セキュリティ

SECURITY

公開：2024-12-24

【CVE-2024-55956】Cleo製品に任意コマンド実行の脆弱性、CISAがKEVカタログに追加し緊急対応を要請

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Cleo製品に深刻な脆弱性が発見される
• 任意のコマンド実行が可能な状態に
• バージョン5.8.0.24より前のバージョンが対象

Cleo Harmony、VLTrader、LexiComの脆弱性

米国のサイバーセキュリティ機関MITREは、2024年12月13日にCleo HarmonyやVLTrader、LexiComに深刻な脆弱性が存在することを公開した。この脆弱性は認証されていないユーザーがAutorunディレクトリのデフォルト設定を悪用し、ホストシステム上で任意のBashやPowerShellコマンドを実行できる可能性があるものだ。^[1]

この脆弱性はCVSS 3.1で9.8のクリティカルな深刻度が割り当てられ、攻撃者は特別な権限や利用者の操作を必要とせずに攻撃を実行できる状態にある。影響を受けるのはバージョン5.8.0.24より前のCleo Harmony、VLTrader、LexiComであり、すでに野外での活発な攻撃が確認されている。

米国のCISAはこの脆弱性をKnown Exploited Vulnerabilities（KEV）カタログに追加し、CVE-2024-55956として識別している。脆弱性のタイプはCWE-276の不適切なデフォルトパーミッションに分類され、直ちにパッチ適用やバージョン更新による対策が必要な状況となっている。

脆弱性の詳細まとめ

Cleoのセキュリティアドバイザリの詳細はこちら

デフォルトパーミッションについて

デフォルトパーミッションとは、システムやアプリケーションがインストールされた際に初期設定として付与されるアクセス権限のことを指す。主な特徴として以下のような点が挙げられる。

• システムやアプリケーションの初期状態での権限設定
• ファイルやディレクトリへのアクセス制御の基本となる仕組み
• 不適切な設定により意図しないアクセスを許可する可能性

Cleo製品の脆弱性では、Autorunディレクトリのデフォルトパーミッションが適切に設定されていないことが問題となっている。この設定の不備により、認証されていないユーザーが任意のコマンドを実行できる状態となり、システムのセキュリティが大きく損なわれる可能性が出てきているのだ。

Cleo製品の脆弱性に関する考察

Cleo製品の脆弱性が深刻な問題として取り上げられている背景には、企業間データ連携ツールとしての重要性が関係している。特にBashやPowerShellコマンドの実行が可能となることで、攻撃者はシステム内部への侵入やデータの改ざん、さらには機密情報の窃取など、多岐にわたる攻撃を仕掛けることが可能となるだろう。

今後はAutorunディレクトリの設定に関する監視体制の強化や、定期的なセキュリティ診断の実施が重要となってくる。また、デフォルトパーミッションの見直しや、アクセス制御の厳格化など、セキュリティ設計の段階からより慎重な対応が必要になってくるだろう。

企業間のデータ連携ツールにおけるセキュリティ対策は、ビジネスの継続性に直結する重要な課題となっている。Cleoには今回の事例を教訓として、より強固なセキュリティ設計の実現と、迅速な脆弱性対応の体制構築が期待される。

参考サイト

1. ^ CVE. 「CVE-2024-55956 | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-55956, (参照 24-12-24).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧