Trusted Design

解説:

CVE-2021-42237に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

Sitecore Experience Platform (XP) における、認証不要のリモートコード実行 (RCE) を可能にする深刻な脆弱性です。信頼できないデータの逆シリアル化に起因します。

1.1 影響

攻撃者は、脆弱なシステム上でリモートから任意のコマンドを実行できる可能性があります。これにより、サーバーの完全な制御を奪い、任意のコードの実行、バックドアのインストール、データ窃取、またはネットワーク内の他のシステムへの侵入を許すことになります。

1.2 深刻度

深刻度は「Critical」と評価されています。CVSS v3.1 ベーススコアは9.8、CVSS v2.0 ベーススコアは10.0です。 米国サイバーセキュリティ・社会基盤安全保障庁 (CISA) の既知の悪用されている脆弱性 (KEV) カタログに追加されており、実際に悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、基盤となるOSではなく、Sitecore Experience Platform (XP) 製品に影響を与えます。

2.2 影響を受ける設定

特別な設定は必要なく、脆弱な/sitecore/shell/ClientBin/Reporting/Report.ashxエンドポイントが利用可能なSitecore XPインスタンスが影響を受けます。

影響を受ける製品バージョン: Sitecore Experience Platform (XP) の以下のバージョンが影響を受けます。

• Sitecore XP 7.5 Initial Release ～ Sitecore XP 7.5 Update-2
• Sitecore XP 8.0 Initial Release ～ Sitecore XP 8.0 Update-7
• Sitecore XP 8.1 Initial Release ～ Sitecore XP 8.1 Update-3
• Sitecore XP 8.2 Initial Release ～ Sitecore XP 8.2 Update-7

Sitecore XP 9.0以降のバージョンおよびSitecore XP 7.5より前のバージョンは影響を受けません。

3. 影響を受けた時の兆候

• 脆弱なReport.ashxファイルを標的とした悪意のある活動のログを確認する。
• IISインスタンス (w3wp.exe) 上で、cmd.exe /c echo、certutil.exe、powershell.exeなどの疑わしいプロセスが実行され、Webアクセス可能なフォルダにスクリプトファイルが作成される場合、Webシェル活動の強い兆候です。
• 通常とは異なる外部へのネットワーク接続や、Webアプリケーションファイルの改ざんなども兆候となり得ます。

4. 推奨対策

4.1 本対策

• Sitecore XP 9.0.0 以降へのアップグレード: 最も推奨される対策は、脆弱性の修正されたバージョンであるSitecore XP 9.0.0以降にアップグレードすることです。
• Report.ashxファイルの削除: 影響を受けるSitecore XP 7.5.0から8.2.7のバージョンを使用している場合、/sitecore/shell/ClientBin/Reporting/Report.ashxファイルをすべてのサーバーインスタンスから削除します。このファイルは現在使用されておらず、安全に削除できます。

4.2 暫定回避策（緩和策）

本脆弱性に対する主要な対策がファイルの削除またはアップグレードであるため、個別の「暫定回避策」は限定的です。Sitecore自体が、アップグレードまたはファイルの削除を推奨しています。 一般的なセキュリティ強化策として、システムへのタイムリーなパッチ適用と、一元化されたパッチ管理システムの導入が推奨されます。

5. 他に解説すべき観点

• CWE (共通脆弱性タイプ一覧): CWE-502 (Deserialization of Untrusted Data - 信頼できないデータの逆シリアル化) に分類されます。
• 悪用の状況: 公開された概念実証 (PoC) エクスプロイトが存在し、野外での活発な悪用が確認されています。 攻撃は、/sitecore/shell/ClientBin/Reporting/Report.ashxエンドポイントに細工されたXMLを送信することで行われます。
• 認証の有無: 脆弱性の悪用に認証は不要です。

参照サイト

• CVE-2021-42237: Sitecore Experience Platform RCE Flaw - SentinelOne
• Rapid7 Analysis: CVE-2021-42237
• CVE-2021-42237 | Tenable®
• Active exploitation of vulnerable Sitecore Experience Platform content management systems | Cyber.gov.au
• Advisory: Sitecore RCE via Insecure Deserialization - CVE-2021-42237
• Sitecore Experience Platform Pre-Auth RCE - CVE-2021-42237 - Searchlight Cyber
• CVE-2021-42237.yaml - projectdiscovery/nuclei-templates - GitHub
• How I Get Pre-Auth Remote Code Execution (CVE-2021–42237) on One of the Vendors.
• An exploit/PoC for CVE-2021-42237 - GitHub
• 网络安全之漏洞CVE-2021–42237 - 稀土掘金
• NVD-CVE-2021-42237 - National Vulnerability Database
• 2021 Top Routinely Exploited Vulnerabilities - CISA
• Sitecore XP RCE flaw patched last month now actively exploited - Bleeping Computer