Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

1週間で脆弱性7件を悪用リストに追加 - 米当局

米政府は、あらたに悪用が確認された脆弱性について注意喚起を行った。いわゆる「パッチチューズデー」にあたる現地時間9月10日以降、あらたに7件が登録されている。

米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)では、「悪用が確認された脆弱性カタログ(KEV)」へ現地時間9月10日に脆弱性4件、さらに同月13日に1件、同月16日に2件の脆弱性を追加した。

9月10日には、9月のMS月例パッチで当初よりゼロデイ攻撃が確認されていることが明らかにされている「CVE-2024-38014」「CVE-2024-38217」「CVE-2024-38226」「CVE-2024-43491」が公開と同時に「KEV」へ登録。

さらに同じく月例パッチで修正された「Microsoft Windows MSHTMLプラットフォーム」において「なりすまし」が可能となる脆弱性「CVE-2024-43461」は、公開当初に悪用は確認されていないとしていたが、その後ゼロデイ攻撃に悪用されていたことをマイクロソフトが明らかにし、9月13日に追加となった。

同じく9月13日には、Progress Softwareのネットワーク監視ツール「WhatsUp Gold」に判明したSQLインジェクションの脆弱性「CVE-2024-6670」が登録となっている。認証を必要とすることなく暗号化されたパスワードを取得することが可能。現地時間8月29日にセキュリティアドバイザリがリリースされていた。

またパッチチューズデーにアドバイザリが公開された「Ivanti Cloud Services Appliance」に判明したOSコマンドインジェクションの脆弱性
CVE-2024-8190」についても、公開当初、悪用は未確認とされていたが、Ivantiでは9月13日にアドバイザリを更新。一部顧客で悪用されたことを明らかにしている。

(Security NEXT - 2024/09/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

小学校で2年分の心臓検診診断票が所在不明 - 名古屋市
イベント募集の関連ファイルに無関係の20年前登記情報 - 福山市
サイバー攻撃で障害、FW更新時に設定ミス - アクリーティブ
ネットワーク機器経由で侵害、個人情報流出か - クールジャパン機構
ワークフロー管理ツール「Apache DolphinScheduler」に脆弱性
Samsung、モバイル端末の複数脆弱性を修正 - 一部で悪用も
先週注目された記事(2025年9月7日〜2025年9月13日)
AI開発フレームワーク「Flowise」に複数の「クリティカル」脆弱性
ゴルフスクールのインスタアカが乗っ取り被害 - 意図しない投稿
住民の個人情報を議員に漏洩した職員2人を懲戒処分 - 吉野町