Trusted Design

解説:

CVE-2022-36537 脆弱性解説

1. 脆弱性の概要

CVE-2022-36537は、オープンソースのAjax WebアプリケーションフレームワークであるZK Frameworkにおける情報漏洩の脆弱性です。この脆弱性は、ZK Frameworkの「AuUploader」コンポーネントに存在します。攻撃者は、細工されたPOSTリクエストをAuUploaderコンポーネントに送信することで、機密情報にアクセスできる可能性があります。AuUploaderコンポーネントは、ファイルアップロードを処理するために設計されていますが、受信リクエストの検証を適切に行わないため、機密データへの不正アクセスが可能になります。

この脆弱性は、場合によっては認証バイパスと組み合わされ、リモートコード実行 (RCE) につながる可能性も指摘されています。

1.1 影響

この脆弱性を悪用されると、攻撃者はWebコンテキスト内に保存されているファイル（通常はWEB-INFフォルダ内に隠されているweb.xmlやzk.xmlなどの設定ファイルを含む）の内容を取得できる可能性があります。 ConnectWise RecoverやR1Soft Server Backup Managerなどの製品において、サーバーのプライベートキーファイル、ソフトウェアライセンス、システム設定ファイルが漏洩し、最終的にはシステムスーパーユーザーとしてRCE（リモートコード実行）を達成する可能性も報告されています。

1.2 深刻度

CVSSv3スコアは公開されている情報源によって異なりますが、概ね「高 (High)」または「緊急 (Critical)」と評価されています。 * SentinelOneによると、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N とされており、情報漏洩の深刻度が高いことを示唆しています。 * Rapid7は、この脆弱性が情報漏洩として分類されているにもかかわらず、そのリスクと影響を過小評価すべきではないと指摘しています。 * CISAは、この脆弱性を既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に追加しており、積極的に悪用されていることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、特定のOSバージョンではなく、ZK Frameworkを使用するWebアプリケーションに影響を与えます。したがって、特定のOSバージョンは不明です。

2.2 影響を受ける設定

以下のZK Frameworkのバージョンが影響を受けます。 * ZK Framework v9.6.1 * ZK Framework v9.6.0.1 * ZK Framework v9.5.1.3 * ZK Framework v9.0.1.2 * ZK Framework v8.6.4.1

この脆弱性を利用している可能性のある製品としては、ConnectWise Recover v2.9.7およびそれ以前のバージョン、R1Soft Server Backup Manager v6.16.3およびそれ以前のバージョンが挙げられます。

3. 影響を受けた時の兆候

この脆弱性は情報漏洩やリモートコード実行につながるため、以下のような兆候が考えられます。 * Webアプリケーションのログに、通常の操作では見られない不審なファイルアクセスパターンやエラーメッセージが記録される。 * 予期しないファイルがWebサーバー上に作成されている、または設定ファイルの内容が改ざんされている。 * システム設定ファイル、プライベートキー、ライセンスファイルなどの機密データが、外部に漏洩した形跡がある。 * R1Soft Server Backup Managerのサーバーログファイル（/usr/sbin/r1soft/log/server.*）やエージェントログ（C:\Program Files\Server Backup Agent\log\cdp.*）に異常なアクティビティが見られる。 * Webアプリケーションやサーバーに、身に覚えのない不審なプロセスが実行されている、または変更が加えられている。

4. 推奨対策

4.1 本対策

影響を受けるZK Frameworkを使用している場合、以下の修正バージョンへのアップグレードが推奨されます。 * ZK Framework v9.6.2 * ZK Framework v9.6.0.2 (セキュリティリリース) * ZK Framework v9.5.1.4 (セキュリティリリース) * ZK Framework v9.0.1.3 (セキュリティリリース) * ZK Framework v8.6.4.2 (セキュリティリリース)

ConnectWise Recoverのユーザーは、v2.9.7より後のバージョンに自動的にアップグレードされていることを確認してください。R1Soft Server Backup Manager v6.16.3以前を使用している場合は、ConnectWiseが推奨するv6.16.4へのアップグレードが必要です。

4.2 暫定回避策（緩和策）

直ちにパッチ適用が困難な場合は、以下の緩和策の実施を検討してください。 * Webアプリケーションファイアウォール (WAF) を展開し、ZK Frameworkコンポーネントをターゲットとする疑わしいPOSTリクエストを検査・フィルタリングするルールを設定します。 * AuUploaderエンドポイントへの異常なリクエストパターンを検出するための異常検出を実装します。 * ファイルアップロードコンポーネントに関連する不正なアクセス試行やエラーメッセージについて、アプリケーションログを監視します。 * CVE-2022-36537の悪用パターンに対するシグネチャを持つ侵入検知システム (IDS) を設定します。 * アップロードエンドポイントへのアクセスをWebアプリケーションファイアウォールルールや認証要件によって制限するなどの、一時的な緩和策を実装します。

参照したサイト

• SentinelOne: CVE-2022-36537: ZK Framework Information Disclosure Flaw
• Qualys ThreatPROTECT: ZK Java Framework Remote Code Execution Vulnerability (CVE-2022-36537)
• Arctic Wolf: CVE-2022-36537 – Critical RCE Vulnerability & Supply Chain Risks in ConnectWise Recover and R1Soft Server Backup Manager
• GitLab Advisory Database: CVE-2022-36537 ZK Framework vulnerable to malicious POST
• Invicti: ZK Framework AuUploader Information Disclosure (CVE-2022-36537)
• H2 Security: CVE-2022-36537: ZK Framework AuUploader Unspecified Vulnerability
• Rapid7 Blog: Active Exploitation of ZK Framework CVE-2022-36537
• GitHub Advisory Database: ZK Framework vulnerable to malicious POST · CVE-2022-36537
• Numen Cyber Labs: CVE-2022–36537 Vulnerability Technical Analysis with Exp
• CVE Vulnerability: CVE-2022-36537
• GitHub: Malwareman007/CVE-2022-36537
• Invicti: ZK Framework AuUploader Information Disclosure (CVE-2022-36537) - Vulnerabilities
• SecurityWeek: R1Soft Server Backup Manager Vulnerability Exploited to Deploy Backdoor
• Android Developers Blog: Android のセキュリティに関する公開情報 - 2022 年 5 月
• Kitploit: Python exploit for CVE-2022-36537
• Fortinet: 2022 IoT脅威レビュー | FortiGuard Labs
• Trend Micro: 2022年2月のセキュリティアップデート解説 | トレンドマイクロ (JP)
• Trend Micro: 2022年1月のセキュリティアップデート解説：Microsoftが96件の脆弱性を対処
• Huntress: Critical Vulnerability Disclosure: ConnectWise/R1Soft Server Backup Manager Remote Code Execution & Supply Chain Risks
• Y4er: ZK框架权限绕过导致R1Soft RCE并接管Agent
• Recorded Future: トレンドソフトウェア脆弱性 | Recorded Future​​