Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

狙われる「Telerik UI for ASP.NET AJAX」の既知脆弱性

「ASP.NET」環境に「AJAX」のユーザーインタフェースを追加できるツールセット「Telerik UI for ASP.NET AJAX」の脆弱性「CVE-2017-11357」に対する攻撃が発生しているとして、米政府が注意喚起を行った。

同脆弱性は、同ツールセットに含まれるコンポーネント「RadAsyncUpload」に存在。限られた場所となるが任意のファイルのアップロードが可能となり、リモートよりコードを実行されるおそれがある。

同脆弱性に対する悪用を確認したことから、米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)では、同脆弱性を「悪用が確認された脆弱性カタログ(KEV)」に追加、対策を呼びかけた。

同脆弱性は、米国立標準技術研究所(NIST)の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアが「9.8」、重要度が「クリティカル(Critical)」と評価されている。

同ツールに関しては、今回注意喚起が行われた「CVE-2017-11357」に限らず、「CVE-2019-18935」についても悪用が確認されており、最新版へのアップデートが呼びかけられてきた。

(Security NEXT - 2023/01/27 ) このエントリーをはてなブックマークに追加

PR

関連記事

サイバー攻撃を確認、詳細を調査 - ゴルフダイジェスト・オンライン
「Apache Tomcat」に脆弱性、2月の更新で修正済み - 「同8.5」系統は3月末にEOL
Palo Altoの「PAN-OS」や「GlobalProtect App」に脆弱性
バックアップ製品「Arcserve UDP」に脆弱性 - 影響大きくPoCも公開
ファイル転送製品「FileCatalyst」に深刻な脆弱性 - 2023年8月の更新で修正
SonicWallの「SonicOS」やメールセキュリティ製品に脆弱性
ビデオ会議サービス「Zoom Rooms」に複数の脆弱性
「WordPress」向けファイル管理プラグインにパストラバーサルの脆弱性
顧客1671人に送信したアンケートメールで誤送信 - 近鉄
FAX送信先の確認に使用した医療機関リストを誤送信 - 大阪府