Microsoft SharePoint の脆弱性が実攻撃で悪用、米CISAが警告

ITmedia NEWS によると、SharePoint のコード生成に関する不備を突く脆弱性が実際の攻撃で悪用されており、米 CISA が警告を出した。

現時点で入手できているのは見出しのみで、脆弱性の識別番号（CVE）、影響を受ける製品のバージョン（オンプレミス版かクラウド版か）、修正プログラムの提供状況、攻撃によってどのような被害が起きうるのかは確認できていない。

「コード生成の不備」は、ソフトウェアが入力をもとにプログラムの一部を組み立てる処理で、外部から細工した入力を与えると、意図しないコードとして解釈・実行されてしまう種類の欠陥を指すとみられる。この種の脆弱性は、攻撃者に任意の処理を実行させる経路になりやすく、深刻度が高く評価されることが多い。

CISA は、実際に悪用が確認された脆弱性を公表し、米連邦政府機関に対応を求めている。この警告は政府機関以外にとっても、「すでに攻撃が始まっている」ことを示す信頼性の高い指標として扱われる。SharePoint は企業の文書共有基盤として広く使われており、侵入されれば社内の機密文書に到達されるおそれがある。