Trusted Design

CVE-2022-29464 の詳細

CVEの情報

説明:
Certain WSO2 products allow unrestricted file upload with resultant remote code execution. The attacker must use a /fileupload endpoint with a Content-Disposition directory traversal sequence to reach a directory under the web root, such as a ../../../../repository/deployment/server/webapps directory. This affects WSO2 API Manager 2.2.0 up to 4.0.0, WSO2 Identity Server 5.2.0 up to 5.11.0, WSO2 Identity Server Analytics 5.4.0, 5.4.1, 5.5.0 and 5.6.0, WSO2 Identity Server as Key Manager 5.3.0 up to 5.11.0, WSO2 Enterprise Integrator 6.2.0 up to 6.6.0, WSO2 Open Banking AM 1.4.0 up to 2.0.0 and WSO2 Open Banking KM 1.4.0, up to 2.0.0.

CVE更新日: 2022-04-18 22:15:09.027000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-04-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2022-29464について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2022-29464は、複数のWSO2製品に影響を与える、認証されていない無制限ファイルアップロードの脆弱性であり、結果としてリモートコード実行（RCE）を可能にします。

この脆弱性は、WSO2製品のデフォルト設定における複数の設定およびコードエラーによって引き起こされます。具体的には、認証なしで/fileuploadエンドポイントにアクセスできること、およびHTTPリクエストのContent-Dispositionヘッダーにおいてディレクトリトラバーサル（../シーケンス）を使用して悪意のあるファイルをアップロードできることに起因します。

攻撃者はこの欠陥を悪用し、JSPファイルやJava Web Application Archive (WAR) ファイルなどの悪意のあるファイルを、Webルート下の任意のディレクトリ（例：/repository/deployment/server/webapps/）にアップロードし、その後任意のコードを実行することが可能になります。

1.1 影響

  • 認証されていないリモートの攻撃者が任意のコードを実行できるようになります。
  • サーバーが完全に侵害される可能性があります。
  • 攻撃者は、Webシェルをインストールしたり、コインマイナーやLinux互換のCobalt Strike Beaconなどのマルウェアをドロップしたりする可能性があります。
  • Javaプロセスのオーナーと同等の権限でOSのシステムコマンドを任意に実行できることが確認されています。

1.2 深刻度

  • CVSSv3.1スコアは9.8であり、「Critical（緊急）」と評価されています。
  • 攻撃の複雑度は「容易」であり、悪用には権限が不要で、ユーザーの操作も必要ありません。
  • 本脆弱性はCWE-22（不適切なパス名の制限 - パス遍歴）およびCWE-434（危険な種類のファイルの無制限アップロード）に関連しています。

2. 対象となる環境

WSO2が提供する以下の製品およびバージョンが影響を受けます。

  • WSO2 API Manager: 2.2.0 から 4.0.0 まで
  • WSO2 Identity Server: 5.2.0 から 5.11.0 まで
  • WSO2 Identity Server Analytics: 5.4.0, 5.4.1, 5.5.0, 5.6.0
  • WSO2 Identity Server as Key Manager: 5.3.0 から 5.11.0 まで
  • WSO2 Enterprise Integrator: 6.2.0 から 6.6.0 まで
  • WSO2 Open Banking AM: 1.4.0 から 2.0.0 まで
  • WSO2 Open Banking KM: 1.4.0 から 2.0.0 まで

2.1 影響を受けるOSバージョン

特定のOSバージョンに関する明示的な指定はありませんが、WSO2製品が稼働するWindowsおよびLinuxの両方の環境で攻撃が観測されています。

2.2 影響を受ける設定

  • /fileuploadエンドポイントへの認証なしのアクセスを許可する設定。
  • Content-Dispositionヘッダーでディレクトリトラバーサルを許容する設定。
  • WSO2製品のデフォルト設定に起因する複数の設定およびコードエラー。

3. 影響を受けた時の兆候

  • repository/deployment/server/webapps/ディレクトリ内に、予期しないJSP、WAR、またはその他の実行可能ファイルが出現する。
  • Content-Dispositionヘッダーに../シーケンスを含む/fileuploadエンドポイントへのHTTP POSTリクエストが確認される。
  • Webシェルがインストールされる。
  • Javaプロセスからwgetコマンドが呼び出され、暗号資産マイナーなどの悪意のあるファイルがダウンロードされる。
  • Javaプロセスからchmodコマンドが呼び出され、権限設定が変更される。

4. 推奨対策

4.1 本対策

  • セキュリティパッチの適用: WSO2がリリースしているセキュリティパッチを速やかに適用してください。
    • WSO2のセキュリティアドバイザリ2021-1738を参照し、各影響を受ける製品バージョンに固有のパッチ適用手順を確認してください。
    • WSO2 Updatesを使用して関連するパッチを適用することが推奨されます。
  • 最新バージョンへのアップグレード: 最新の修正済みバージョンにアップグレードしてください。

4.2 暫定回避策（緩和策）

  • インターネットからの隔離: 脆弱なWSO2製品のインスタンスをパブリックインターネットから隔離してください。
  • 設定の変更: 影響を受ける設定を無効にするか、アクセスを制限してください。例えば、/fileuploadエンドポイントへの認証なしのアクセスを制限します。
    • Arcserve UDPに同梱されているWSO2 Identity Serverの場合、carbon.xml内の<FileUploadConfig>タグを削除またはコメントアウトすることで対策が可能です。

他に解説すべき観点

  • 公開と悪用: 本脆弱性は2022年4月18日にMITREによって公開されました。WSO2は同年2月には既にパッチをリリースしていました。
  • 概念実証の存在: 本脆弱性の概念実証（PoC）エクスプロイトがGitHubやPacket Stormで公開されており、攻撃者による悪用が容易です。
  • 活発な悪用: CISA（Cybersecurity and Infrastructure Security Agency）は、この脆弱性が活発に悪用されていることを開示しており、実際にRapid7のMDRチームは実世界での悪用を観測しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る