Trusted Design

解説:

CVE-2014-6287の脆弱性について、以下の観点で解説します。

1. 脆弱性の概要

Rejetto HTTP File Server (HFS) のバージョン2.3x（2.3cより前のバージョン）には、リモートから任意のコードを実行される脆弱性が存在します。この脆弱性は、parserLib.pasファイル内のfindMacroMarker関数が、検索アクションにおける%00（ヌルバイト）シーケンスを適切に処理しないことに起因します。これにより、リモートの攻撃者が任意のプログラムを実行できてしまいます。

1.1 影響

この脆弱性が悪用されると、攻撃者は対象システム上でHFSサービスプロセスの権限で任意のOSコマンドを実行する可能性があります。これにより、機密情報の取得、データの改ざん、システムの完全な制御、マルウェアのインストール、ファイルの表示・改ざん・削除、新規アカウントの作成、サービスの開始・停止などが可能になります。HFSがファイル共有に利用されている場合、共有ファイルの盗難や改ざんも起こり得ます。

1.2 深刻度

この脆弱性は深刻度が高いと評価されています。 * CVSS v3.1基本スコア: 9.8 (Critical) * CVSS v2基本スコア: 10.0 (Critical) * EPSSスコア: 99% (EPSSパーセンタイル: 100%または99.938%) * CISAの既知の悪用されている脆弱性（KEV）カタログに登録されており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

主にWindowsオペレーティングシステム（Windows Server 2008, Windows 8, Windows 7など）上でテストおよび悪用が確認されています。 脆弱性自体はHFSソフトウェアに存在するため特定のOSに限定されるものではありませんが、多くのエクスプロイトがWindows環境を標的としています。

2.2 影響を受ける設定

Rejetto HTTP File Server (HFS) のバージョン2.3xのうち、2.3cより前のバージョンが影響を受けます。 なお、バージョン2.3c自体もCVE-2014-7226という別のリモートコード実行の脆弱性を持っています。 デフォルト設定の公開されているHFSインスタンスは、認証なしでリモートから悪用される可能性が高く、自動化された攻撃ツールによって大規模に悪用される恐れがあります。 標的のHFSバージョンでスクリプト実行が有効になっている必要があります。

3. 影響を受けた時の兆候

• システム上で予期しないコマンド実行結果が見られる場合（例：cmdコマンドからの異常な出力）。
• 攻撃者のマシンへのリバースシェル接続。
• 予期しないネットワークトラフィック（例：ブラインド実行テストでpingコマンドが使用された場合のICMPパケット）。
• 不正なユーザーアカウントの存在やファイルの改ざん。
• 検索アクションのログに%00シーケンスとそれに続く疑わしいコマンドが見られる場合。
• Nessusなどの脆弱性スキャナーで検出されることがあります。

4. 推奨対策

4.1 本対策

• HFSのアップグレード: Rejetto HTTP File Serverをバージョン2.3c以降、またはHFS 3以降の最新バージョンにアップグレードしてください。
  • ベンダーのセキュリティアドバイザリチャネルを確認し、パッチが適用されたHFSバージョンにアップデートしてください。
  • Windowsシステムの場合、通常は新しいバージョンのインストーラーをHFSプログラムディレクトリで実行して古いバージョンを上書きするか、コントロールパネルから古いバージョンをアンインストールしてから新しいバージョンをインストールします。

4.2 暫定回避策（緩和策）

直ちにアップグレードできない場合の緩和策は以下の通りです。 * 検索機能の無効化: HFSの構成ファイル（hfs.ini）内で検索関連のマクロやテンプレートを削除またはコメントアウトするか、検索ページへのリンクを削除して/searchインターフェースへの応答を停止します。 * リバースプロキシによる悪意のあるリクエストのフィルタリング: * Nginxを使用している場合、以下のルールを追加します。 nginx if ($args ~* "%00") { return 403; } * Apacheの.htaccessファイルを使用している場合、以下のルールを追加します。 apache RewriteEngine On RewriteCond %{QUERY_STRING} "%00" [NC] RewriteRule .* - [F,L] * ファイアウォール/IPSルールの適用: 境界ファイアウォールまたは侵入防止システム（IPS）で、%00を含むHTTPリクエストをブロックするルールを設定します（ただし、正当な通信に影響を与えないよう注意が必要です）。 * WAFルールの適用: Webアプリケーションファイアウォール（WAF）で、例えばModSecurityを使用している場合、以下のルールを追加します。 SecRule ARGS "@contains %00" "id:100001,phase:1,deny,status:403,msg:'CVE-2014-6287 blocked'"

他に解説すべき観点

• 既知の悪用: この脆弱性に対する公開されたエクスプロイトコードが多数存在し、MetasploitモジュールやPythonスクリプトなどが含まれます。
• CISA KEVへの登録: 2022年3月25日にCISAの「既知の悪用されている脆弱性（KEV）カタログ」に追加され、2022年4月15日までに是正措置を講じる必要があるとされました。 これは、この脆弱性が活発に悪用されており、早急な対策が極めて重要であることを示しています。
• 脆弱性の根本原因: この脆弱性は、parserLib.pasファイルのfindMacroMarker関数におけるヌルバイトインジェクションという入力検証の不備に起因します。検索クエリ内の%00シーケンスが正規表現による解析をバイパスし、後続のコマンドが実行されてしまいます。

参照したサイト

• NVD-CVE-2014-6287 - NIST
• Case: Rejetto HTTP File Server - Medium
• CVE-2014-6287: Improper Control of Generation of Code | Rapid7 Vulnerability Database
• KEV Catalog: Rejetto HTTP File Server Remote Code Execution Vulnerability (CVE-2014-6287) | Secured
• Rejetto HTTP File Server (HFS) 2.3.x - Remote Command Execution (1) - Exploit-DB
• Rejetto HTTP File Server (HFS) - Remote Command Execution (Metasploit) - Exploit-DB
• CVE-2014-6287 exploited: patch Rejetto HTTP File Server (HFS) now - Senserva
• Web Attack: Rejetto HttpFileServer CVE-2014-6287 - Broadcom Inc.
• Rejetto HTTP File Server (HFS) 2.3.x - Remote Command Execution (2) - Exploit-DB
• CVE-2014-6287漏洞利用 - CSDN博客
• Rejetto HttpFileServer 2.3.x - Remote Command Execution (3) - Windows webapps Exploit
• CVE-2014-6287 - Kitploit
• CVE-2014-6287.yaml - projectdiscovery/nuclei-templates - GitHub
• HFS リモートコマンド実行エクスプロイト (CVE-2014-6287) - Kitploit
• Rejetto HTTP File Server < 2.3c Remote Code Execution | Tenable®
• JVNVU#95507011: Rejetto HFS (HTTP File Server) に null バイトの取扱いに関する脆弱性
• francescobrina/hfs-cve-2014-6287-exploit - GitHub
• CVE-2014-6287用に書かれたエクスプロイトのPython3版です。Metasploitを使わずにTryHackMe.comの「Steel Mountain」ルームを攻略するのに役立ちます。 | Kitploit
• Rejetto HTTP File Server'ParserLib.pas'代码注入漏洞- CT Stack 安全社区 - 长亭科技