米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は4月11日(米国時間)、「CISA Adds Eight Known Exploited Vulnerabilities to Catalog|CISA」において、「Known Exploited Vulnerabilities Catalog」に8個の脆弱性を追加したと伝えた。これら脆弱性は、サイバー犯罪者によって積極的に悪用されていることが確認されている。
カタログに追加された脆弱性は次のとおり。
CVE番号 | 脆弱性内容 |
---|---|
CVE-2022-23176 | WatchGuard Firebox and XTM Privilege Escalation Vulnerability |
CVE-2021-42287 | Microsoft Active Directory Domain Services Privilege Escalation Vulnerability |
CVE-2021-42278 | Microsoft Active Directory Domain Services Privilege Escalation Vulnerability |
CVE-2021-39793 | Google Pixel Out-of-Bounds Write Vulnerability |
CVE-2021-27852 | Checkbox Survey Deserialization of Untrusted Data Vulnerability |
CVE-2021-22600 | Linux Kernel Privilege Escalation Vulnerability |
CVE-2020-2509 | QNAP Network-Attached Storage (NAS) Command Injection Vulnerability |
CVE-2017-11317 | Telerik UI for ASP.NET AJAX Unrestricted File Upload Vulnerability |
影響を受ける主な製品やサービスは次のとおり。
- CVE-2022-23176 WatchGuard - Firebox and XTM
- CVE-2021-42287 Microsoft - Active Directory
- CVE-2021-42278 Microsoft - Active Directory
- CVE-2021-39793 Google - Pixel
- CVE-2021-27852 Checkbox - Checkbox Survey
- CVE-2021-22600 Linux - Kernel
- CVE-2020-2509 QNAP - QNAP Network-Attached Storage (NAS)
- CVE-2017-11317 Telerik - User Interface (UI) for ASP.NET AJAX
カタログに追加された脆弱性は積極的に悪用が確認されている点に注意が必要。該当する製品を使っている場合は、提供されているCVE情報やベンダーが提供する情報を確認するとともに、迅速にアップデートを適用することが望まれる。
今回カタログに追加された脆弱性は、最も古いもので2017年に発行されたものが含まれている。昨年発表された脆弱性も多い。こうした古い脆弱性がアクティブにサイバー攻撃に悪用されているということは、これら脆弱性が修正されることのないまま残っていることを意味している。該当する製品を使っている場合は迅速に確認を行うとともに、必要に応じてアップデートを適用することが望まれる。