Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「WebLogic」など既知脆弱性3件に対する攻撃に注意喚起 - 米政府

米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)は、積極的な悪用が確認されているとして現地時間5月1日に3件の脆弱性を「悪用が確認された脆弱性カタログ(KEV)」に追加した。

具体的には「CVE-2023-21839」「CVE-2021-45046」「CVE-2023-1389」を追加したもの。同リストは、米行政機関に対して法的な拘束力を持ち、一定期間内に対応する義務が課されている。リストに追加された脆弱性そのものは広く悪用されるおそれがあり、CISAでは、米行政機関に限らずすべての組織に対応を強く促している。

「CVE-2023-21839」は、「Oracle Fusion Middleware」に含まれる「Oracle WebLogic Server」に明らかとなった情報漏洩の脆弱性。認証なしにリモートより容易に悪用でき、情報漏洩が生じるおそれがある。2023年1月にOracleがリリースした定例パッチにて修正されている。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」。

またここに来て「Apache Log4j」に明らかとなった「CVE-2021-45046」が同リストへ追加された。同脆弱性は、別名「Log4Shell」として知られる「CVE-2021-44228」などとともに明らかとなった脆弱性。当初CVSS基本値は「3.7」、重要度は「中(Moderate)」との評価だったが、その後大きな影響を及ぼすおそれがあるとしてCVSS基本値が「9.0」、重要度が「クリティカル(Critical)」へと引き上げられた経緯がある

さらにTP-Link製ルータ「Archer AX-21」に明らかとなったコマンドインジェクションの脆弱性「CVE-2023-1389」がリストに加わった。ウェブ管理インターフェイスにおいて認証なしにroot権限でコマンドを実行できる脆弱性で、脆弱性「CVE-2023-27359」と組み合わせることでWAN側からも攻撃が可能であることが判明している。

(Security NEXT - 2023/05/02 ) このエントリーをはてなブックマークに追加

PR

関連記事

Palo Altoの「PAN-OS」に5件の脆弱性 - アップデートにて修正
「ClamAV」にアップデート - 脆弱性2件を解消
「Ghostscript」旧版に「クリティカル」とされる脆弱性
イベント案内メールを「CC」により誤送信 - 広島県の建設会社
「Node.js」にセキュリティアップデート - 複数脆弱性を修正
一部マイナンバーカードを紛失、フォルダごと誤廃棄か - 鹿児島市
戸籍謄本などパスポート発給申請書類を紛失 - パスポートセンター久留米支所
個人情報含む診療報酬の返還に関わる書類を紛失 - 新潟県
IvantiのVPN製品脆弱性、限定的な攻撃から多様な攻撃へと発展
ランサム被害で個人情報流出の可能性 - ダイヤモンド社