CVE-2024-0980 Vulnerability in Okta Verify for Windows Demands Urgent Update
2024/03/28 SecurityOnline — 広く利用されている 多要素認証 (MFA) アプリ Okta Verify for Windows に、深刻な脆弱性が存在していることを、セキュリティ研究者たちが報告している。この脆弱性 CVE-2024-0980 (CVSS：7.1：High) の悪用に成功した攻撃者は、影響を受けるシステム上で、リモートから任意のコードを実行する可能性を持つ。Okta Verify は、Okta が開発した多要素認証 (MFA) アプリである。つまり、Okta にサインインするユーザーに対して本人確認を行い、ユーザーになりすました人物が、アカウントにアクセスする可能性を低減するものである。
何が危険か
アカウントの保護に Okta Verify for Windows を利用している組織は、危険にさらされる可能性がある。この脆弱性の悪用に成功した攻撃者は、企業ネットワーク内に足掛かりを得ることが可能となり、以下のようなアクションを引き起こせる：
- 機密データの窃取
- システム内部へのさらなる攻撃
- 業務妨害
脆弱性の詳細：CVE-2024-0980
この脆弱性は、Okta Verify for Windows における自動更新サービスの欠陥に起因している。このサービスを悪用する攻撃者は、更新プロセスにおける権限で悪意のコードを注入し、実行する可能性を持ち得る。
Okta のアドバイザリには、「Okta Verify for Windows の自動更新サービスには、任意のコードを実行にいたる、２つの欠陥が存在する」と記されている。Securifera, Inc. のセキュリティ研究者である Ryan Wincey は、この脆弱性を発見／報告した。
影響を受けるシステム
影響を受けるのは、Okta Verify for Windows のみである。内訳は以下の通り：
- 脆弱性：Okta Verify for Windows 4.10.7 未満のバージョンがインストールされているシステム。
- 影響を受けない： macOS／iOS／Android プラットフォーム上の Okta Verify。
対処方法：直ちにアップデートを！
Okta は、脆弱性 CVE-2024-0980 に対処したパッチ・バージョン (4.10.7) をリリースしている。セキュリティ・チームが優先すべきことは、可能な限り早急に Okta Verify for Windows をアップデートすることである。
Okta に脆弱性が発生とのことなので、ご利用のチームは、アップデートを ご確認ください。Okta に関しては、2024/03/11 の「Okta で発生したデータ侵害：偽の流出データがハッキング・フォーラムに投稿された？」にもあるように、いといろと心配事が続いています。よろしければ、Okta で検索も、ご利用ください。
IoT OT Security News 
You must be logged in to post a comment.