Trusted Design

CVE-2021-21311 の詳細

CVEの情報

説明:
Adminer is an open-source database management in a single PHP file. In adminer from version 4.0.0 and before 4.7.9 there is a server-side request forgery vulnerability. Users of Adminer versions bundling all drivers (e.g. `adminer.php`) are affected. This is fixed in version 4.7.9.

CVE更新日: 2021-02-11 21:15:13.820000

CVSSバージョン: 3.1

CVSSスコア: 7.2

KEVの情報

KEV更新日: 2025-09-29

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.984640000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: True

AIを使った解説

解説:

CVE-2021-21311は、Adminerに存在する深刻なサーバサイドリクエストフォージェリ（SSRF）の脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

Adminerのadminer.phpファイル、特にElasticsearchおよびClickHouseのログインモジュールのエラーページにサーバサイドリクエストフォージェリ (SSRF) の脆弱性が存在します。この脆弱性は、攻撃者が脆弱なサーバーから任意のHTTPリクエストを送信することを可能にします。

1.1 影響

本脆弱性が悪用されると、攻撃者は以下のような影響を及ぼす可能性があります。 * 脆弱なサーバーから任意のHTTPリクエストを送信できる。 * 機密情報を取得できる可能性がある。 * 内部サービスへのアクセスや、クラウド環境におけるメタデータサービスエンドポイントからのアクセス資格情報の窃取が可能になる。 * ファイアウォールを迂回して内部リソースを特定したり、ポートスキャンを実行したりできる。 * Cloudflareなどのセキュリティ対策を迂回できる可能性がある。 * 情報漏えいやデータの改ざんが行われる可能性がある。

1.2 深刻度

  • CVSS v3.1基本評価基準: 7.2 (重要 - High) と評価されています。
  • NVD評価基準: CVSS v3.1基本評価基準で7.2 (重要 - High) です。
  • CISA Known Exploited Vulnerabilities (KEV) Catalog: 本脆弱性はCISAの既知の悪用されている脆弱性リストに記載されており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Debian GNU/Linux 9.0 (Adminerパッケージ経由)
  • Ubuntu (Adminerパッケージ経由)

2.2 影響を受ける設定

  • 製品: Adminer (PHPで開発されたオープンソースの単一ファイルデータベース管理ツール)
    • AdminerはMySQL、MariaDB、PostgreSQL、SQLite、MS SQL、Oracle、Elasticsearch、MongoDBなどのデータベースをサポートしています。
  • 影響を受けるバージョン: Adminer 4.0.0以上4.7.9未満のバージョンが影響を受けます。
  • 特定の条件: 全てのドライバーをバンドルしているAdminerのバージョン (例: adminer.php) を利用している場合に影響を受けます。
  • 特にElasticsearchおよびClickHouseのログインモジュールのエラーページが攻撃対象となります。

3. 影響を受けた時の兆候

  • 脆弱なサーバーから内部サービスへの予期せぬHTTPリクエストや外部への通信が発生する可能性があります。
  • Google Hacking (inurl:adminer.php) を用いることで、脆弱なAdminerインスタンスをインターネット上で特定できる可能性があります。
  • CISA KEVに本脆弱性が追加された2025年9月29日以降のログにおいて、不正なアクティビティや通信の痕跡を探すことが推奨されます。

4. 推奨対策

4.1 本対策

  • Adminerのアップグレード: Adminerをバージョン4.7.9以降にアップグレードしてください。
  • ベンダーから提供されている公式の修正プログラムまたは緩和策を適用してください。
  • DebianやUbuntuなど、特定のOS向けのセキュリティアップデートが公開されている場合は、それらを適用してください。

4.2 暫定回避策（緩和策）

  • WAFによる防御: Web Application Firewall (WAF) をブロッキングモードで導入し、SSRFペイロードがアプリケーションに到達する前にブロックすることで、エッジレベルでの攻撃を防ぐことができます。OWASP Core Rule Setを実行するWAFは、クラウドメタデータエンドポイントを狙ったSSRFペイロードを阻止するのに有効です。
  • もし修正プログラムや緩和策が利用できない場合は、製品の使用を中止することも検討してください。

その他解説すべき観点

  • 本脆弱性は2021年2月11日にNVDに公開されました。
  • この脆弱性を悪用するエクスプロイトコードが既に公開されており、活発に悪用されていることが報告されています。
  • CISAは2025年9月29日に本CVEをKnown Exploited Vulnerabilitiesカタログに追加し、2025年10月20日までに緩和策の適用を義務付けています。
  • クラウド環境において、メタデータサービスエンドポイントからアクセス資格情報を窃取するために悪用される可能性があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る