Palo Alto 製品の 34件の脆弱性のアドバイザリが公開：情報漏えいなどが生じる恐れ

Palo Alto Networks Issues Security Advisories, Urges Updates Amidst 34 Vulnerabilities

2024/08/14 SecurityOnline — Palo Alto Networks は、同社製品に存在する 34件の脆弱性に対応する４件のセキュリティ・アドバイザリを発表した。同社は、現時点で悪用は検出されていないと述べるが、システムのアップデートの緊急性は依然として高いとしている。これらの脆弱性は、PAN-OS／GlobalProtect App などの Palo Alto 製品に影響を与える。これらのセキュリティ・ギャップの一部は、サードパーティ製ソフトウェアに起因しており、今日のデジタル・エコシステムの相互接続性が浮き彫りになっている。

Prisma Access Browser のアップデート

Chromium をベースとする Prisma Access Browser の、月例アップデート (PAN-SA-2024-0007) が実施された。同製品のバージョン 127.100.2858.4 には、7月16日〜8月6日にかけて実施された４件の Chromium アップデートが反映され、31件の脆弱性の修正が含まれている。

特に懸念されるのは、Google が深刻度 “Critical” と評価している CVE-2024-7532／CVE-2024-6990 である。Palo Alto は、これらの CVSSv4.0 の基本スコアを 8.6 とやや低めに設定しているが、それでも深刻度は “High” であり、迅速な対処の必要性が強調される。

Cortex XSOAR のパッチ

Cortex XSOAR の CommonScripts Pack 内に存在するコマンド・インジェクションの脆弱性 CVE-2024-5914 (CVSS：7.0) が、バージョン 1.12.33 で修正された。 この脆弱性の悪用に成功した未認証の攻撃者は、任意のコマンドを実行する可能性を手にする。

その他の脆弱性

Palo Alto Networks が、今回のアドバイザリで公表した、残りの２件の脆弱性は下記の通りだ：

• CVE-2024-5916 (CVSS 6)：PAN-OS における情報漏えいの脆弱性。意図せずに機密データが漏えいする可能性がある。
• CVE-2024-5915 (CVSS 5.2) ：Windows の GlobalProtect アプリに存在する、権限昇格の脆弱性。ローカルの攻撃者が昇格した特権でプログラムを実行できる可能性がある。この脆弱性は、今後のバージョンで修正される予定だ。

推奨事項

Palo Alto Networks がユーザーに対して強く推奨するのは、可能な限り早急に、最新のアップデートをシステムに適用することだ。これらの脆弱性に関して、積極的な悪用は確認されていないが、攻撃者たちの侵入口となる可能性がある。サイバー・セキュリティの状況が進化し続ける中、強固な防御を維持するためには、事前の対策が不可欠である。

Palo Alto の製品で、Chromium が使われていることを、初めて知りました。ソフトウェアのエコシステムが大きく広がり効率を高める一方で、そのコアで発生した脆弱性が大きな影響を及ぼすようになっています。いろいろと考えさせられる、いまの世界です。よろしければ、Palo Alto で検索も、ご利用ください。