「Sitecore CMS」の既知脆弱性を狙う攻撃 - 米当局が注意喚起

米当局は現地時間2025年3月26日、「Sitecore CMS」および「Sitecore Experience Platform（XP）」の脆弱性が悪用されているとして注意喚起を行った。

2019年に判明した「CVE-2019-9874」「CVE-2019-9875」が悪用されているとして、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）がこれら脆弱性を「悪用が確認された脆弱性カタログ（KEV）」へ追加したもの。

いずれもセキュリティ対策モジュール「anti CSRF」に確認された脆弱性で、信頼できないデータをデシリアライズするおそれがある。細工した「.NETオブジェクト」を、「HTTP POST」経由で送信することにより任意のコードを実行できる。

特に「CVE-2019-9874」は認証を必要とせず、CISAでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」としている。

また「CVE-2019-9875」については、CVSS基本値を「8.8」、重要度を「高（High）」と評価している。

米行政機関では、「悪用が確認された脆弱性カタログ（KEV）」へ追加された脆弱性について、指定期間内に対策を講じる必要がある。また脆弱性そのものは広く悪用されるおそれがあり、利用者は注意が必要となる。

（Security NEXT - 2025/03/27 ）ツイート