最近の脆弱性 › CVE-2024-1212

Progress Kemp LoadMaster のOSコマンドインジェクションの脆弱性（CVE-2024-1212）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2024-1212
製品	Progress Kemp LoadMaster
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-11-18
米国政府機関の対応期限	2024-12-09
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78

何が起きた

Progress Kemp LoadMaster（通信を複数のサーバーに振り分ける機器のソフト）の管理画面に、OS コマンドインジェクションの弱点が見つかりました。ログインしていない攻撃者が管理画面を通してシステムに入り、任意の（攻撃者が好きに選べる）コマンドを実行できます。NVD の評価では、ログイン不要の攻撃者がネットワーク経由で離れた場所から悪用できます。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Progress Kemp LoadMaster を使っている組織が対象です。CVE の記録では、7.2.48.1 以上 7.2.48.10 未満、7.2.54.0 以上 7.2.54.8 未満、7.2.55.0 以上 7.2.59.2 未満が影響を受けるとされています。

何をすればいい

LoadMaster を修正版に更新してください。CVE の記録と Progress のリリースノートでは、7.2.59.2、7.2.54.8、7.2.48.10 が修正版とされています。使っている系列に合った修正版になっているかを確かめ、最新の公式の案内も確認してください。

やることチェックリスト

7.2.59 系は 7.2.59.2 以降に更新する
7.2.54 系は 7.2.54.8 以降に更新する
7.2.48 系は 7.2.48.10 以降に更新する

用語メモ

OS コマンドインジェクション: 入力の中に命令を紛れ込ませて、機器の OS に意図しないコマンドを実行させる攻撃の手口です。
管理画面: 機器やソフトの設定を変えるために、管理者が使う画面のことです。
KEV: 米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。

元データ（英語・CISA KEV より）

Progress Kemp LoadMaster OS Command Injection Vulnerability

概要

Progress Kemp LoadMaster contains an OS command injection vulnerability that allows an unauthenticated, remote attacker to access the system through the LoadMaster management interface, enabling arbitrary system command execution.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.