Rapid7の脆弱性管理製品に脆弱性 - 管理者ページにアクセスされるおそれ

Rapid7の脆弱性管理製品「Nexpose」に脆弱性が明らかとなった。脆弱性を修正したアップデートが提供されている。

同製品のセキュリティコンソールに、「強制ブラウジング」の脆弱性「CVE-2023-1699」が明らかとなったもの。URLを操作することで管理者ページにアクセスすることが可能だという。

同社は、脆弱性の悪用に一定の権限が必要とし、影響も小さいとして共通脆弱性評価システム「CVSSv3.1」のベーススコアを「4.3」、重要度を「中（Medium）」とレーティングした。

一方米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、CVSS基本値を「9.8」、重要度を「クリティカル（Critical）」と評価。悪用に権限を必要とせず、機密性や完全性、可用性にも大きな影響を与えるとしている。

Rapid7では、同脆弱性やバグなどに対処した「同6.6.186」を3月29日にリリース。アップデートを呼びかけている。

（Security NEXT - 2023/04/07 ）ツイート