CISA KEV 警告 24/10/22：Microsoft SharePoint のコード実行の脆弱性を登録

U.S. CISA adds Microsoft SharePoint flaw to its Known Exploited Vulnerabilities catalog

2024/10/23 SecurityAffairs — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Microsoft SharePoint に存在するデシリアライゼーション脆弱性 CVE-2024-38094 (CVSS v4：7.2) を、KEV (Known Exploited Vulnerabilities) カタログに登録した。対象となるサイト所有者の権限を持つ攻撃者であれば、この脆弱性を悪用し、SharePoint Server に任意の悪意のコードを挿入／実行できる。

Microsoft が公開したアドバイザリには、「サイト所有者の権限を持つ、認証された攻撃者は、この脆弱性を悪用して任意のコードを挿入し、SharePoint Server のコンテキストでのコード実行を可能にする」と記されている。

この脆弱性は、SharePoint Server Search コンポーネントにおける入力検証エラーに起因する。認証されていないユーザーであっても、特別に細工された HTTP リクエストを脆弱な SharePoint サーバに送信することで、この脆弱性の悪用が可能となる。それにより攻撃者は、サーバ上で任意のコードを実行し、システムを乗っ取る可能性を手にする。

拘束力のある運用指令 (BOD) 22-01: によると、FCEB 機関は、この KEV カタログに掲載された欠陥を悪用する攻撃からネットワークを保護するために、指定された期日までに期限までに特定された脆弱性に対処する必要がある。CISA は連邦政府機関に対して、2024年11月12日までに、この脆弱性を修正するよう命じている。

さらに専門家たちは、このカタログを民間組織も確認し、インフラストラクチャの脆弱性に対処することを推奨している。

今週に CISA は、ScienceLogic SL1 に存在する脆弱性もカタログに追加している。

ScienceLogic SL1 には、サードパーティ・コンポーネントに関連する脆弱性が発生している。すでに、バージョン 12.1.3+／12.2.3+／12.3+ で修正されており、10.1.x までの古いバージョン用にはパッチ適用できるとされてる。

2024年9月24日に、クラウド・ホスティング・プロバイダー Rackspace は、ScienceLogic EM7 監視ツールに関する問題を報告している。それによると、脅威アクターたちは、ScienceLogic アプリケーションにバンドルされている、ユーティリティのゼロデイ脆弱性を悪用したようだ。このセキュリティ侵害により、ユーザー名／アカウント情報／暗号化された内部認証情報などの、機密性の低いパフォーマンス監視データが流出したという。Rackspace は ScienceLogic と共同で、この問題に対処した。現時点において、すべての顧客に対してパッチが提供されている。

この SharePoint の脆弱性 CVE-2024-38094 ですが、お隣のキュレーション・チームに聞いてみたところ、2024年7月の Patch Tuesday で修正されているとのことでした。その脆弱性が、米国の連邦政府内で悪用され、CISA KEV リストに登録されました。ご利用のチームは、いま一度、パッチの適用をご確認ください。よろしければ、CISA KEV ページも、ご利用ください。