Zoho製ネットワーク監視ツールに脆弱性 - 外部APIに不正アクセスのおそれ

Zohoのネットワーク監視ツール「OpManager」に認証の回避など複数の脆弱性が明らかとなった。パッチの適用にくわえて、APIキーの再作成が呼びかけられている。

認証なしにユーザーのAPIキーを取得でき、外部APIにアクセスが可能となる脆弱性「CVE-2022-36923」が判明。また認証済みのユーザーによってリモートよりコードを実行したり、データベースの改ざんが可能となる脆弱性「CVE-2022-37024」が明らかとなった。

「OpManager」「同Plus」「同MSP」「Network Configuration Manager」「NetFlow Analyzer」「OpUtils」が影響を受ける。

同社は、脆弱性の重要度について「CVE-2022-36923」を「クリティカル（Critical）」、「CVE-2022-37024」を「高（High）」とレーティングした。

同社では共通脆弱性評価システム「CVSSv3」のベーススコアを示していないが、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」において、「CVE-2022-36923」は「7.5」、「CVE-2022-37024」は「8.8」と評価されている。

同社では7月27日から同月30日にかけて、各製品に対して2度にわたりアップデートをリリースし、これら脆弱性を修正した。「CVE-2022-36923」に関しては、アップグレード後にすべてのユーザーのAPIキーを再生成するよう求めている。

（Security NEXT - 2022/08/25 ）ツイート