「JBoss RichFaces」に対する脆弱性攻撃に注意喚起 - 米当局

「JavaServer Faces（JSF）」にAjax機能を追加できるフレームワーク「JBoss RichFaces」において過去に明らかとなった脆弱性が積極的に悪用されているとして米当局が注意喚起を行った。同ソフトは2016年にサポートが終了しており、その後、脆弱性の悪用ツールなども公開されている。

脆弱性「CVE-2018-14667」が悪用されているとして、現地時間9月28日に米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）が同脆弱性を「悪用が確認された脆弱性カタログ（KEV）」へ追加したもの。

同リストに追加された脆弱性は、米行政機関において一定期間内に対応する義務が生じる。また広く悪用されるおそれがあるとして、注意が呼びかけられている。

「CVE-2018-14667」は、「同3.3.4」および以前のバージョンが影響を受ける「ELインジェクション」の脆弱性。悪用されるとリモートよりコードを実行されるおそれがある。

「RichFaces」については、2016年6月にサポートが終了。脆弱性などが判明した場合も、アップデートの提供はなく、利用者自身で修正するか、別のフレームワークへ切り替えるよう呼びかけられている。

2018年に明らかとなった「CVE-2018-14667」に関しては、早い段階からPoCが公開されており、2020年には同脆弱性をはじめ、「CVE-2013-2165」「CVE-2015-0279」「CVE-2018-12532」「CVE-2018-12533」などあわせて5件の脆弱性をターゲットにするエクスプロイトツール「Richsploit」なども公開されていた。

（Security NEXT - 2023/09/29 ）ツイート

「JBoss RichFaces」に対する脆弱性攻撃に注意喚起 - 米当局

関連リンク

PR

関連記事