Critical WhatsUp Gold Vulnerabilities Demand Immediate Action
2024/09/26 SecurityOnline — Progress Software が発表した最新のセキュリティ・アドバイザリは、同社のネットワーク監視アプリケーション WhatsUp Gold に影響を及ぼす６つの深刻な脆弱性の発見に関するものである。世界中の組織において WhatsUp Gold は利用され、サーバの稼働時間と可用性をモニタリングし、サーバ上で実行されているサービスを追跡している。そして、新たに特定された一連の脆弱性は重大なリスクを伴うものであり、ネットワーク・インフラストラクチャへの不正な接続／制御の可能性が生じるというものだ。
これらの６件の脆弱性は、WhatsUp Gold バージョン 24.0.1 未満に影響を及ぼすものであり、以下のような CVE 識別子と、CVSS スコアが割り当てられている:
- CVE-2024-46909：CVSS 9.8
- CVE-2024-8785：CVSS 9.8
- CVE-2024-46908：CVSS 8.8
- CVE-2024-46907：CVSS 8.8
- CVE-2024-46906：CVSS 8.8
- CVE-2024-46905：CVSS 8.8
現時点において、これらの脆弱性に関する詳細情報は、悪用を防ぐために公開が制限されている。しかし、それぞれの CVSS スコアは高く、攻撃者による不正アクセスや、リモート・コード実行、ネットワーク・サービスの中断などの可能性が生じると推測される。
WhatsUp Gold がセキュリティの注目を集めているのは、今回が初めてのことではない。たとえば、先日に公開され修正されたた脆弱性 CVE-2024-4885 は、WhatsUp Gold バージョン 23.1.2 以下に影響を及ぼす、未認証のリモート・コード実行の欠陥である。さらに、8月30日以降においては、２つの SQL インジェクション脆弱性 CVE-2024-6670／CVE-2024-6671 が、暗号化されたパスワードの取得のために、認証を必要とすることなく悪用されていた。
これらのインシデントが浮き彫りにするのは、新たに発見された脆弱性が、組織において速やかに対処されるべき必要性である。
すでに Progress Software は、WhatsUp Gold の全ユーザーに対して積極的に連絡を取り、新しくリリースされたバージョン 24.0.1 に環境へと、速やかにアップグレードするよう促している。
このところ、WhatsUp Gold に脆弱性が多発しています。直近のものは、2024/09/12 の「Progress WhatsUp Gold を狙う RCE 攻撃：脆弱性 CVE-2024-6670／6671 を悪用して展開」であり、その他にも PoC 提供に関するものもあります。ご利用のチームは、ご注意ください。よろしければ、WhatsUp Gold で検索も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.