Trusted Design

CVE-2019-18935 の詳細

CVEの情報

説明:
Progress Telerik UI for ASP.NET AJAX through 2019.3.1023 contains a .NET deserialization vulnerability in the RadAsyncUpload function. This is exploitable when the encryption keys are known due to the presence of CVE-2017-11317 or CVE-2017-11357, or other means. Exploitation can result in remote code execution. (As of 2020.1.114, a default setting prevents the exploit. In 2019.3.1023, but not earlier versions, a non-default setting can prevent exploitation.)

CVE更新日: 2019-12-11 13:15:11.767000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.997370000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2019-18935について、以下の観点で解説します。

1. 脆弱性の概要

Progress Telerik UI for ASP.NET AJAX の RadAsyncUpload 関数における、JSONオブジェクトの安全でないデシリアライゼーションの脆弱性です。これにより、リモートコード実行 (RCE) が可能になります。

1.1 影響

この脆弱性が悪用されると、基盤となるホスト上で任意のコードが実行され、Webサーバーの乗っ取りやマルウェア感染（例: Bitcoinマイナー、XMRig Miner、リバースシェル、JuicyPotatoNGなど）につながる可能性があります。攻撃者は、Webアプリケーションの権限でコマンドを実行できます。

1.2 深刻度

CVSSv3スコアは9.8（Critical）と評価されています。米CISA（サイバーセキュリティ・インフラセキュリティ庁）は、この脆弱性を既知の悪用されている脆弱性（Known Exploited Vulnerabilities Catalog）に登録しており、実際に攻撃で悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

主にTelerik UI for ASP.NET AJAXを使用しているWindows Server上のWebアプリケーションに影響を与えます。

2.2 影響を受ける設定

以下のバージョンのTelerik UI for ASP.NET AJAXが影響を受けます。 * 2019.3.1023以前のTelerik UI for ASP.NET AJAX。 * 特に、RadAsyncUploadの暗号化キーが、CVE-2017-11317やCVE-2017-11357などの他の脆弱性、またはその他の方法で既知である場合に悪用可能です。 * バージョン2020.1.114より前のTelerik UI for ASP.NET AJAXでは、デフォルト設定でこの脆弱性を防ぐことができません。バージョン2019.3.1023では、デフォルト以外の設定で悪用を防ぐことが可能です。 * RadAsyncUploadのタイプホワイトリスト機能（AllowedCustomMetaDataTypes）が有効になっていない場合も影響を受けます。

3. 影響を受けた時の兆候

  • 異常なファイルの作成、タイムスタンプの変更、C2（コマンド＆コントロール）通信の発生。
  • 偵察、C2、防御回避を目的としたDLLファイルのアップロードと実行。
  • ホスト名、ドメイン名、IPアドレス、NetBIOS IDなどのネットワークパラメータが、暗号化されていないTCPポート443経由でC2サーバーに送信される。
  • 追加のライブラリの読み込み、システムファイルの列挙、新規ファイルの書き込み。
  • Bitcoinマイナーなどの暗号通貨マイニングソフトウェアへの感染。
  • 悪意のあるリバースシェルや権限昇格ツール（例: JuicyPotatoNG）の配布。

4. 推奨対策

4.1 本対策

  • Telerik UI for ASP.NET AJAXを最新バージョンにアップグレードする。特に、R3 2019 SP1（バージョン2019.3.1023）以降にアップグレードしてください。
  • 理想的には、AllowedCustomMetaDataTypes機能を提供するR1 2020（バージョン2020.1.114）以降へのアップグレードが推奨されます。
  • ベンダーの指示に従って、最新のセキュリティアップデートを適用してください。

4.2 暫定回避策（緩和策）

  • AsyncUploadハンドラーを無効にする：DisableAsyncUploadHandler設定を有効にすることで、RadAsyncUpload経由でのファイルアップロードを完全に無効にします。
  • RadAsyncUploadハンドラーへのPOSTリクエストを制限する：URLリダイレクトルールやIIS設定の変更により、関連するハンドラーへのPOSTリクエストを防止します。ただし、これはRadCloudUpload経由のファイルアップロードも防止し、RadImageEditorの一部の機能を阻害する可能性があります。
  • IISディレクトリ、特にC:\Windows\Tempにおけるファイル実行を制限する。
  • Indicators of Compromise (IOC) の活動を監視する。
  • エンドポイント検出＆レスポンス（EDR）機能を強化する。
  • サービスアカウントの権限を最小限に制限する。
  • 脆弱性スキャナーがTelerik UIソフトウェアの全ての関連ファイルパスをスキャンするように設定されていることを確認する。
  • バージョン2019.3.1023では、デフォルト以外の設定（AllowedCustomMetaDataTypes機能の有効化など）で悪用を防止できます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る