Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

米CISA、悪用済み脆弱性リストに10件追加 - 早急に対処を

米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)は、悪用が確認されているとして、現地時間8月25日に10件の脆弱性を「悪用が確認された脆弱性カタログ(KEV)」に追加した。

同リストは、米連邦政府や行政機関に対して脆弱性の対策を講じるよう義務付けたものだが、リストへ追加された脆弱性は広く悪用されている可能性があり、対象となるソフトウェアを利用しているあらゆる組織において注意すべき内容となっている。

リストに追加済みの脆弱性が未修正だった場合、単にアップデートするだけでは問題が解決せず、侵害を受けていないか確認し、追加の対策が必要となる場合もあるため注意が必要だ。

今回の追加内容を見ると、10件のうち半数は2022年に入ってから判明した脆弱性。「CVE-2022-24112」はAPIゲートウェイ「Apache APISIX」に存在。IPアドレスによるアクセス制限を回避し、デフォルトのAPIキーを使用しているとリモートよりコードを実行されるおそれがある。

また「Apache CouchDB」の「CVE-2022-24706」は、デフォルトのインストール環境において認証なしに管理者権限でアクセスが可能となる。

「CVE-2022-26352」は、6月に明らかとなった脆弱性。「dotCMS」のAPIにディレクトリトラバーサルの脆弱性が存在し、任意のファイルをアップロード可能で、リモートより実行されるおそれがある。

(Security NEXT - 2022/08/29 ) このエントリーをはてなブックマークに追加

PR

関連記事

PHPテンプレートエンジン「Twig」に脆弱性 - 「Drupal」にも影響
「Exchange Server」にゼロデイ攻撃 - アップデートは準備中、緩和策の実施を
「FFmpeg」に脆弱性、悪意あるmp4ファイルでコード実行のおそれ
OLAP対応データストアの「Apache Pinot」に脆弱性
機密情報管理の「HashiCorp Vault」に脆弱性 - アップデートを
「PHP 8.1.11/7.4.32」が公開に - 複数の脆弱性を解消
WAFルールセット「OWASP CRS」に深刻な脆弱性 - 「ModSecurity」とあわせて更新を
モジュール型WAF「ModSecurity」がアップデート - セキュリティ上の複数問題へ対処
Google、「Chrome 106」をリリース - セキュリティ関連で20件の修正
XMLパーサーのライブラリ「libexpat」に深刻な脆弱性