米当局、「SolarWinds WHD」や「Windows」など脆弱性3件の悪用に注意喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、悪用が確認されているとして脆弱性3件をあらたに「悪用が確認された脆弱性カタログ（KEV）」へ追加した。

具体的には、「SolarWinds Web Help Desk」において認証情報がハードコードされている「CVE-2024-28987」を追加。リモートから認証なしに内部機能へアクセスでき、データを改ざんされるおそれがある。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.1」、重要度は「クリティカル（Critical）」。

またブラウザ「Firefox」に判明した解放後のメモリを使用するいわゆる「Use After Free」の脆弱性「CVE-2024-9680」を登録した。CVSS基本値は「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。当初「Firefox」が対象とされていたが、その後「Thunderbird」への影響も明らかにされた。

「CVE-2024-30088」は、「Windows」のカーネルにおいて、「TOCTOU（Time-of-check Time-of-use）」による競合状態に起因し、権限昇格が生じる脆弱性。マイクロソフトではCVSS基本値を「7.0」、重要度は「重要（Important）」とし、6月の月例セキュリティ更新で修正している。

「KEV」へ追加された脆弱性に対し、米行政機関では、一定期間内に対応することが求められる。また脆弱性そのものは広く悪用されるおそれがあるとして、利用者に注意を呼びかけている。

（Security NEXT - 2024/10/16 ）ツイート

米当局、「SolarWinds WHD」や「Windows」など脆弱性3件の悪用に注意喚起

関連リンク

PR

関連記事