Trusted Design

解説:

CVE-2021-35464について、以下の観点で解説します。

1. 脆弱性の概要

1.1 影響 ForgeRock Access Management (AM) および OpenAM に存在するこの脆弱性は、認証されていない攻撃者がリモートで任意のコードを実行することを可能にします (RCE - Remote Code Execution)。攻撃者は特別に細工されたHTTPリクエストを送信することで、脆弱なサーバーを完全に制御できます。これにより、データの窃盗、システム操作、サービスの停止、さらにネットワークへの侵入の足がかりとなる可能性があります。

1.2 深刻度 この脆弱性は、CVSS v3.1スコアで「9.8 CRITICAL」と評価されており、非常に深刻な脆弱性です。

2. 対象となる環境

2.1 影響を受けるOSバージョン 本脆弱性はForgeRock AM/OpenAMアプリケーション自体の問題であり、主にJava 8以前の環境で動作している場合に影響を受けます。Java 9以降で稼働しているForgeRock/OIPインストールは影響を受けないとされています。 特定のOSバージョンではなく、アプリケーションとJavaランタイムのバージョンが重要な要素となります。

2.2 影響を受ける設定 以下のForgeRock Access Management (AM) および ForgeRock OpenAM のバージョンが影響を受けます。

• ForgeRock Access Management (AM): バージョン 7.0 より前。具体的には AM 6.0.0.x、6.5.0.x、6.5.1、6.5.2.x、6.5.3 が含まれます。
• ForgeRock OpenAM: 脆弱なJATOフレームワークを使用しているすべてのバージョン。
  • OSSTech OpenAM 14.x (osstech-openam14-14.1.0-4 以前のバージョン)
  • OSSTech OpenAM 13.0.0 (osstech-openam13-13.0.0-172 以前のバージョン)
  • OSSTech OpenAM 11.0.0 (osstech-openam11-11.0.0-133 以前のバージョン)
  • OSSTech OpenAM 9.5.x (osstech-openam-9.5.5-46 以前のバージョン)

3. 影響を受けた時の兆候

• /ccversion/*エンドポイントへの、大きくエンコードされた jato.pageSession パラメータを含む異常なHTTPリクエスト。
• ForgeRock AMのJavaプロセスから予期せぬプロセス（例：シェルプロセス、cmd.exe、bash）が生成される。
• 侵害されたサーバーへのウェブシェルや追加ツールの展開。
• エクスプロイト試行後に作成されたファイルの証拠。

4. 推奨対策

4.1 本対策 * ForgeRock Access Management (AM): バージョン 7.0 以降にアップグレードしてください。 * ForgeRock OpenAM: 最新のセキュリティ修正が適用されたバージョンにアップグレードしてください。例えば、OSSTech OpenAMでは osstech-openam14-14.1.0-4 以降、osstech-openam13-13.0.0-172 以降、osstech-openam11-11.0.0-133 以降、osstech-openam-9.5.5-46 以降が推奨されます。

4.2 暫定回避策（緩和策） * AMのweb.xmlファイル（/path/to/tomcat/webapps/openam/WEB-INFディレクトリ内）の以下のVersionServletマッピングをコメントアウトして無効化します。 xml <servlet-mapping> <servlet-name>VersionServlet</servlet-name> <url-pattern>/ccversion/*</url-pattern> </servlet-mapping> * リバースプロキシなどを用いて、/ccversionエンドポイントへのアクセスをブロックします。この際、リバースプロキシを介したTomcatのパス・トラバーサル脆弱性がないことを確認してください。 * Webアプリケーションファイアウォール（WAF）を利用し、「Web基本保護」状態を「遮断」モードに設定することで、この脆弱性に対する防御能力を発揮できる場合があります。 * 定期的なセキュリティアセスメント、脆弱性スキャン、ペネトレーションテストを実施して、同様の問題を早期に特定し対処することが重要です。

他に解説すべき観点

技術的詳細 CVE-2021-35464は、ForgeRock Access Managementが使用するSun ONE Application Framework (JATO) における、jato.pageSessionパラメータのJavaデシリアライゼーションの脆弱性です。JATOフレームワークは2005年にメンテナンスが停止されており、この脆弱性は安全でないJavaデシリアライゼーションに起因します。認証されていない攻撃者は、/ccversion/*などの複数のページで、悪意のあるJavaオブジェクトペイロードを含む細工されたHTTPリクエストを送信することで、リモートコード実行を引き起こすことができます。

---

参照したサイト

• SentinelOne: CVE-2021-35464: ForgeRock Access Management RCE Flaw
• 安全KER: ForgeRock OpenAM RCE（CVE-2021-35464）分析
• Feedly: CVE-2021-35464 - Exploits & Severity
• Huawei Cloud: ForgeRock AM远程代码执行漏洞预警（CVE-2021-35464）
• Rapid7: ForgeRock Access Manager/OpenAM Pre-Auth Remote Code Execution Vulnerability (CVE-2021-35464): What You Need To Know
• Cyber.gov.au: Advisory 2021-004: Active exploitation of ForgeRock Access Manager / OpenAM servers
• National Vulnerability Database: NVD-CVE-2021-35464
• fmbd: 【安全通报】ForgeRock AM远程代码执行漏洞（CVE-2021-35464）
• PortSwigger Research: Pre-auth RCE in ForgeRock OpenAM (CVE-2021-35464)
• OSSTech: OpenAM の脆弱性(CVE-2021-35464)について [am2021-3-2]
• Rapid7: Rapid7 Analysis: Pre-auth RCE in ForgeRock Access Manager (CVE-2021-35464)