Trusted DesignCVE-2023-29492 の詳細
CVEの情報
説明:
Novi Survey before 8.9.43676 allows remote attackers to execute arbitrary code on the server in the context of the service account. This does not provide access to stored survey or response data.
CVE更新日: 2023-04-11 05:15:07.393000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2023-04-13
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.183260000
EPSS更新日: 2026-06-01 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2023-29492は、Novi Surveyにおける不適切なコード生成（コードインジェクション）の脆弱性であり、リモートからのコード実行を可能にするものです。この脆弱性はCISAの既知の悪用されている脆弱性カタログに掲載されており、活発に悪用されていることを示しています。
1. 脆弱性の概要
1.1 影響 Novi Surveyの特定のバージョンにおいて、リモートの攻撃者がサービスアカウントのコンテキストでサーバー上で任意のコードを実行できる可能性があります。この脆弱性によって、保存されている調査データや回答データへのアクセスは提供されません。機密性、完全性、可用性への影響は高いと評価されています。
1.2 深刻度 この脆弱性のCVSS v3基本スコアは9.8（Critical）です。 Exploit Prediction Scoring System (EPSS)スコアは17.174%（95パーセンタイル）であり、今後30日以内に悪用される可能性が高いと推定されています。 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) の既知の悪用されている脆弱性カタログにも含まれており、積極的に悪用されていることが示されています。 脆弱性の種類としては、「不適切なコード生成の制御（Code Injection）」（CWE-94）または「安全でないデシリアライゼーションの脆弱性」に分類されます。
2. 対象となる環境
2.1 影響を受けるOSバージョン この脆弱性は、OSそのものではなく、Novi Surveyソフトウェアに存在します。影響を受けるのは、Novi Survey 8.9.43676より前のバージョンです。 特定のOSバージョンに限定されず、Novi Surveyが稼働しているサーバー環境が影響を受けます。
2.2 影響を受ける設定 この脆弱性は、Novi Surveyの「安全でないデシリアライゼーション」に起因するため、影響を受けるバージョンのNovi Surveyのデフォルト設定が脆弱性の対象となります。 脆弱性を有効または無効にする特定の「設定」は明示されていません。
3. 影響を受けた時の兆候
Novi Surveyの脆弱性（CVE-2023-29492）が悪用された際の具体的な兆候は、公開情報には明示されていません。しかし、リモートコード実行（RCE）の性質上、以下のような一般的な兆候が考えられます。
4. 推奨対策
4.1 本対策 Novi Surveyをバージョン8.9.43676以降にアップグレードしてください。 ベンダーの指示に従ってアップデートを適用することが推奨されています。
4.2 暫定回避策（緩和策） 公開されている情報では、この脆弱性に対する具体的な暫定回避策（緩和策）は提供されていません。 リモートコード実行の可能性が高く、CISAの既知の悪用されている脆弱性カタログに掲載されているため、速やかにベンダーが提供するパッチを適用することが最も重要です。
参照したサイト