🤖 AIニュース
1. 米連邦地裁、xAIのデータセンター大気汚染を巡るNAACP訴訟の審理継続を容認
米連邦地方裁判所の判事は、全米黒人地位向上協会（NAACP）がイーロン・マスク氏率いるxAIに対して提起した大気浄化法（Clean Air Act）違反に関する訴訟について、審理の継続を認める判断を下した。原告側はデータセンター稼働に伴う環境汚染を主張しており、今後のAIインフラ整備に対する環境規制適用の動向として注目を集めている。
2. Apple最高経営責任者、「AIのためのAI」の導入は避ける開発方針を強調
AppleのCEOは同社のAI領域における開発方針について言及し、AI技術の導入自体を目的とした機能開発は行わない姿勢を表明した。実用性とユーザー体験を第一とし、意味のある価値を提供できる形で慎重にAI技術を製品へ統合していく基本原則を再確認している。
🛡️ 脆弱性情報
1. Prefab UIの生成UIサンドボックスにおける制限不備による任意コード実行およびファイル改ざんの脆弱性
- 【概要】 Prefab UIの生成UIサンドボックスはDenoサブプロセス内でPyodideを実行するが、起動時にファイル読み書きやネットワークのパーミッション制限が付与されず、JavaScriptグローバルオブジェクト上にDeno APIが残存している。そのため、Pyodideのプロキシ経由でDeno APIを呼び出すことが可能であり、サーバーOSユーザー権限での任意ファイル読み書きや、.pthファイル配置による持続的なコード実行を許す恐れがある。
- 【影響範囲】 0.14.0 から 0.20.2
- 【推奨対策】 公表情報なし
2. Beta9におけるビルド分離不備によるコンテナ脱出およびAPIパストラバーサルの脆弱性
- 【概要】 Beta9において、テナントイメージ構築時にBUILDAH_ISOLATION=chrootが設定されネームスペースが適切に分離されないため、/proc/1/root経由でワーカーのファイルシステムやKubernetesサービストークンへアクセス可能な脆弱性が存在する（CVE-2026-120306）。さらに、ワーカーが提供するサンドボックスファイルAPIにおいて、filepath.Joinの処理不備を突いたパストラバーサルやシンボリックリンク解決の欠陥により、ワーカー上の任意ファイルの読み書きや実行が行われる恐れがある（CVE-2026-120307）。
- 【影響範囲】 公表情報なし
- 【推奨対策】 公表情報なし
3. Apache MINA 3.0における信頼できないデータのデシリアライゼーションによるリモートコード実行の脆弱性
- 【概要】 MINA 3.0コーデックモジュールのJavaNativeMessageDecoderにおいて、受信フレームのバイト列に対してクラスフィルタを適用せずにObjectInputStream.readObject()が呼び出される。これにより、信頼できない外部からの通信を処理している環境において、ガジェットチェーンを用いたリモートコード実行（RCE）につながる恐れがある。
- 【影響範囲】 3.0.0
- 【推奨対策】 MINA 3.0.0ブランチは非アクティブであり本件の修正版は提供されないため、サポートが継続している最新のApache MINA 2.2.Xブランチへ移行する。
4. D-Link DIR-505のTFTPアップロード処理におけるスタックバッファオーバーフローの脆弱性
- 【概要】 D-Link DIR-505のTFTPアップロードファイル名ハンドラ（/usr/bin/tftpd内のsave_upload_file/mp_upload_file関数）において、入力値の処理不備に起因するスタックベースのバッファオーバーフローが存在する。攻撃者によってリモートから不正なリクエストを送信されることで、任意のコード実行やサービス停止が引き起こされる恐れがある。本脆弱性の実証コードは既に公開されている。
- 【影響範囲】 1.10B02
- 【推奨対策】 公表情報なし
5. WAVLINKルーター製品におけるWeb管理インターフェースのOSコマンドインジェクションの脆弱性
- 【概要】 WAVLINK製ルーターの管理Webコンポーネントにおいて、入力パラメータの検証不備によるコマンドインジェクションの脆弱性が確認された。WL-WN579A3-Aの初期セットアップウィザード（/cgi-bin/adm.cgi）におけるwlan_ssidパラメータ（CVE-2026-120195）、およびWL-WN530BE1-Aの/protocol.cspにおけるgroup_name/IP-FROMパラメータ（CVE-2026-120198）を不正に操作することで、リモートから任意のOSコマンドが実行されるリスクがある。
- 【影響範囲】 WL-WN579A3-A 2026-03-10-94f93d4、WL-WN530BE1-A V251117
- 【推奨対策】 公表情報なし
6. WordPress向け予約プラグインBookItにおけるSQLインジェクションの脆弱性
- 【概要】 WordPress向けプラグインBookItにおいて、SQLコマンドで使用される特殊文字の無害化処理が不適切なため、SQLインジェクションの脆弱性が存在する。認証を持たない外部の攻撃者によってデータベース内の不正なデータ読み出しや改ざんが行われる危険性がある。
- 【影響範囲】 2.6.0.6 以下の全バージョン
- 【推奨対策】 公表情報なし
7. Apache Thrift Javaバインディングにおける無制限の再帰処理によるサービス拒否（DoS）の脆弱性
- 【概要】 Apache ThriftのJavaバインディングにおいて、受信データの解析処理中に制御されない再帰呼び出しが発生する脆弱性が存在する。細工された入力を処理させることでスタック領域が枯渇し、スタックオーバーフローによるアプリケーションのクラッシュやサービス拒否（DoS）が引き起こされる恐れがある。
- 【影響範囲】 0.24.0 未満
- 【推奨対策】 Apache Thrift 0.24.0 以降へアップグレードする。
8. WordPress File Uploadプラグインにおける蓄積型クロスサイトスクリプティング（Stored XSS）の脆弱性
- 【概要】 WordPress向けプラグイン「WordPress File Upload」において、Webページ生成時の入力処理における無害化が不十分なため、蓄積型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在する。攻撃者により悪意あるスクリプトが保存され、他のユーザーのブラウザ上で不正に実行される可能性がある。
- 【影響範囲】 5.2.1 以下の全バージョン
- 【推奨対策】 公表情報なし