企業が取るべき脆弱性対策【前編】
米CISAが「脆弱性カタログ」更新 政府機関“お墨付き”の危ない欠陥は
米国政府機関は、実際に悪用されている脆弱性をカタログにまとめている。一般企業もこのカタログを確認し、適切な対策を取ることが推奨されている。
米国のサイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は2022年9月、悪用された脆弱（ぜいじゃく）性をまとめたカタログ「Known Exploited Vulnerabilities Catalogue」に6件の脆弱性を新しく追加した。
CISAが警戒する“危険な脆弱性”は
併せて読みたいお薦め記事
「脆弱性」関連の注目記事
CISAの脆弱性カタログは、サイバー空間に流通する影響力のある脆弱性をまとめており、米国政府機関のセキュリティにおける中心的な役割を担っている。米政府機関はカタログに準拠し、脆弱性に対してパッチ（修正プログラム）を適用する義務がある。政府機関以外の組織にとっても、最新のカタログに準拠することは有益だと言える。
カタログに新たに追加された脆弱性と、そのCVE（共通脆弱性識別子）は以下の通り。
- CVE-2022-40139：トレンドマイクロのエンドポイントセキュリティ製品「Trend Micro Apex One」および「Trend Micro Apex One SaaS」における、検証不備が原因の脆弱性。標的のサーバで不正なプログラムを動作させるリモートコード実行（RCE）につながる。
- CVE-2013-6282：オープンソースソフトウェア（OSS）のOS「Linux」のカーネルにおける脆弱性。アプリケーションによるカーネルメモリ（保護されたメモリ領域）の読み書きが可能となり、不正な権限昇格につながる。
- CVE-2013-2596：Linuxのカーネルにおける脆弱性。コンピュータが扱える最大値を超える整数を与えることで発生する「整数オーバーフロー」の悪用が可能であり、不正な権限昇格につながる。
- CVE-2013-2094：Linuxのカーネルにおける脆弱性。カーネルが、「attr.config」の命令によってユーザー空間から渡されたデータ型全てが64bitであることをチェックしないことに起因して、不正な権限昇格につながる。
- CVE-2013-2597：Linux FoundationのプロジェクトCode Aurora Forumのドライバ「ACDB Audio Driver」の脆弱性。スタック（メモリの領域）におけるバッファオーバーフローを引き起こし、攻撃者による不正な権限昇格が可能となる。同ドライバはモバイルOS「Android」の搭載端末を含む複数のサードパーティー製品で使用されている。
- CVE-2010-2568：MicrosoftのOS「Windows」の脆弱性。Windowsがショートカットを正しく解析せず、不正なショートカットのアイコンを表示すると、悪意のあるコードが実行される。
米国政府機関は、2022年10月6日までにこれらの新しい脆弱性に対処するためのパッチを適用する必要がある。他の組織はこのスケジュールに沿う義務はないが、迅速に対処することが推奨される。
Computer Weekly発 世界に学ぶIT導入・活用術
米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly発 世界に学ぶIT導入・活用術
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
[株式会社キーエンス] PCが苦手でも自動化できる ポポラマーマなど4事例に学ぶ「ナビ搭載型RPA」活用 -
製品資料
[株式会社クレオ] IT部門を“価値創造組織”へ転換 IT管理プロセスの改革で戦略的リソースを確保 -
製品資料
[株式会社クレオ] Excel管理が限界に――ITサービス管理の脱・属人化と運用高度化を実現する方法 -
製品資料
[株式会社クレオ] 西武グループやイオングループも実践 事例に学ぶ「ITサービスデスク業務」改善 -
製品レビュー
[株式会社クレオ] 「使われないITシステム」から脱却 現場が求める業務改善を実現する方法
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
2
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
3
「レガシーシステム・老朽化システムの運用課題と刷新」に関するアンケート
-
4
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
5
セキュリティは「情シス任せ」が過半数 漏えい発生時やSCS評価制度の課題は？
-
6
1回で分かる：仮想マシンを丸ごとバックアップする「VADP」の仕組み
-
7
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
8
脱VMwareか、継続か？ 仮想化ソフト主要6製品の運用管理と統制機能を徹底比較
-
9
世界PC出荷数が20％急減 情シスを直撃するPC先行調達の反動と価格高騰
-
10
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
4
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
5
プログラミング不要で誰でも実現できる、ネットワーク運用管理の自動化とは
-
6
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
7
東大教授と考える、AI時代の「データ主権」「信頼性」「ガバナンス」の在り方
-
8
Linux初心者でも知らないとまずい「RHEL」「SLES」の違いとは？
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
ランサムウェア攻撃“究極の対策”はこれだ
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー