#20260404 緊急！Axiosへのサプライチェーン攻撃と深刻なRCE

■ 今日のハイライト 本日はオープンソース界隈を揺るがす深刻な脆弱性とインシデントのニュースをお届けします。特に影響が広範囲に及ぶ可能性のある事案をピックアップしました。 ▼ Axios関連パッケージにおけるサプライチェーン攻撃 ・影響を受けるツール: @lightdash/cli、@usebruno/cli など ・概要: 著名なHTTPクライアントライブラリ「axios」の特定バージョン（1.14.1 および 0.30.4）が侵害され、悪意のある推移的依存関係「plain-crypto-js」が混入しました。これにより、macOS、Windows、Linux上で動作するリモートアクセストロイの木馬（RAT）が展開される恐れがあります。該当期間中にインストール操作を行った場合は、直ちにシステムの調査が必要です。 ▼ Pythonフレームワーク「Kedro」におけるリモートコード実行 (CVE-2026-35171) ・概要: Pythonのデータパイプライン構築フレームワーク「Kedro」にて、極めて深刻なリモートコード実行（RCE）の脆弱性が発見されました。ログ設定の読み込み処理において、ユーザーが制御可能な環境変数を通じた入力検証が不足しており、悪意のある設定ファイルを読み込ませることで任意のPythonコードが実行可能になってしまいます。 ▼ Electronにおける多数の脆弱性修正 (代表: CVE-2026-34780 等) ・概要: デスクトップアプリ開発フレームワーク「Electron」で十数件の脆弱性が修正されました。中でも、WebCodecs APIを通じてVideoFrameオブジェクトを転送する際にコンテキスト分離がバイパスされてしまう脆弱性（CVE-2026-34780）など、アプリの根幹に関わるセキュリティリスクが報告されています。Electronアプリの開発者は迅速なアップデートが必要です。 ▼ Ruby向けライブラリ「Rack」の脆弱性 (CVE-2026-34835 等) ・概要: RubyのWebサーバーインターフェース「Rack」において、不正な文字を含むHostヘッダーを許容してしまい、アプリケーション側のアクセス制御をすり抜ける可能性のある脆弱性などが多数報告されました。 最新のパッチ情報を確認し、システムの安全を確保しましょう。 #セキュリティ #エンジニア #ITニュース #脆弱性 #プログラミング Data sources: GitHub Advisory Database (CC-BY 4.0) --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793