Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Zohoの「ManageEngine ADSelfService Plus」に脆弱性 - すでに悪用も

Zohoが提供する「ManageEngine ADSelfService Plus」において深刻な脆弱性が明らかとなった。脆弱性の悪用が確認されており、同社や米当局が注意を呼びかけている。

同製品は、「Active Directory」においてアカウントロックやパスワードのセルフリセット、シングルサインオンなどの機能を提供するソフトウェア。

「REST API」の処理において、細工したリクエストにより認証をバイパスされ、リモートよりコードを実行されるおそれがある脆弱性「CVE-2021-40539」が明らかとなった。

同社は脆弱性の重要度を「クリティカル(Critical)」と評価しており、すでに悪用されていることを把握しているという。

同社は、脆弱性を修正した「同ビルド6114」をリリースしており、利用者にサービスパックを用いてアップデートするよう呼びかけている。また脆弱性の判明を受け、米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)などからも注意喚起が行われている。

(Security NEXT - 2021/09/09 ) このエントリーをはてなブックマークに追加

PR

関連記事

エレコム製の複数無線「LAN」ルータに3件の脆弱性
GitLab、アップデートで4件の脆弱性を修正
「GitLab」に月例セキュリティリリース - 深刻な脆弱性を解消
「GitHub Enterprise Server」に10件の脆弱性 - アップデートで修正
「ClamAV」にアップデート - 脆弱性2件を解消
Palo Altoの「PAN-OS」に5件の脆弱性 - アップデートにて修正
「Ghostscript」旧版に「クリティカル」とされる脆弱性
「Node.js」にセキュリティアップデート - 複数脆弱性を修正
IvantiのVPN製品脆弱性、限定的な攻撃から多様な攻撃へと発展
米当局、「Cisco ASA」など悪用が確認された脆弱性4件について注意喚起