脆弱性6件に対する攻撃に注意を喚起 - 米当局

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、「Adobe ColdFusion」をはじめ、脆弱性6件に対する悪用が確認されているとして注意を呼びかけた。Apple製品、CMS、BIツールなども対象となっている。

現地時間1月8日に「悪用が確認された脆弱性カタログ（KEV）」へ6件の脆弱性を追加したもの。いずれも悪用が確認されており、広く注意を呼びかけたもので、米行政機関などでは一定期間内に対応する義務がある。

「Adobe ColdFusion」に関しては、2023年7月に緊急性が高い脆弱性として修正された脆弱性「CVE-2023-38203」「CVE-2023-29300」が同リストへ追加された。信頼できないデータをデシリアライズし、リモートよりコードを実行されるおそれがある。

また「macOS」や「iOS」などApple製品のフォント解析処理に明らかとなった脆弱性「CVE-2023-41990」を同カタログへ加えた。「watchOS」「tvOS」なども影響を受ける。

同脆弱性は、2023年1月から7月にかけてリリースした各製品のアップデートにて修正したとされているが、アドバイザリ公表当時は脆弱性について公表していなかった。

CVE番号が採番されたのは同年9月に入ってからで同月各製品のセキュリティアドバイザリに追記。iOSを標的とした攻撃が行われたことを明らかにした。同脆弱性の悪用についてはKasperskyが言及している。

（Security NEXT - 2024/01/09 ）ツイート