Trusted Design

CVE-2021-20028 の詳細

CVEの情報

説明:
Improper neutralization of a SQL Command leading to SQL Injection vulnerability impacting end-of-life Secure Remote Access (SRA) products, specifically the SRA appliances running all 8.x firmware and 9.0.0.9-26sv or earlier

CVE更新日: 2021-08-04 19:15:08.247000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-03-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.300840000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-20028は、SonicWall Secure Remote Access (SRA) 製品に存在するSQLインジェクションの脆弱性です。

1. 脆弱性の概要

SonicWall Secure Remote Access (SRA) 製品において、SQLコマンドの不適切な無害化（Improper neutralization of a SQL Command）に起因するSQLインジェクションの脆弱性です。この脆弱性はCWE-89「SQL Commandで使用される特殊な要素の不適切な無害化（'SQL Injection'）」に分類されます。

1.1 影響

認証されていない攻撃者が、ネットワーク経由でリモートからシステムを完全に侵害する可能性があります。これにより、データの窃取、改ざん、システムのオフライン化が可能になります。 遠隔の第三者が任意のコードを実行する可能性も指摘されています。

1.2 深刻度

NVDではCVSSスコアが直接記載されていませんが、CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実世界での悪用が確認されていることから、その深刻度は高いとされています。 HOL Guard CVEでは「High severity（高深刻度）」と記録されています。 KEVへの登録は、CVSSスコア単独よりも強力な優先順位付けのシグナルであるとされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

SonicWall Secure Remote Access (SRA) アプライアンスの以下のファームウェアバージョンが影響を受けます。

  • すべての8.xファームウェア
  • 9.0.0.9-26svおよびそれ以前のファームウェア

なお、10.xバージョンは本脆弱性の影響を受けません。 影響を受ける製品は、すでにEOL（End-of-Life）となっています。

2.2 影響を受ける設定

不明

3. 影響を受けた時の兆候

不明

4. 推奨対策

影響を受ける製品はすでにEOLであるため、CISAは使用中の場合は切断すべきであると明確に推奨しています。

4.1 本対策

  • 影響を受ける製品はサポートが終了しているため、もし現在も使用している場合は、システムを直ちにネットワークから切断してください。
  • ファームウェアバージョン9.0.0系は2021年10月31日でサポートが終了しているため、10.2系へのアップデートが推奨されています（例：10.2.1.3-27sv、10.2.0.9-41sv）。ただし、これはSMA100シリーズの他の脆弱性に対する対策情報の一部であり、CVE-2021-20028に対する直接の修正バージョンについては「提供されていない」という情報もあります。

4.2 暫定回避策（緩和策）

  • ネットワークアクセスを、信頼できる必要なIPアドレスのみに制限します。
  • SRAデバイスを重要な内部資産から隔離するために、堅牢なネットワークセグメンテーションを実装します。
  • すべてのSRAユーザーに対して多要素認証を有効にします。
  • 不審なデータベースクエリや不正なアクセス試行など、疑わしいアクティビティに対する監視を強化します。

その他解説すべき観点

  • CISAのKnown Exploited Vulnerabilities (KEV) カタログへの登録: CVE-2021-20028は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）のKnown Exploited Vulnerabilities (KEV) カタログに登録されており、2022年3月28日に追加されました。 これは、この脆弱性が実際に攻撃者によって悪用されている証拠があることを意味し、優先的に対処すべき脆弱性であることを示します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る