Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Zoho製ネットワーク監視ツールに脆弱性 - 外部APIに不正アクセスのおそれ

Zohoのネットワーク監視ツール「OpManager」に認証の回避など複数の脆弱性が明らかとなった。パッチの適用にくわえて、APIキーの再作成が呼びかけられている。

認証なしにユーザーのAPIキーを取得でき、外部APIにアクセスが可能となる脆弱性「CVE-2022-36923」が判明。また認証済みのユーザーによってリモートよりコードを実行したり、データベースの改ざんが可能となる脆弱性「CVE-2022-37024」が明らかとなった。

「OpManager」「同Plus」「同MSP」「Network Configuration Manager」「NetFlow Analyzer」「OpUtils」が影響を受ける。

同社は、脆弱性の重要度について「CVE-2022-36923」を「クリティカル(Critical)」、「CVE-2022-37024」を「高(High)」とレーティングした。

同社では共通脆弱性評価システム「CVSSv3」のベーススコアを示していないが、米国立標準技術研究所(NIST)の脆弱性データベース「NVD」において、「CVE-2022-36923」は「7.5」、「CVE-2022-37024」は「8.8」と評価されている。

同社では7月27日から同月30日にかけて、各製品に対して2度にわたりアップデートをリリースし、これら脆弱性を修正した。「CVE-2022-36923」に関しては、アップグレード後にすべてのユーザーのAPIキーを再生成するよう求めている。

(Security NEXT - 2022/08/25 ) このエントリーをはてなブックマークに追加

PR

関連記事

Cisco、セキュリティアドバイザリ9件を公開 - 「Blast-RADIUS」の影響も
「Cisco SSM」に深刻な脆弱性 - 攻撃者によりパスワード変更可能
「Magento」「VMware vCenter」など脆弱性3件の悪用を確認 - 米当局が注意喚起
「Apache HTTPD」が今月3度目のセキュリティアップデート
SonicWallのVPN関連で複数の脆弱性 - アップデートが公開
「Apache HugeGraph」の深刻な脆弱性を狙うアクセスが増加
「Java SE」に複数の脆弱性 - アップデートで修正
Ivantiがアドバイザリを公開 - エンドポイント管理製品などに脆弱性
「Apache Airflow」に脆弱性 - アップデートが公開
Cisco製メールセキュリティ製品に添付ファイルで攻撃できる深刻な脆弱性