Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

F5製「BIG-IP」脆弱性、悪用容易 - 侵害有無の確認を

F5の「BIG-IP」に脆弱性「CVE-2022-1388」が判明し、悪用されていることを受け、あらためて米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)と米MS-ISACは注意を喚起した。アップデートの適用までに時間を要した場合は、侵害されていないか確認するよう求めている。

「CVE-2022-1388」は、「iControl REST」において認証のバイパスが可能となる脆弱性。「BIG-IP 16.x」および以前のバージョンが影響を受ける。共通脆弱性評価システム「CVSSv3」のベーススコアは「9.8」、重要度はもっとも高い「クリティカル(Critical)」とレーティングされている。

F5では、現地時間5月4日にアドバイザリを公表するとともに、パッチをリリース。その後、脆弱性の実証コードが公開された。脆弱性を探索する動きはもちろん、悪用する動きも観測されている

こうした状況を受け、CISAでは5月11日に米連邦政府や行政機関に対して拘束力を持ち、2週間以内の対応が必要となる「悪用が確認された脆弱性カタログ(KEV)」にも同脆弱性を追加した。

当初より注意喚起が行われてきたが、CISAとMS-ISACでは、あらためてアドバイザリを共同で公開。エクスプロイトの公開によって、技術力がない攻撃者であっても、脆弱性を容易に悪用できる状態にあるとして警鐘を鳴らした。

(Security NEXT - 2022/05/20 ) このエントリーをはてなブックマークに追加

PR

関連記事

HPE Crayスーパーコンピューターに深刻な脆弱性 - アップデートで修正
MS、「Microsoft Edge 103.0.1264.37」で独自修正した脆弱性を追加 - 評価の逆転現象も
国家関与の攻撃グループ、早期より「VMware Horizon」「UAG」の「Log4Shell」を標的に
Google、「Chrome 103」をリリース - 重要度「「クリティカル」の脆弱性に対処
独自の脆弱性修正含む「Microsoft Edge 103.0.1264.37」が公開
「OpenSSL」にスクリプトインジェクションの脆弱性 - アップデートが公開
攻撃者視点でネットワークをテストするサービス - ユービーセキュア
テキストエディタ「vim」に深刻な脆弱性 - パッチがリリース
SVG形式を変換するNode.jsパッケージに複数の脆弱性
Foxit、複数脆弱性を解消した「Foxit PhantomPDF 10.1.8」を公開