Trusted Design

解説:

CVE-2022-47986は、IBM Aspera Faspexにおける重要なリモートコード実行（RCE）の脆弱性です。

1. 脆弱性の概要

IBM Aspera FaspexのYAMLデシリアライゼーションの脆弱性です。認証されていないリモートの攻撃者が、特別に細工された廃止されたAPIコールを送信することで、システム上で任意のコードを実行することを可能にします。この脆弱性は、事前認証（pre-authentication）で悪用可能です。

1.1 影響

この脆弱性が悪用されると、攻撃者はターゲットシステム上で任意のコードを実行できます。これにより、データ損失、サービス停止、システム設定への不正な変更につながる可能性があります。 実際に、この脆弱性はIceFireランサムウェアキャンペーンを含む実際の攻撃で悪用されています。

1.2 深刻度

深刻度はクリティカルと評価されており、共通脆弱性評価システム（CVSSv3）スコアは9.8（10点満点中）です。 CISA（米国サイバーセキュリティ・インフラセキュリティ庁）は、この脆弱性を既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に追加し、緊急のパッチ適用を促しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、IBM Aspera Faspexアプリケーション自体に存在します。IBM Aspera FaspexはLinuxシステム上で動作するため、間接的にLinux OSが関連しますが、特定のOSバージョンが脆弱であると明記されているわけではありません。

2.2 影響を受ける設定

IBM Aspera Faspexのバージョン4.4.2 Patch Level 1以前が影響を受けます。 この脆弱性は、ユーザー制御データを処理する際にYAML.loadが不適切に使用されていることに起因し、特に/package_relay/relay_packageというルートで発生します。 悪用に使用された廃止されたAPIコールは、パッチ適用済みのバージョンでは削除されています。

3. 影響を受けた時の兆候

• ログファイル（デフォルトの場所：/opt/aspera/faspex/log）にPackageRelayController#relay_packageに関連する不審なエントリが見られる場合。
• システムログにその他の不審な活動の兆候がある場合。
• IceFireランサムウェアなど、ランサムウェア攻撃の証拠が見られる場合。

4. 推奨対策

4.1 本対策

• IBM Aspera Faspexをバージョン4.4.2 Patch Level 2（PL2）以降にアップグレードしてください。
• アップグレードを行う前に、すべてのFaspex設定とデータのバックアップをスケジュールし、IBMのアップグレード手順に従ってください。
• 詳細なアップグレード手順と前提条件については、IBMのセキュリティ情報 (IBM Security Bulletin) を確認してください。

4.2 暫定回避策（緩和策）

• 直ちにパッチを適用できない場合は、ネットワークレベルの制御を実装し、Faspexアプリケーションへのアクセスを信頼できるIPアドレスのみに制限してください。
• このサービスは通常インターネットに公開されており、ランサムウェア活動との関連が報告されているため、すぐにパッチをインストールできない場合はサービスをオフラインにすることを検討してください。
• パッチが適用されていない状態でインターネットに公開されていたサーバーは、再構築することを推奨します。

他に解説すべき観点

• 発見者: この脆弱性は、AssetnoteのMaxwell Garrett氏によって発見されました。
• PoCの公開と悪用状況: 脆弱性の詳細と実証コード（PoC）は2023年2月以降公開されており、実環境での積極的な悪用が確認されています。
• ソフトウェアの古さ: 影響を受けるソフトウェアは、非常に古いバージョンのコンポーネント（例：Ruby 1.9.3は2011年にリリース）で動作していることが指摘されています。

参照したサイト

• IBM Aspera Faspex Remote Code Execution Vulnerability (CVE-2022-47986) - SanerNow Vulnerability Management
• CVE-2022-47986 - CVE Details, Severity, and Analysis | Strobes VI
• NVD-CVE-2022-47986 - NIST
• Active Exploitation of IBM Aspera Faspex CVE-2022-47986 | Rapid7 Blog
• Ransomware gangs are exploiting IBM Aspera Faspex RCE flaw (CVE-2022-47986)
• Rapid7 Analysis: CVE-2022-47986
• IBM Aspera Faspex RCE (CVE-2022-47986) - Vulnerabilities - Acunetix
• Detect CVE-2022-47986 Exploits: Critical Pre-Authenticated Remote Code Execution Vulnerability in IBM Aspera Faspex | SOC Prime
• CVE-2022-47986.yaml - projectdiscovery/nuclei-templates - GitHub
• Attack: IBM Aspera Faspex RCE CVE-2022-47986 - Broadcom Inc.
• CVE-2022-47986 | Critical Vulnerability in IBM Aspera Faspex - Appsecure Security
• CVE-2022-47986: IBM Aspera Faspex — Deserialization to Remote Code Execution