バックアップソフトなどの脆弱性悪用を確認 - 米政府が注意喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、5件の脆弱性について積極的な悪用が確認されているとし、「悪用が確認された脆弱性カタログ（KEV）」に追加して注意を呼びかけた。

バックアップソフトウェアである「Veritas Backup Exec」に関しては、2021年に明らかとなった脆弱性3件「CVE-2021-27876」「CVE-2021-27877」「CVE-2021-27878」を追加した。いずれも同製品のエージェントに明らかとなった脆弱性で、エクスプロイトコードも公開されている。

Veritasでは共通脆弱性評価システム「CVSSv3.1」において「CVE-2021-27878」のベーススコアを「8.8」、「CVE-2021-27877」を「8.2」、「CVE-2021-27876」を「8.1」と評価。いずれも重要度を「高（High）」とし、利用者へアップデートを呼びかけている。

一方、米国立標準技術研究所（NIST）による脆弱性データベース「NVD」では、認証に問題があり特権でコマンドを実行されるおそれがある「CVE-2021-27877」に関しては、CVSS値を「9.8」、重要度を「クリティカル（Critical）」とレーティングしている。

さらにWindowsの証明書ダイアログに起因し、権限の昇格が生じるおそれがある「CVE-2019-1388」や、「Arm Mali GPUカーネルドライバ」に関する情報漏洩の脆弱性「CVE-2023-26083」を追加した。

いずれもアップデートがリリースされており、CISAでは米行政機関に対して4月28日までに対応するよう求めた。同カタログに追加された脆弱性は広く悪用されるおそれもあり利用者は注意する必要がある。

（Security NEXT - 2023/04/10 ）ツイート

バックアップソフトなどの脆弱性悪用を確認 - 米政府が注意喚起

関連リンク

PR

関連記事