Progress Kemp LoadMaster のOSコマンドインジェクションの脆弱性（CVE-2024-1212）

何が起きた

Progress Kemp LoadMaster（通信を複数のサーバーに振り分ける機器のソフト）の管理画面に、OS コマンドインジェクションの弱点が見つかりました。ログインしていない攻撃者が管理画面を通してシステムに入り、任意の（攻撃者が好きに選べる）コマンドを実行できます。NVD の評価では、ログイン不要の攻撃者がネットワーク経由で離れた場所から悪用できます。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Progress Kemp LoadMaster を使っている組織が対象です。CVE の記録では、7.2.48.1 以上 7.2.48.10 未満、7.2.54.0 以上 7.2.54.8 未満、7.2.55.0 以上 7.2.59.2 未満が影響を受けるとされています。

何をすればいい

LoadMaster を修正版に更新してください。CVE の記録と Progress のリリースノートでは、7.2.59.2、7.2.54.8、7.2.48.10 が修正版とされています。使っている系列に合った修正版になっているかを確かめ、最新の公式の案内も確認してください。

やることチェックリスト

• 7.2.59 系は 7.2.59.2 以降に更新する
• 7.2.54 系は 7.2.54.8 以降に更新する
• 7.2.48 系は 7.2.48.10 以降に更新する

用語メモ

OS コマンドインジェクション 用語集で見る

入力の中に命令を紛れ込ませて、機器の OS に意図しないコマンドを実行させる攻撃の手口です。

管理画面 用語集で見る

機器やソフトの設定を変えるために、管理者が使う画面のことです。

KEV 用語集で見る

米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。