米政府、脆弱性5件の悪用に対して注意を喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、積極的な悪用が確認されているとして複数のApple製品や「VMware Tools」に明らかとなった脆弱性など、あわせて5件の脆弱性について注意を喚起した。

現地時間6月23日に「悪用が確認された脆弱性カタログ（KEV）」に5件の脆弱性を追加し、米国内の行政機関に対して対策を講じるよう要請。登録された脆弱性は広く悪用されるおそれがあるとし、注意を呼びかけている。

「VMware Tools」に関する脆弱性としては「CVE-2023-20867」を追加。同脆弱性に関しては、VMwareが現地時間6月13日にアドバイザリをリリースしている。

悪用には高い権限や複雑な操作を必要とし、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「3.9」、重要度は4段階中もっとも低い「低（Low）」にとどまる。アドバイザリにおいて悪用への言及は行われていない。

一方アドバイザリの公表を受けて、同脆弱性をVMwareに報告していたMandiantは、中国が関与する攻撃グループ「UNC3886」が「VMware ESXi」を標的に展開する攻撃で同脆弱性を悪用していたことを明らかにしている。

（Security NEXT - 2023/06/26 ）ツイート