）の処理に不備があり、
MAX_DIGEST_LENが固定長のSUM_LENGTH（16バイト）を超える場合にsum2バッファへ境界外書き込みが発生します。 - 対応: ディストリビューション提供の修正済みrsyncパッケージへ更新してください。rsyncdをネットワークに公開している場合は優先的な確認を推奨します。
- 参考: NVD
Linuxカーネルの既知脆弱性クラスタ（CVSS 9.4〜9.8、Critical 8件）
stableツリー向けに過去に修正済みの脆弱性へCVE番号が付与され、本日まとめて公開されました。代表例はCVE-2024-50043（nfsdのFREE_STATEID処理における参照カウント不整合によるUse-After-Free）、CVE-2025-21927（nvme-tcpのR2T PDUヘッダ長未検証によるメモリ破壊）、CVE-2025-37750（smbクライアントのマルチチャネル復号処理でのUAF）、CVE-2025-39933（smbクライアントrecv_doneのデータ長未検証）です。いずれも上流では修正済みのため、カーネルのセキュリティアップデートを適用済みであれば影響を受けません。
GHSA-6q48-6c7w-9gw2 / GHSA-hq85-5cpj-mr62: certifi・uvのルート証明書信頼問題
- 深刻度: Critical
- 影響ソフトウェア:
certifi（Python証明書バンドル）、uv（Pythonパッケージマネージャ） - 概要: 侵害された中間CA鍵を持つemSignルート証明書が同梱されており、TLS通信の検証が意図せず迂回される可能性があります。certifiはrequests等多数のPythonライブラリが利用しているため影響範囲が広いです。
- 対応: certifiを2026.10.19以降、uvを0.13.4以降へ更新してください。
- 参考: GHSA (certifi) / GHSA (uv)
GHSA-8g5g-8vmr-9782: PillowのJPEGデコーダにおけるヒープバッファオーバーフロー（CVE-2026-112403）
- 深刻度: Critical
- 影響ソフトウェア:
Pillow（Python画像処理ライブラリ） - 概要: JPEGデコード処理（ImagingJpegDecode）に境界チェックの不備があり、細工された画像ファイルの処理時にヒープバッファオーバーフローが発生します。
- 対応: Pillow 13.0.0以降へ更新してください。
- 参考: GHSA
CVE-2023-43661: Cachetのテンプレート機能によるコード実行
- CVSSスコア: 8.8（High）
- 影響ソフトウェア: Cachet（オープンソースのステータスページ・インシデント通知ツール）
- 概要: テンプレート機能の実装に不備があり、コード実行につながる脆弱性です。
- 対応: ベンダーの修正バージョンへの更新を推奨します。
- 参考: GitHub Advisory
GHSA-587h-7wmj-h5pm / GHSA-698v-4r3x-3vcv: launch-editor（Vite関連）のWindows環境コマンド実行チェーン
- 深刻度: High
- 影響ソフトウェア:
launch-editor（Viteなどが開発時にエディタを起動するために利用するnpmパッケージ）、vite本体 - 概要: Windows環境で
fs.existsSync()によるファイル存在チェックをパス表記（\\..:line:column）で回避できる問題（GHSA-587h）と、%エスケープ漏れの問題（GHSA-698v）を組み合わせることで、OSコマンド実行につながる可能性があります。 - 対応: launch-editorを2.14.2以降、viteを8.3.3 / 8.2.4 / 8.1.6 / 7.3.7 / 6.4.4の各系統の修正版へ更新してください。
- 参考: GHSA
エコシステム別サマリー
OSVでは監視対象16パッケージ中、vite・launch-editor関連で6件の脆弱性を確認しました（上記のWindows環境コマンド実行チェーンのほか、クロスオリジンでのスクリプト実行やサーバー公開時のファイル内容漏えいなど、いずれも開発用サーバーの構成に依存する影響度の低いものです）。GHSAの詳細情報を持つ82件ではnpmが48件と最多で、PyPIが24件、Mavenが6件、Goが2件、Packagist・crates.ioが各1件でした。npm領域では@modelcontextprotocol/sdk（MCP TypeScript SDK）関連の複数件も確認されており、セッション外のタスクが別クライアントから操作可能だった問題（High）やHTTPリクエストによるメモリ枯渇DoS（High）が含まれます。該当パッケージを利用している場合は修正バージョンへの更新を検討してください。
JVN日本語情報
本日のJVN掲載は0件で、該当する脆弱性対策情報はありませんでした。
まとめ
本日はrsyncデーモンのCritical脆弱性とLinuxカーネルの既知脆弱性クラスタが目立ちました。いずれも対象ソフトウェアとバージョンを特定した上で、優先度に応じたパッチ適用を推奨します。GHSAで確認されたcertifi・uvの証明書信頼問題はPythonエコシステム全体に影響が及ぶ可能性があるため、該当するパッケージマネージャ・ライブラリを使っている場合は優先的な確認をおすすめします。Vite/launch-editorの脆弱性はフロントエンド開発者が影響を受けやすいため、開発環境のアップデートもあわせて検討してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。