Trusted DesignCVE-2021-42258 の詳細
CVEの情報
説明:
BQE BillQuick Web Suite 2018 through 2021 before 22.0.9.1 allows SQL injection for unauthenticated remote code execution, as exploited in the wild in October 2021 for ransomware installation. SQL injection can, for example, use the txtID (aka username) parameter. Successful exploitation can include the ability to execute arbitrary code as MSSQLSERVER$ via xp_cmdshell.
CVE更新日: 2021-10-22 22:15:07.907000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.744260000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2021-42258に関する調査結果は以下の通りです。
1. 脆弱性の概要
CVE-2021-42258は、BQE BillQuick Web Suite 2018から2021バージョン（バージョン22.0.9.1より前）に存在するSQLインジェクションの脆弱性です。この脆弱性は、認証されていないリモートコード実行（Unauthenticated Remote Code Execution: RCE）を可能にします。
1.1 影響
攻撃者はこの脆弱性を悪用することで、不正アクセス、データ漏洩、およびシステム全体の侵害を引き起こす可能性があります。具体的には、アプリケーションのログインフォームを通じて特別に細工されたSQLクエリを注入し、基盤となるWindowsオペレーティングシステム上でコマンドシェルを生成し、コード実行を達成できます。成功した場合、攻撃者は
xp_cmdshellを介してMSSQLSERVER$として任意のコードを実行することが可能です。この脆弱性は、2021年10月にランサムウェアのインストールに悪用されたことが確認されています。攻撃者はBillQuickのデータにアクセスし、オンプレミスのWindowsサーバーで悪意のあるコマンドを実行できます。1.2 深刻度
この脆弱性は「Critical（クリティカル）」と評価されており、CISAのKnown Exploited Vulnerabilitiesカタログにも含まれています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性はBQE BillQuick Web Suiteアプリケーション自体に存在するため、特定のOSバージョンに直接影響を与えるものではありません。しかし、脆弱なアプリケーションが稼働しているWindowsオペレーティングシステム上でリモートコード実行が可能になります。
2.2 影響を受ける設定
xp_cmdshell拡張ストアドプロシージャの使用を許可している場合、およびBillQuick Web Suiteがデータベース認証に「sa」（System Administrator）アカウントを使用するように構成されている場合、脆弱性の影響が大きくなります。3. 影響を受けた時の兆候
pusheken91@bk.ru）が付与されるなど、ランサムウェア特有のファイル変更。4. 推奨対策
4.1 本対策
4.2 暫定回避策（緩和策）
xp_cmdshell拡張ストアドプロシージャの使用をブロックするように設定されている場合、リモートコード実行は防止されます。saアカウントの使用を避けてください。その他
この脆弱性は、中小企業向けソフトウェアにおけるセキュリティ対策の不足という繰り返し見られるパターンを浮き彫りにしていると指摘されています。脆弱性が悪用された場合、顧客の機密データが漏洩したり、ランサムウェアの被害に遭う可能性があります。CISAは、2021年に悪用が常態化していた脆弱性の一つとしてCVE-2021-42258を挙げています。
参照したサイト