Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「ManageEngine」の脆弱性、悪用が発生 - 侵害の有無についても確認を

Rapid7では、協定世界時1月17日に複数の組織において「CVE-2022-47966」に対する悪用を観測した。3件のIPアドレスより攻撃が行われていたという。

製品の利用者はアップデートが適用されているか確認し、アップデートが未実施の場合は、すでに悪用されていることから更新だけでなく、侵害された兆候がないか確認する必要があると指摘している。

また脆弱性に関する詳細についても入手可能な状態だ。バグバウンティプログラムを通じて同脆弱性を報告したViettel Cyber Securityのセキュリティ研究者は、1月19日に同脆弱性の詳細を明らかにした。

同氏は情報提供後、数日後には多くの製品にアップデートが提供され、脆弱性が修正された点についてZohoの対応を評価する一方、CVEの割り当て、アドバイザリの提供まで2カ月以上を要したプロセスについては受け入れがたいと批判している。

また先に同脆弱性の再現に成功し、容易に悪用が可能であるとして注意喚起を行っていたHorizon3.aiは、現地時間2023年1月19日に脆弱性の詳細や概念実証を公開した。

これまでも「ManageEngine」の関連製品に明らかとなった脆弱性は、攻撃者によって積極的に悪用されている。2019年以降に判明した複数の脆弱性が実際に悪用されており、米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)の「悪用が確認された脆弱性カタログ(KEV)」には、2022年9月までに7件が追加されている。

(Security NEXT - 2023/01/20 ) このエントリーをはてなブックマークに追加

PR

関連記事

ランサムウェア「ESXiArgs」対応でCISAとFBIが共同ガイダンス
米政府、ランサムウェア「ESXiArgs」の復旧ツール - 十分理解して使用を
クレカ会社装うフィッシングサイトの割合が激減 - 5%ほどに
受験生の個人情報を試験場で紛失した可能性 - 日大
PDF生成ライブラリ「dompdf」に深刻な脆弱性 - 2度にわたり更新
フィッシングURLが大幅減 - 10カ月ぶりに1万件下回る
厚労省、医療機関向けにセキュリティ対策のオンラインセミナー
「OpenSSL」にセキュリティアップデート - 脆弱性9件を解消
ランサムウェア「Cl0p」のLinux亜種が見つかる - 復号ツールが公開
患者情報含むUSBメモリが所在不明 - 岩手医科大病院