クラウドベースのエンタープライズプラットフォームであるServiceNowは、2024年8月および10月に、深刻な脆弱性であるCVE-2024-8923およびCVE-2024-8924に対応するパッチをリリースしました。これらの脆弱性は、ServiceNowのNow Platformを利用する企業にとってリスクが高く、適切に対処しなければ機密情報漏洩やプラットフォームの安全性が損なわれる恐れがあります。
セキュリティ修正の概要
- CVE-2024-8923：リモートコード実行のリスク
- CVSSスコア9.8と評価されたこの脆弱性は、ServiceNowのNow Platformにおいて、入力検証の不備により発生しました。未認証の攻撃者がリモートで任意のコードを実行できる可能性があり、プラットフォームのセキュリティを深刻に脅かすものでした。
- ServiceNowは、「この脆弱性により、未認証ユーザーがリモートコードをNow Platform内で実行できる可能性がある」とコメントしており、リスクの高い脆弱性として早急なパッチ適用が推奨されています。
- CVE-2024-8924：ブラインドSQLインジェクションによる機密情報漏洩のリスク
- CVSSスコア7.5のブラインドSQLインジェクション脆弱性であり、攻撃者が機密情報に不正にアクセスするリスクが存在します。この脆弱性が悪用された場合、未認証の攻撃者が意図せずして組織の重要なデータへアクセスできる可能性がありました。
過去の事例と適切な対応の重要性
ServiceNowプラットフォームはサイバー攻撃者にとっても魅力的な標的となっており、今年7月には古い脆弱性（CVE-2024-4879、CVE-2024-5217、CVE-2024-5178）が悪用され、政府機関やデータセンター、主要企業に対する攻撃が発生しました。これにより、ServiceNowインスタンスが含まれる複数の組織でデータ漏洩の被害が確認されています。
ServiceNowユーザーは、新たな脆弱性だけでなく、古い脆弱性についても定期的にセキュリティアップデートを行い、常に最新のパッチを適用することが推奨されます。今回リリースされたパッチの早急な適用は、企業の情報保護とプラットフォームのセキュリティ維持において非常に重要です。
