Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

米当局、2019年以前の既知脆弱性4件を悪用リストに追加

米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)は、4件の脆弱性について注意喚起を行った。

現地時間2025年7月7日、脆弱性が悪用されているとして4件の脆弱性を「悪用が確認された脆弱性カタログ(KEV)」に追加したもの。米行政機関へ指定期間内に対応するよう求めるとともに、広く注意を呼びかけた。

具体的には2014年から2019年にかけて判明した「Ruby on Rails」「PHPMailer」「Zimbra Collaboration Suite(ZCS)」「Multi-Router Looking Glass(MRLG)」に関する脆弱性を悪用リストへ追加したもの。

具体的には、「Ruby on Rails」の「Action Viewコンポーネント」において、細工した「HTTPヘッダ」によって任意のファイルを読み取られる「CVE-2019-5418」を登録。

またメール送信ライブラリ「PHPMailer」においてコマンドインジェクションが可能となる脆弱性「CVE-2016-10033」についても悪用されているとして注意を促した。

さらに「ZCS」の「ProxyServlet」におけるサーバサイドリクエストフォージェリ(SSRF)の脆弱性「CVE-2019-9621」や、ネットワークルータの可視化ツール「MRLG」において、メモリの破損や書き込みが可能となるバッファオーバーフローの脆弱性「CVE-2014-3931」を登録している。

(Security NEXT - 2025/07/08 ) このエントリーをはてなブックマークに追加

PR

関連記事

「XenServer 8.4」に脆弱性 - アップデートをリリース
APIゲートウェイ「Apache APISIX」に認証回避おそれ
「Apache Seata」脆弱性、対象版に誤り - 一部で「クリティカル」との評価も
ITインフラ監視ツール「Pandora FMS」に脆弱性 - アップデートで修正
「Active! mail 6」に「XSS」や「CSRF」脆弱性 - 修正版へ更新を
「PHP」に複数脆弱性 - セキュリティリリースが公開
ブラウザ「Chrome」の「Cookie暗号化保護」を破壊する「C4攻撃」
「Chromium」の脆弱性狙う攻撃 - 派生ブラウザ利用者も注意を
「Lucee」にクリティカル脆弱性 - 悪用コード公開済み
「MS Edge」にアップデート - ゼロデイ脆弱性などに対応