Trusted Design

CVE-2022-39197 の詳細

CVEの情報

説明:
An XSS (Cross Site Scripting) vulnerability was found in HelpSystems Cobalt Strike through 4.7 that allowed a remote attacker to execute HTML on the Cobalt Strike teamserver. To exploit the vulnerability, one must first inspect a Cobalt Strike payload, and then modify the username field in the payload (or create a new payload with the extracted information and then modify that username field to be malformed).

CVE更新日: 2022-09-22 01:15:11.963000

CVSSバージョン: 3.1

CVSSスコア: 6.1

KEVの情報

KEV更新日: 2023-03-30

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.464460000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: False

AIを使った解説

解説:

CVE-2022-39197は、HelpSystems Cobalt Strikeにおけるクロスサイトスクリプティング（XSS）の脆弱性であり、リモートからのコード実行（RCE）につながる可能性があります。

1. 脆弱性の概要

1.1 影響

この脆弱性は、HelpSystems Cobalt Strikeのチームサーバー上でリモートの攻撃者がHTMLを実行することを可能にします。悪用されると、Cobalt StrikeのC2（Command and Control）フレームワークが侵害され、レッドチームオペレーターのシステムや、ターゲットシステムに確立されたビーコンの制御が危殆化する可能性があります。本脆弱性はCISAの既知の悪用されている脆弱性（KEV）カタログに掲載されており、実世界で積極的に悪用されていることを示しています。

1.2 深刻度

  • NVD（National Vulnerability Database）では、CVSS v3.1スコアが提供されていますが、SentinelOneはCVSSスコアを6.1（MEDIUM）と記載しています。
  • 奇安信CERT（Qianxin CERT）は、CVSS 3.1スコアを9.8（高危）として評価しています。
  • CISAのKEVカタログに含まれていること、およびリモートからのコード実行（RCE）の可能性を考慮すると、この脆弱性は「高」または「クリティカル」な深刻度として扱われるべきです。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに限定されるものではなく、Cobalt Strikeアプリケーション自体に存在します。Cobalt StrikeはJava Swingフレームワーク上に構築されています。

2.2 影響を受ける設定

本脆弱性は、HelpSystems Cobalt Strikeのバージョン4.7以前に影響を与えます。 脆弱性は、チームサーバーがビーコンのペイロードを処理し、オペレーターインターフェースにレンダリングする際に、ユーザー名フィールドの入力を適切にサニタイズしないことに起因します。 攻撃者は、Cobalt Strikeペイロードを検査し、ユーザー名フィールドを悪意のあるコンテンツを含むように変更するか、不正なユーザー名フィールドを持つ新しいペイロードを作成することで、脆弱性を悪用することができます。

3. 影響を受けた時の兆候

具体的なフォレンジック指標は検索結果に明記されていませんが、XSSからRCEに至る性質上、Cobalt StrikeチームサーバーのUI上でビーコン情報を表示した際に予期しない動作が見られる可能性があります。 また、既存のビーコンペイロードに改ざんや悪意のある変更がないかを確認することが推奨されており、これも兆候の一つとなり得ます。

4. 推奨対策

4.1 本対策

  • Cobalt Strikeをバージョン4.7.1以降にアップグレードしてください。
  • HelpSystemsは、CVE-2022-39197に対処するためにCobalt Strikeバージョン4.7.1を帯域外セキュリティアップデートとしてリリースしました。
  • このパッチは、チームサーバーインターフェースに表示されるユーザー制御フィールドに対して適切な入力サニタイズを実装しています。
  • CISAは「ベンダーの指示に従ってアップデートを適用する」ことを必須の措置としています。

4.2 暫定回避策（緩和策）

  • Cobalt Strikeチームサーバーへのネットワークアクセスを信頼できるIPアドレスのみに制限してください。
  • チームサーバーインターフェースの前にXSSフィルタリング機能を備えたリバースプロキシをデプロイしてください。
  • チームサーバーにアクセスする際には、JavaScriptの実行をブロックするか、サンドボックス環境で動作するブラウザ拡張機能を使用してください。
  • プロキシ設定を通じて可能な場合は、厳格なContent Security Policy（CSP）ヘッダーを実装してください。
  • 既存のビーコンペイロードに改ざんや悪意のある変更がないかを確認してください。
  • 予防措置として、オペレーターの認証情報とセッショントークンをローテーションしてください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る