米政府、悪用が確認された脆弱性3件について注意喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間4月24日、「悪用が確認された脆弱性カタログ（KEV）」を更新し、3件の脆弱性を追加した。1週間以内に対応するよう求めている。

具体的には、「CVE-2024-4040」「CVE-2024-20353」「CVE-2024-20358」をあらたに登録したもので、同国内の行政期間へ5月1日までに対策を講じるよう求めるとともに、広く注意を呼びかけた。

「CVE-2024-4040」は、ファイル転送サーバ「CrushFTP」において仮想ファイルシステムによる保護を回避し、リモートより認証なしにサンドボックス外のファイルへアクセスが可能となる脆弱性。

現地時間4月19日にアドバイザリがリリースされ、明らかとなった。脆弱性を悪用されると、機密情報を窃取されるだけでなく、リモートよりコードを実行されるおそれもある。

CVE番号を採番したDirectCyberでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」とレーティングした。脆弱性を修正した「同11.1.0」「同10.7.1」が提供されている。

（Security NEXT - 2024/04/25 ）ツイート