米当局、「Twilio」や「IE」の脆弱性悪用に注意呼びかけ

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、現地時間7月23日に悪用が確認された2件の脆弱性について注意喚起を行った。

「悪用が確認された脆弱性カタログ（KEV）」へ2件の脆弱性「CVE-2024-39891」「CVE-2012-4792」をあらたに登録したもの。

広く悪用されるおそれがあり、米行政機関では、同リストへ登録された脆弱性へ指定された期間内に対処する必要がある。

「CVE-2024-39891」は、スマートデバイス向け多要素認証アプリ「Twilio Authy」に判明した情報漏洩の脆弱性。APIによって電話番号の登録状況を把握できる。6月に悪用が確認された。

取得された電話番号が、「ショートメッセージサービス（SMS）」などを利用したソーシャルエンジニアリング攻撃などに悪用されるおそれがある。

「Internet Explorer」において解放後のメモリを使用する「Use After Free」の脆弱性「CVE-2012-4792」を追加した。2013年の時点でゼロデイ攻撃が確認されており、マイクロソフトでは同年1月に定例外アップデートをリリースしている。

（Security NEXT - 2024/07/25 ）ツイート