Trusted Design

CVE-2017-17562 の詳細

CVEの情報

説明:
Embedthis GoAhead before 3.6.5 allows remote code execution if CGI is enabled and a CGI program is dynamically linked. This is a result of initializing the environment of forked CGI scripts using untrusted HTTP request parameters in the cgiHandler function in cgi.c. When combined with the glibc dynamic linker, this behaviour can be abused for remote code execution using special parameter names such as LD_PRELOAD. An attacker can POST their shared object payload in the body of the request, and reference it using /proc/self/fd/0.

CVE更新日: 2017-12-12 19:29:00.207000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2021-12-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.962620000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2017-17562について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2017-17562は、Embedthis GoAhead Webサーバーに存在するリモートコード実行（RCE）の脆弱性です。この脆弱性は、CGIスクリプトがCGIハンドラ関数（cgi.c内のcgiHandler関数）によってどのように処理されるかを悪用します。具体的には、フォークされたCGIスクリプトの環境が、信頼できないHTTPリクエストパラメータを使用して初期化されることに起因します。glibcの動的リンカと組み合わせることで、この動作はLD_PRELOADのような特殊なパラメータ名を使用してリモートコード実行に悪用される可能性があります。攻撃者は、リクエストのボディに共有オブジェクトのペイロードをPOSTし、/proc/self/fd/0を使用してそれを参照できます。

この脆弱性は、2017年12月にセキュリティ企業Elttamの研究者によって公開されました。

1.1 影響

この脆弱性が悪用されると、認証されていない攻撃者がWebサーバープロセスと同じ権限で任意のコードを実行できるようになり、結果として影響を受けるデバイスを完全に制御できる可能性があります。これは、ルーター、プリンター、IoTデバイスなど、GoAhead Webサーバーを組み込んだ多数のインターネット接続製品に重大な脅威をもたらします。

1.2 深刻度

  • CVSS v3.1 基本評価値: 8.1 (高)
  • CVSS v2 基本評価値: 6.8 (中)

この脆弱性は、単一の認証されていないHTTPリクエストでトリガーできるため、悪用可能性が高いとされています。また、CISAは2021年12月にこの脆弱性を「既知の悪用されている脆弱性カタログ（KEV）」に追加しており、実際に悪用が確認されています。

2. 対象となる環境

影響を受けるソフトウェア: Embedthis GoAhead Webサーバー。

2.1 影響を受けるOSバージョン

GoAhead Webサーバーのバージョンに依存し、特定のOSバージョンに限定されません。GoAheadがファームウェアに組み込まれている様々なデバイスが影響を受けます。

2.2 影響を受ける設定

  • CGIが有効になっている場合。
  • CGIプログラムが動的にリンクされている場合。
  • ターゲットのローダーがLD_PRELOAD環境変数を尊重する場合。

3. 影響を受けた時の兆候

  • NessusやOpenVASなどのネットワーク脆弱性スキャナーは、CVE-2017-17562を検出するためのプラグインを提供しています。これらのツールは、サーバーの応答（例：Qualys QID 11894の場合、HTTPヘッダーに「qualysrce」）をテストすることで、脆弱性を特定できます。
  • ホストベースの検出では、デバイスのファームウェアバージョンを確認し、GoAheadのバージョンが3.6.5より前であるかを調べることができます。
  • （一般的な兆候として）不審なログインパターンやデータ転送なども、侵害の兆候である可能性がありますが、このCVEに特化したものではありません。

4. 推奨対策

4.1 本対策

  • GoAheadサーバーをバージョン3.6.5以降にアップデートする。
  • エンドユーザーは、デバイスメーカーのウェブサイトでファームウェアのアップデートを確認し、速やかに適用してください。
  • 本脆弱性の修正は、cgi.c内のcgiHandler関数で、特殊なパラメータをスキップし、残りのパラメータにCGI_のプレフィックスを付けることで行われています。

4.2 暫定回避策（緩和策）

  • パッチが利用できない場合、デバイスをインターネットから隔離する。
  • 適切に設定されたファイアウォールの背後に配置し、Webインターフェースへのアクセスを制限する。
  • CGI処理を無効にする。
  • ソフトウェアをコンパイルする際に、ME_GOAHEAD_UPLOADまたはME_GOAHEAD_CGIフラグを無効にする。
  • すべてのCGIバイナリを削除する。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る