監視ツール「WhatsUp Gold」の深刻な脆弱性、詳細が明らかに

Progress Softwareが提供するネットワーク監視ツール「Progress WhatsUp Gold」に深刻な脆弱性が見つかった問題で、同脆弱性を報告したTenableは脆弱性の詳細を明らかにした。

8月に「CVE-2024-8785」を報告していたTenableに対し、Progress Softwareより12月2日にCVE情報やパッチのリリースについて情報提供があったことを受け、現地時間12月2日にアドバイザリを公表したもの。

詳細について明らかにし、認証を必要とすることなくリモートから悪用可能であることを明らかにした。

具体的には、対象システムのレジストリ値を上書きしたり、あらたに作成することが可能であると指摘。システムを再起動した際に、外部から細工したファイルを読み込ませ、悪意あるプログラムを実行させることが可能だという。

Progress Softwareでは、現地時間9月24日にセキュリティアドバイザリを公開。共通脆弱性評価システム「CVSSv3.1」のベーススコアが「9.8」とされる「CVE-2024-8785」「CVE-2024-46909」をはじめ、6件の脆弱性を公表している。

ただし、アドバイザリの公開時に脆弱性の具体的な内容については言及しておらず、現地時間9月20日にリリースした「同24.0.1」で修正したことのみ明かしていた。

（Security NEXT - 2024/12/09 ）ツイート