Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

米政府、悪用が確認された脆弱性3件について注意喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)は現地時間4月24日、「悪用が確認された脆弱性カタログ(KEV)」を更新し、3件の脆弱性を追加した。1週間以内に対応するよう求めている。

具体的には、「CVE-2024-4040」「CVE-2024-20353」「CVE-2024-20358」をあらたに登録したもので、同国内の行政期間へ5月1日までに対策を講じるよう求めるとともに、広く注意を呼びかけた。

「CVE-2024-4040」は、ファイル転送サーバ「CrushFTP」において仮想ファイルシステムによる保護を回避し、リモートより認証なしにサンドボックス外のファイルへアクセスが可能となる脆弱性。

現地時間4月19日にアドバイザリがリリースされ、明らかとなった。脆弱性を悪用されると、機密情報を窃取されるだけでなく、リモートよりコードを実行されるおそれもある。

CVE番号を採番したDirectCyberでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル(Critical)」とレーティングした。脆弱性を修正した「同11.1.0」「同10.7.1」が提供されている。

(Security NEXT - 2024/04/25 ) このエントリーをはてなブックマークに追加

PR

関連記事

Fortraのファイル転送ソリューション「FileCatalyst」に脆弱性
医療ユニフォームメーカーの通販サイトに不正アクセス - 個人情報が流出
Atlassian、6月のセキュリティアドバイザリを公開
ファッション通販「ZOZOTOWN」のAndroidアプリに脆弱性
輸入楽譜専門店の通販サイトに不正アクセス - クレカ情報など流出
事業申込用のフォームで設定ミスが発生 - 川崎市社会福祉協議会
WP向けプラグイン「SiteGuard WP Plugin」に脆弱性 - アップデートを
サイバー攻撃で従業員などの個人情報が流出した可能性 - 森永製菓
学生が患者の個人情報含むカルテの写真をSNSに投稿 - 名古屋大病院
Trellixの不正侵入防止製品に複数脆弱性 - アップデートを