F5製「BIG-IP」脆弱性、悪用容易 - 侵害有無の確認を

F5の「BIG-IP」に脆弱性「CVE-2022-1388」が判明し、悪用されていることを受け、あらためて米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）と米MS-ISACは注意を喚起した。アップデートの適用までに時間を要した場合は、侵害されていないか確認するよう求めている。

「CVE-2022-1388」は、「iControl REST」において認証のバイパスが可能となる脆弱性。「BIG-IP 16.x」および以前のバージョンが影響を受ける。共通脆弱性評価システム「CVSSv3」のベーススコアは「9.8」、重要度はもっとも高い「クリティカル（Critical）」とレーティングされている。

F5では、現地時間5月4日にアドバイザリを公表するとともに、パッチをリリース。その後、脆弱性の実証コードが公開された。脆弱性を探索する動きはもちろん、悪用する動きも観測されている。

こうした状況を受け、CISAでは5月11日に米連邦政府や行政機関に対して拘束力を持ち、2週間以内の対応が必要となる「悪用が確認された脆弱性カタログ（KEV）」にも同脆弱性を追加した。

当初より注意喚起が行われてきたが、CISAとMS-ISACでは、あらためてアドバイザリを共同で公開。エクスプロイトの公開によって、技術力がない攻撃者であっても、脆弱性を容易に悪用できる状態にあるとして警鐘を鳴らした。

（Security NEXT - 2022/05/20 ）ツイート

F5製「BIG-IP」脆弱性、悪用容易 - 侵害有無の確認を

関連リンク

PR

関連記事