CVE詳細 - CVE-2018-18325-

CVE-2018-18325 の詳細

CVEの情報

説明:
DNN (aka DotNetNuke) 9.2 through 9.2.2 uses a weak encryption algorithm to protect input parameters. NOTE: this issue exists because of an incomplete fix for CVE-2018-15811.

CVE更新日: 2019-07-03 17:15:10.250000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.740480000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2018-18325について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2018-18325は、コンテンツ管理システムであるDNN (旧称DotNetNuke) のバージョン9.2から9.2.2において、入力パラメータを保護するために弱い暗号化アルゴリズムを使用していることに起因する、不十分な暗号強度の脆弱性です。この問題は、CVE-2018-15811に対する不完全な修正が原因で発生しています。

1.1 影響

この脆弱性は、CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用された脆弱性カタログに掲載されており、実際に悪用されていることが確認されています。 CVSS 3.1によると、機密性への影響は「高」と評価されています。 Metasploitに「DotNetNuke - Cookie Deserialization Remote Code Execution」というエクスプロイトモジュールが存在することから、リモートコード実行につながる可能性があります。

1.2 深刻度

CVSS v3.1 基本評価基準: 7.5 (高)
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 必要な特権レベル: 不要
- ユーザー関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響: 高
- 完全性への影響: なし
- 可用性への影響: なし
CVSS v2.0 基本評価基準: 5.0 (中)
EPSS (Exploit Prediction Scoring System) 確率: 74.0% (高)。今後30日間のパーセンタイルは99.5%です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに直接依存するものではなく、影響を受けるのはDNN (DotNetNuke) ソフトウェア自体です。

2.2 影響を受ける設定

製品: DNN (DotNetNuke)
バージョン: 9.2 から 9.2.2

3. 影響を受けた時の兆候

明確な兆候については記載がありませんが、リモートコード実行の可能性があるため、以下のような異常が考えられます。

Webサーバーの異常な動作や停止
不審なファイルの生成や改ざん
意図しないデータの流出
システムログにおける不審なアクセスやエラー

4. 推奨対策

4.1 本対策

影響を受けるDNN (DotNetNuke) のバージョンを、脆弱性が修正されたバージョンにアップデートしてください。具体的な修正バージョンについては、DNN公式の情報やセキュリティアドバイザリを確認することが重要です。

4.2 暫定回避策（緩和策）

この脆弱性に対する明確な暫定回避策は公開されていません。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る