Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「WebLogic」など既知脆弱性3件に対する攻撃に注意喚起 - 米政府

米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)は、積極的な悪用が確認されているとして現地時間5月1日に3件の脆弱性を「悪用が確認された脆弱性カタログ(KEV)」に追加した。

具体的には「CVE-2023-21839」「CVE-2021-45046」「CVE-2023-1389」を追加したもの。同リストは、米行政機関に対して法的な拘束力を持ち、一定期間内に対応する義務が課されている。リストに追加された脆弱性そのものは広く悪用されるおそれがあり、CISAでは、米行政機関に限らずすべての組織に対応を強く促している。

「CVE-2023-21839」は、「Oracle Fusion Middleware」に含まれる「Oracle WebLogic Server」に明らかとなった情報漏洩の脆弱性。認証なしにリモートより容易に悪用でき、情報漏洩が生じるおそれがある。2023年1月にOracleがリリースした定例パッチにて修正されている。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」。

またここに来て「Apache Log4j」に明らかとなった「CVE-2021-45046」が同リストへ追加された。同脆弱性は、別名「Log4Shell」として知られる「CVE-2021-44228」などとともに明らかとなった脆弱性。当初CVSS基本値は「3.7」、重要度は「中(Moderate)」との評価だったが、その後大きな影響を及ぼすおそれがあるとしてCVSS基本値が「9.0」、重要度が「クリティカル(Critical)」へと引き上げられた経緯がある

さらにTP-Link製ルータ「Archer AX-21」に明らかとなったコマンドインジェクションの脆弱性「CVE-2023-1389」がリストに加わった。ウェブ管理インターフェイスにおいて認証なしにroot権限でコマンドを実行できる脆弱性で、脆弱性「CVE-2023-27359」と組み合わせることでWAN側からも攻撃が可能であることが判明している。

(Security NEXT - 2023/05/02 ) このエントリーをはてなブックマークに追加

PR

関連記事

個人情報書類を誤廃棄、庁内書庫への引継ぎ時に判明 - 大阪市
組織内の「SaaS」や「生成AI」リスクを可視化するソリューション
石光商事のランサム被害、SIM搭載PC経由でサーバを侵害
ゆうパックの郵便局控えなど約4万件を紛失 - 兵庫県の郵便局
システム管理用メールドメインがスパム踏み台に - ヤンマーG
シャープ通販サイトでクレカ情報など個人情報流出の可能性
NVIDIAのデータ処理ユニットに複数の脆弱性が判明
DDoS攻撃、前月から約3割減、最大攻撃規模も縮小 - IIJレポート
「WordPress」向け生成AI活用プラグインにRCE脆弱性
「PAN-OS」に含まれるOSS脆弱性を修正 - 重大な影響なし