パスワードリセット製品など脆弱性3件の悪用に注意 - 米政府
米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)は、現地時間3月7日に「悪用が確認された脆弱性カタログ(KEV)」へ3件の脆弱性を追加した。
2022年に明らかとなった既知の脆弱性3件「CVE-2022-28810」「CVE-2022-33891」「CVE-2022-35914」について、積極的に悪用されていることが確認されているとして同リストへ追加し、注意を喚起したもの。
「CVE-2022-28810」は、Zohoが提供するパスワードのセルフリセットツール「Zoho ManageEngine ADSelfService Plus(ADSSP)」の脆弱性。認証されたエンドユーザーによってパスワードの変更やリセットの機能を用いてコマンドを実行されるおそれがある。パッチは2022年4月にリリース済み。
一方「CVE-2022-33891」は分散処理のフレームワーク「Apache Spark」のユーザーインタフェースに明らかとなったコマンドインジェクションの脆弱性。悪意あるユーザーによって任意のコマンドを実行されるおそれがある。「同3.3.0」「同3.2.2」「同3.1.3」にて修正されている。
さらにTeclibのIT資産管理パッケージ「GLPI(Gestionnaire Libre de Parc Informatique)」の「CVE-2022-35914」についても悪用が確認されている。サードパーティ製のライブラリに起因し、PHPコードの挿入が可能となるもので、2022年9月にリリースされたセキュリティリリース「同10.0.3」「同9.5.9」にて他脆弱性とともに修正されている。
(Security NEXT - 2023/03/08 )
ツイート
PR
関連記事
水道メーター取替業務の一部伝票が所在不明に - 門真市
メアド記載のメールを複数団体に送信、メール再利用で - 佐賀県
「Firefox 125.0.1」をリリース、脆弱性15件を修正
再委託先における2023年2月のランサム被害を公表 - 国交省
「PAN-OS」脆弱性の詳細や悪用コードが公開済み - 攻撃拡大のおそれ
募金サイトで他人クレカ番号による少額寄付 - 利用できるか確認か
「PAN-OS」脆弱性、攻撃条件を修正 - 一部緩和策が「効果なし」に
Oracle、「Java SE」に関する脆弱性13件を修正
Oracle、四半期定例パッチを公開 - のべ441件の脆弱性に対応
メール誤送信で横断幕掲示応募者のメアド流出 - 飯塚オートレース場