米CISA、悪用済み脆弱性リストに10件追加 - 早急に対処を

これら3件の脆弱性はいずれも米国立標準技術研究所（NIST）の脆弱性データベース「NVD」における共通脆弱性評価システム「CVSSv3.1」のベーススコアが「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。

また「WebRTC」におけるヒープバッファオーバーフローの脆弱性「CVE-2022-2294」については、実装する複数製品で修正が実施されている。Googleでは7月初旬にリリースした「Chrome 103.0.5060.114」にて対応。Appleにおいても「iOS 15.6」「iPadOS 15.6」などで解消した。

一方、サーバレスの実行環境を提供する「Spring Cloud Function」に関しても、ローカルリソースへアクセスが可能となる脆弱性「CVE-2022-22963」が同リストに追加された。「CVSSv3.1」のベーススコアは「5.4」とやや低いものの、悪用されている。

のこる5件については2021年以前に明らかとなった脆弱性。「CVE-2021-31010」は、AppleのスマートデバイスやmacOSの「Core Telephony」においてサンドボックスをバイパスされるおそれがある脆弱性。2021年に公開されたアップデートにて修正された。

分析データの可視化ツール「Grafana」における認証の不備の脆弱性「CVE-2021-39226」のほか、PEARライブラリの「Archive_Tar」における脆弱性2件や、Delta Electronicsの「DOPSoft 2」に関する脆弱性「CVE-2021-38406」なども攻撃の対象となっている。

8月25日に「悪用が確認された脆弱性カタログ（KEV）」へ追加された脆弱性は以下のとおり。

CVE-2022-26352（dotCMS）
CVE-2022-24706（Apache CouchDB）
CVE-2022-24112（Apache APISIX）
CVE-2022-22963（VMware TanzuSpring Cloud）
CVE-2022-2294（WebRTC）
CVE-2021-39226（Grafana）
CVE-2021-38406（DOPSoft 2）
CVE-2021-31010（macOS、iOS、watchOS）
CVE-2020-36193（PEAR Archive_Tar）
CVE-2020-28949（PEAR Archive_Tar）

（Security NEXT - 2022/08/29 ）ツイート

米CISA、悪用済み脆弱性リストに10件追加 - 早急に対処を

関連リンク

PR

関連記事