Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Zoho製ネットワーク監視ツールに脆弱性 - 外部APIに不正アクセスのおそれ

Zohoのネットワーク監視ツール「OpManager」に認証の回避など複数の脆弱性が明らかとなった。パッチの適用にくわえて、APIキーの再作成が呼びかけられている。

認証なしにユーザーのAPIキーを取得でき、外部APIにアクセスが可能となる脆弱性「CVE-2022-36923」が判明。また認証済みのユーザーによってリモートよりコードを実行したり、データベースの改ざんが可能となる脆弱性「CVE-2022-37024」が明らかとなった。

「OpManager」「同Plus」「同MSP」「Network Configuration Manager」「NetFlow Analyzer」「OpUtils」が影響を受ける。

同社は、脆弱性の重要度について「CVE-2022-36923」を「クリティカル(Critical)」、「CVE-2022-37024」を「高(High)」とレーティングした。

同社では共通脆弱性評価システム「CVSSv3」のベーススコアを示していないが、米国立標準技術研究所(NIST)の脆弱性データベース「NVD」において、「CVE-2022-36923」は「7.5」、「CVE-2022-37024」は「8.8」と評価されている。

同社では7月27日から同月30日にかけて、各製品に対して2度にわたりアップデートをリリースし、これら脆弱性を修正した。「CVE-2022-36923」に関しては、アップグレード後にすべてのユーザーのAPIキーを再生成するよう求めている。

(Security NEXT - 2022/08/25 ) このエントリーをはてなブックマークに追加

PR

関連記事

DNSサーバ「BIND」に6件の脆弱性 - アップデートがリリース
Windows端末の管理ツールにゼロデイ脆弱性 - 定例外アップデートが公開
Mozilla、「Firefox 105」をリリース - 複数脆弱性を修正
「Atlassian Bitbucket」の深刻な脆弱性 - PoC公開で悪用リスク高まる
Zoomオンプレミス版に脆弱性 - 会議を盗聴されるおそれ
Zohoの複数ネットワーク監視製品にRCE脆弱性
「EC-CUBE」や公式プラグインに脆弱性 - バグバウンティ契機に発見
米政府、行政機関にゼロデイ脆弱性2件への対応促す
Google、複数の脆弱性を修正した「Chrome 105.0.5195.125」など公開
日立のディスクアレイ用ソフトに深刻な脆弱性 - アップデートをリリース