米政府、「ManageEngine」の脆弱性に対する攻撃に注意喚起

Zohoが提供するIT資産管理製品ブランド「ManageEngine」の24製品に深刻な脆弱性が明らかとなった問題で、積極的な悪用が確認されているとして米政府が注意喚起を行った。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）が、「悪用が確認された脆弱性カタログ（KEV）」に「CVE-2022-47966」を追加したもの。

同脆弱性は、古い「Apache Santuario」に起因する脆弱性で、脆弱性の詳細や実証コードなども公表されている。

24製品に影響があり、Zohoでは2022年10月から11月にかけてアップデートをリリースしたが、脆弱性の修正について言及していなかった。

悪用されるとリモートよりコードを実行されるおそれがあり、2023年1月に入ってから悪用も観測されている。パッチリリース後にすみやかに更新していなかった場合は、単にアップデートだけでなく、侵害された形跡がないか確認することも求められる。

（Security NEXT - 2023/01/25 ）ツイート