Trusted Design

解説:

CVE-2017-9248に関する脆弱性の調査結果を以下に解説します。

1. 脆弱性の概要

Progress Telerik UI for ASP.NET AJAX の Telerik.Web.UI.dll、および Progress Sitefinity の特定のバージョンにおいて、Telerik.Web.UI.DialogParametersEncryptionKey または MachineKey が適切に保護されていない脆弱性です。これにより、リモートの攻撃者が暗号保護メカニズムを回避しやすくなります。

1.1 影響

本脆弱性が悪用されると、MachineKey の漏洩、任意のファイルのアップロードまたはダウンロード、クロスサイトスクリプティング (XSS) 攻撃、または ASP.NET ViewState の内容の改ざんにつながる可能性があります。

1.2 深刻度

• CVSS v3.1 基本評価基準: 9.8 (緊急 - CRITICAL)
  • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CVSS v2.0 基本評価基準: 7.5 (危険 - HIGH)

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は特定のOSバージョンに依存するものではなく、影響を受けるソフトウェアコンポーネントが稼働する環境が対象となります。

2.2 影響を受ける設定

• Progress Telerik UI for ASP.NET AJAX R2 2017 SP1 (2017.2.503) およびそれ以前のバージョン
• Progress Sitefinity 10.0.6412.0 より前のバージョン
• 上記のコンポーネントを使用している製品も本脆弱性の影響を受ける可能性があります。

3. 影響を受けた時の兆候

直接的な「兆候」として、以下のような事象が発生する可能性があります。 * MachineKey の漏洩 * 意図しないファイルのアップロードやダウンロード * WebサイトでのXSS攻撃の発生 * ASP.NET ViewState の改ざん

4. 推奨対策

4.1 本対策

開発元であるProgress Software Corporationが提供する情報に基づき、対象製品を最新版へアップデートしてください。 具体的には、Telerik UI for ASP.NET AJAX を R2 2017 SP1 以降に、Sitefinity を 10.0.6412.0 以降に更新することが推奨されます。

4.2 暫定回避策（緩和策）

このCVEに特化した具体的な暫定回避策は検索結果からは不明です。 一般的には、セキュリティパッチが提供されていない場合や、即時適用が難しい場合には、以下の対策が検討されます。 * 設定変更による脆弱性のある機能の無効化または制限 * アクセス制限の実施 * 機能停止 * ネットワーク分離 * WAF (Web Application Firewall) や EDR (Endpoint Detection and Response) などのセキュリティ製品による補完策の導入

他に解説すべき観点

• CWE (Common Weakness Enumeration):
  • CWE-326: 不適切な暗号強度 (Insufficient Cryptographic Strength)
  • CWE-522: 認証情報の不十分な保護 (Insufficient Protection of Credentials)
• 既知の悪用状況: 本脆弱性 (CVE-2017-9248) は、CISA (Cybersecurity and Infrastructure Security Agency) の既知の悪用されている脆弱性 (Known Exploited Vulnerabilities) カタログに2021年11月3日から掲載されており、実際に悪用が確認されています。

参照したサイト

• CVE-2017-9248 Detail - NVD
• JVNDB-2017-005410 - JVN iPedia - 脆弱性対策情報データベース
• CVE-2017-9248 | Tenable®
• CVE-2017-9248: Progress Telerik UI for ASP.NET AJAX and Sitefinity Cryptographic Weakness Vulnerability | H2 Security
• 脆弱性対応とは？CVE対応とパッチ管理の実務フロー | BBSec SQAT®.jp