米国のサイバーセキュリティおよびインフラストラクチャ セキュリティ エージェンシー (CISA) は、攻撃で悪用された 4 つのセキュリティ脆弱性を、実際に悪用されていることが知られているバグのリストに追加しました。
そのうちの 2 つは Microsoft 製品に影響を与え、攻撃者によるリモート実行を可能にします ( CVE-2023-21823 )。 および権限の昇格 ( CVE-2023-23376 ) パッチが適用されていない Windows システムで、共通ログ ファイル システム ドライバーとグラフィックス コンポーネントの欠陥を悪用します。
3 番目のもの ( CVE-2023-21715 ) は、Microsoft Office マクロ ポリシーをバイパスして、信頼されていないファイルを介して悪意のあるペイロードを配信するために悪用される可能性があります。
マイクロソフトは今週、 2022 年 2 月のパッチ チューズデーの一環として 3 つすべてにパッチを適用し、修正プログラムが利用可能になる前に攻撃で悪用されたゼロデイとして分類しました。
4 つ目は、任意のコードの実行につながる可能性のある WebKit タイプの混乱の問題 ( CVE-2023-23529 ) で、月曜日に Apple によって対処され、実際に積極的に悪用されているとタグ付けされました。
この WebKit ゼロデイの影響を受けるデバイスのリストは非常に広範囲で、iPhone 8 以降、macOS Ventura を実行する Mac、すべての iPad Pro モデルなど、古いモデルと新しいモデルに影響を与えます。
連邦機関はパッチを当てるのに 3 週間あります
2021 年 11 月の拘束力のある運用指令 (BOD 22-01)によると、すべての連邦民間行政機関 (FCEB) 機関は、CISA の既知の悪用された脆弱性のカタログに追加されたセキュリティ バグからシステムを保護する必要があります。
CISA は現在、3 月 7 日までの 3 週間を米国連邦政府機関に与え、Apple と Microsoft の 4 つのセキュリティ脆弱性にパッチを適用し、ネットワークを標的とする可能性のある攻撃を阻止しています。
この指令は米国連邦政府機関にのみ適用されますが、サイバーセキュリティ機関は、すべての組織にセキュリティ バグを修正して、Windows または iOS デバイスを侵害する攻撃の試みをブロックするよう強く求めています。
「これらのタイプの脆弱性は、悪意のあるサイバー アクターによる頻繁な攻撃ベクトルであり、連邦企業に重大なリスクをもたらします」と CISA は述べています。
BOD 22-01指令が発行されて以来、CISAは、実際に悪用されることが知られている何百もの新しいセキュリティ脆弱性をバグのリストに含め、連邦機関にシステムにパッチを当てて侵害を防ぐよう命じました.
今日、CISA は別の欠陥を追加しました。Cacti ネットワーク オペレーション フレームワークに重大な事前認証コマンド インジェクション バグ (CVE-2022-46169) があり、攻撃者がマルウェアを配信するために悪用しました。
Comments