Cisco、Fortinet、VMwareの製品に新たに発見された複数のセキュリティ脆弱性に対する重要なセキュリティ修正がリリースされました。これらの脆弱性は、影響を受けるデバイスで任意のアクションを実行することを可能にする重大な弱点を含んでいます。
Ciscoからは、Cisco Expresswayシリーズに影響を与える3つの脆弱性（CVE-2024-20252およびCVE-2024-20254、CVSSスコア：9.6、CVE-2024-20255、CVSSスコア：8.2）が報告されました。これらは、認証されていないリモート攻撃者がクロスサイトリクエストフォージェリ（CSRF）攻撃を実行できるようにするものです。これらの問題は、内部のセキュリティテスト中に発見され、Webベースの管理インターフェースに対する不十分なCSRF保護に起因しています。これらの脆弱性に対する修正は、Cisco Expresswayシリーズリリースバージョン14.3.4および15.0.0で利用可能です。
Fortinetは、FortiSIEMスーパーバイザーにおける以前に公開された重大な脆弱性（CVE-2023-34992、CVSSスコア：9.7）のバイパスに対処するための第二ラウンドのアップデートをリリースしました。新たに報告されたCVE-2024-23108およびCVE-2024-23109（CVSSスコア：9.8）は、リモートの認証されていない攻撃者が特別に作成されたAPIリクエストを介して不正なコマンドを実行できるようにするものです。これらの脆弱性に対する修正は、FortiSIEMの複数の将来のバージョンで提供される予定です。
VMwareは、Aria Operations for Networks（旧vRealize Network Insight）における5つの中程度から重要な重大度の脆弱性について警告しました。これらには、ローカル特権昇格の脆弱性やクロスサイトスクリプティング（XSS）の脆弱性が含まれます。これらの脆弱性を軽減するため、VMware Aria Operations for Networksバージョン6.xのすべてのユーザーに対して、バージョン6.12.0へのアップグレードが推奨されています。
Cisco、Fortinet、VMwareの脆弱性が過去に悪用された歴史を考慮すると、組織がこれらの不備に対処するために取るべき最初で重要なステップは、パッチを適用することです。
【ニュース解説】
Cisco、Fortinet、VMwareの製品に新たに発見された複数のセキュリティ脆弱性に対して、これらの企業が重要なセキュリティ修正をリリースしたことが報告されました。これらの脆弱性は、攻撃者が影響を受けるデバイスで任意のアクションを実行できるようにする、非常に重大な弱点を含んでいます。
具体的には、CiscoのExpresswayシリーズに影響を与える3つの脆弱性が発見されました。これらは、未認証のリモート攻撃者がクロスサイトリクエストフォージェリ（CSRF）攻撃を実行し、管理者権限を持つユーザーの権限で任意のアクションを実行できる可能性があるとされています。Fortinetでは、FortiSIEMスーパーバイザーに関連する以前に公開された重大な脆弱性のバイパスを可能にする新たな脆弱性が報告され、VMwareではAria Operations for Networksにおける複数の脆弱性が警告されています。
これらの脆弱性の存在は、組織にとって大きなセキュリティリスクをもたらします。攻撃者がこれらの脆弱性を悪用することで、機密情報の漏洩、システムの不正操作、サービスの停止など、様々なセキュリティインシデントが発生する可能性があります。そのため、これらの脆弱性に対する迅速な対応が求められます。
セキュリティパッチの適用は、脆弱性を悪用されるリスクを軽減する最も基本的な対策の一つです。しかし、パッチ適用にはシステムのダウンタイムが伴う場合があり、また、特定の環境ではパッチが正しく機能しない可能性もあるため、適用前の十分なテストが重要となります。
長期的な視点では、組織はセキュリティ対策を継続的に見直し、強化する必要があります。これには、定期的な脆弱性スキャン、セキュリティポリシーの更新、従業員へのセキュリティ教育などが含まれます。また、ゼロデイ攻撃など、未知の脆弱性に対する備えとして、侵入検知システム（IDS）や侵入防御システム（IPS）の導入も検討することが推奨されます。
このようなセキュリティ修正のリリースは、サイバーセキュリティの脅威が常に進化していることを示しています。組織は、セキュリティ対策を常に最新の状態に保ち、脆弱性に迅速に対応することで、サイバー攻撃のリスクを最小限に抑えることができます。
from Critical Patches Released for New Flaws in Cisco, Fortinet, VMware Products.
