command Injection – IoT OT Security News

CISA KEV 警告 25/01/13：BeyondTrust／Qlik Sense の脆弱性を登録

CISA Adds Second BeyondTrust Flaw to KEV Catalog Amid Active Attacks

2015/01/13 TheHackerNews — 2025年1月13日に米国の CISA は、BeyondTrust Privileged Remote Access (PRA)／Remote Support (RS) に影響を及ぼし、また、実環境での悪用が確認されている、脆弱性 CVE-2024-12686 (CVSS：6.6) を KEV カタログに追加した。

DrayTek Gateway 66,000台にコマンド・インジェクションの脆弱性 CVE-2024-12987：PoC も提供

66,000 DrayTek Gateways Vulnerable to Remote Command Injection (CVE-2024-12987), PoC Published

2024/12/30 SecurityOnline — DrayTek ゲートウェイ・デバイスの Web 管理インターフェースに、コマンド・インジェクションの脆弱性が存在することが、セキュリティ研究者の Netsecfish により発見された。この脆弱性 CVE-2024-12987 の悪用に成功した攻撃者は、リモートで任意のコマンド実行の可能性を手にするため、66,000台以上のインターネット接続デバイスが危険にさらされる。

BeyondTrust PRA／RS の RCE 脆弱性 CVE-2024-12356 (CVSS 9.8) が FIX：ただちにパッチを！

CVE-2024-12356 (CVSS 9.8): Critical Vulnerability in BeyondTrust PRA and RS Enables Remote Code Execution

2024/12/18 SecurityOnline — BeyondTrust の Privileged Remote Access (PRA) と Remote Support (RS) ソリューション存在する、深刻なコマンド・インジェクション脆弱性 CVE-2024-12356 (CVSS：9.8) が発見された。このリモート IT 管理／特権アクセス製品に依存している組織はとっては、重大なリスクをもたらす脆弱性である。

MITRE が公開した 2024 CWE Top-25 リスト：注視すべき脆弱性のカテゴリとは？

2024 CWE Top 25: Critical Software Weaknesses Revealed

2024/11/20 SecurityOnline — 2024年の CWE (Common Weakness Enumeration) Top 25 が発表された。このリストは、現代のソフトウェア・システムへの攻撃で悪用されがちであり、最も危険な脆弱性に対処するための、重要なロードマップとなる。このリストは、31,770件の CVE (Common Vulnerabilities and Exposures) レコードの分析に基づき、攻撃者が悪用し得る、最も深刻なソフトウェアの脆弱性を浮き彫りにしている。

D-Link NAS にコマンド・インジェクションの脆弱性 CVE-2024-10914：61,000台以上のシステムに影響

CVE-2024-10914 (CVSS 9.2): Command Injection Flaw Threatens 61,000+ D-Link NAS Devices

2024/11/07 SecurityOnline — D-Link NAS デバイスに発見された、深刻な脆弱性 CVE-2024-10914 (CVSSv4：9.2) により、世界中の 61,000台以上のシステムに深刻なリスクが生じている。この脆弱性 CVE-2024-10914 は、account_mgr.cgi スクリプトにおけるコマンド・インジェクションの欠陥であり、リモートの攻撃者に対して、特別に細工した HTTP GET リクエストを介した、任意のコマンド実行を許すものである。この脆弱性は、複数の D-Link NAS モデルに影響を与えるものであり、DNS-320／DNS-320LW／DNS-325／DNS-340L などが対象となる。

Grafana の脆弱性 CVE-2024-9264 (CVSS 9.9)：PoC エクスプロイトが公開

Grafana Vulnerability CVE-2024-9264: PoC Exploit Released for 9.9-Rated Critical Flaw

2024/10/28 SecurityOnline — オープンソースのマルチ・プラットフォーム分析／可視化ツールである、Grafana に存在する脆弱性 CVE-2024-9264 (CVSS： 9.9) に対して、技術的詳細と PoC エクスプロイト・コードが公開された。この脆弱性は、Grafana のバージョン 11.0.x／11.1.x／11.2.x に影響を及ぼし、コマンド・インジェクションおよびローカルファイル・インクルージョン (LFI：local file inclusion) のリスクに、システムをさらす可能性があるものだ。

Cisco FMC の脆弱性 CVE-2024-20424 が FIX：CVSS 9.9 のコマンド・インジェクション

CVE-2024-20424 (CVSS 9.9): Cisco FMC Software Vulnerability Grants Attackers Root Access

2024/10/23 SecurityOnline — Cisco が発表したのは、Secure Firewall Management Center (FMC) ソフトウェアに存在する、コマンド・インジェクション脆弱性 CVE-2024-20424 (CVSS：9.9) に関するセキュリティ勧告である。この脆弱性の悪用に成功した認証済みのリモート攻撃者は、OS 上での任意のコマンド実行を、ルート権限で達成する可能性を手にする。

SPIP の脆弱性 CVE-2024-8517 (CVSS 9.8) が FIX：PoC エクスプロイトも提供

CVE-2024-8517: Critical SPIP Flaw Leaves Websites Vulnerable to Remote Attacks, PoC Published

2024/09/10 SecurityOnline — 人気の CMS である SPIP に発見された CVE-2024-8517 (CVSS：9.8) は、未認証の攻撃者に対して、サーバ上での悪意のコード実行を許す可能性があるものだ。この脆弱性は、BigUp プラグインのコマンド・インジェクションの欠陥に起因する。