Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

米CISA、悪用済み脆弱性リストに10件追加 - 早急に対処を

米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)は、悪用が確認されているとして、現地時間8月25日に10件の脆弱性を「悪用が確認された脆弱性カタログ(KEV)」に追加した。

同リストは、米連邦政府や行政機関に対して脆弱性の対策を講じるよう義務付けたものだが、リストへ追加された脆弱性は広く悪用されている可能性があり、対象となるソフトウェアを利用しているあらゆる組織において注意すべき内容となっている。

リストに追加済みの脆弱性が未修正だった場合、単にアップデートするだけでは問題が解決せず、侵害を受けていないか確認し、追加の対策が必要となる場合もあるため注意が必要だ。

今回の追加内容を見ると、10件のうち半数は2022年に入ってから判明した脆弱性。「CVE-2022-24112」はAPIゲートウェイ「Apache APISIX」に存在。IPアドレスによるアクセス制限を回避し、デフォルトのAPIキーを使用しているとリモートよりコードを実行されるおそれがある。

また「Apache CouchDB」の「CVE-2022-24706」は、デフォルトのインストール環境において認証なしに管理者権限でアクセスが可能となる。

「CVE-2022-26352」は、6月に明らかとなった脆弱性。「dotCMS」のAPIにディレクトリトラバーサルの脆弱性が存在し、任意のファイルをアップロード可能で、リモートより実行されるおそれがある。

(Security NEXT - 2022/08/29 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Rancher」にセキュリティアップデート - 複数脆弱性を修正
「MS Edge」にセキュリティアップデート - 独自含む脆弱性6件を修正
東芝テックや沖電気の複合機、脆弱性43件が明らかに
SonicWall製機器の「VPN」などにDoS脆弱性 - アップデートで修正
セキュリティアドバイザリのレーティングを引き上げ - Zoom
「Juniper Secure Analytics」のアップデートで200件以上の脆弱性を解消
Fortraのファイル転送ソリューション「FileCatalyst」に脆弱性
Atlassian、6月のセキュリティアドバイザリを公開
ファッション通販「ZOZOTOWN」のAndroidアプリに脆弱性
WP向けプラグイン「SiteGuard WP Plugin」に脆弱性 - アップデートを