Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

インフラアクセス管理ツール「Teleport」に複数の脆弱性

サーバやクラウドアプリケーションに対する一元的なアクセス認証や監査機能を提供する「Teleport」に複数の脆弱性が明らかとなった。「クリティカル(Critical)」とされる脆弱性も含まれる。

低いアクセス権限を持つ利用者によって、プロキシやエージェント経由で任意のホストに対して「サーバサイドリクエストフォージェリ(SSRF)」を行うことができる脆弱性が判明した。CVE番号は不明でGitHubでは識別子「GHSA-hw4x-mcx5-9q36」が割り当てられている。

また「同14」で導入されたアクセスリストの機能において権限昇格が可能となる脆弱性「GHSA-76cc-p55w-63g3」が明らかとなった。

これら2件の脆弱性については、重要度が4段階中もっとも高い「クリティカル(Critical)」とレーティングされている。

さらにクラスター内のノードにアクセスできる場合、「SFTP」による接続が可能となる「GHSA-c9v7-wmwj-vf6x」や、「macOS」のエージェントにおいてユーザーが指定した環境変数によって予期しないコードを実行される「GHSA-vfxf-76hv-v4w4」など、重要度が「高(High)」とされる脆弱性2件についても明らかとなった。

「同14.2.4」「同13.4.13」「同12.4.31」にて脆弱性を修正。これらを反映した「同14.3.0」「同13.4.14」「同12.4.32」が提供されている。

(Security NEXT - 2024/01/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

ランサムウェア「ALPHV」、医療分野中心に被害拡大
米司法省、ランサム「ALPHV」関連の複数サイトを押収 - 復号ツールも
「Microsoft Streaming Service」の脆弱性に対する攻撃に注意
GMO、Flatt Securityを傘下に - 株式66.6%を取得
個人情報含む書類を複数の関係機関へ誤送付 - 茨城県
「Trend Micro」の複数製品に脆弱性 - アップデートで修正
Progress Softwareの「OpenEdge」に認証バイパスの脆弱性
クラウド利用増加で標的型攻撃が進化 - 「初期アクセス」獲得阻止が重要に
1月のDDoS攻撃件数、前月比29%増 - IIJレポート
個情委、四谷大塚に行政指導 - 子どもを守るため特に注意必要