脆弱性TODAYのキュレーターからのコメントを掲載します。
脆弱性トレンド情報 2022年12月度の記事と併せてぜひご覧ください。
GRCSのコンサルタントが毎日インターネット上で公開される国内外の脆弱性情報を
収集・整理して、当日午後にメールでレポートを配信するサービスです。
API連携も可能（※有料オプション）で、効率的に脆弱性情報を収集することができます。
キュレーターからのコメント
2022年12月の脆弱性TODAYでは、以下の脆弱性情報の再掲載および新規掲載を行っています。再掲載に関しては、対象となる脆弱性の悪用が発見されたものや、米CISAが悪用リストに追加したものなどが含まれます。また、新規掲載の脆弱性には、NVDやVuldbなどのパブリック・ポータルが未対応のものや、対応が遅れたものなどが含まれます。
これらの脆弱性情報は、いずれも海外メディアが、インシデント情報として掲載したものです。つまり、通常のキュレーションとは別の切り口から、注目すべき脆弱性情報として取得されたものとなります。それにより、ユーザー様に注意喚起を促すプロセスを提供しています。その一例として、スタッフブログに情報を開示していきます。
=========================================================
■■■ Boa Web Sever
火曜日に Microsoft は、2022年初めにインドの電力網事業体を狙った侵入行為において、現在では廃止されている Boa と呼ばれる Web サーバの、脆弱性が利用された可能性が高いことを明らかにしました。この脆弱なコンポーネントは、何百万もの組織やデバイスに影響を与え得る、サプライチェーン・リスクをもたらすと、Microsoft のサイバーセキュリティ部門は述べています。
CVE-2021-33558
CWE-200(情報漏えい)
CVSS 7.5
https://nvd.nist.gov/vuln/detail/CVE-2021-33558
===================================
■■■ Microsoft
Windows Internet Key Exchange (IKE) Protocol Extensions を標的とした一連のエクスプロイトが、野放し状態で悪用されていることが発見されました。セキュリティ企業の Cyfirma が InfoSecurity と共有した最新のアドバイザリによると、発見された脆弱性は、およそ 1000 のシステムをターゲットに悪用されている可能性があるようです。また、同社が観測した攻撃は、中国語話者の脅威アクターによる、bleed you と訳されるキャンペーンの一部である可能性があるとのことです。
CVE-2022-34721
CVSS 9.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34721
===================================
Google は、Chrome デスクトップ版のセキュリティ・アップデートを緊急リリースし、今年に入ってから攻撃で悪用された、８つ目のゼロデイ脆弱性に対応しました。Google Threat Analysis Group の Clement Lecigne が、2022年11月22日に発見した、この深刻度の高い脆弱性 CVE-2022-4135 は、GPU におけるヒープバッファ・オーバーフローに起因するものです。Google は、「CVE-2022-4135 のエクスプロイトが、野放し状態で悪用されていることを認識している」と、アップデート通知に記しています。
CVE-2022-4135
CVSS 9.8
https://chromereleases.googleblog.com/2022/11/stable-channel-update-for-desktop_24.html
https://forest.watch.impress.co.jp/docs/news/1458468.html
https://nvd.nist.gov/vuln/detail/CVE-2022-4135
===================================
■■■ Acer
Acer が修正した深刻度の高い脆弱性は、ローカルの攻撃者が標的とするシステム上で、UEFI Secure Boot が無効にされる可能性を生じ、複数のラップトップ・モデルに影響を与えるものです。Secure Boot 機能とは、TPM (Trusted Platform Module) チップと、UEFI (Unified Extensible Firmware Interface) ファームウェアを搭載したコンピュータにおいて、信頼できない OS ブートローダをブロックし、ルートキットやブートキットといった悪質なコードが、起動プロセス中にロードされないようにするものです。
https://iototsecnews.jp/2022/11/28/acer-fixes-uefi-bugs-that-can-be-used-to-disable-secure-boot/
CVE-2022-4020
CWE-276(不正確なディフォルト・パーミッション)
CVSS 8.2
https://nvd.nist.gov/vuln/detail/CVE-2022-4020
===================================
■■■ Cisco
Cisco の Identity Services Engine (ISE) に存在する、複数の脆弱性の悪用に成功したリモートの攻撃者が、任意のコマンドの注入／既存のセキュリティ保護の迂回／クロスサイト・スクリプティング (XSS) 攻撃などを実行するかもしれません。Cisco ISEは、ID ベース の NAC (network access control) および policy enforcement system であり、管理者に対してエンドポイント・アクセス制御やネットワーク・デバイス管理の機能を提供します。
https://iototsecnews.jp/2022/11/28/cisco-ise-vulnerabilities-can-be-chained-in-one-click-exploit/
CVE-2022-20964
CWE-79(クロスサイト・スクリプティング)
CVSS 6.3
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-7Q4TNYUx
CVE-2022-20959
CWE-79(クロスサイト・スクリプティング)
CVSS 6.1
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-xss-twLnpy3M
===================================
■■■ Fortinet
Cyble の研究者たちが認識しているのは、最近のパッチが適用された Fortinet 製品に存在する、深刻な脆弱性 CVE-2022-40684 を悪用する Initial Access Broker (IAB) が、
企業ネットワークへのアクセスを販売している可能性が高いという状況です。10月の初旬に Fortinet は、FortiGate Firewall／FortiProxy Web Proxy に影響を及ぼす、認証バイパスの脆弱性 CVE-2022-40684 に対処しています。この脆弱性の悪用に成功した攻撃者は、脆弱なデバイスにログインすることが可能であると、Fortinet は説明しています。
CVE-2022-40684
CWE-285(不適切な権限付与)
CVSS 9.8
https://nvd.nist.gov/vuln/detail/CVE-2022-40684
https://www.fortiguard.com/psirt/FG-IR-22-377
===================================
■■■ Oracle
11月28日 (月) に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発な悪用の証拠があるとして、Oracle Fusion Middleware に影響する脆弱性を KEV (Known Exploited Vulnerabilities) カタログに追加しました。この脆弱性 CVE-2021-35587 の CVSS スコアは 9.8 であり、Oracle Access Manager (OAM) のバージョン 11.1.2.3.0／12.2.1.3.0／12.2.1.4.0 に影響を及ぼしています。
CVE-2021-35587
CVSS 9.8
https://www.oracle.com/security-alerts/cpujan2022.html#AppendixFMW
https://www.oracle.com/security-alerts/cpujan2022verbose.html#FMW
https://nvd.nist.gov/vuln/detail/CVE-2021-35587
===================================
■■■ Log4Shell
2022年10月1日時点で、72% の組織が Log4Shell の脆弱性に対して依然として脆弱であることが、５億回以上のテストから収集したデータを基にした、Tenable の最新のテレメトリ調査により明らかになりました。2021年12月に Log4Shell が発見された当時、世界中の組織は、そのリスクの調査に奔走していました。
https://iototsecnews.jp/2022/11/30/a-year-later-log4shell-still-lingers/
CVE-2021-44228
CWE-20(不適切な入力確認)
CVSS 10.0
https://www.jpcert.or.jp/at/2021/at210050.html
https://logging.apache.org/log4j/2.x/security.html
https://access.redhat.com/security/cve/cve-2021-44228
https://nvd.nist.gov/vuln/detail/CVE-2021-44228
https://github.com/apache/logging-log4j2/pull/608
https://github.com/YfryTchsGD/Log4jAttackSurface
https://securityboulevard.com/2021/12/log4shell-apache-log4j-remote-code-execution/
===================================
■■■ Redis
Redigo と命名された Go ベースの新しいマルウェアが、Redis サーバの脆弱性 CVE-2022-0543 を標的にしてステルス・バックドアを仕込み、コマンド実行を可能にしていることが判明しました。この脆弱性 CVE-2022-0543 (CVSS：10.0) は、Redis (Remote Dictionary Server) ソフトウェアに存在し、2022年2月に発見／修正されているものです。
https://iototsecnews.jp/2022/11/30/a-year-later-log4shell-still-lingers/
CVE-2022-0543
CWE-265(不適切な権限)
CVSS 6.3
https://nvd.nist.gov/vuln/detail/CVE-2022-0543
===================================
Google は、Chrome for Windows/Max/Linux の 108.0.5359.94/.95をリリースし、深刻なセキュリティ上の欠陥に対処しました。同社は、「脆弱性 CVE-2022-4262 が、野放し状態で悪用されているという報告を認識している」と、金曜日に公開されたセキュリティ・アドバイザリで述べています。Google によると、Stable Desktop チャネルを介して、この最新バージョンの提供が開始され、数日～数週間のうちに全ユーザー・ベースに到達するとのことです。
https://iototsecnews.jp/2022/12/02/google-chrome-emergency-update-fixes-9th-zero-day-of-the-year/
CVE-2022-4262
CWE-843(タイプ・コンフュージョン)
CVSS 8.8
https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html
https://nvd.nist.gov/vuln/detail/CVE-2022-4262
===================================
■■■ FreeBSD
FreeBSD OS のメンテなたちが、ping モジュールに存在するセキュリティ上の脆弱性を修正するためのアップデートを公開しました。この、ping サービスに存在するスタックバッファ・オーバーフローの脆弱性 CVE-2022-23093 は、すべての FreeBSD 現行バージョンに影響を及ぼすものです。
CVE-2022-23093
CWE-121(スタックバッファ・オーバーフロー)
CVSS 7.3
https://nvd.nist.gov/vuln/detail/CVE-2022-23093
https://thehackernews.com/2022/12/critical-ping-vulnerability-allows.html
===================================
■■■ Linux
Qualys Threat Research Unit の研究者たちは、Linux の新しい脆弱性 CVE-2022-3328 と、既存の２つの脆弱性を連鎖させ、システム上で完全なルート権限を取得する方法を実証しました。この脆弱性 CVE-2022-3328 は、Ubuntu にデフォルトでインストールされる SUID-root プログラムである、Linux OS の snap-confine 機能に存在します。snap-confine とは、snap アプリケーションの実行環境を構築するために、snapd により内部的に用いられるものであり、snap アプリケーションをコンフィグレーションするための内部ツールです。
CVE-2022-3328
CWE-362(競合状態)
CVSS 7.5
https://ubuntu.com/security/notices/USN-5753-1
https://ubuntu.com/security/CVE-2022-3328
CVE-2022-41973, CVE-2022-41974
CVSS 7.8
https://ubuntu.com/security/notices/USN-5731-1
https://nvd.nist.gov/vuln/detail/CVE-2022-41974
===================================
■■■ Mitsubishi
産業用サイバー・セキュリティ企業である Nozomi Networks の研究者たちが、三菱電機のエンジニアリング WS ソフトウェア GX Works3 に存在し、放置すると安全システムのハッキングに悪用される可能性のある、脆弱性３件を発見しました。GX Works3 は、三菱電機の PLC である MELSEC iQ-F／iQ-R 向けに提供している、コンフィグレーション／プログラミング用ソフトウェアです。
CVE-2022-29831, CVE-2022-29832,CVE-2022-29833
CWE-259(ハードコード・パスワードの使用)、CWE-316(メモリ内の機密情報の平文による保存)、CWE-522(証明情報に対する不十分な防御)
CVSS 7.5
https://jvn.jp/vu/JVNVU97244961
https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2022-015_en.pdf
===================================
■■■ Sophos Firewall
Sophos は、Sophos Firewall version 19.5 においてセキュリティパッチを提供し、任意のコード実行などの７つの脆弱性に対応しました。その中で、最も深刻な問題は、CVE-2022-3236 として追跡されている、深刻なコード・インジェクションの脆弱性です。同社のアドバイザリには、「User Portal および Webadmin において、リモートでのコード実行を可能にする、コード・インジェクションの脆弱性が発見された」と記されています。
https://iototsecnews.jp/2022/12/07/sophos-fixed-a-critical-flaw-in-its-sophos-firewall-version-19-5/
CVE-2022-3226
CWE-78(OSコマンド・インジェクション)
CVSS 7.2
https://nvd.nist.gov/vuln/detail/CVE-2022-3226
https://www.sophos.com/en-us/security-advisories/sophos-sa-20221201-sfos-19-5-0
CVE-2022-3236
CVSS 9.8
https://www.sophos.com/en-us/security-advisories/sophos-sa-20220923-sfos-rce
https://nvd.nist.gov/vuln/detail/CVE-2022-3236
CVE-2022-3696, CVE-2022-3713
CWE-94(コード・インジェクション)
CVSS 7.2
https://nvd.nist.gov/vuln/detail/CVE-2022-3696
https://nvd.nist.gov/vuln/detail/CVE-2022-3713
https://www.sophos.com/en-us/security-advisories/sophos-sa-20221201-sfos-19-5-0
CVE-2022-3709
CWE-79(クロスサイト・スクリプティング)
CVSS 8.4
https://nvd.nist.gov/vuln/detail/CVE-2022-3709
CVE-2022-3710, CVE-2022-3711
CWE-89(SQLインジェクション)
CVSS 4.3
https://nvd.nist.gov/vuln/detail/CVE-2022-3710
https://nvd.nist.gov/vuln/detail/CVE-2022-3711
https://www.sophos.com/en-us/security-advisories/sophos-sa-20221201-sfos-19-5-0
===================================
■■■ Cisco
今日、Cisco が公開した脆弱性は、最新世代の IP Phone に影響し、リモート・コード実行／DoS 攻撃につながる深刻度の高いものです。同社は、「Cisco の Product Security Incident Response Team (PSIRT) が、PoC エクスプロイト・コードが利用可能であることを認識し、また、パブリックに議論されている」と、この脆弱性について警告しています。ただし、現時点においては、この脆弱性を悪用する攻撃の試みは認識していないと、PSIRT は付け加えています。
https://iototsecnews.jp/2022/12/08/cisco-discloses-high-severity-ip-phone-bug-with-exploit-code/
CVE-2022-20968
CWE-787(境界外書き込み)
CVSS 8,1
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ipp-oobwrite-8cMF5r7U
===================================
■■■ Pulse
インターネット・アクセスが可能な、4,000 台以上の Pulse Connect Secure ホストが、少なくとも１つの既知の脆弱性の影響を受けていると、情報セキュリティ企業である Censys が警告しています。Pulse Connect Secure は、ユーザー企業におけるリモート／モバイルを介した安全なアクセスを実現する、SSL VPN ソリューションとして広く導入されています。そして、この VPN アプライアンスは、2020年に Pulse Secure を買収した、Ivanti の製品群の１つとなっています。
CVE-2021-22893
CWE-287(不適切な認証)
CVSS 10.0
https://www.jpcert.or.jp/at/2021/at210019.html
https://jvn.jp/vu/JVNVU94842247/
https://nvd.nist.gov/vuln/detail/CVE-2021-22893
CVE-2021-22894
CWE-120(バッファ・オーバーフロー)
CVSS 8.8
https://nvd.nist.gov/vuln/detail/CVE-2021-22894
CVE-2021-22899
CWE-77(コマンド・インジェクション)
CVSS 8.8
https://nvd.nist.gov/vuln/detail/CVE-2021-22899
CVE-2021-22900
CWE-94(コード・インジェクション)、CWE-434(信頼できないファイルのアップロード)
CVSS 7.2
https://nvd.nist.gov/vuln/detail/CVE-2021-22900
CVE-2021-22908
CWE-120(バッファ・オーバーフロー)
CVSS 8.5
https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44800/
CVE-2021-22933
CWE-22(パス・トラバーサル)
CVSS 7.6
CVE-2021-22934
CWE-120(バッファ・オーバーフロー)
CVSS 8.0
CVE-2021-22937
CWE-434(危険なタイプのファイルの無制限アップロード)
CVSS 9.1
https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44858
===================================
■■■ Microsoft
12月8日 (木) にクラウド・コンピューティング・プロバイダーの Rackspace は、同社の Microsoft Exchange ホスティング環境がランサムウェア攻撃を受けたことを受け、フィッシング攻撃のリスクが高まっていると、顧客に警告を発しました。同社では、いまも調査が継続されており、影響を受けたシステムの復旧に取り組んでいるが、サイバー犯罪者が、このインシデントを悪用する可能性もあるとしています。
https://iototsecnews.jp/2022/12/09/rackspace-warns-of-phishing-risks-following-ransomware-attack/
CVE-2022-41040
CWE-918(サーバサイド・リクエスト・フォージェリ)
CVSS 8.8
CVE-2022-41082
CVSS 8.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41040
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41082
===================================
■■■ Microsoft
今日の Microsoft December 2022 Patch Tuesday により、活発に悪用されている２件の脆弱性を含む、合計 49件の脆弱性が修正されました。49件の脆弱性のうち６件は、リモート・コード実行を可能にするもので、Critical に分類されています。
https://iototsecnews.jp/2022/12/13/microsoft-december-2022-patch-tuesday-fixes-2-zero-days-49-flaws/
CVE-2022-44698
CVSS 5.4
CVE-2022-44710
CVSS 7.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44710
===================================
■■■ Fortinet
月曜日に Fortinet は、同社の SSL-VPN 製品 FortiOS に影響を及ぼす深刻なセキュリティ脆弱性に対して緊急パッチをリリースし、この脆弱性が実際に悪用されていることを明らかにしました。この深刻な脆弱性 CVE-2022-42475 (CVSS：9.3) は、ヒープベース・バッファ・オーバーフローの脆弱性であり、認証されていない攻撃者による、特別に細工したリクエストを介した任意のコード実行を引き起こす可能性があります。
CVE-2022-40684
CWE-285(不適切な権限付与)
CVSS 9.8
https://nvd.nist.gov/vuln/detail/CVE-2022-40684
https://www.fortiguard.com/psirt/FG-IR-22-377
CVE-2022-42475
CWE-122(ヒープバッファ・オーバーフロー)
CVSS 9.8
https://www.fortiguard.com/psirt/FG-IR-22-398
https://www.jpcert.or.jp/at/2022/at220032.html
===================================
■■■ VMware
Juniper Networks の研究者たちが、VMware ESXi サーバを標的とする Python バックドアを発見しました。この、2022年10月に発見されたバックドアに対する研究者たちの指摘は、インプラントの簡潔性／持続性／能力において注目に値するというものです。侵害されたサーバのログ保持が限られていたことで、専門家たちは最初の侵害を特定できなかったが、ESXi の OpenSLP サービスにおける既知の脆弱性 (CVE-2019-5544／CVE-2020-3992) が悪用された可能性があると推測しています。
https://iototsecnews.jp/2022/12/13/experts-detailed-a-previously-undetected-vmware-esxi-backdoor/
CVE-2019-5544
CVSS 9.8
https://www.vmware.com/security/advisories/VMSA-2019-0022.html
CVE-2020-3992
CVSS 9.8
https://www.vmware.com/security/advisories/VMSA-2020-0023.html
https://nvd.nist.gov/vuln/detail/CVE-2020-3992
===================================
■■■ Citrix
Citrix ADC／Gateway のゼロデイ脆弱性 CVE-2022-27518 に対する、セキュリティ・アップデートの適用が管理者たちに推奨されています。この脆弱性は、中国に関連する脅威アクターたちが標的とする、ネットワークへのアクセスのために積極的に悪用されているといわれています。Citrix のブログポストには、「この脆弱性を悪用する、少数の標的型攻撃を認識している」と記されています。この脆弱性の悪用に成功した、認証されていないリモートの攻撃者は、対象となるアプライアンス上で任意のコード実行を可能にするといわれています。
CVE-2022-27518
CWE-664(ライフタイム期間中の不適切なリソース制御)
CVSS 9.8
https://sensorstechforum.com/ja/cve-2022-27518-citrix-zero-day/
===================================
■■■ Microsoft ゼロデイ
2022年12月の Microsoft Patch Tuesday は、２つのゼロデイを含む 50件ほどの脆弱性に対処したが、そのうちの１つは野放し状態で悪用されているものです。このうちの一握りの脆弱性は Critical と評価され、また 13件については悪用される可能性が高いと、Microsoft は説明しています。したがって、年末にシステム管理者が行うべき作業が、たくさん残っていることになります。
https://iototsecnews.jp/2022/12/14/two-zero-days-fixed-in-december-patch-tuesday/
CVE-2022-41076
CVSS 8.5
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41076
CVE-2022-44693
CVSS 8.8
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44693
===================================
■■■ Microsoft Windows SPNEGO
Microsoft は、2022年9月にパッチ適用したセキュリティ脆弱性について、リモートコード実行に悪用される可能性があると判明したことで、深刻度を Critical に修正しました。この脆弱性 CVE-2022-37958 (CVSS : 8.1) は、SPNEGO Extended Negotiation (NEGOEX) Security Mechanism における情報漏洩の脆弱性であると、これまでは説明されてきました。
CVE-2022-37958
CVSS 8.1
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37958
CVE-2017-0144
CVSS 8.1
https://technet.microsoft.com/en-us/library/security/ms17-010.aspx
https://nvd.nist.gov/vuln/detail/cve-2017-0144
===================================
■■■ CISA KEV
米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Veeam Backup & Replication に影響をおよぼす２つの脆弱性 CVE-2022-26500／CVE-2022-26501 (CVSS : 9.8) を、Known Exploited Vulnerabilities Catalog に追加しました。BOD (Binding Operational Directive) 22-01 に従い、この脆弱性を悪用する攻撃からネットワークを守るために、各 FCEB 機関は指定された期限までに対処する必要がある。民間組織においても、このカタログを確認してインフラの脆弱性に対処することを、専門家たちは推奨しています。
CVE-2022-26500
CWE-434(信頼できないファイルのアップロード)
CVSS 6.3
https://nvd.nist.gov/vuln/detail/CVE-2022-26500
CVE-2022-26501
CWE-284(不適切なアクセス制御)
CVSS 9.8
https://nvd.nist.gov/vuln/detail/CVE-2022-26501
===================================
■■■ Samba
12月15日に Samba は、複数の脆弱性を修正するためのソフトウェア・アップデートをリリースしました。今回のアップデートでリリースされたバージョン 4.17.4／4.16.8／4.15.13 では、深刻度の高い脆弱性 CVE-2022-38023／CVE-2022-37966／CVE-2022-37967／CVE-2022-45141 に対するパッチが適用されています。Sambaは、Linux／Unix／macOS などの OS 用のオープンソースの Windows 相互運用性スイートであり、ファイルサーバ／プリンタ／Active Directory サービスを提供しています。
CVE-2022-37966, CVE-2022-37967, CVE-2022-38023, CVE-2022-45141
CVSS CVSS 8.1
https://www.samba.org/samba/latest_news.html#4.17.4
https://nvd.nist.gov/vuln/detail/CVE-2022-38023
===================================
■■■ Apple
Apple は、信頼されていないアプリケーションを悪用する攻撃者に対して、 Gatekeeper による実行制限をバイパスを許すことで、脆弱な macOS デバイス上にマルウェアの展開される可能性に対処しました。 この、Achilles と名付けられたセキュリティ脆弱性 CVE-2022-42821 は、Microsoft の Principal Security Researcher である Jonathan Bar Or が発見／報告したものです。１週間前の 12月13日に Apple は、macOS 13 (Ventura)／macOS 12.6.2 (Monterey)／ macOS 1.7.2 (Big Sur) で、この脆弱性に対応しています。
https://iototsecnews.jp/2022/12/19/microsoft-achilles-macos-bug-lets-hackers-bypass-gatekeeper/
CVE-2022-42821
CVSS CVSS 5.5
https://www.jpcert.or.jp/newsflash/2022121401.html
https://forest.watch.impress.co.jp/docs/news/1463465.html
https://support.apple.com/en-us/HT213534
https://nvd.nist.gov/vuln/detail/CVE-2022-42821
===================================
■■■ Cisco
Cisco は、複数のセキュリティ・アドバイザリを更新し、同社製品に影響を与える複数の古い脆弱性の活発な悪用について警告しています。Cisco IOS／NX-OS／HyperFlex などに影響をおよぼす一連の脆弱性には、深刻度が Critical と評価されるものも含まれます。
CVE-2017-12240
CWE-20(不適切な入力確認)
CVSS 9.8
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170927-dhcp
CVE-2018-0125
CWE-20(不適切な入力確認)
CVSS 9.8
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180207-rv13x
CVE-2018-0147
CWE-20(不適切な入力確認)
CVSS 9.8
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180307-acs2
CVE-2018-0171
CWE-20(不適切な入力確認)
CVSS 9.8
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-smi2
CVE-2021-1497
CWE-78(OSコマンド・インジェクション)
CVSS 9.8
トライアル・お問い合わせはこちらから▼
■脆弱性情報配信サービス ＊サンプルファイルダウンロード可能＊ ＞＞＞脆弱性TODAY
■脆弱性情報収集後のフローに活用するなら ＞＞＞CSIRT MT.mss
本ブログに掲載している情報はGRCSが資料の作成時点で入手・判明し得たものであり、できるだけ正確な情報の提供を心掛けておりますが、GRCSは、利用者が本資料の情報を用いて行う一切の行為について何ら責任を負うものではありません。