Trusted Design

CVE-2021-39144 の詳細

CVEの情報

説明:
XStream is a simple library to serialize objects to XML and back again. In affected versions this vulnerability may allow a remote attacker has sufficient rights to execute commands of the host only by manipulating the processed input stream. No user is affected, who followed the recommendation to setup XStream's security framework with a whitelist limited to the minimal required types. XStream 1.4.18 uses no longer a blacklist by default, since it cannot be secured for general purpose.

CVE更新日: 2021-08-23 18:15:12.087000

CVSSバージョン: 3.1

CVSSスコア: 8.5

KEVの情報

KEV更新日: 2023-03-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.981240000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-39144について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-39144は、JavaのオブジェクトをXMLにシリアル化およびデシリアル化するためのオープンソースライブラリであるXStreamにおける、深刻度の高いリモートコード実行（RCE: Remote Code Execution）の脆弱性です。

この脆弱性は、非整列化（unmarshalling）時に処理される入力ストリームを攻撃者が操作することで、ホスト上で任意のコマンドを実行できる可能性があるというものです。

1.1 影響

  • リモートからの任意のコード実行 (RCE) が可能になります。
  • 攻撃に成功した場合、データ漏洩、システム整合性の損失、およびサービス中断につながる可能性があります。
  • VMware Cloud Foundation (NSX-V) の文脈では、認証されていない攻撃者がアプライアンス上で「root」権限でリモートコード実行を取得できる可能性があります。
  • 機密情報の取得、データの改ざん、および不正な管理操作の実行が可能になる場合があります。

1.2 深刻度

  • 共通脆弱性評価システム（CVSSv3）のスコアは8.5であり、「高（High）」と評価されています。
  • VMware Cloud Foundation (NSX-V) に適用された場合、CVSSv3スコアは9.8の「緊急（Critical）」と評価されています。
  • 攻撃ベクトルはネットワークベースで、攻撃の複雑性は「高」、必要な特権は「低」、ユーザーインタラクションは不要とされています。
  • Red Hatでは「Important」として評価されています。
  • 米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）の「悪用が確認された脆弱性カタログ（KEV）」に積極的に悪用が確認された脆弱性として追加されています。

2. 対象となる環境

XStreamライブラリを使用している製品が対象となります。

2.1 影響を受けるOSバージョン

直接的なOSバージョンではなく、XStreamライブラリのバージョンが影響します。 * XStreamのバージョン1.4.17以前のすべてのバージョンが、デフォルト設定で使用されている場合に影響を受けます。 * Debian Linux、Fedora、および一部のOracle製品も影響を受けるコンポーネントとして挙げられています。 * VMware Cloud Foundation (NSX-V) のバージョン3.xが影響を受けます。バージョン4.x以降は影響を受けません。

2.2 影響を受ける設定

  • XStreamのセキュリティフレームワークが、必要な最小限の型に限定されたホワイトリストで設定されていない場合、影響を受けます。
  • XStream 1.4.18以前のバージョンで、デフォルトのブラックリストアプローチを使用している場合、脆弱性があります。XStream 1.4.18からはデフォルトでブラックリストを使用しなくなっています。

3. 影響を受けた時の兆候

  • リモートコード実行が成功した場合、攻撃者によってホスト上で任意のコマンドが実行されるため、システム上で不正なプロセス、ファイルの作成/変更、予期しないネットワーク接続、異常なリソース使用などが観測される可能性があります。
  • 特にVMware Cloud Foundation (NSX-V) の場合、アプライアンス上でroot権限でのリモートコード実行が可能です。
  • CISAによって積極的に悪用が確認された脆弱性としてリストされているため、実際に攻撃が行われている環境では、これらの兆候が見られる可能性があります。

4. 推奨対策

4.1 本対策

  • XStreamライブラリを影響を受けないバージョンにアップグレードすることを推奨します。具体的には、XStream 1.4.18以降のバージョンへのアップグレードが必要です。XStream 1.4.18ではデフォルトでブラックリストを使用せず、より安全なホワイトリストアプローチが必須となります。
  • VMware Cloud Foundation (NSX-V) を使用している場合、バージョン3.11へアップグレードし、VMwareのセキュリティアドバイザリで提供されている回避策を適用してください。

4.2 暫定回避策（緩和策）

  • XStreamのセキュリティフレームワークを、必要な最小限の型に制限したホワイトリスト方式で設定します。これにより、この脆弱性の影響を回避できます。
  • ブラックリスト方式は一般的に安全でないため、ホワイトリスト方式を強く推奨します。

他に解説すべき観点

  • CWE (Common Weakness Enumeration): CWE-502: Deserialization of Untrusted Data (信頼できないデータの非直列化)
  • EPSS (Exploit Prediction Scoring System): この脆弱性のEPSSスコアは0.98124（99.909パーセンタイル）と非常に高いです。これは、この脆弱性が実際に悪用される可能性が非常に高いことを示唆しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る