米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は8月25日(米国時間)、「CISA Adds Ten Known Exploited Vulnerabilities to Catalog｜CISA」において、「Known Exploited Vulnerabilities Catalog」に10個の脆弱性を追加したと伝えた。これら脆弱性はサイバー犯罪者によって積極的に悪用されていることが確認されているので注意が必要。

CISA Adds Ten Known Exploited Vulnerabilities to Catalog｜CISA

影響を受ける主な製品やサービスは次のとおり。

CVE-2022-26352 dotCMS - dotCMS

CVE-2022-24706 Apache - CouchDB

CVE-2022-24112 Apache - APISIX

CVE-2022-22963 VMware Tanzu - Spring Cloud

CVE-2022-2294 WebRTC - WebRTC

CVE-2021-39226 Grafana Labs - Grafana

CVE-2021-38406 Delta Electronics - DOPSoft 2

CVE-2021-31010 Apple - iOS, macOS, watchOS

CVE-2020-36193 PEAR - Archive Tar

CVE-2020-28949 PEAR - Archive Tar

脆弱性の主な内容は次のとおり。

今回カタログに追加された脆弱性は、最近公表されたものから2020年に公表されたものまで幅広い。カタログには、攻撃者に積極的に悪用されている脆弱性が追加される仕組みになっているが、古い脆弱性が含まれることも多い。リスクが高いものが追加されることから、カタログに追加された製品に関しては再度情報を確認するとともに、必要に応じてアップデートを適用することが望まれる。