米当局、「ArrayOS AG」脆弱性など2件を悪用リストに追加

米当局は、2件の脆弱性が悪用されているとして米国の行政機関へ対策を促すとともに注意喚起を行った。CVE番号が割り当てられていなかった「ArrayOS AG」の脆弱性も含まれる。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2025年12月8日、2件の脆弱性「CVE-2025-66644」「CVE-2022-37055」を「悪用が確認された脆弱性カタログ（KEV）」へ追加した。米国内の行政機関へ対策を促すとともに、利用者へ注意するよう広く呼びかけている。

「CVE-2025-66644」は、Array Networksのリモートアクセス製品「Array AGシリーズ」に搭載されている「ArrayOS AG」に判明したOSコマンドインジェクションの脆弱性。

「ArrayOS AG 9.4.5.9」で修正されるもCVE番号は採番されておらず、日本国内で2025年8月以降に悪用されているとしてJPCERTコーディネーションセンターが報告。「IoC（Indicators of Compromise）」を公開するとともに注意喚起を行っていた。

MITREがCVE番号を採番しており、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.2」と評価、重要度を「高（High）」とレーティングしている。ネットワーク経由で攻撃が可能だが、悪用には高い権限が必要だという。

一方、「CVE-2022-37055」はD-Link製ルータ「Go-RTシリーズ」に判明したバッファオーバーフローの脆弱性。2024年5月にFortinetから注意喚起も行われていた。サポートが終了していると見られ、利用を注意するよう呼びかけられている。

（Security NEXT - 2025/12/09 ）ツイート

米当局、「ArrayOS AG」脆弱性など2件を悪用リストに追加

関連リンク

PR

関連記事