7月は脆弱性14件を「悪用が確認された脆弱性カタログ」に追加 - 米当局

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、7月の1カ月間に「悪用が確認された脆弱性カタログ（KEV）」へ14件の脆弱性をあらたに追加した。

同庁では、「悪用が確認された脆弱性カタログ（KEV）」を公表し、悪用が確認された脆弱性について同国内の行政機関に対処を求めるとともに、広くソフトウェアの利用者に注意を呼びかけている。6月は前月比5件減となる9件だったが、7月は再び増加し、14件の脆弱性が登録された。

「VMware ESXi」に明らかとなった「CVE-2024-37085」については、2024年はじめより悪用されていたとの報告がある。また2013年にゼロデイ攻撃が確認され、同年1月に修正された「Internet Explorer」の脆弱性「CVE-2012-4792」なども追加された。

「IE」については、すでにサポートが終了しており、利用していないユーザーが大半と見られるが、無視できない存在であることも判明している。

同問題を「IE」のコアレンダリングエンジン「MSHTML」の脆弱性として修正した「CVE-2024-38112」だが、最新の「Windows 11」にも「IE」のコンポーネントが残存し、「IE」を使っていない状態でも影響を受けることが明らかとなっている。ゼロデイ攻撃に悪用されており、7月の月例セキュリティ更新で修正された。

8月に入ってからも「Microsoft COM」に関する脆弱性や、「Apache OFBiz」「Android」などに関する脆弱性も登録されており、あわせて注意したい。

2024年7月にKEVへ追加された脆弱性（日付は追加日）

CVE-2024-20399：Cisco NX-OS（2024/07/02）
CVE-2024-23692：Rejetto HTTP File Server（2024/07/09）
CVE-2024-38080：Microsoft Windows （2024/07/09）
CVE-2024-38112：Microsoft Windows（2024/07/09）
CVE-2024-36401：OSGeo GeoServer（2024/07/15）
CVE-2022-22948：VMware vCenter Server（2024/07/17）
CVE-2024-28995：SolarWinds Serv-U（2024/07/17）
CVE-2024-34102：Adobe Commerce、Magento Open Source（2024/07/17）
CVE-2024-39891：Twilio Authy（2024/07/23）
CVE-2012-4792：Microsoft Internet Explorer（2024/07/23）
CVE-2023-45249：Acronis Cyber Infrastructure (ACI)（2024/07/29）
CVE-2024-5217：ServiceNow Utah, Vancouver, and Washington DC Now（2024/07/29）
CVE-2024-4879：ServiceNow Utah, Vancouver, and Washington DC Now（2024/07/29）
CVE-2024-37085：VMware ESXi（2024/07/30）

2024年6月にKEVへ追加された脆弱性（日付は追加日）

CVE-2017-3506：Oracle WebLogic Server（2024/06/03）
CVE-2024-4577：PHP（2024/06/12）
CVE-2024-4610：Arm Mali GPU Kernel Driver（2024/06/12）
CVE-2024-4358：Progress Telerik Report Server（2024/06/13）
CVE-2024-26169：Microsoft Windows（2024/06/13）
CVE-2024-32896：Android Pixel（2024/06/13）
CVE-2020-13965：Roundcube Webmail（2024/06/26）
CVE-2022-2586：Linux Kernel（2024/06/26）
CVE-2022-24816：GeoSolutionsGroup JAI-EXT（2024/06/26）

（Security NEXT - 2024/08/08 ） ツイート

PR

関連記事

RSSフィードが改ざん、外部サイトのリンク混入 - リョーサン菱洋HD
ZohoのExchange監視ツールに深刻な脆弱性 - アップデートを
「Erlang/OTP」「RoundCube」の既知脆弱性が標的に - 米当局が注意喚起
情報セキュリティ教室の参加者一覧が閲覧可能に - NII
採用職員の健診関連情報含む名簿を誤送信 - 奈良県
クレカ不正利用、前四半期比2割増 - 200億円迫る勢い
QNAP、アドバイザリ9件を公開 - 複数脆弱性を修正
アプリ生成「Lovable」に脆弱性 - 生成プロジェクトに影響
掲示板ツール「vBulletin」に深刻な脆弱性 - 実証コードや悪用も
患者画像など所在不明、調査で持出も判明 - 富山大病院