F5製「BIG-IP」脆弱性、悪用容易 - 侵害有無の確認を
F5の「BIG-IP」に脆弱性「CVE-2022-1388」が判明し、悪用されていることを受け、あらためて米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)と米MS-ISACは注意を喚起した。アップデートの適用までに時間を要した場合は、侵害されていないか確認するよう求めている。
「CVE-2022-1388」は、「iControl REST」において認証のバイパスが可能となる脆弱性。「BIG-IP 16.x」および以前のバージョンが影響を受ける。共通脆弱性評価システム「CVSSv3」のベーススコアは「9.8」、重要度はもっとも高い「クリティカル(Critical)」とレーティングされている。
F5では、現地時間5月4日にアドバイザリを公表するとともに、パッチをリリース。その後、脆弱性の実証コードが公開された。脆弱性を探索する動きはもちろん、悪用する動きも観測されている。
こうした状況を受け、CISAでは5月11日に米連邦政府や行政機関に対して拘束力を持ち、2週間以内の対応が必要となる「悪用が確認された脆弱性カタログ(KEV)」にも同脆弱性を追加した。
当初より注意喚起が行われてきたが、CISAとMS-ISACでは、あらためてアドバイザリを共同で公開。エクスプロイトの公開によって、技術力がない攻撃者であっても、脆弱性を容易に悪用できる状態にあるとして警鐘を鳴らした。
(Security NEXT - 2022/05/20 )
ツイート
PR
関連記事
WP向け人気プラグイン「Jetpack」に深刻な脆弱性 - 早急に更新を
「OpenSSL」にアップデート - 複数の脆弱性を解消
アクセス制御ツール「Pomerium」に脆弱性 - アップデートを
「Barracuda ESG」脆弱性、修正の7カ月前に悪用の痕跡
エンカレッジ製のUNIX/Linux向け証跡記録ソフトに脆弱性
Google、「Chrome 114」をリリース - 複数の脆弱性を修正
「iTunes for Windows」に複数の脆弱性 - アップデートで修正
Barracuda製メールセキュリティ製品に脆弱性 - すでに悪用も
「MS Edge」にアップデート - 「クリティカル」とされる脆弱性を解消
Samsung製スマホなどの既知脆弱性が攻撃の標的に - 米政府が注意喚起