Trusted Design

解説:

以下にCVE-2019-12991に関する脆弱性の調査結果をまとめます。

1. 脆弱性の概要

CVE-2019-12991は、Citrix SD-WANおよびNetScaler SD-WANアプライアンスにおける不適切な入力検証（Improper Input Validation）に起因する、認証されたコマンドインジェクションの脆弱性です。攻撃者はこの脆弱性を悪用して、認証済みでコマンドを注入し、システム上で任意のコードを実行する可能性があります。この脆弱性は、CISAの「Known Exploited Vulnerabilities Catalog」にも登録されており、実際に悪用されていることが確認されています。

1.1 影響

この脆弱性が悪用された場合、認証された攻撃者はCitrix SD-WANおよびNetScaler SD-WANアプライアンス上で任意のコマンドを実行できる可能性があります。これにより、機密情報の漏えい、データの改ざん、サービスの停止、あるいはシステムへの完全な制御奪取といった深刻な影響が生じる可能性があります。

1.2 深刻度

NVD (National Vulnerability Database) のCVSSv3.1による深刻度評価は、基本値で「高 (High)」（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）とされています。

• 攻撃元区分 (AV:N): ネットワーク経由で悪用可能です。
• 攻撃条件の複雑さ (AC:L): 攻撃の実行は比較的容易です。
• 攻撃に必要な特権レベル (PR:L): 低い権限を持つユーザーによって悪用可能です（認証が必要です）。
• ユーザーインタラクション (UI:N): ユーザーの操作は不要です。
• 影響の想定範囲 (S:U): 脆弱性のあるコンポーネントの範囲内で影響が完結します。
• 機密性への影響 (C:H): 機密情報が完全に漏えいする可能性があります。
• 完全性への影響 (I:H): データが完全に改ざんされる可能性があります。
• 可用性への影響 (A:H): サービスが完全に停止する可能性があります。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、以下のCitrix製品のバージョンに影響を与えます。

• Citrix SD-WAN 10.2.x: 10.2.3より前のバージョン
• NetScaler SD-WAN 10.0.x: 10.0.8より前のバージョン
• NetScaler SD-WAN Center 10.0.x: 10.0.8より前のバージョン
• Citrix SD-WAN Center 10.2.x: 10.2.3より前のバージョン

2.2 影響を受ける設定

この脆弱性は、Citrix SD-WANおよびNetScaler SD-WANアプライアンスにおける不適切な入力検証（CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')）に関連しています。 認証されたアクセスが必要なため、管理コンソールへのアクセスが可能な設定が影響を受けます。

3. 影響を受けた時の兆候

この脆弱性は認証されたコマンドインジェクションであるため、直接的な兆候を特定するのは難しい場合があります。しかし、以下のような異常が観測される可能性があります。

• システムログに異常なコマンド実行の記録が見られる。
• 意図しない設定変更やデータ改ざんが発生する。
• システムパフォーマンスの低下や予期せぬ再起動。
• 不審なネットワーク通信の発生。
• 権限のないユーザーによる特権的な操作。

4. 推奨対策

4.1 本対策

Citrix社は、この脆弱性に対処するためのアップデートをリリースしています。 影響を受ける製品を使用している場合は、速やかに以下のバージョン以降にアップグレードすることが強く推奨されます。

• NetScaler SD-WAN Center 10.0.8 および NetScaler SD-WAN 10.0.8 アプライアンス
• Citrix SD-WAN Center 10.2.3 および Citrix SD-WAN 10.2.3 アプライアンス

4.2 暫定回避策（緩和策）

本対策が適用できない場合の暫定回避策（緩和策）としては、以下の点が挙げられます。

• 管理コンソールへのアクセス制限: Citrix SD-WAN Appliance / NetScaler SD-WAN Applianceの管理コンソールへのアクセスを、信頼できるネットワークトラフィックのみに制限することが推奨されます。
• 最小権限の原則: 管理者アカウントの権限を厳密に管理し、必要最小限のユーザーのみにアクセスを許可します。
• 監視の強化: システムログやネットワークトラフィックを継続的に監視し、不審なアクティビティを早期に検知できる体制を整えます。

参照したサイト

• CVE-2019-12991 Detail - NVD
• Citrix SD-WAN Multiple Security Updates
• CVE-2019-12991 - CVE Record
• Known Exploited Vulnerabilities Catalog | CISA
• 米国当局、66個のサイバー攻撃悪用確認の脆弱性を認定 - マイナビニュース
• Citrix SD-WAN Appliance 10.2.2 - Authentication Bypass / Remote Command Execution
• 共通脆弱性識別子（CVE）の理解 - SentinelOne