Trusted Design

CVE-2018-14667 の詳細

CVEの情報

説明:
The RichFaces Framework 3.X through 3.3.4 is vulnerable to Expression Language (EL) injection via the UserResource resource. A remote, unauthenticated attacker could exploit this to execute arbitrary code using a chain of java serialized objects via org.ajax4jsf.resource.UserResource$UriData.

CVE更新日: 2018-11-06 22:29:00.193000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2023-09-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.742020000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2018-14667に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2018-14667は、Java RichFacesフレームワークにおけるリモートコード実行 (RCE) の脆弱性です。この脆弱性は、UserResourceリソースを介したExpression Language (EL) インジェクションによって引き起こされます。認証されていないリモートの攻撃者が、特別に細工されたシリアライズ化されたJavaオブジェクト（org.ajax4jsf.resource.UserResource$UriDataを介して）を送信することにより、任意のJavaコードまたはシステムコードを実行する可能性があります。この脆弱性は、CISA（サイバーセキュリティ・インフラセキュリティ庁）によって実際に悪用されている脆弱性としてカタログに登録されています。

1.1 影響

  • 任意のコード実行: 認証されていない攻撃者が、リモートから任意のJavaコードまたはシステムコードを実行できる可能性があります。
  • 機密性、完全性、可用性の喪失: 注入されたコードは、攻撃者が直接アクセスできないリソースにアクセスしたり、認証を制御したりする可能性があります。また、実行されたアクションがログに記録されない場合もあります。
  • CISA KEVに登録: この脆弱性は、米国CISAのKnown Exploited Vulnerabilities (KEV) カタログに登録されており、実環境での活発な悪用が確認されています。
  • CWE: CWE-94: Improper Control of Generation of Code ('Code Injection') に分類されます。

1.2 深刻度

  • CVSS v3 基本スコア: 9.8 (Critical - 緊急)

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに直接依存するものではなく、Java RichFacesフレームワークを使用しているアプリケーションが稼働する環境に影響を与えます。

  • RichFaces Framework: バージョン3.Xから3.3.4までが影響を受けます。
  • Red Hat製品: RichFacesフレームワークを使用している以下のRed Hat製品が影響を受けます。
    • Red Hat JBoss SOA Platform 5.3.1
    • Red Hat JBoss Enterprise Application Platform 5.2 (RHEL 5/6 i386/x86_64向けを含む)
    • Red Hat JBoss BRMS 5.3.1
    • Red Hat Developer Studio 12.9
    • Red Hat JBoss BPM Suite
    • Red Hat JBoss Operations Network
    • OpenShift Dev Spaces
  • RichFacesのEOL: RichFacesフレームワーク自体は2016年6月にサポートを終了しています。

2.2 影響を受ける設定

ユーザー提供データに基づいて動的にリソースを生成するRichFacesの特定の機能、特にUserResourceでのExpression Language (EL) 評価が影響を受けます。脆弱性は、org.ajax4jsf.resource.UserResource$UriDataオブジェクトのデシリアライズ中にELインジェクションが発生する点にあります。

3. 影響を受けた時の兆候

この脆弱性が悪用された際の特定の兆候は明確に文書化されていませんが、リモートコード実行全般の兆候が考えられます。

  • 一般的なRCEの兆候:
    • 不審なプロセスの起動。
    • 予期しないネットワーク接続。
    • 不正なデータの読み書き、改ざん。
    • システムパフォーマンスの低下や不安定化。
    • 新しいファイルやサービスの作成。
  • ログの不備: 注入されたコードによって行われたアクションは、ログに記録されない場合があります。

4. 推奨対策

4.1 本対策

  • RichFacesのアップグレード: RichFaces Framework 3.3.4以前のバージョンを使用している場合は、修正済みのバージョン（RichFaces 3.3.4以降）へアップグレードしてください。 ただし、RichFaces 3.x自体は既にEOL（End-of-Life）を迎えているため、根本的な解決策としては、他のサポートされているフレームワークへの移行を強く推奨します。
  • ベンダーパッチの適用: Red Hat製品を使用している場合は、Red Hatが提供するセキュリティアドバイザリ（Errata）を参照し、速やかにパッチを適用してください。
  • 製品の使用停止: ベンダーからの緩和策が利用できない場合は、製品の使用を中止することが推奨されます。

4.2 暫定回避策（緩和策）

  • Expression Language (EL) 評価の無効化: RichFacesでのExpression Languageの評価を無効にすることを推奨します。
  • ELのサニタイズ: EL評価を無効にできない場合、信頼できないソースから受け取ったExpression Languageはサニタイズ（無害化）するようにしてください。
  • ホワイトリスティングの追加: ResourceBuilderImplクラスのgetResourceDataForKeyメソッドがLookAheadObjectInputStreamを呼び出す際に、Expression Languageのホワイトリスティングを追加することを検討してください。
  • iRulesLXの導入: 攻撃ペイロードが圧縮およびエンコードされているため、F5のiRulesLXなどの専用iRuleを使用して脆弱性を軽減することも可能です。

5. 他に解説すべき観点

  • CISA KEVへの登録と期限: 米国CISAは、2023年9月28日にCVE-2018-14667をKnown Exploited Vulnerabilities (KEV) カタログに追加しました。連邦政府機関には2023年10月19日までに修正が義務付けられており、この日付は他の組織にとっても対応の目安となるでしょう。
  • PoCおよびエクスプロイトツールの存在: この脆弱性については、早い段階からProof-of-Concept (PoC) コードが公開されており、2020年にはこの脆弱性を含む複数のRichFaces脆弱性を標的とするエクスプロイトツール「Richsploit」も公開されています。
  • RichFacesのEOLによる影響: RichFacesフレームワーク自体は2016年6月にサポートが終了しているため、公式のパッチは提供されません。このため、影響を受けるシステムでは、脆弱性のあるフレームワークからの移行が強く推奨されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る