CVE詳細 - CVE-2019-10758-

CVE-2019-10758 の詳細

CVEの情報

説明:
mongo-express before 0.54.0 is vulnerable to Remote Code Execution via endpoints that uses the `toBSON` method. A misuse of the `vm` dependency to perform `exec` commands in a non-safe environment.

CVE更新日: 2019-12-24 22:15:11.183000

CVSSバージョン: 3.1

CVSSスコア: 9.9

KEVの情報

KEV更新日: 2021-12-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.847260000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2019-10758について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2019-10758は、MongoDBの管理インターフェースであるmongo-expressのバージョン0.54.0より前のバージョンに存在する、リモートコード実行 (Remote Code Execution, RCE) の脆弱性です。この脆弱性は、toBSONメソッドを使用するエンドポイントを介して悪用されます。具体的には、安全でない環境でvm依存関係を誤用してexecコマンドを実行してしまうことが原因です。CISAの既知の悪用された脆弱性 (Known Exploited Vulnerabilities, KEV) カタログにリストされており、実世界での悪用が確認されています。攻撃者は認証済みであるか、デフォルトの認証情報（admin/pass）が変更されていない場合にこの脆弱性を悪用できます。

1.1 影響

この脆弱性が悪用されると、攻撃者はホストマシン上で任意のコードを実行できるようになります。これにより、機密性、完全性、可用性のすべてにおいて高い影響があります。具体的には、不正アクセス、データの操作または損失、およびシステムの運用に深刻な影響を及ぼす可能性があります。

1.2 深刻度

CVE-2019-10758のCVSSv3スコアは9.9であり、「緊急 (Critical)」に分類されています。攻撃ベクトルはネットワーク (AV:N)、攻撃の複雑さは低 (AC:L)、必要な特権は低 (PR:L)、ユーザーインタラクションは不要 (UI:N) です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに関する記述はありません。この脆弱性はmongo-expressアプリケーション自体に存在するため、OSには依存しないと考えられます。

2.2 影響を受ける設定

mongo-expressのバージョン0.54.0より前のすべてのバージョンが影響を受けます。
特に、デフォルトの認証情報（admin/pass）が変更されていない場合、攻撃が容易になります。
toBSONメソッドを使用するエンドポイントが脆弱性の対象となります。

3. 影響を受けた時の兆候

具体的な兆候については、検索結果に直接的な記述はありませんでした。しかし、リモートコード実行の性質上、以下のような兆候が考えられます。

予期しないプロセスの実行
システムリソースの異常な消費
データの改ざんや漏洩
不正なネットワーク通信

4. 推奨対策

CISAは、ベンダーの指示に従ってアップデートを適用することを推奨しています。

4.1 本対策

mongo-expressをバージョン0.54.0以降にアップグレードすること。バージョン0.54.0以降では、vmライブラリの使用に関連するすべてのコードが削除されています。

4.2 暫定回避策（緩和策）

デフォルトの認証情報（admin/pass）を使用している場合は、速やかに強力なパスワードに変更すること。
影響を受けるバージョンのmongo-expressの公開を停止するか、アクセスを制限すること（例: 信頼できるネットワークからのアクセスのみに限定する）。

5. 他に解説すべき観点

概念実証 (PoC) の公開: 本脆弱性の概念実証 (Proof of Concept, PoC) が公開されており、攻撃者が容易にエクスプロイトできる状態にあることが示されています。
実環境での悪用: この脆弱性はCISAのKnown Exploited Vulnerabilitiesカタログに記載されており、実際に悪用が確認されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る