「Roundcube」や「Linuxカーネル」の既知脆弱性に対する攻撃が発生

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間6月26日、「悪用が確認された脆弱性カタログ（KEV）」へあらたに3件の脆弱性を追加し、注意を呼びかけた。

具体的には、Linuxカーネルにおいて解放後のメモリを使用し、権限昇格が生じるおそれがある脆弱性「CVE-2022-2586」を追加。

さらにオープンソースのウェブメールクライアント「Roundcube」において、メールへ添付した悪意ある「XMLファイル」により攻撃が可能となるクロスサイトスクリプティング（XSS）の脆弱性「CVE-2020-13965」を登録した。

また「GeoSolutions GeoServer」のコンポーネント「JAI-EXT」において判明したコードインジェクションの脆弱性「CVE-2022-24816」についても悪用が確認されているという。

同リストに追加された脆弱性は、悪用を防止するため米行政機関では一定期間内に対応することが求められる。また脆弱性そのものは広く悪用されるおそれがあり、対象製品の利用者は注意が必要となる。

（Security NEXT - 2024/06/27 ）ツイート