Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Cisco製コラボレーションツールに重要度「Critical」の脆弱性

Cisco Systemsの「Cisco Expresswayシリーズ」および「Cisco TelePresence Video Communication Server(VCS)」に深刻な脆弱性が明らかとなった。アップデートが提供されている。

APIやウェブベースの管理インタフェースに2件の脆弱性「CVE-2022-20812」「CVE-2022-20813」が判明したもの。いずれも悪用は確認されていないという。

「CVE-2022-20812」は、クラスタデータベースのAPIにおいてコマンド引数の入力検証に不備があり、パストラバーサルによってファイルの上書きが可能となる脆弱性。

脆弱性の悪用には、アプリケーションにおける管理者の読み取りや書き込み権限が必要となるが、OSのroot権限でファイルの上書きが可能になるという。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.0」で、重要度は「クリティカル(Critical)」とレーティングされている。

またヌルバイトポイズニングの脆弱性「CVE-2022-20813」が明らかとなった。証明書の検証処理に不備があり、中間者攻撃により細工した証明書を使用してエンドポイントを偽装し、通信内容の盗聴や改ざんが行われるおそれがある。CVSS基本値は「7.4」、重要度は「高(High)」。

同社では、脆弱性を解消した「同14.0.7」をリリース。同バージョンへ更新するよう求めている。

(Security NEXT - 2022/07/07 ) このエントリーをはてなブックマークに追加

PR

関連記事

年金事務所を装う電話に警戒を - 偽マイナポータルに誘導
ログ解析ツール「Splunk Enterprise」に複数脆弱性
「Node.js」にまもなくセキュリティアップデート - 2件を修正予定
初期侵入から平均62分で横展開を開始 - わずか2分のケースも
案内メール誤送信で事業所担当者のメアド流出 - 協会けんぽ
個情委、「LINE」情報漏洩でLINEヤフーに勧告 - 「ヤフオク!」に関する指導も
「Chromium」の深刻な脆弱性、すでに悪用済み - 「MS Edge」も緊急更新
NTTドコモ、スミッシング攻撃の踏み台端末に注意喚起 - 7月上旬から
子会社従業員が有効期限間近のデジタルギフトを不正入手 - デジタルプラス
MS、「Microsoft Edge 103.0.1264.49」を公開 - ゼロデイ脆弱性に対処