Trusted Design

解説:

CVE-2021-20022に関する調査結果を以下に解説します。

1. 脆弱性の概要

SonicWall Email Securityの脆弱性であり、認証された攻撃者がリモートホストに任意のファイルをアップロードできる「危険なタイプのファイルの無制限アップロード」の脆弱性です。

1.1 影響

認証後の攻撃者がリモートホストに任意のファイルをアップロードすることが可能です。 この脆弱性は、特権昇格やランサムウェアの展開につながる多段階攻撃チェーンの一部として、実際に悪用されていることが確認されています。 HelloKitty/FiveHandsランサムウェアグループがこの脆弱性を悪用していると報告されています。

1.2 深刻度

• CVSS 3.1 基本スコア: 7.2 (High)
• CVSS 3.1 ベクター: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H)
• CWE: CWE-434 (Unrestricted Upload of File with Dangerous Type) にマッピングされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

直接的に影響を受けるOSバージョンは特定されていません。この脆弱性はアプリケーション（SonicWall Email Security）に存在します。

2.2 影響を受ける設定

• 製品: SonicWall Email Security
• バージョン: SonicWall Email Security バージョン 10.0.9.x
• 条件: 認証された攻撃者

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、特権昇格やランサムウェアの展開につながる可能性があります。 したがって、以下のような兆候が考えられますが、これらはランサムウェア感染や不正アクセス全般に見られる一般的なものです。

• ファイルが暗号化され、身代金要求メッセージが表示される。
• システムへの不正なアクセスや不審なアクティビティ。
• ネットワークトラフィックの異常な増加。
• システムパフォーマンスの低下。

4. 推奨対策

4.1 本対策

ベンダーが提供するアップデートを適用することが最も推奨される対策です。正確な修正ビルドについては、ベンダーのアドバイザリで確認してください。

4.2 暫定回避策（緩和策）

検索結果からは、この脆弱性自体に特化した具体的な暫定回避策は明記されていませんでした。しかし、この脆弱性が悪用される攻撃チェーンの一部としてランサムウェアが展開される可能性があるため、一般的なセキュリティ対策が緩和策として挙げられます。 * 未知の送信元からのメール添付ファイルやリンクを開かない。 * サードパーティのダウンローダーや非公式ウェブサイトからのダウンロードを避ける。 * 公式開発元からリリースされたツールのみを使用する。 * アンチウイルスおよびアンチスパイウェアソフトウェアを最新の状態に保つ。

また、認証後の攻撃が前提であるため、強力な認証メカニズムの実施、ネットワークのセグメンテーション、および異常なファイルアップロードに対する厳格な監視も考慮すべき緩和策となりえます。

他に解説すべき観点

• CISA KEV (Known Exploited Vulnerabilities): CVE-2021-20022は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に2021年11月3日に追加されています。これは、この脆弱性が実際に攻撃者に悪用されていることを意味し、迅速な対策が求められます。
• 攻撃チェーンでの悪用: この脆弱性は、特権昇格やランサムウェアの展開に至る多段階の攻撃チェーンの一部として悪用されることが確認されています。

参照したサイト

• CVE-2021-20022: Unrestricted Upload of File with Dangerous Type - Rapid7
• CVE-2021-20022 “” — basicsecurity.net
• Anti Ransomware HelloKitty in exploiting Website vulnerabilities - vnetwork
• Known Exploited Vulnerabilities Catalog - CISA