米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間1月10日、脆弱性3件を「悪用が確認された脆弱性カタログ（KEV）」へ追加した。
悪用されている3件の脆弱性を同リストへ追加し、米行政機関に対して一定期間内に対応するよう促すとともに広く注意を呼びかけた。
具体的には、「Microsoft SharePoint Server」の脆弱性「CVE-2023-29357」を追加した。権限昇格の脆弱性でマイクロソフトが2023年6月の月例セキュリティ更新で修正。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」とレーティングされている。
同脆弱性に関しては、2023年9月にセキュリティ研究者が「CVE-2023-24955」と組み合わせることでリモートよりコードの実行に成功したと投稿。同月には実証コード（PoC）が公開されていた。
またCISAでは、Ivantiのリモートアクセス製品「Ivanti Connect Secure（旧Pulse Connect Secure）」「Ivanti Policy Secure Gateways」に明らかとなった2件の脆弱性「CVE-2023-46805」「CVE-2024-21887」についても同リストに追加している。
コメント