U.S. CISA adds Red Hat, Linux Kernel, Ajax.NET Professional, Microsoft SQL Server, and Citrix NetScaler flaws to its Known Exploited Vulnerabilities catalog
2026/08/27 SecurityAffairs — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、以下の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。
- CVE-2015-3246 Red Hat Libuser の競合状態
- CVE-2015-5287 Red Hat Automatic Bug Reporting Tool の権限昇格
- CVE-2019-1068 Microsoft SQL Server のリモート・コード実行
- CVE-2021-23758 Ajax.NET の信頼できないデータのデシリアライズ
- CVE-2022-0995 Linux Kernel の境界外書き込み
- CVE-2026-8452 Citrix NetScaler／Gateway のメモリバッファ制限の不備
CVE-2015-3246 は Red Hat libuser に存在する競合状態の脆弱性であり、認証済みのローカル・ユーザーによる “/etc/passwd” の破損を通じて、サービス拒否／権限昇格が引き起こされる可能性がある。
CVE-2015-5287 は Red Hat Automatic Bug Reporting Tool に存在する権限昇格の脆弱性であり、特定の権限を持つローカル・ユーザーが、予測可能なファイルに対するシンボリック・リンク攻撃を通じて、より高い権限を取得する可能性がある。
CVE-2019-1068 は Microsoft SQL Server に存在するリモートコード実行の欠陥である。この脆弱性を悪用する攻撃者は、SQL Server Database Engine サービス・アカウントのコンテキストでコードを実行する可能性がある。
CVE-2021-23758 は、Ajax.NET Professional に存在する信頼できないデータに対するデシリアライズの欠陥であり、任意の .NET クラスを通じてリモートコード実行を引き起こす恐れがある。
CVE-2022-0995 は、Linux Kernel に存在する境界外メモリ書き込みの脆弱性であり、ローカル・ユーザーによる特権アクセスの取得／システム上でのサービス拒否の発生に至る恐れがある。
CVE-2026-8452 は、Citrix NetScaler ADC／Gateway のメモリバッファ境界内における操作制限に関する脆弱性であり、サービス拒否につながる可能性がある。また、この脆弱性は、実環境で積極的に悪用されていることも確認されている。
Binding Operational Directive (BOD) 22-01：既知の悪用された脆弱性による重大なリスクの低減によると、FCEB 機関にとって必要なことは、カタログに掲載された脆弱性を悪用する攻撃からネットワークを保護するため、特定された脆弱性へ期限までに対処することである。
CISA は連邦政府機関に対して、CVE-2019-1068／CVE-2026-8452 を 2026年08月29日までに修正し、残りの脆弱性には 2026年09月09日までに対処するよう命じている。
専門家が民間組織に推奨するのは、KEV カタログの確認／自組織のインフラストラクチャに存在する該当脆弱性への対処である。
CISA が 6件の脆弱性を KEV カタログに登録しました。対象となる製品は Red Hat Libuser／Red Hat Automatic Bug Reporting Tool／Microsoft SQL Server／Ajax.NET／Linux Kernel／Citrix NetScaler／Citrix Gateway です。システム内部の排他制御不備や権限検証の不足などの欠陥が登録の背景に存在します。これらの脆弱性を悪用する攻撃者が、システム障害の誘発／最高権限の不正取得／遠隔からの命令実行などの重大な影響を引き起こしています。影響を受ける脆弱性に関して、指定期限までのパッチ適用やインフラ監視などの防衛措置が、米連邦政府機関に求められます。
IoT OT Security News 
You must be logged in to post a comment.