米CISA、悪用済み脆弱性リストに10件追加 - 早急に対処を
米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)は、悪用が確認されているとして、現地時間8月25日に10件の脆弱性を「悪用が確認された脆弱性カタログ(KEV)」に追加した。
同リストは、米連邦政府や行政機関に対して脆弱性の対策を講じるよう義務付けたものだが、リストへ追加された脆弱性は広く悪用されている可能性があり、対象となるソフトウェアを利用しているあらゆる組織において注意すべき内容となっている。
リストに追加済みの脆弱性が未修正だった場合、単にアップデートするだけでは問題が解決せず、侵害を受けていないか確認し、追加の対策が必要となる場合もあるため注意が必要だ。
今回の追加内容を見ると、10件のうち半数は2022年に入ってから判明した脆弱性。「CVE-2022-24112」はAPIゲートウェイ「Apache APISIX」に存在。IPアドレスによるアクセス制限を回避し、デフォルトのAPIキーを使用しているとリモートよりコードを実行されるおそれがある。
また「Apache CouchDB」の「CVE-2022-24706」は、デフォルトのインストール環境において認証なしに管理者権限でアクセスが可能となる。
「CVE-2022-26352」は、6月に明らかとなった脆弱性。「dotCMS」のAPIにディレクトリトラバーサルの脆弱性が存在し、任意のファイルをアップロード可能で、リモートより実行されるおそれがある。
(Security NEXT - 2022/08/29 )
ツイート
PR
関連記事
ゼロデイ攻撃は8カ月以上前 - 「Active! mail」脆弱性の影響拡大に懸念
「Erlang/OTP」脆弱性、一部Cisco製品で影響が判明
「ActiveMQ NMS OpenWire Client」にRCE脆弱性 - 修正版が公開
「GitHub Enterprise Server」に複数脆弱性 - アップデートで修正
NVIDIA製GPUドライバに複数の脆弱性 - 権限昇格やDoSのおそれ
トレンドの法人向け複数製品に脆弱性 - アップデートで修正
「Erlang/OTP」に深刻なRCE脆弱性 - 概念実証コードも公開済み
「GitLab」に5件の脆弱性 - 最新パッチで修正
「SonicOS」にリモートよりDoS攻撃を受けるおそれ - 修正版を公開
NVIDIAのAI開発フレームワーク「NeMo」に3件の脆弱性