Zoho製ネットワーク監視ツールに脆弱性 - 外部APIに不正アクセスのおそれ
Zohoのネットワーク監視ツール「OpManager」に認証の回避など複数の脆弱性が明らかとなった。パッチの適用にくわえて、APIキーの再作成が呼びかけられている。
認証なしにユーザーのAPIキーを取得でき、外部APIにアクセスが可能となる脆弱性「CVE-2022-36923」が判明。また認証済みのユーザーによってリモートよりコードを実行したり、データベースの改ざんが可能となる脆弱性「CVE-2022-37024」が明らかとなった。
「OpManager」「同Plus」「同MSP」「Network Configuration Manager」「NetFlow Analyzer」「OpUtils」が影響を受ける。
同社は、脆弱性の重要度について「CVE-2022-36923」を「クリティカル(Critical)」、「CVE-2022-37024」を「高(High)」とレーティングした。
同社では共通脆弱性評価システム「CVSSv3」のベーススコアを示していないが、米国立標準技術研究所(NIST)の脆弱性データベース「NVD」において、「CVE-2022-36923」は「7.5」、「CVE-2022-37024」は「8.8」と評価されている。
同社では7月27日から同月30日にかけて、各製品に対して2度にわたりアップデートをリリースし、これら脆弱性を修正した。「CVE-2022-36923」に関しては、アップグレード後にすべてのユーザーのAPIキーを再生成するよう求めている。
(Security NEXT - 2022/08/25 )
ツイート
PR
関連記事
バックアップストレージ用ソフト「HPE StoreOnce」に複数脆弱性
「Roundcube」脆弱性、詳細やPoCが公開予定 - 早急に対応を
Auth0の複数SDKに脆弱性 - 細工Cookieでコード実行のおそれ
米CISA、「Chromium」脆弱性の悪用に注意喚起 - 派生ブラウザも警戒を
「MS Edge」にアップデート - ゼロデイ脆弱性を解消
監視ソフト「IBM Tivoli Monitoring」にRCE脆弱性 - 早急に更新を
「Cisco ISE」クラウド版に深刻な脆弱性 - ホットフィクスを公開
「VMware NSX」のUIやフィルタリング画面にXSS脆弱性
「MailEnable」に深刻なXSS脆弱性 - 実証コードも公開
Qualcomm製チップセットの脆弱性悪用に注意喚起 - 米当局