CISA KEV 警告 24/04/24：Cisco と CrushFTP の深刻な脆弱性に 5月1日までに対処せよ！

CISA Added Critical Vulnerabilities in Cisco Products and CrushFTP to KEV

2024/04/24 SecurityOnline — 米国の Cybersecurity Infrastructure Security Agency (CISA) が連邦政府機関に対して発動したのは、Cisco 製品で発見された２件深刻な脆弱性と、ファイル転送ツール CrushFTP の脆弱性に対して、最優先でパッチを適用すべきという警告である。これらの問題の緊急性は、国家の支援を受けたハッカーによる積極的な悪用に起因しており、脅威の状況の深刻さを強調している。

Ciscoファイアウォールを標的とする ArcaneDoor キャンペーン

国家の支援を受けたハッカー集団が、Cisco の Adaptive Security Appliance (ASA)／Firepower Threat Defense (FTD) デバイスに存在する、２件のゼロデイ脆弱性 CVE-2024-20353／CVE-2024-20359 を悪用していたことが判明し、厳しい状況に陥っている。2023年11月以降において ArcaneDoor キャンペーンは、政府機関のネットワークへ積極的に侵入し、スパイ活動を積極的に展開してきた。

これらの脆弱性を Cisco が発見した背景には、洗練された敵対者たちが継続的に、新たな攻撃ベクターを追求しているという現実がある。今回のケースにおける攻撃者たちは、エクスプロイトを展開する前の数カ月にわたって、開発／テストを繰り返していた可能性が高いという。つまり、計算されつくした、計画的なオペレーションが展開されていたことが示唆される。

CrushFTP の脆弱性により各種の業界で暴露が発生

広く利用されているファイル転送サービス CrushFTP に存在する、脆弱性 CVE-2024-4040 によるプレッシャーが話題になっているが、ダイレクトなリスクも生じている。この脆弱性の悪用に成功した未認証の攻撃者には、機密データの窃取や、システムの完全な侵害などが許される可能性がある。

セキュリティ専門家たちの懸念には、CrushFTP が広範囲に用いられているという点と、パッチの適用率が驚くほど遅いという点がある。多くの脆弱なインスタンスがオンライン上に露出しているため、日和見主義のサイバー犯罪者にとって、さまざまな業界の企業が魅力的な標的となっている。

CrowdStrike は、政治的な動機に基づく行為者による、情報収集活動と関連する標的型攻撃において、この脆弱性が悪用されていることを確認しており、また、すでに活発化していることを強調している。

調査会社 Censys は、米国内だけで 2,750件以上の CrushFTP の露出を発見している。この数字は、世界の約半分を占めている。

CISA の指令と期限

これらの脆弱性が、CISA の Known Exploited Vulnerabilities カタログに掲載されたという事実は、それらがもたらす深刻なリスクを反映したものであり、早急なパッチ適用が促されている。

連邦政府機関に対する期限は、5月1日までとなっている。つまり、これらの脆弱性の重大な性質と早急な対応の必要性が強調されている。

この Cisco と CrushFTP の脆弱性ですが、KEV への登録が 4月24日であり、修正の期限は 5月1日に切られています。通常は、３週間の猶予が与えられていますが、それでは追いつかないという、CISA の判断なのでしょう。なお、Palo Alto の CVE-2024-3400 も、１週間の猶予となっていました。よろしければ、CISA KEV ページも、ご利用ください。