「IBM Aspera Faspex」などの脆弱性について悪用を確認 - 米政府
米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)は、「IBM Aspera Faspex」に関する脆弱性など、複数の脆弱性が悪用されていることを確認しているとして注意喚起を行った。
「悪用が確認された脆弱性カタログ(KEV)」に「CVE-2022-47986」など脆弱性3件をあらたに追加したもの。同リストは米国内の行政機関に対して拘束力を持つが、脆弱性に対する攻撃は同国内外問わず広く展開されるおそれがあるため、対象製品の利用者は警戒すべき情報となっている。
「CVE-2022-47986」は、「IBM Aspera Faspex」において「YAML」のデシリアライゼーション処理に起因するコードインジェクションの脆弱性。APIより細工されたリクエストが送りつけられ、任意のコードを実行されるおそれがある。
同社は2022年12月8日にリリースした「同4.4.2 Patch level 2」にて問題となるAPIを削除。「CVE-2022-47986」を含む脆弱性10件を解消した。当初IBMでは、共通脆弱性評価システム「CVSSv3.1」におけるベーススコアを「8.1」と評価していたが、2月17日に「9.8」へと引き上げている。
また「Mitel MiVoice Connect」におけるコードインジェクションの脆弱性「CVE-2022-41223」やコマンドインジェクションの脆弱性「CVE-2022-40765」なども追加した。いずれも2022年10月12日にアドバイザリがリリースされており、「同19.3 SP1」にて修正されている。
(Security NEXT - 2023/02/22 )
ツイート
PR
関連記事
米政府、重要インフラ向けの「CPGs」をアップデート
ランサム被害が前年比約1.5倍 - バックアップ取得も復元に難あり
米政府、「AzureAD」や「MS365」環境向けのインシデント調査ツールを公開
「サイバー攻撃演習訓練実施マニュアル」を公開 - 日本シーサート協議会
「JavaScript」のランタイム環境「Deno」に脆弱性
支援学校で生徒の個人情報含む私物USBメモリ紛失 - 大阪府
富士通のネット接続サービス、8カ月以上にわたり侵害か
「Chrome」にセキュリティアップデート - 8件の修正を実施
IoT機器ファームウェアのOSS構成分析ツール - バイナリにも対応
委託先が帰宅途中にPC紛失、HDDは暗号化 - 広島県指定検査機関