- ひとことでCleo のファイル転送製品で、ログインなしに命令を実行される弱点です。
- 深刻度9.8 緊急CVSS v3.1
- まずやることHarmony などを 5.8.0.24 以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2024-55956 |
|---|---|
| 製品 | Cleo Multiple Products |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2024-12-17 |
| 米国政府機関の対応期限 | 2025-01-07 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-276（初期設定の権限の誤り） |
何が起きた
Cleo のファイル転送製品 Harmony、VLTrader、LexiCom で、Autorun フォルダの初期設定を悪用し、ログインしていない利用者が Bash や PowerShell の命令を持ち込んで実行できる弱点が見つかりました。ネットワーク経由で、ログインしていない攻撃者が悪用でき、実際の悪用が確認されています。ランサムウェアの攻撃での悪用も確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Cleo の勧告では、Cleo Harmony、VLTrader、LexiCom の 5.8.0.24 より前のバージョンが影響を受けます。
何をすればいい
Cleo の勧告に従って、Harmony、VLTrader、LexiCom をすぐに 5.8.0.24 以降に更新してください。対策ができない場合は、CISA の案内のとおり利用の停止を検討してください。
やることチェックリスト
- Harmony などを 5.8.0.24 以降に更新する
- 3製品のバージョンを確認する
- 対策できなければ利用の停止を検討する
用語メモ
- ランサムウェア 用語集で見る
- データを暗号化して使えなくし、元に戻す代わりにお金を要求する不正なプログラムです。
- PowerShell
- Windows で命令を入力してコンピューターを操作するためのしくみです。
- Bash
- Linux などで命令を入力してコンピューターを操作するためのしくみです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Cleo Multiple Products Unauthenticated File Upload Vulnerability
概要
Cleo Harmony, VLTrader, and LexiCom, which are managed file transfer products, contain an unrestricted file upload vulnerability that could allow an unauthenticated user to import and execute arbitrary bash or PowerShell commands on the host system by leveraging the default settings of the Autorun directory.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る