「WebLogic Server」の既知脆弱性について注意喚起 - 米当局

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、現地時間11月16日に3件の脆弱性「CVE-2023-1671」「CVE-2020-2551」「CVE-2023-36584」を「悪用が確認された脆弱性カタログ（KEV）」へ追加した。

同リストには実際に悪用されている脆弱性が追加され、米行政機関においては一定期間内に対応する義務が生じる。また脆弱性そのものは広く悪用される可能性があり、利用者はアップデートや侵害状況の確認など状況に応じて適切に対策を講じる必要がある。

「CVE-2023-1671」は、Sophosのウェブセキュリティ製品「Sophos Web Appliance（SWA）」に明らかとなったコマンドインジェクションの脆弱性。Sophosではバグバウンティプログラムを通じて報告を受けたとし、4月にセキュリティアドバイザリを公開していた。

同社は共通脆弱性評価システム「CVSSv3.1」におけるベーススコアを「9.8」、重要度を「クリティカル（Critical）」とレーティング。重要度が1段階低い「高（High）」とされる「CVE-2022-4934」など2件の脆弱性とともに「同4.3.10.4」にて修正している。

同アドバイザリでは、デフォルト設定であれば自動的にアップデートがインストールされるため、特に対応の必要はないと説明。あわせて同製品をファイアウォールにより、インターネットなど信頼できないアクセスから保護するよう求めていた。

同製品に関しては、現地時間7月20日にサポートの終了を迎えており、他製品への移行が呼びかけられている。

（Security NEXT - 2023/11/20 ）ツイート