2021年に悪用多かった脆弱性トップ15 - 首位は「Log4Shell」、VPNも引き続き標的に

複数の海外セキュリティ機関が、日常的に悪用されている脆弱性15件を取りまとめた。関係者に緊張が走った「Log4Shell」をはじめ、「ProxyShell」「ProxyLogon」などを挙げている。2020年以前の脆弱性も引き続き悪用が続いており注意が必要だ。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）や米連邦捜査局（FBI）をはじめ、イギリス国家サイバーセキュリティセンター（NCSC）、オーストラリアサイバーセキュリティセンター（ACSC）、カナダサイバーセキュリティセンター（CCCS）、ニュージーランドサイバーセキュリティセンター（NZ NCSC）が共同で取りまとめ、注意を呼びかけたもの。

最上位に挙げたのが、「Apache Log4j」に明らかとなり、別名「Log4Shell」として業界を震撼させた「CVE-2021-44228」。「Zoho ManageEngine AD SelfService Plus」に明らかとなった「CVE-2021-40539」が続いている。

さらに「Microsoft Exchange Server」に明らかとなった別名「ProxyShell」を持つ「CVE-2021-34523」「CVE-2021-34473」「CVE-2021-31207」、別名「ProxyLogon」の「CVE-2021-27065」「CVE-2021-26858」「CVE-2021-26857」「CVE-2021-26855」が入った。

また2020年以前に明らかとなった脆弱性も複数挙げており、VPN製品に関する脆弱性「CVE-2019-11510」「CVE-2018-13379」なども含まれる。

（Security NEXT - 2022/05/11 ） ツイート

PR

関連記事

「Tenable Identity Exposure」に脆弱性 - 2月の更新で修正済み
Acronisのデータバックアップ用インフラ製品に深刻な脆弱性 - すでに悪用も
組込システムの検証テストツール「NI VeriStand」に複数脆弱性
SonicWall、「Blast-RADIUS」の緩和策でアドバイザリ
「Spring Cloud Data Flow」に深刻な脆弱性 - アップデートが公開
「BIND 9」の脆弱性、関連機関がアップデートを強く推奨
「Telerik Report Server」に深刻な脆弱性 - 最新版へ更新を
「VMware ESXi」「vCenter Server」に脆弱性 - 修正パッチが公開
Oktaのウェブブラウザ向けプラグインにXSS脆弱性
「GitLab」にセキュリティアップデート - 脆弱性6件を修正