CVE詳細 - CVE-2020-0618-

CVE-2020-0618 の詳細

CVEの情報

説明:
A remote code execution vulnerability exists in Microsoft SQL Server Reporting Services when it incorrectly handles page requests, aka 'Microsoft SQL Server Reporting Services Remote Code Execution Vulnerability'.

CVE更新日: 2020-02-11 22:15:13.400000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2024-09-18

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.990460000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2020-0618に関する解説

1. 脆弱性の概要

CVE-2020-0618は、Microsoft SQL Server Reporting Services (SSRS) において、ページ要求の処理に不備があるために発生するリモートコード実行 (RCE) の脆弱性です。この脆弱性は、SSRSがViewStateデータを処理する方法における安全でないデシリアライゼーションの欠陥に起因します。

1.1 影響

攻撃者は、認証されている場合、巧妙に細工されたHTTPリクエストをSSRSインスタンスに送信することで、基盤となるSQL Serverシステム上で任意のコードを実行できる可能性があります。最低限の権限（ブラウザロール）を持つ認証済みユーザーでも、この脆弱性を悪用できるとされています。攻撃が成功すると、Reporting Servicesの管理権限またはシステム管理権限を取得する可能性があります。

1.2 深刻度

CVSS v3.1スコア: 8.8 (高)
CVSS v2スコア: 6.5 (警告/中)

NVDによると、この脆弱性は「リモートでコードが実行される脆弱性」として公開されています。 CISA (Cybersecurity and Infrastructure Security Agency) は、この脆弱性が積極的に悪用されている既知の脆弱性リスト (Known Exploited Vulnerabilities Catalog) に追加しており、組織にとって深刻なリスクをもたらすとしています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はMicrosoft SQL Server Reporting Services (SSRS) に影響を与えます。影響を受ける具体的なSQL Serverのバージョンは以下の通りです。

Microsoft SQL Server 2012 Service Pack 4
Microsoft SQL Server 2014 Service Pack 3
Microsoft SQL Server 2016 Service Pack 2

また、SQL Server 2008も影響を受けることが実際のテストで確認されていますが、これに対応するパッチは提供されていません。

2.2 影響を受ける設定

Reporting Servicesはデフォルトではインストールされないサービスであり、ユーザーが手動でインストールした場合に影響を受けます。脆弱性はReportingServicesWebServer.dllファイル内のMicrosoft.Reporting.WebForms.BrowserNavigationCorrectorクラスのOnLoadメソッド、またはMicrosoft.ReportingServices.WebServer.ReportViewerPageクラスのOnInitメソッドでの不安全なデシリアライゼーションによって引き起こされます。

3. 影響を受けた時の兆候

この脆弱性はリモートコード実行であり、攻撃が成功した場合、システム上で任意のコードが実行されます。そのため、以下のような兆候が考えられますが、特定の直接的な兆候は明記されていません。

サーバーの予期せぬ動作やクラッシュ
不審なプロセスやネットワーク接続の検出
ファイルシステムの改ざん
不審なログエントリ

ただし、Webアプリケーションファイアウォールを回避するためにリクエストがエンコードされる可能性があり、検出が困難になる場合があります。

4. 推奨対策

4.1 本対策

Microsoftは、この脆弱性に対処するためのセキュリティ更新プログラムを2020年2月にリリースしています。影響を受けるSQL Server Reporting Servicesのすべてのインストールに、このセキュリティ更新プログラムを適用することが強く推奨されます。

SQL Server 2016 SP2 CU11 のセキュリティ更新プログラム
SQL Server 2016 SP2 GDR のセキュリティ更新プログラム
SQL Server 2014 SP3 CU4 のセキュリティ更新プログラム
SQL Server 2014 SP3 GDR のセキュリティ更新プログラム
SQL Server 2012 SP4 GDR のセキュリティ更新プログラム

これらのパッチは、入力検証の不備を修正し、攻撃者が脆弱性を悪用するのを防ぎます。

4.2 暫定回避策（緩和策）

Reporting Servicesを無効にする、またはアンインストールする: Reporting Servicesが不要な場合は、無効にするかアンインストールすることでリスクを排除できます。
強力なパスワードを設定する: SQL Server 2008など、パッチが提供されていないバージョンを使用している場合は、データベースに強力なパスワードを設定することが推奨されます。
Reporting ServicesのリスニングIPアドレスをローカルに変更する: SQL Server 2008の場合、Reporting ServicesのリスニングIPアドレスをローカルに変更し、外部からの接続を一時的に無効にすることで、サービスへのアクセスを制限できます。
匿名アクセスを禁止する: 認証されたユーザーのみがアプリケーションにアクセスできるように、匿名アクセスを禁止することも推奨されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る