ServiceNow、AI基盤の9.4脆弱性を修正

ServiceNowはすでにホスト型インスタンスへ修正を配信し、パートナーとセルフホスト顧客にも更新を提供している。残るリスクは、プラットフォームを自社運用しながらまだ適用していない組織にある。脆弱性は管理者ロールを前提とするため、引き金を引ける対象はプラットフォームの全ユーザー基盤より狭い。しかし影響は広い。Rhinoサンドボックスを回避して基盤のホストOS上でコードを実行できれば、さらなる意図しないアクセスにつながり得る。

アドバイザリはこの欠陥を不適切なアクセス制御の弱点であるCWE-284に関連付けている。ServiceNowは自社インスタンスへの悪意ある悪用を現時点で把握していないとしており、実務上の緊急性は、実際のインシデントへの対応ではなく、悪用が観測される前に窓を閉じることにある。