Cloudflareのゼロトラストサービスでポリシーのバイパス可能となる脆弱性

Cloudflareが提供する「ゼロトラストサービス」において、クライアントよりポリシーのバイパスが可能となる脆弱性が明らかとなった。

クライアントソフト「WARP」のコマンドラインインタフェースよりサブコマンドを使用することで、ポリシーのバイパスが可能となる脆弱性「CVE-2022-3320」が判明したもの。

サービスへ接続されていない端末よりコマンドを実行すると、ゼロトラストサービスへ登録された端末の管理制限をバイパスすることができる。

Cloudflareでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「6.7」、重要度を「中（Medium）」としている。一方、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、CVSS基本値を「9.8」、重要度を「クリティカル（Critical）」とした。

9月にリリースされた「同2022.8.857.0（Windows）」「同2022.8.861.0（macOS）」「同2022.8.936（Linux）」にて修正済みだという。

（Security NEXT - 2022/11/15 ）ツイート