米政府機関で影響がでている「MOVEit File Transfer」の脆弱性～その概要と考えておくべきポイントを整理
米政府機関などで広く利用されている「MOVEit File Transfer」の脆弱性について、2023年6月15日（現地時間）CISAからアラートが発令され、ユーザと組織に軽減策の適用など促しています。現在把握できている情報をもとに、組織の皆さまにご確認いただいたきい点をお知らせします。
脆弱性内容
脆弱性
CVE-2023-35708（2023年6月15日）
CVE-2023-35036（2023年6月9日）
CVE-2023-34362（2023年5月31日）
本サービスを利用している企業や組織は、MOVEitの親会社Progress社が公開している最新の情報をご確認いただき、迅速に修正プログラムの適用や軽減策を検討することを推奨します。
・MOVEit Transfer and MOVEit Cloud Vulnerability ―一連の脆弱性概要と修正パッチ
・MOVEit Transfer Critical Vulnerability – CVE Pending (June 15, 2023) ―最新脆弱性（CVE-2023-35708）と軽減策
「MOVEit File Transfer」は Progress Software社が提供しているファイル転送・共有サービスです。「MOVEit File Transfer」に権限昇格や不正アクセスにつながる可能性のある脆弱性が確認され、2023年6月15日（現地時間）、Progress社 からセキュリティアドバイサリーが公開されました※1。また同日、CISAからすでに複数の政府機関でこの脆弱性を悪用したサイバー攻撃が確認されているこ と※2、また、セキュリティアラートを発令し、ユーザーおよび組織に対し、緩和策の実行、アップデートの適用を促しました※3。
※1 MOVEit Transfer Critical Vulnerability – CVE Pending (Progress Software、2023/6/15)
※2 US energy department, other agencies hit in global hacking spree（Reuters、2023/6/16）
※3 ALERT Progress Software Releases Security Advisory for MOVEit Transfer Vulnerability (CISA、2023/6/15)
対策と点検
冒頭のProgress社から修正パッチと軽減策をご確認いただき対応を検討してください。
また、ファイル転送、共有というサービス特性上、外部のパートナー、お客様とのやりとりに利用されます。「MOVEit File Transfer」は、米国を中心に広く利用されているサービスですが、日本でのサービ ス提供を行っています。組織内に利用部門、ユーザーがいないか念のため注意喚起を行うとともに、拠点や取引先などサプライチェーン含めた点検、対策を実施ください。
トレンドマイクロのソリューションをご利用のお客様
・引き続 きトレンドマイクロでは、今回の脆弱性の悪用を含めた、サイバー攻撃をリアルタイムで監視、対処しています。トレンドマイクロ製品による軽減策と検知状況については以下ご確認ください。
トレンドマイクロ製品による軽減策と検知（ファイル転送サービスMOVEit File Transferに深刻なSQLインジェクションの脆弱性 2023/6/19）
・Trend Vision One （XDR機能およびASRMアタックサーフェスリスクマネジメント機能搭載）のRisk Insightsを利用し、この脆弱性の影響を受ける資産をスキャンして特定し、各レイヤーのトレンドマイクロ製品から検出、防御を実施いただけます。
これからのセキュリティアプローチ「ASRM」
脆弱性など組織を取り巻くセキュリティの脅威は軽微なものから深刻なものまで、常に発生しています。これまでのように、事象ごとに、個別のセキュリティで対応していくことは、対策のギャップとそれによるリスクの残存、また対処の遅れや効率性の低下など、組織全体として、セキュリティ体制、レベルの低下を招きかねません。
こうした状況に対応していくためには、自組織を取り巻く攻撃対象領域とそのセキュリティリスクを網羅的に把握する必要があります。つまり、自組織の攻撃対象領域（アタックサーフェス、Attack Surface） を正確に把握し、リスクマネジメント（アタックサーフェスリスクマネジメント、Attack Surface Risk Management） を行うことで、組織における包括的なセキュリティリスク低減を実現するができます。
「MOVEit File Transfer」の脆弱性と攻撃の詳細は以下をご参照ください。
ファイル転送サービスMOVEit File Transferに深刻なSQLインジェクションの脆弱性：影響と対策を解説(2023/6/19)