「IBM Aspera Faspex」などの脆弱性について悪用を確認 - 米政府
米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)は、「IBM Aspera Faspex」に関する脆弱性など、複数の脆弱性が悪用されていることを確認しているとして注意喚起を行った。
「悪用が確認された脆弱性カタログ(KEV)」に「CVE-2022-47986」など脆弱性3件をあらたに追加したもの。同リストは米国内の行政機関に対して拘束力を持つが、脆弱性に対する攻撃は同国内外問わず広く展開されるおそれがあるため、対象製品の利用者は警戒すべき情報となっている。
「CVE-2022-47986」は、「IBM Aspera Faspex」において「YAML」のデシリアライゼーション処理に起因するコードインジェクションの脆弱性。APIより細工されたリクエストが送りつけられ、任意のコードを実行されるおそれがある。
同社は2022年12月8日にリリースした「同4.4.2 Patch level 2」にて問題となるAPIを削除。「CVE-2022-47986」を含む脆弱性10件を解消した。当初IBMでは、共通脆弱性評価システム「CVSSv3.1」におけるベーススコアを「8.1」と評価していたが、2月17日に「9.8」へと引き上げている。
また「Mitel MiVoice Connect」におけるコードインジェクションの脆弱性「CVE-2022-41223」やコマンドインジェクションの脆弱性「CVE-2022-40765」なども追加した。いずれも2022年10月12日にアドバイザリがリリースされており、「同19.3 SP1」にて修正されている。
(Security NEXT - 2023/02/22 )
ツイート
PR
関連記事
除草工事委託先への安全講習会案内メールで誤送信 - 茨城県
ITインフラ監視ツール「Pandora FMS」に脆弱性 - アップデートで修正
「Active! mail 6」に「XSS」や「CSRF」脆弱性 - 修正版へ更新を
若年層向けアジアCTF大会「ACSC 2025」が8月開催 - 世界大会は東京
ランサム被害でデータ暗号化、原因など調査 - 新興プラスチックス
ポケモングッズ通販サイトにPWリスト攻撃 - 一部で会員情報改ざんも
「PHP」に複数脆弱性 - セキュリティリリースが公開
ブラウザ「Chrome」の「Cookie暗号化保護」を破壊する「C4攻撃」
大音量で煽る「サポート詐欺」の被害、端末内部に学生情報 - 名大
メール送信した資料に物件オーナーの個人情報 - 長谷工ライブネット