米当局、悪用が確認されている脆弱性3件について注意を喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、3件の脆弱性に対する悪用が確認されているとして注意喚起を行った。

現地時間1月7日に「既知の悪用脆弱性カタログ（KEV）」へ3件の脆弱性「CVE-2020-2883」「CVE-2024-41713」「CVE-2024-55550」を追加したもの。行政機関へ指定期間内に対策を講じるよう要請するとともに、広く悪用されるおそれがあるとして注意を呼びかけた。

「CVE-2024-41713」「CVE-2024-55550」は、Mitelのコミュニケーションツール「MiCollab」に判明したパストラバーサルの脆弱性。これら2件の脆弱性は組み合わせて悪用されるおそれがある。

「CVE-2024-55550」は、単独で悪用する場合に管理者権限が必要とされるが、「CVE-2024-41713」と組み合わせることで認証を必要とすることなくリモートよりサーバにある任意のファイルを読み取られるおそれがあるという。

一方「CVE-2020-2883」は、「Oracle Fusion Middleware」に含まれる「Oracle WebLogic Server」の脆弱性。リモートより容易に悪用することが可能で、サーバを乗っ取られるおそれがある。

Oracleでは、2020年4月に公開した定例アップデート「クリティカルパッチアップデート（CPU）」を通じて修正を実施。悪用コードの報告もあるとして注意を呼びかけていた。

（Security NEXT - 2025/01/08 ）ツイート