米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は10月20日(米国時間)、「CISA Adds Two Known Exploited Vulnerabilities to Catalog |CISA」において、「Known Exploited Vulnerabilities Catalog」に2個の脆弱性を追加したと伝えた。
影響を受ける主な製品やサービスは次のとおり。
- CVE-2022-41352 Zimbra - Collaboration (ZCS)
- CVE-2021-3493 Linux - Kernel 脆弱性の主な内容は次のとおり。
CVE番号 | 脆弱性内容 |
---|---|
CVE-2022-41352 | Zimbra Collaboration (ZCS) allows an attacker to upload arbitrary files using cpio package to gain incorrect access to any other user accounts. |
CVE-2021-3493 | The overlayfs stacking file system in Linux kernel does not properly validate the application of file capabilities against user namespaces, which could lead to privilege escalation. |
カタログに追加された脆弱性は積極的に悪用が確認されている点に注意が必要。該当する製品を使っている場合は、提供されているCVE情報やベンダーが提供する情報を確認するとともに、迅速にアップデートを適用することが望まれる。
特にZimbra Collaborationの脆弱性に関しては複数のセキュリティベンダーがリスクについて注意を促しており、該当する製品を使用している場合にはただちに情報の確認、緩和策の適用やアップデートの適用などを行うことが望まれる。