CVSS v4.0が正式リリース　共通脆弱性評価システム最新版

11月2日：サイバーセキュリティ関連ニュース

CVSS v4.0が正式リリース　共通脆弱性評価システム最新版

BleepingComputer – November 1, 2023

共通脆弱性評価システム（CVSS）の最新版であるCVSS v4.0が、FIRSTにより正式にリリースされた。FIRSTによれば、この最新版では基本評価基準の粒度が高くなり、下流のスコアリングの曖昧さが取り除かれ、脅威評価基準が簡素化され、環境に固有のセキュリティ要件やそれを補う管理策を評価する際の有効性が高められているという。また、これまでのCVSS v3.1には存在しなかった補助的評価基準も新設されており、この基準は、攻撃の自動化可能性（ワーム性能の有無）、攻撃に対する回復力（レジリエンス）、リソースの充実度（脆弱性が攻撃された際に攻撃者が利用し得るリソースの量や状況）、脆弱性対策に必要な労力、プロバイダーによる緊急度評価の6つの評価項目で構成されている。さらに、CVSS v4.0における重要な改良点として、OT/ICS/IoTへの適用可能性が向上した点も挙げられている。このほか、詳しい変更点などはFIRSTのWebサイトで確認できる。

The CVSS Special Interest Group is proud to announce the official release of CVSS v4.0 – https://t.co/xxaoQ2iMjF. This latest version of CVSS seeks to provide all users with the highest fidelity vulnerability assessment.#FIRSTdotOrg #CVSS #BuildingTrust #PSIRT #CSIRT pic.twitter.com/uhyeqs8lSh

— FIRST.org (@FIRSTdotOrg) November 1, 2023

関連記事：脆弱性診断とは？やり方や診断内容、ツールの比較ポイントまで解説！

脆弱性「Citrix Bleed」の大規模悪用が進行中（CVE-2023-4966）

SecurityWeek – November 1, 2023

複数の脅威アクターが、何千ものNetScaler ADCおよびNetScaler Gatewayのインスタンスに存在する重大な脆弱性CVE-2023-4966（別名「Citrix Bleed」）を盛んに悪用していることを、セキュリティ研究者が警告している。しかし先週には研究者のBeaumont氏が、NetScalerの顧客の約半数はまだこの脆弱性に対するパッチ（10月10日にリリースされている）を適用していないと注意喚起していた。同脆弱性は、攻撃者が認証をバイパスして、機微情報を流出させることができる恐れがあるもの。先週末にかけてBeaumont氏は、攻撃者が、2万台以上の悪用されたNetScalerサーバーのセッショントークンを盗んでいると伝えた。また1日の時点で、158件の一意のIPアドレスが脆弱なインスタンスを標的にするために使用されたとのこと。この大規模な悪用に対してMandiantは、同脆弱性を悪用する脅威アクターを4人追跡しているほか、悪用されている兆候を発見するための手順を公開し、標的とされた地域を確認している。同社によれば、アメリカ大陸、EMEA地域、APAC地域の政府、法律・プロフェッショナルサービス、テクノロジー組織を狙った攻撃が観測されているとのこと。