狙われる「Telerik UI for ASP.NET AJAX」の既知脆弱性

「ASP.NET」環境に「AJAX」のユーザーインタフェースを追加できるツールセット「Telerik UI for ASP.NET AJAX」の脆弱性「CVE-2017-11357」に対する攻撃が発生しているとして、米政府が注意喚起を行った。

同脆弱性は、同ツールセットに含まれるコンポーネント「RadAsyncUpload」に存在。限られた場所となるが任意のファイルのアップロードが可能となり、リモートよりコードを実行されるおそれがある。

同脆弱性に対する悪用を確認したことから、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、同脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加、対策を呼びかけた。

同脆弱性は、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアが「9.8」、重要度が「クリティカル（Critical）」と評価されている。

同ツールに関しては、今回注意喚起が行われた「CVE-2017-11357」に限らず、「CVE-2019-18935」についても悪用が確認されており、最新版へのアップデートが呼びかけられてきた。

（Security NEXT - 2023/01/27 ）ツイート