Trusted Design

解説:

CVE-2021-27102について

1. 脆弱性の概要

CVE-2021-27102は、Accellion FTA (File Transfer Appliance) のバージョン9_12_411以前に存在するOSコマンド実行の脆弱性です。この脆弱性は、ローカルのWebサービス呼び出しを介して悪用される可能性があります。

1.1 影響

この脆弱性が悪用されると、攻撃者はターゲットシステム上でOSコマンドを実行できる可能性があります。 成功した場合、脆弱なFTAインスタンスからファイルを閲覧したり、持ち出したりする可能性があります。 この脆弱性は、CISAのKnown Exploited Vulnerabilities Catalogに記載されており、実際に攻撃で悪用されたことが知られています。

1.2 深刻度

CVSSv3スコアは公開されている情報からは確認できませんでしたが、Tenableのブログ記事では、関連する他の脆弱性（CVE-2021-27101, CVE-2021-27103, CVE-2021-27104）の3つがCVSSv3スコア9.8と評価され、CVE-2021-27102を含む残りの1つが7.8と評価されたと記載されていますが、詳細は限定的です。 一般的に、OSコマンド実行の脆弱性は高い深刻度を持つ傾向があります。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Accellion FTA (File Transfer Appliance) のソフトウェアの脆弱性であり、基盤となる特定のOSバージョンに限定されるものではありません。

2.2 影響を受ける設定

Accellion FTA バージョン9_12_411およびそれ以前のバージョンが影響を受けます。 修正バージョンはFTA_9_12_416以降です。

3. 影響を受けた時の兆候

具体的な兆候については、CVE-2021-27102単独での詳細な情報は見当たりませんでした。しかし、関連する攻撃キャンペーンでは、SQLインジェクション脆弱性（CVE-2021-27101）が悪用され、DEWMODEと呼ばれるウェブシェルがシステムにインストールされた事例が報告されています。このウェブシェルは、攻撃者がターゲットデバイスにコマンドを送信したり、データを抜き出したり、ログを消去したりするために使用されました。 したがって、不審なファイルやウェブシェルの存在、またはシステムログの不審な改ざんなどが兆候として挙げられる可能性があります。

4. 推奨対策

4.1 本対策

Accellion FTAをバージョンFTA_9_12_416以降にアップデートすることが推奨されています。 ベンダーの指示に従ってアップデートを適用してください。 Accellion FTAは2021年4月30日にサポートが終了しており、Kiteworksプラットフォームへの移行が推奨されています。

4.2 暫定回避策（緩和策）

理想的には、機密性の高いファイル共有システムを公共のインターネットから隔離し、ネットワーク制限を十分に適用することが推奨されます。 また、Advanced WAFのようなセキュリティソリューションを利用している場合、SQLインジェクションとコマンド実行の攻撃シグネチャを有効にすることで、この脆弱性に対する保護が提供される可能性があります。

参照したサイト

• NVD - CVE-2021-27102
• Known Exploited Vulnerabilities Catalog - CISA
• Exploitation of Accellion File Transfer Appliance - CISA
• Accellion Patches Four Vulnerabilities in File Transfer Appliance (CVE-2021-27101, CVE-2021-27102, CVE-2021-27103, CVE-2021-27104) - Tenable
• Accellion FTA Vulnerabilities Exploited in APT Attacks - New AWAF Signatures | DevCentral
• CVE-2021-27101: Accellion FTA SQL Injection Vulnerability - SentinelOne
• Kiteworks、差し迫ったサイバー攻撃の恐れで顧客に9時間のシステム停止を勧告