米政府、悪用済みの脆弱性7件について注意喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、積極的な悪用が確認されているとして現地時間5月12日に7件の脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加した。2023年に判明した脆弱性のほか、古いものでは2010年の脆弱性も含まれる。

同リストに追加された脆弱性は、米行政機関において一定期間内に対応する義務が課されている。一方、脆弱性そのものは広く悪用されるおそれがあり、CISAでは対象機関に限らず、すべての組織に対して注意を呼びかけている。

2023年に明らかとなった脆弱性は、CommScope製のWi-Fi製品「Ruckus Wireless」向けに提供されている「Ruckus Wireless Admin」において判明した「CVE-2023-25717」の1件のみ。

ログイン画面においてリモートよりコードを実行されるおそれがある脆弱性で、2月にセキュリティアドバイザリがリリースされている。報告者より概念実証（PoC）も公開されている。

他6件に関しては、2021年以前に明らかとなった脆弱性。Java SEに判明した「CVE-2016-3427」や、同脆弱性の修正とも関連するApache Tomcatの「CVE-2016-8735」を追加した。

（Security NEXT - 2023/05/15 ）ツイート