Windows向けソフトウェアデプロイツールに資格情報窃取のおそれ

SecurityNEXTは『ソフトウェアの展開やパッチ管理などの機能を備えた管理者向けツール「PDQ Deploy」において資格情報を窃取される脆弱性が指摘されている。』と報じた。

報道内容では『デプロイの処理中に指定されたアカウントの資格情報が窃取される危険性が指摘されているもの。CERT/CCが現地時間12月11日にアドバイザリを公開、JVNを通じても注意が呼びかけられている。』とのこと。

企業などに導入されている、ソフトウェアの展開やパッチ管理などの機能を備えた管理者向けツール「PDQ Deploy」において資格情報を窃取される脆弱性が指摘されている。との報道です。

JVNなどの情報で気づくよりも先に、ベンダーさんからバージョンアップの連絡が来ているかと思います。

ベンダーさん依存ではないですが、そうした情報提供は重要なサービスの１つです。もし、そうした連絡がなかった場合には、ベンダーさんに連絡がなかった理由を確かめる必要があるくらいだと思います。

さて、実際に今回の管理者向けツールの具体的なバージョンアップ作業の難易度は分かりませんが、そうした手間も情シスさんの手間が増える要因ですね。

https://www.security-next.com/165351

Windows向けソフトウェアデプロイツールに資格情報窃取のおそれ

https://jvn.jp/vu/JVNVU93812400/index.html

PDQ Deployのサービス実行中に資格情報が窃取される問題