最近の脆弱性 › CVE-2024-50623

Cleo Multiple Products の危険なファイルのアップロードの脆弱性（CVE-2024-50623）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2024-50623
製品	Cleo Multiple Products
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-12-13
米国政府機関の対応期限	2025-01-03
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-434

何が起きた

Cleo の Harmony、VLTrader、LexiCom という、企業どうしでファイルをやり取りする製品に、ファイルのアップロードとダウンロードが制限なくできてしまう弱点が見つかりました。これを悪用されると、離れた場所から攻撃者がプログラムを動かせる（リモートコード実行）おそれがあり、CISA の説明では高い権限で動かされるとされています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際の悪用が確認されており、ランサムウェアの攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cleo Harmony、VLTrader、LexiCom を使っている企業や組織が対象です。Cleo の勧告では、いずれも 5.8.0.21 より前の版が影響を受けます。

何をすればいい

Cleo の勧告に従って、Harmony、VLTrader、LexiCom をすぐに 5.8.0.21 以降に更新してください。Cleo は、見つかったほかの攻撃経路にも対処するため、最新のパッチを当てるよう強く勧めています。同じ製品には、5.8.0.24 で直された別の弱点（CVE-2024-55956）もあるため、あわせて確かめてください。

やることチェックリスト

Harmony・VLTrader・LexiCom の版を確認する
5.8.0.21 以降に更新する
対策できなければ製品の利用を中止する

用語メモ

リモートコード実行: 離れた場所から、ネットワークを通じて攻撃者が好きなプログラムを相手の機器で動かすことです。
ランサムウェア: データを暗号化するなどして使えなくし、元に戻す代わりに身代金を要求する不正なプログラムです。
アップロード: 手元のファイルを、ネットワークを通じてサーバーなどに送ることです。

元データ（英語・CISA KEV より）

Cleo Multiple Products Unrestricted File Upload Vulnerability

概要

Cleo Harmony, VLTrader, and LexiCom, which are managed file transfer products, contain an unrestricted file upload and download vulnerability that can lead to remote code execution with elevated privileges.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.