CISAが警告、Microsoft・Linux・Red Hat・Citrix製品で悪用が確認された6件の脆弱性

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は8月26日、既知の悪用された脆弱性(KEV)カタログに6件の新たな脆弱性を一括で追加し、政府機関および重要インフラ事業者に対して迅速なパッチ適用を促しました。

CISAのKEVカタログに掲載されるということは、同庁が実際の悪用の証拠を確認したことを意味します。

8月26日付のリストには、深刻度の高い脆弱性が2件含まれていました。

1件目はCVE-2026-8452として追跡されている、NetScaler ADCおよびNetScaler Gatewayにおけるメモリオーバーフローの脆弱性です。

Citrixは6月末にこの脆弱性を報告しており、深刻度評価(CVSS)は8.8とされています。

アプライアンスがGateway(SSL VPN、ICA Proxy、CVPN、RDP Proxy)またはAAA仮想サーバーとして設定されている場合、この脆弱性を悪用されると予測不能または誤った動作、およびサービス拒否(DoS)につながる可能性があります。

Citrixは以下のアップデートでパッチを提供しています。

• NetScaler ADCおよびNetScaler Gateway 14.1-72.61以降のリリース
• NetScaler ADCおよびNetScaler Gateway 13.1-63.18以降の13.1系リリース
• NetScaler ADC 14.1-FIPS 14.1-72.61 FIPS以降の14.1-FIPSリリース
• NetScaler ADC 13.1-FIPSおよび13.1-NDcPP 13.1.37.272以降の13.1-FIPSおよび13.1-NDcPPリリース

2件目のCVE-2019-1068は、2019年に発見されたMicrosoft SQL Serverにおけるリモートコード実行(RCE)の脆弱性で、こちらも同じく深刻度評価8.8となっています。

パッチが7年前から提供されているにもかかわらずKEVに追加されたという事実は、脅威アクターが未パッチのシステムに対して今なおこの脆弱性を悪用し続けていることを示しています。

この脆弱性の悪用には、影響を受けるSQL Serverに対して特別に細工されたクエリを送信する手口が用いられます。これにより、攻撃者はSQL Server Database Engineサービスアカウントの権限でコードを実行できる可能性があります。

CISAは政府機関に対し、両脆弱性について8月29日までにパッチを適用するよう求めました。

8月26日にCISA KEVカタログへ追加されたその他の脆弱性は、いずれも発見から数年が経過したものですが、米国当局によれば9月9日までにパッチ適用が必要とされています。

該当する脆弱性は以下の通りです。

• CVE-2015-3246: Red Hat Libuserの競合状態(レースコンディション)の脆弱性(CVSS評価: 5.1)
• CVE-2015-5287: Red Hat automatic bug reporting toolの権限昇格の脆弱性(CVSS評価: 7.8)
• CVE-2021-23758: Ajax.NET professionalの信頼できないデータのデシリアライゼーションの脆弱性(CVSS評価: 8.1)
• CVE-2022-0995 Linuxカーネルの境界外書き込みの脆弱性(CVSS評価: 7.8)

画像クレジット: Pavel Kapysh / JHVEPhoto / Shutterstock.com