Trusted Design

解説:

CVE-2019-8394について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2019-8394は、Zoho ManageEngine ServiceDesk Plusの特定のバージョンに存在するファイルアップロードの脆弱性です。

1.1 影響 リモートの攻撃者が、ログインページのカスタマイズオプションを通じて任意のファイルをアップロードできる脆弱性です。これには悪意のあるスクリプトやウェブシェルも含まれ、結果としてリモートコード実行（RCE）につながる可能性があります。この脆弱性を悪用すると、サーバーの制御奪取、追加攻撃の実行、ランサムウェアの展開、またはネットワーク内での横移動が可能になります。アップロードされた信頼できないデータは、ManageEngineサーバー上でコードとして処理され実行される可能性があります。

1.2 深刻度 CVSS 3.0の基本スコアは6.5（MEDIUM）です。この脆弱性はCISAの既知の悪用されている脆弱性（KEV）リストに掲載されており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン Zoho ManageEngine ServiceDesk Plusのビルド10.0 build 10012より前のバージョンが影響を受けます。特定のOSバージョンに限定されるものではなく、アプリケーション自体に脆弱性が存在します。

2.2 影響を受ける設定 この脆弱性は、ServiceDesk Plusのログインページカスタマイズ機能におけるファイルタイプの検証が不十分であることに起因します。攻撃者は、HTTP POSTリクエストを脆弱なファイルパス (common/FileAttachment.jsp) に対して、CustomLoginパラメータを使用することで悪用できます。悪用には、ゲスト認証情報など、最低限のネットワーク権限が必要となる場合があります。

3. 影響を受けた時の兆候

• サーバー上へのウェブシェルマルウェアの展開。
• 任意のシステムコマンドの実行。
• サーバーの制御奪取。
• 通常とは異なる外部へのネットワーク接続や活動。
• /Manageengine/servicedesk/custom/login ディレクトリ内での予期せぬファイルの存在。
• システムへの不正なアクセスや変更。

4. 推奨対策

4.1 本対策 * Zoho ManageEngine ServiceDesk Plusをビルド10.0 build 10012以降のバージョンにアップデートしてください。 パッチは2019年第1四半期にリリースされていますが、未だに多くのインスタンスが脆弱な状態にあると報告されています。 * 推奨されるアップデートを適用し、システムを継続的に監視することが不可欠です。 * ファイルをアップロードするソフトウェアにおける厳格なセキュリティプロトコルを導入してください。

4.2 暫定回避策（緩和策） * もし設定可能であれば、ファイル検証メカニズムを強化してください。 * ServiceDesk Plusサーバーへのアクセスを制限するために、厳格なネットワークセグメンテーションとアクセス制御を実施してください。 * サーバー上での疑わしいファイルアップロードや予期せぬプロセス実行を監視してください。 * 特に脆弱なファイルアップロードパスへのネットワークアクセスを管理することを検討してください。

参照したサイト

• CVE-2019-8394: Exploiting File Upload in Zoho ManageEngine ServiceDesk Plus | Datacipher
• Zoho ManageEngine ServiceDesk Plus Vulnerability Detection and Mitigation | SOC Prime
• CVE-2019-8394 — Patch first | CVE Explorer | Peter Bassill
• CVE-2019-8394 - Zoho ManageEngine ServiceDesk Plus (SDP) File Upload Vulnerability
• Zoho ManageEngine Exploit Attempt - CVE-2019-8394 - ExtraHop