Progress Flowmonの重大な脆弱性にPoC登場：CVE-2024-2389

4月25日：サイバーセキュリティ関連ニュース

Progress Flowmonの重大な脆弱性用PoCがリリース（CVE-2024-2389）

Help Net Security – April 24, 2024

Progress（プログレス・ソフトウェア）のFlowmonにおける重大な脆弱性（CVE-2024-2389）の詳細とPoCエクスプロイトが公開された。

Flowmonはセガ、TDK、起亜など世界中の1,500以上の組織がネットワークの監視と異常検知を行うために使うセキュリティソリューション。

CVE-2024-2389はOSコマンドインジェクションの脆弱性で、悪用に成功すると、認証されていないリモートの攻撃者はFlowmonのWebインターフェースにアクセスし、慎重に細工されたAPIコマンドを発行することで、認証なしに任意のシステムコマンドを実行することができるようになる恐れがある。

影響を受けるのはFlowmonのバージョン11、12のシリーズ。なお、この脆弱性には今月初めにパッチがリリースされている。

Flowmonの顧客は、できるだけ早くパッチが適用されたバージョン（v12.3.5またはv11.1.14）のいずれかにアップグレードし、すべてのFlowmonモジュールをアップグレードすることが推奨されている。

Google、Chromeの重大な脆弱性を修正（CVE-2024-4058、CVE-2024-4059他）

SecurityWeek – April 24, 2024

Googleは24日、Chrome 124のアップデートをリリースし、重大なセキュリティホールを含む4件の脆弱性を修正した。

最も深刻度が高い「緊急」の評価を受けた脆弱性は、CVE-2024-4058として追跡されているもの。これはグラフィックレイヤーエンジンANGLEの型混乱バグと説明されている。この脆弱性が実際の攻撃で悪用されているかどうかについて、Googleは何も言及しなかった。ただ、Chromeの型混乱バグが脅威アクターに悪用されることは珍しくなく、通常はV8 JavaScriptエンジンに影響を与える。

なお、過去数年間で「緊急」の評価を受けたChromeの脆弱性はわずかしかなく、同社もこれを発見したエシカルハッカーチームQrious Secureのメンバー2人を高く評価。1万6,000ドルの報奨金が与えられたという。

そのほかにも最新のアップデートにより、V8 APIの境界外読み取り（CVE-2024-4059）と、Dawnコンポーネントの解放後使用（CVE-2024-4060）という、「重要」と評価された2件の脆弱性が修正された。残る1件については、現時点でCVE番号は公表されていない。