「WebLogic」など既知脆弱性3件に対する攻撃に注意喚起 - 米政府

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、積極的な悪用が確認されているとして現地時間5月1日に3件の脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加した。

具体的には「CVE-2023-21839」「CVE-2021-45046」「CVE-2023-1389」を追加したもの。同リストは、米行政機関に対して法的な拘束力を持ち、一定期間内に対応する義務が課されている。リストに追加された脆弱性そのものは広く悪用されるおそれがあり、CISAでは、米行政機関に限らずすべての組織に対応を強く促している。

「CVE-2023-21839」は、「Oracle Fusion Middleware」に含まれる「Oracle WebLogic Server」に明らかとなった情報漏洩の脆弱性。認証なしにリモートより容易に悪用でき、情報漏洩が生じるおそれがある。2023年1月にOracleがリリースした定例パッチにて修正されている。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」。

またここに来て「Apache Log4j」に明らかとなった「CVE-2021-45046」が同リストへ追加された。同脆弱性は、別名「Log4Shell」として知られる「CVE-2021-44228」などとともに明らかとなった脆弱性。当初CVSS基本値は「3.7」、重要度は「中（Moderate）」との評価だったが、その後大きな影響を及ぼすおそれがあるとしてCVSS基本値が「9.0」、重要度が「クリティカル（Critical）」へと引き上げられた経緯がある。

さらにTP-Link製ルータ「Archer AX-21」に明らかとなったコマンドインジェクションの脆弱性「CVE-2023-1389」がリストに加わった。ウェブ管理インターフェイスにおいて認証なしにroot権限でコマンドを実行できる脆弱性で、脆弱性「CVE-2023-27359」と組み合わせることでWAN側からも攻撃が可能であることが判明している。

（Security NEXT - 2023/05/02 ）ツイート

「WebLogic」など既知脆弱性3件に対する攻撃に注意喚起 - 米政府

関連リンク

PR

関連記事