アクセス管理製品「PrivX」に脆弱性 - アップデートで修正
SSH Communications Securityが提供するアクセス管理ソリューション「PrivX」に脆弱性が明らかとなった。アップデートが呼びかけられている。
「同36.0」から「同18.0」までのバージョンでは、プロキシポート経由でネイティブSSH接続を行う場合、異なるユーザーへのなりすましが可能となる「CVE-2024-47857」が明らかとなったもの。
同脆弱性は、公開鍵の署名検証が不十分なことに起因。内部のコードレビューで発見したとしており、脆弱性の悪用などは確認されていない。
同脆弱性を悪用するには、「Secure Shell」のプロトコルと同製品の実装に関する知識が必要で一定の条件をクリアする必要があるとし、具体的な内容は示していないが、同社は脆弱性のスコアを「5.5」、重要度を「中(Medium)」であると説明している。
一方、同脆弱性について米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価しており、重要度を4段階中、もっとも高い「クリティカル(Critical)」とレーティングしている。
同社は、「同37.0」「同36.1」「同35.3」で修正済みであるとし、利用者にアップデートを呼びかけている。
(Security NEXT - 2025/02/04 )
ツイート
PR
関連記事
「ConnectWise ScreenConnect」に脆弱性 - 修正版が公開
NETSCOUT「nGeniusONE」に複数の脆弱性 - アップデートで修正
Python向けHTTPライブラリに脆弱性 - リクエストスマグリング攻撃のおそれ
ゼロデイ攻撃は8カ月以上前 - 「Active! mail」脆弱性の影響拡大に懸念
「Erlang/OTP」脆弱性、一部Cisco製品で影響が判明
「ActiveMQ NMS OpenWire Client」にRCE脆弱性 - 修正版が公開
「GitHub Enterprise Server」に複数脆弱性 - アップデートで修正
NVIDIA製GPUドライバに複数の脆弱性 - 権限昇格やDoSのおそれ
トレンドの法人向け複数製品に脆弱性 - アップデートで修正
「Erlang/OTP」に深刻なRCE脆弱性 - 概念実証コードも公開済み