Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

F5製「BIG-IP」脆弱性、悪用容易 - 侵害有無の確認を

F5の「BIG-IP」に脆弱性「CVE-2022-1388」が判明し、悪用されていることを受け、あらためて米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)と米MS-ISACは注意を喚起した。アップデートの適用までに時間を要した場合は、侵害されていないか確認するよう求めている。

「CVE-2022-1388」は、「iControl REST」において認証のバイパスが可能となる脆弱性。「BIG-IP 16.x」および以前のバージョンが影響を受ける。共通脆弱性評価システム「CVSSv3」のベーススコアは「9.8」、重要度はもっとも高い「クリティカル(Critical)」とレーティングされている。

F5では、現地時間5月4日にアドバイザリを公表するとともに、パッチをリリース。その後、脆弱性の実証コードが公開された。脆弱性を探索する動きはもちろん、悪用する動きも観測されている

こうした状況を受け、CISAでは5月11日に米連邦政府や行政機関に対して拘束力を持ち、2週間以内の対応が必要となる「悪用が確認された脆弱性カタログ(KEV)」にも同脆弱性を追加した。

当初より注意喚起が行われてきたが、CISAとMS-ISACでは、あらためてアドバイザリを共同で公開。エクスプロイトの公開によって、技術力がない攻撃者であっても、脆弱性を容易に悪用できる状態にあるとして警鐘を鳴らした。

(Security NEXT - 2022/05/20 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Citrix Bleed 2」への懸念広がる - 提供元は「悪用未確認」強調
メッセージ保護アプリ「TM SGNL」の複数脆弱性、悪用リストに追加
「NetScaler ADC」脆弱性、パッチ公開前から攻撃発生
「NetScaler ADC/Gateway」にゼロデイ脆弱性 - 早急に更新を
「Chrome」にゼロデイ脆弱性、アップデート公開 - 軽減策の実施も
特権コマンド実行ツール「sudo」に重要度「クリティカル」の脆弱性
「IBM WebSphere Application Server」にRCE脆弱性 - 暫定パッチ公開
「MS Edge」にアップデート - 固有の脆弱性などにも対処
Salesforceのローコード開発ツールに脆弱性 - 設定リスクの指摘も
構成管理ツール「Salt」に複数脆弱性 - 「クリティカル」も