「Progress Kemp LoadMaster」にRCE脆弱性 - WAF回避のおそれも

Progress Softwareのアプリケーションデリバリ製品「Progress Kemp LoadMaster」に深刻な脆弱性が明らかとなった。

同社は現地時間6月4日、セキュリティアドバイザリを公開し、2件の脆弱性「CVE-2026-8037」「CVE-2026-33691」について明らかにした。「Progress Kemp LoadMaster」「同LTSF」にくわえて、「Progress ECS Connection Manager」「Progress Connection Manager for ObjectScale」も影響を受ける。

「CVE-2026-8037」は、APIにおける入力検証不備に起因するOSコマンドインジェクションの脆弱性。認証を必要とすることなく、細工した入力を送信することで任意のコマンドを実行できる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.6」、重要度は4段階中もっとも高い「クリティカル（Critical）」とされている。

また依存関係に起因する脆弱性もあわせて明らかにした。ウェブアプリケーションファイアウォール（WAF）による保護がバイパスされるおそれがある。

（Security NEXT - 2026/06/05 ） ツイート

PR

関連記事

Palo Alto機器に搭載される「PAN-OS」に脆弱性 - 一部悪用を確認
Ciscoメールセキュリティ製品の添付ファイル処理に脆弱性 - すでに悪用も
「EC-CUBE」の公式決済プラグインに緊急脆弱性 - すでに悪用も
米当局、悪用が確認された脆弱性2件について注意喚起
「HAProxy Data Plane API」に認証バイパスの深刻な脆弱性
国産WAF「SiteGuard Server Edition」に脆弱性 - 悪用も確認
IvantiのVPN製品に脆弱性 - 未修正ブランチでゼロデイ攻撃
MS、月例更新で1400件以上の脆弱性に対応 - 一部悪用も
「Drupal」に脆弱性、アップデートの公開を予告 - サイト管理者は準備を
Fortinet、アドバイザリ11件を公開 - 「FortiSandbox」「FortiSIEM」にクリティカル