Array Networks製VPN狙う脆弱性攻撃に注意 - 米当局が呼びかけ

米当局は、Array Networks製のVPNゲートウェイ製品「Array AG」および「Array vxAG」の脆弱性が悪用されているとして注意喚起を行った。

これら製品に搭載されている「ArrayOS」における既知の脆弱性「CVE-2023-28461」が悪用されているとして、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間11月25日、同脆弱性を「悪用が確認された脆弱性カタログ（KEV）」へ追加した。

「CVE-2023-28461」は、HTTPヘッダ内のフラグ属性を利用して認証のバイパスが可能となる脆弱性。悪用することでリモートからコードを実行したり、ファイルシステムの閲覧が可能となる。

開発元であるArray Networksは、重要度を「クリティカル（Critical）」として2023年3月にアドバイザリを公開。脆弱性を修正した「ArrayOS AG 9.4.0.484」を提供し、アップデートを呼びかけていた。また一時的な回避策についても示している。

同庁や米国立標準技術研究所（NIST）による脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」とレーティングしている。

米行政機関では、「KEV」へ追加された脆弱性を指定期間内に対応する必要がある。また脆弱性そのものは広く悪用されるおそれがあり、注意が必要となる。

（Security NEXT - 2024/11/26 ）ツイート