本日はNVDで200件のCVEが更新され、うちCriticalが13件、Highが73件でした。最も深刻なのはCMS「SPIP」の認証不要RCE（CVE-2024-8517、CVSS9.8、PoC公開済み）で、早急な確認を推奨します。Criticalの大半はLinuxカーネルのsmb/cifsクライアント周辺のuse-after-free修正で、特定の構成を使っていなければ影響は限定的です。
本日の概要
| 指標 | 数値 |
|---|---|
| 確認されたCVE（NVD） | 200件 |
| Critical (9.0+) | 13件 |
| High (7.0-8.9) | 73件 |
| Medium (4.0-6.9) | 112件 |
| Low (0.1-3.9) | 2件 |
| OSSパッケージ別アドバイザリ（OSV/GHSA） | 18件 |
| 影響エコシステム | npm, crates.io, PyPI, Go, Packagist |
Critical/High 脆弱性の詳細解説
CVE-2024-8517：CMS「SPIP」の認証不要コマンドインジェクション
- CVSS: 9.8（Critical）
- 対象: SPIP 4.3.2・4.2.16・4.1.18 より前のバージョン
- 概要: multipart形式のファイルアップロードリクエストを悪用し、認証なしでリモートからOSコマンドを実行できる不具合です。ベンダーのブログに加え、第三者による技術的な検証記事も複数公開されています。
- 対応: SPIP 4.3.2 / 4.2.16 / 4.1.18 以降へのアップデートを推奨します。
- 関連: CVE-2024-8517 / NVD
Linuxカーネル smb/cifsクライアントのuse-after-free（CVE-2024-53177 ほか）
- CVSS: 9.8〜9.4（Critical）
- 対象: 対象コミットを含まないバージョンのLinuxカーネル（smb/cifsクライアント）
- 概要: キャッシュ済みディレクトリのエラー処理（CVE-2024-53177）、署名キーの参照（CVE-2024-53179）、ネットワーク名前空間の参照カウント（CVE-2024-53095）、サーバーインターフェース解析（CVE-2024-26828）など、SMB/CIFS共有をマウントする構成で発生するuse-after-freeがまとめて修正されています。いずれもmainlineの修正コミットが公開済みです。
- 対応: SMB/CIFSクライアントを使用している環境では、ディストリビューションのカーネル更新を確認してください。使用していない環境では影響しません。
CVE-2006-4339：OpenSSLの古い署名検証不備が本日再評価
- CVSS: 9.1（Critical）
- 概要: 2006年に報告された、RSA指数3鍵でのPKCS#1パディング検証不備です。本日NVDでスコアが見直されましたが、現行のOpenSSLでは既に対策済みです。
- 対応: 最新版のOpenSSLを使用していれば対応不要です。古いシステムで非推奨の鍵設定を引き続き使っている場合のみ確認してください。
CVE-2024-7557：Red Hat OpenShift AIの認証回避・権限昇格
- CVSS: 8.8（High）
- 概要: OpenShift AIでモデルにデプロイされたServiceAccountトークンがUI上に露出し、同一namespace内の別モデルやAPIへの不正アクセスに利用できる不具合です。
- 対応: Red Hatのエラータに従ってアップデートしてください。
CVE-2024-11218：podman build / buildahのコンテナブレイクアウト
- CVSS: 8.6（High）
- 概要:
--jobs=2指定時のレースコンディションを悪用し、悪意のあるContainerfileのビルド中にホスト上のファイル・ディレクトリを列挙できる不具合です。SELinuxが有効でも緩和されません。 - 対応: Red Hatのエラータに従ってpodman/buildahを更新してください。
エコシステム別サマリー（OSV / GitHub Advisory Database）
- npm: モノレポビルドツールのプラグイン
@nx/maven/@nx/gradleに、nx.jsonのプラグイン設定経由のOSコマンドインジェクション（修正版22.7.9 / 23.1.2）。テンプレートエンジンliquidjsのreplace_firstフィルタに指数関数的メモリ増幅（修正版10.25.1）。Viteの開発サーバーでserver.fs.denyが回避される不具合が2件（--hostでネットワーク公開している場合のみ影響、修正版6.4.5など）。@justice8096/sagemath-mcp-serverや@rog0x/mcp-docker-toolsなど、修正版が未定のまま任意コード実行が報告されたパッケージも複数あり、導入状況の確認を推奨します。 - PyPI: JOSE/JWTライブラリ
joserfcで2件（JWEのrecipients配列によるCPU消耗DoSを修正版1.7.5、Compact形式のセグメント確保に関する不備を1.7.6で修正）。JWT処理に利用している場合はアップデートを推奨します。 - crates.io: パッケージマネージャ
uvのZIPペイロード偽装（修正版0.9.6）、RustCryptoblock_bufferのパニック（修正版0.12.1）、ブロックチェーン基盤nimiq-blockのクォーラムバイパス（Critical、修正版1.7.2）。 - Go: Gitサーバー
charmbracelet/soft-serveでプライベートリポジトリの情報漏えいが2件（修正版0.12.3）。 - Packagist: 会計ソフト
facturascripts/facturascriptsで反射型XSSとEXIF情報漏えいが各1件。
なお、GitHub Advisory Databaseには本日時点で2,208件のアドバイザリが含まれていますが、大半はLinuxカーネルのCVEをそのまま転記したもので、パッケージ固有の情報を持つのは上記18件です。
JVN日本語情報
本日のMyJVNデータはありません。
まとめ
本日はNVDで200件のCVEが更新され、Critical13件・High73件と件数自体は多めです。もっともCriticalの大半はLinuxカーネルのSMB/CIFSクライアント関連で、該当する構成を使っていなければ実害は限定的です。一方でCMS「SPIP」の認証不要RCEはPoCも出回っており、該当バージョンを使っている場合は優先的な確認を推奨します。npm・PyPI・crates.ioではビルドツールやJWTライブラリなど開発基盤に関わるパッケージの修正も目立つため、依存関係の更新も併せて確認してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。