Trusted Design

CVE-2017-9822 の詳細

CVEの情報

説明:
DNN (aka DotNetNuke) before 9.1.1 has Remote Code Execution via a cookie, aka "2017-08 (Critical) Possible remote code execution on DNN sites."

CVE更新日: 2017-07-20 12:29:00.233000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.947890000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2017-9822は、DNN (DotNetNuke) CMSにおける深刻なリモートコード実行（RCE）の脆弱性です。

1. 脆弱性の概要

CVE-2017-9822は、DNN (DotNetNuke) コンテンツ管理システム (CMS) に存在する、クッキーの非安全なデシリアライゼーション（不適切なコード生成の制御）に起因する脆弱性です。この脆弱性は「2017-08 (Critical) Possible remote code execution on DNN sites」とも呼ばれています。攻撃者は DNNPersonalization クッキーを悪用し、悪意のあるシリアライズされたオブジェクトを挿入することで、リモートコード実行を引き起こすことが可能になります。

1.1 影響

この脆弱性が悪用されると、攻撃者は影響を受けるシステム上で任意のコードを実行できるようになります。具体的には、Webアプリケーションプロセス（IISアプリケーションプールアカウントなど）の権限で任意のコードが実行され、サーバーの完全な制御、ウェブサイトデータの閲覧、改ざん、削除、バックドアの植え付け、内部ネットワークへの横移動などが可能になります。この脆弱性は認証なしで悪用可能であり、攻撃の敷居が低い点が特徴です。また、機密情報が漏洩する可能性もあります。

1.2 深刻度

CVE-2017-9822のCVSS v3.1スコアは8.8であり、深刻度は「High（高）」と評価されています。多くのセキュリティベンダーや機関によって「Critical（重大）」と評価されており、CISA KEV (Known Exploited Vulnerabilities Catalog) にも登録されており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに関する情報は見当たりませんが、DNNはASP.NETプラットフォーム上で動作するため、Microsoft Windows ServerとIISが稼働している環境が前提となります。

2.2 影響を受ける設定

DNN (DotNetNuke) CMSのバージョン9.1.1未満 (before 9.1.1) がこの脆弱性の影響を受けます。より具体的には、バージョン5.0.0から9.1.0までのすべてのバージョンが影響を受けると報告されています。Invictiは9.2.0未満のバージョン、GitHubのPoCでは5.0.0から9.3.0までのバージョンが影響を受けると記載されています。DNNがデフォルトで404エラーページを処理するように設定されている場合、DNNPersonalization クッキーが処理される際に脆弱性がトリガーされます。

3. 影響を受けた時の兆候

影響を受けた場合の兆候としては、以下のような点が挙げられます。

  • サーバーログに不審な活動が見られる。
  • Webアプリケーションの不正な動作や、サーバー上に不審なファイルが存在する。
  • 侵入検知システム（IDS/IPS）やWebアプリケーションファイアウォール（WAF）が異常なトラフィックを検知する。
  • サーバーのリソース消費量が増加したり、予期せぬシャットダウンが発生したりする。

4. 推奨対策

4.1 本対策

  • DNN (DotNetNuke) のアップグレード: DNNをバージョン9.1.1またはそれ以降の最新バージョンにアップグレードしてください。
    • アップグレードは、公式GitHub Releaseページから最新バージョンをダウンロードするか、DNNプラットフォームの管理画面（「Host」→「Extensions」ページ）から更新を確認し、インストールすることができます。
  • バックアップ: アップグレードを実施する前に、既存のDNNインストール、データベース（SQL Serverバックアップ）、および設定ファイル（Web.configなど）の完全なバックアップを必ず取得してください。
  • アップグレード後の処理: アップグレード後には、すべてのアプリケーションクッキーをクリアし、アプリケーションプールを再起動してください。

4.2 暫定回避策（緩和策）

  • Web.config の変更またはIIS URL Rewriteモジュールの利用:
    • Web.config を変更して DNNPersonalization クッキーのデシリアライゼーションを無効にする、またはIIS URL Rewriteモジュールを使用して、疑わしいシリアライズペイロードを含むリクエストをブロックすることができます。
    • ただし、この方法は、クッキーに依存する機能（パーソナライズ設定など）に影響を与える可能性があるため、テスト環境での十分な検証が必要です。
    • IIS URL Rewriteモジュールの設定例として、以下のようなルールが提示されています。 xml <rewrite> <rules> <rule name="Block DNNPersonalization Deserialization" stopProcessing="true"> <match url=".*" /> <conditions> <add input="{HTTP_COOKIE}" pattern="DNNPersonalization=.*" /> </conditions> <action type="AbortRequest" /> </rule> </rules> </rewrite>
  • Webアプリケーションファイアウォール (WAF) の導入: WAF（例：ModSecurity）にルールを追加し、.NETデシリアライゼーション攻撃ペイロードをブロックすることを検討してください。
    • ModSecurityのルール例: SecRule REQUEST_COOKIES "DNNPersonalization" "id:100001,phase:1,deny,status:403,msg:'Potential DNN Deserialization Attack'"
  • 監視とログ記録: IISログ記録を有効にし、DNNPersonalization クッキーを含むリクエストを重点的に監視し、異常なログを定期的にレビューしてください。

その他解説すべき観点

  • バイパスの存在: CVE-2017-9822の修正後も、CVE-2018-15811、CVE-2018-15812、CVE-2018-18325、CVE-2018-18326といった複数のバイパスが発見されており、継続的な注意と最新バージョンへの更新が重要であることが示されています。
  • PoCの公開: 概念実証（PoC）コードがGitHubで公開されており、悪用は容易であると考えられます。
  • 広範な影響: 政府機関や銀行のウェブサイトを含む、多くのDotNetNukeの展開がこの脆弱性の影響を受けていたことが報告されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る