Trusted Design

CVE-2023-22894 の詳細

CVEの情報

説明:
Strapi through 4.5.5 allows attackers (with access to the admin panel) to discover sensitive user details by exploiting the query filter. The attacker can filter users by columns that contain sensitive information and infer a value from API responses. If the attacker has super admin access, then this can be exploited to discover the password hash and password reset token of all users. If the attacker has admin panel access to an account with permission to access the username and email of API users with a lower privileged role (e.g., Editor or Author), then this can be exploited to discover sensitive information for all API users but not other admin accounts.

CVE更新日: 2023-04-19 16:15:07.303000

CVSSバージョン: 3.1

CVSSスコア: 4.9

KEVの情報

KEV更新日: 2026-10-08

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.036090000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-22894は、Strapiにおける情報漏えいの脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

CVE-2023-22894は、ヘッドレスCMSであるStrapiのクエリフィルタ機能に存在する情報漏えいの脆弱性です。管理パネルへのアクセス権を持つ攻撃者が、クエリフィルタを悪用して機密性の高いユーザー情報を取得できる可能性があります。攻撃者は、機密情報を含むカラムでユーザーをフィルタリングし、APIレスポンスから値を推測することで、情報を漏えいさせます。

また、この脆弱性はCVE-2023-22621と組み合わせることで、認証されていない状態でのリモートコード実行（RCE）につながる可能性があります。

1.1 影響

攻撃者がスーパー管理者権限を持っている場合、すべてのユーザーのパスワードハッシュとパスワードリセットトークンが漏えいする可能性があります。下位の管理者権限（例：EditorやAuthor）を持つアカウントでAPIユーザーのユーザー名とメールアドレスにアクセスできる場合、他の管理者アカウントを除くすべてのAPIユーザーの機密情報が漏えいする可能性があります。これにより、アカウントの乗っ取りや、他の脆弱性と組み合わせた場合のリモートコード実行に至る可能性があります。

1.2 深刻度

NVD (National Vulnerability Database) では、CVSS 3.1の基本スコア4.9で「MEDIUM（中）」と評価されています。しかし、CISA-ADP (CISA-Authorized Data Publisher) では、CVSS 3.1の基本スコア9.8で「CRITICAL（緊急）」と評価しており、権限を必要とせず、認証なしで悪用可能であるとしています。 このスコアの差異は、NVDが「管理パネルへのアクセス権を持つ攻撃者」を前提としているのに対し、研究者らはこの脆弱性が認証なしで悪用可能であり、さらに別の脆弱性と組み合わせることでリモートコード実行に繋がる点を強調しているためです。米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、この脆弱性が実際に悪用されていることを示す「悪用が確認された脆弱性カタログ（KEV）」にCVE-2023-22894を追加し、連邦政府機関に対して2026年10月11日までの修正を義務付けています。

2. 対象となる環境

2.1 影響を受けるStrapiバージョン

  • Strapi 4.5.5まで
  • Strapi 4.7.1まででは、認証されていない攻撃者がStrapi管理者およびAPIユーザーの機密情報を発見できます。
  • 情報漏えいの原始的な脆弱性は、Strapi >= 3.2.1 および < 4.8.0 に影響します。
  • 認証なしのリモートコード実行（RCE）の連鎖には、Strapi <= 4.5.5 が影響を受けます。

2.2 影響を受けるOSバージョン

特定のOSバージョンに依存するものではなく、Strapiが動作する環境全般に影響します。

2.3 影響を受ける設定

攻撃者が管理パネルにアクセスできる設定、または公開エンドポイントがユーザーとの関係を持つ設定が影響を受けます。機密情報が平文で保存されている場合、脆弱性の悪用による影響が大きくなります。

3. 影響を受けた時の兆候

  • ペイロードがGETパラメータ内に含まれるため、リクエストログで容易に検出できます。
  • ログファイルに「password」「reset_password_token」「resetPasswordToken」を含む複数のリクエストがないか確認することで、悪用を検出できます。
  • Strapiサーバー上でパスワードハッシュやリセットトークンが漏えいしていることが確認された場合、攻撃を受けた兆候となります。

4. 推奨対策

4.1 本対策

  • Strapiのアップグレード:
    • Strapiをバージョン4.5.5よりも新しいバージョンに即座にアップグレードしてください。
    • 情報漏えいの脆弱性に対処するには、Strapi 4.7.1以降への更新が必要です。
    • より広範な情報漏えいの脆弱性（Strapi >= 3.2.1, < 4.8.0）に対処するためには、Strapi 4.8.0以降への更新が推奨されます。
    • RCEの連鎖攻撃を防ぐためには、Strapi 4.5.5よりも新しいバージョンへ更新してください。
    • ベンダーのセキュリティアドバイザリチャネルを確認し、パッチが適用されたStrapiバージョンに関する情報を入手してください。

4.2 暫定回避策（緩和策）

  • 管理パネルのアクセス監査: 管理パネルへのアクセスを監査し、不要なアカウントの権限を削除してください。
  • パスワードリセットトークンの再発行: 予防措置として、すべてのユーザーのパスワードリセットトークンを再発行してください。
  • ログの確認: 悪用の可能性を示す不審なクエリフィルタのアクティビティがないか、ログを定期的に確認してください。
  • 権限の最小化: ユーザーに必要最小限の権限のみを付与し、機密情報へのアクセスを制限してください。

参照サイト

NVDサイト

NVDでCVEの詳細を見る

戻る