Trusted Design

CVE-2021-23758 の詳細

CVEの情報

説明:
All versions of package ajaxpro.2 are vulnerable to Deserialization of Untrusted Data due to the possibility of deserialization of arbitrary .NET classes, which can be abused to gain remote code execution.

CVE更新日: 2021-12-03 20:15:07.557000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2026-08-26

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.825780000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-23758に関する脆弱性の調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2021-23758は、.NET用のAjaxPro.2パッケージに存在する深刻な信頼できないデータのデシリアライゼーションの脆弱性です。この脆弱性は、リモートの攻撃者が任意のコードを実行することを可能にします。 根本原因は、デシリアライゼーション処理中に型の制限が適切に実施されていないことにあります。

1.1 影響

  • リモートの攻撃者は、認証やユーザーの操作なしに、特別に細工されたシリアライズ化された.NETオブジェクトを脆弱なAjaxPro.2エンドポイントに送信することで、任意のコード実行を通じてシステムを完全に侵害する可能性があります。
  • 情報の取得、情報の改ざん、およびサービス運用妨害 (DoS) 状態に陥る可能性があります。
  • この脆弱性は、政府、教育、メディア、テクノロジー分野のインターネットに公開されたWebサーバーを標的とする中国語圏の脅威グループUAT-10147によって積極的に悪用されていることが報告されています。
  • CISA（米国サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性（KEV）カタログに掲載されており、実世界で活発に悪用されていることが確認されています。

1.2 深刻度

  • 深刻度: 緊急 (Critical)
  • CVSS v3 基本評価値: 9.8 (緊急)
    • 攻撃元区分: ネットワーク
    • 攻撃条件の複雑さ: 低
    • 攻撃に必要な特権レベル: 不要
    • 利用者の関与: 不要
    • 機密性への影響: 高
    • 完全性への影響: 高
    • 可用性への影響: 高
  • EPSS 確率: 83.63% (30日以内に悪用される確率が高いことを示します)
  • CWE: CWE-502 (信頼できないデータのデシリアライゼーション)

2. 対象となる環境

  • 製品: Ajax.NET Professional (AjaxPro)
  • ライブラリ/パッケージ: AjaxPro.2 NuGetパッケージ

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されるものではなく、AjaxPro.2ライブラリを使用している環境が影響を受けます。 * AjaxPro.2 NuGet パッケージのバージョン21.10.30.1より前のすべてのバージョンが影響を受けます。 * また、パッケージ AjaxPro.2 < v21.12.8.1 も影響を受けるとされています。

2.2 影響を受ける設定

  • 任意のオブジェクトタイプのデシリアライゼーションを許可する構成でAjaxPro.NETライブラリを使用しているWebアプリケーション。
  • デシリアライゼーションプロセス中に型の制限が不十分な場合。

3. 影響を受けた時の兆候

検索結果には、この脆弱性に特化した具体的な侵害の兆候（Indicators of Compromise: IoC）は明示されていません。しかし、CISA KEVに登録され、活発に悪用されていることから、不審なネットワーク通信、予期しないプロセスの実行、設定ファイルの変更、またはWebサーバーのログに異常なリクエストがないか監視することが推奨されます。

4. 推奨対策

4.1 本対策

  • AjaxPro.NETライブラリを、CVE-2021-23758に対応する最新のパッチ適用済みのバージョンにアップグレードしてください。
    • 具体的には、AjaxPro.2 NuGet パッケージをバージョン21.10.30.1以降、またはv21.12.8.1より新しいバージョンに更新してください。
  • 型制限を実装するGitHubコミットからのセキュリティパッチを適用してください。
  • 公式のAjaxPro.NETリポジトリまたはセキュリティアドバイザリを参照して、展開に合わせた修正バージョンを確認してください。
  • 製品がEOL（End-of-Life）またはEOS（End-of-Service）である場合は、使用を中止するか、サポートされているバージョンに移行することを検討してください。
  • NuGetパッケージの依存関係やDLL参照をスキャンして、AjaxPro.2を使用しているすべてのアプリケーションを特定してください。

4.2 暫定回避策（緩和策）

  • WAF (Web Application Firewall) をブロッキングモードで利用し、デシリアライゼーションペイロードの攻撃をエッジでブロックすることを検討してください。
  • デシリアライゼーション中に型制限（型の許可リストまたは拒否リスト）を実装することを検討してください。
  • 新華三（H3C）は、同社のIPSルールバージョン1.0.161でこの脆弱性の識別をサポートし、同社のセキュリティ製品が攻撃トラフィックをアクティブに遮断できると述べています。
  • 新華三のセキュリティ状況認識ソリューションもこの脆弱性の検出をサポートしています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る