米CISA、悪用済み脆弱性リストに10件追加 - 早急に対処を

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、悪用が確認されているとして、現地時間8月25日に10件の脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加した。

同リストは、米連邦政府や行政機関に対して脆弱性の対策を講じるよう義務付けたものだが、リストへ追加された脆弱性は広く悪用されている可能性があり、対象となるソフトウェアを利用しているあらゆる組織において注意すべき内容となっている。

リストに追加済みの脆弱性が未修正だった場合、単にアップデートするだけでは問題が解決せず、侵害を受けていないか確認し、追加の対策が必要となる場合もあるため注意が必要だ。

今回の追加内容を見ると、10件のうち半数は2022年に入ってから判明した脆弱性。「CVE-2022-24112」はAPIゲートウェイ「Apache APISIX」に存在。IPアドレスによるアクセス制限を回避し、デフォルトのAPIキーを使用しているとリモートよりコードを実行されるおそれがある。

また「Apache CouchDB」の「CVE-2022-24706」は、デフォルトのインストール環境において認証なしに管理者権限でアクセスが可能となる。

「CVE-2022-26352」は、6月に明らかとなった脆弱性。「dotCMS」のAPIにディレクトリトラバーサルの脆弱性が存在し、任意のファイルをアップロード可能で、リモートより実行されるおそれがある。

（Security NEXT - 2022/08/29 ）ツイート