Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Zoho ManageEngine ServiceDesk Plus」に深刻な脆弱性 - APT攻撃の対象に

IT資産管理を支援するソフトウェア「Zoho ManageEngine ServiceDesk Plus」に深刻な脆弱性が存在し、10月後半より高度なサイバー攻撃の対象となっていることがわかった。米政府が注意喚起を行っている。

問題とされるのは、同製品の「REST API」処理において、認証なしにファイルのアップロードが可能となり、リモートよりコードを実行されるおそれがある脆弱性「CVE-2021-44077」。「同MSP」「SupportCenter Plus」なども影響を受ける。

米国立標準技術研究所(NIST)の脆弱性データベース「NVD」による共通脆弱性評価システム「CVSSv3.1」では、同脆弱性のベーススコアを「9.8」、重要度を「クリティカル(Critical)」とレーティングしている。

Zohoでは、現地時間9月16日に脆弱性を修正するアップデートを公開。アドバイザリにおいて影響を「クリティカル(Critical)」とし、利用者に注意を呼びかけていた。

ただし、リリース当時は脆弱性に共通識別子などは割り振られておらず、11月20日に「CVE-2021-44077」が採番されている。同社では11月22日にセキュリティアドバイザリをリリース。最新版へ更新し、同脆弱性に対処するようあらためて注意喚起を行った。

(Security NEXT - 2021/12/03 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Drupal」に複数脆弱性 - サードパーティ製ライブラリに起因
F5がセキュリティアップデート - 脆弱性25件を修正
「Adobe Acrobat/Reader」のアップデートが公開 - 26件の脆弱性を解消
Google、深刻な脆弱性に対処した「Chrome 97.0.4692.99」をリリース
Oracle、四半期定例パッチをリリース - 約500件の脆弱性に対応
PHP向けメールフォームプログラムに脆弱性 - 昨年の更新で修正済み
「Java SE」に18件の脆弱性 - 定例パッチで修正
キヤノン製レーザープリンタや複合機にXSS脆弱性
Zohoの端末管理製品に深刻な脆弱性 - バグ報奨金制度通じて報告
Check Pointのエンドポイントソフトに権限昇格のおそれ