米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は4月15日(米国時間)、「CISA Adds Nine Known Exploited Vulnerabilities to Catalog｜CISA」において、「Known Exploited Vulnerabilities Catalog」に9個の脆弱性を追加したと伝えた。

  • CISA Adds Nine Known Exploited Vulnerabilities to Catalog｜CISA

    CISA Adds Nine Known Exploited Vulnerabilities to Catalog｜CISA

影響を受ける主な製品やサービスは次のとおり。

脆弱性の主な内容は次のとおり。

CVE番号 脆弱性内容
CVE-2022-22960 VMware Workspace ONE Access, Identity Manager and vRealize Automation contain a privilege escalation vulnerability due to improper permissions in support scripts.
CVE-2022-1364 Google Chromium V8 engine contains a type confusion vulnerability.
CVE-2019-3929 Multiple Crestron products are vulnerable to command injection via the file_transfer.cgi HTTP endpoint. A remote, unauthenticated attacker can use this vulnerability to execute operating system commands as root.
CVE-2019-16057 The login_mgr.cgi script in D-Link DNS-320 is vulnerable to remote code execution.
CVE-2018-7841 A SQL Injection vulnerability exists in U.motion Builder software which could cause unwanted code execution when an improper set of characters is entered.
CVE-2016-4523 The WAP interface in Trihedral VTScada (formerly VTS) allows remote attackers to cause a denial-of-service.
CVE-2014-0780 InduSoft Web Studio NTWebServer contains a directory traversal vulnerability which allows remote attackers to read administrative passwords in APP files, allowing for remote code execution.
CVE-2010-5330 Certain Ubiquiti devices contain a command injection vulnerability via a GET request to stainfo.cgi.
CVE-2007-3010 masterCGI in the Unified Maintenance Tool in Alcatel OmniPCX Enterprise Communication Server allows remote attackers to execute arbitrary commands.

カタログに追加された脆弱性は積極的に悪用が確認されている点に注意が必要。該当する製品を使っている場合は、提供されているCVE情報やベンダの提供する情報を確認するとともに、迅速にアップデートを適用することが望まれる。

今回カタログに追加された脆弱性は、最も古いもので2007年に発行されたものが含まれている。カタログにはアクティブに悪用されている脆弱性が追加される仕組みになっており、脆弱性自体は新しいものから古いものまで幅広く追加されている。

長期にわたって使っている製品がこうした脆弱性を抱えたままになっていることもあるため、カタログに追加された製品に関しては再度情報を確認するとともに、必要に応じてアップデートを適用することが望まれる。