CISA KEV 警告 23/10/04：JetBrains TeamCity と Windows の脆弱性を追加

CISA Adds JetBrains TeamCity And Windows Flaws To Its Known Exploited Vulnerabilities Catalog

2023/10/05 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、JetBrains TeamCity に存在する脆弱性 CVE-2023-42793 (CVSS : 9.8) と、Windows の脆弱性 CVE-2023-28229 (CVSS : 7.0) を、KEV (Known Exploited Vulnerabilities Catalog) に追加した。

以下は、２つの脆弱性の説明である：

CVE-2023-42793：JetBrains TeamCity の認証バイパスの脆弱性。この脆弱性は、オンプレミス版の TeamCity に影響おえ及ぼす認証バイパスに起因する。その悪用に成功し攻撃者により、対象組織が保持しているソースコードや、サービス秘密鍵などが盗み出される可能性が生じる。また、攻撃者が、悪意のコードを注入することで、ソフトウェア・リリースの完全性を侵害し、すべてのダウンストリーム・ユーザーに影響が及ぶ可能性もある。

CVE-2023-28229：Microsoft Windows CNG Key Isolation Service Privilege Escalation の脆弱性。2023年8月末に、あるサイバー・セキュリティ研究者が、この脆弱性の詳細と PoC エクスプロイトを公開した。この脆弱性の CVSS スコアは 7.0 であるが、特定の限定された SYSTEM 権限が、攻撃者により不正に取得される可能性が生じる。

BOD (Binding Operational Directive) 22-01 にしたがい、FCEB の各機関は、この脆弱性を悪用する攻撃から、指定された期日までに対処し、ネットワークを守ることが義務づけられる。CISA は、それぞれの連邦政府機関に対して、この脆弱性を 2023年10月25日まで修正するよう命じている。また、専門家たちは、民間の組織においても CISA KEV カタログを見直し、インフラの脆弱性への対処を推進するよう促している。

今週に CISA は、Arm Mali GPU Kernel Driver における Use-After-Free の脆弱性 CVE-2023-4211 を KEV カタログに追加した。CISA は連邦政府機関に対し、2023年10月24日までに、この欠陥を修正するよう命じている。

CISA の KEV に JetBrains TeamCity の脆弱性 CVE-2023-42793 が追加されました。こちらに関しては、2023/09/25 の「JetBrains TeamCity CI/CD サーバに深刻な脆弱性 CVE-2023-42793：積極的な悪用が予測される」と、2023/10/02 の「JetBrains TeamCity の RCE 脆弱性 CVE-2023-42793：ランサムウェアによる攻撃を確認」を、ご参照ください。また、Windows の CVE-2023-28229 ですが、お隣のキュレーション・チームに聞いてみたら、2023年4月に登場したものであり、 今回の CISA KEVを受けて、10月5日付で再警告したとのことでした。