Trusted Design

解説:

CVE-2020-17496に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2020-17496は、vBulletinソフトウェアに存在する深刻なリモートコマンド実行（RCE）の脆弱性です。この脆弱性は、以前に報告されたCVE-2019-16759の修正が不完全であったために発生しました。

1.1 影響

本脆弱性は、認証されていない攻撃者が細工されたsubWidgetsデータをajax/render/widget_tabbedcontainer_tab_panelリクエストを介して送信することで、脆弱なサーバー上で任意のコマンドを実行することを可能にします。これにより、攻撃者はvBulletinフォーラムに対する不正なアクセスや制御、データベースコンテンツ（機密性の高いユーザーデータを含む）の窃盗、マルウェアや悪意のあるリダイレクトの注入など、完全なサーバー侵害を引き起こす可能性があります。

1.2 深刻度

National Vulnerability Database (NVD) は、この脆弱性にCVSSv3スコア9.8を割り当てており、「緊急（CRITICAL）」に分類されています。この脆弱性はユーザーとの対話を必要とせず、リモートから高い権限でシステムを侵害できるため、特に深刻です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はOSに固有のものではなく、vBulletinの以下のバージョンに影響を及ぼします。

• vBulletin 5.5.4
• vBulletin 5.6.0, 5.6.1, 5.6.2
• vBulletin 5.5.4から5.6.2までのすべてのvBulletinインストール。

2.2 影響を受ける設定

この脆弱性は、ajax/render/widget_tabbedcontainer_tab_panelリクエストにおける細工されたsubWidgetsデータの処理に起因します。

3. 影響を受けた時の兆候

システムがこの脆弱性の影響を受けた場合、以下のような兆候が見られる可能性があります。

• フォーラムページにおける不正な改変、マルウェアの導入、または悪意のあるリダイレクト。
• TCP 80番ポートおよびTCP 443番ポートを標的としたアクセス試行で、外部サーバーからリバースシェルとして動作するPerlスクリプトのダウンロードと実行が試みられる。
• サーバー上に不正なプログラムやファイルが保存されている。

4. 推奨対策

4.1 本対策

• セキュリティパッチの即時適用: vBulletinが提供するバージョン5.6.0、5.6.1、および5.6.2用のセキュリティパッチを直ちに適用することが不可欠です。
• 定期的なアップデート: ソフトウェアおよびサードパーティのプラグインは常に最新の状態に保ってください。

4.2 暫定回避策（緩和策）

• ネットワークアクセス制御: 直ちにパッチを適用できない場合は、脆弱なコンポーネントへのアクセスを制限するためにネットワーク制御を導入することを検討してください。
• IPアドレス制限またはVPNの使用: インターネットからのアクセスを許可する場合には、必要な送信元IPアドレスのみにアクセスを許可するか、VPNを用いて接続することを検討してください。
• セキュリティ監視の強化: 異常な活動を示す兆候を検出するために、セキュリティ監視ツールを導入し、強化してください。

5. 他に解説すべき観点

• 過去の脆弱性の不完全な修正: 本脆弱性（CVE-2020-17496）は、2019年9月に公開されたvBulletinの以前の深刻な脆弱性であるCVE-2019-16759に対する修正が不完全であったために発生しました。これは、パッチのバイパスによってシステムが引き続き悪用される可能性があることを示しています。
• 活発な悪用: この脆弱性は、公開されて以降、実環境で積極的に悪用されており、CISAの「既知の悪用されている脆弱性（KEV）カタログ」にも掲載されています。これは、迅速な対策の必要性を強く示しています。

参照したサイト

• CVE-2020-17496: Critical Remote Command Execution Flaw in vBulletin - Datacipher
• CVE-2020-17496: vBulletin RCE Vulnerability - SentinelOne
• NVD-CVE-2020-17496 - NIST
• CVE-2020-17496 – vBulletin RCE vulnerability actively being exploited in the wild - SonicWall
• CVE-2020-17496 | Critical Vulnerability in vBulletin - Appsecure Security
• Exploits in the Wild for vBulletin Pre-Auth RCE Vulnerability CVE-2020-17496 - Palo Alto Networks
• 「vBulletin」の脆弱性狙う攻撃、8月から断続的に発生 - Security NEXT
• CVE-2020-17496: vBulletin PHP Module Remote Code Execution Vulnerability - Safeguard
• vBulletin の脆弱性（CVE-2020-17496）を標的としたアクセスの観測等について - 警察庁
• vBulletinの脆弱性（CVE-2020-17496）を標的としたアクセスを観測 - ScanNetSecurity
• JVNDB-2020-014844 - JVN iPedia - 脆弱性対策情報データベース