Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

アクセス管理製品「PrivX」に脆弱性 - アップデートで修正

SSH Communications Securityが提供するアクセス管理ソリューション「PrivX」に脆弱性が明らかとなった。アップデートが呼びかけられている。

「同36.0」から「同18.0」までのバージョンでは、プロキシポート経由でネイティブSSH接続を行う場合、異なるユーザーへのなりすましが可能となる「CVE-2024-47857」が明らかとなったもの。

同脆弱性は、公開鍵の署名検証が不十分なことに起因。内部のコードレビューで発見したとしており、脆弱性の悪用などは確認されていない。

同脆弱性を悪用するには、「Secure Shell」のプロトコルと同製品の実装に関する知識が必要で一定の条件をクリアする必要があるとし、具体的な内容は示していないが、同社は脆弱性のスコアを「5.5」、重要度を「中(Medium)」であると説明している。

一方、同脆弱性について米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価しており、重要度を4段階中、もっとも高い「クリティカル(Critical)」とレーティングしている。

同社は、「同37.0」「同36.1」「同35.3」で修正済みであるとし、利用者にアップデートを呼びかけている。

(Security NEXT - 2025/02/04 ) このエントリーをはてなブックマークに追加

PR

関連記事

「IBM AIX」に複数のRCE脆弱性が判明 - パッチや暫定修正プログラムを公開
エンプラサーバなどに採用されるAMI製「BMC」にRCE脆弱性
「PHP」に複数脆弱性 - セキュリティアップデートがリリース
米政府、バックアップソフトやIPカメラの脆弱性悪用に注意喚起
Veeam製バックアップソフトに深刻なRCE脆弱性が判明
「Chrome」に「クリティカル」脆弱性 - アップデートで修正
KDDIのホームゲートウェイ「HGW-BL1500HM」に複数脆弱性
「FortiOS」脆弱性や不正コード混入「Githubアクション」の悪用に注意喚起 - 米政府
SAP、3月の月例パッチを公開 - 新規アドバイザリ21件を公開
サーバ製品「HPE Cray XD670」の管理ソフトに深刻な脆弱性