Trusted Design

CVE-2023-32315 の詳細

CVEの情報

説明:
Openfire is an XMPP server licensed under the Open Source Apache License. Openfire's administrative console, a web-based application, was found to be vulnerable to a path traversal attack via the setup environment. This permitted an unauthenticated user to use the unauthenticated Openfire Setup Environment in an already configured Openfire environment to access restricted pages in the Openfire Admin Console reserved for administrative users. This vulnerability affects all versions of Openfire that have been released since April 2015, starting with version 3.10.0. The problem has been patched in Openfire release 4.7.5 and 4.6.8, and further improvements will be included in the yet-to-be released first version on the 4.8 branch (which is expected to be version 4.8.0). Users are advised to upgrade. If an Openfire upgrade isn’t available for a specific release, or isn’t quickly actionable, users may see the linked github advisory (GHSA-gw42-f939-fhvm) for mitigation advice.

CVE更新日: 2023-05-26 23:15:16.643000

CVSSバージョン: 3.1

CVSSスコア: 8.6

KEVの情報

KEV更新日: 2023-08-24

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2023-32315は、XMPPサーバーであるOpenfireの管理コンソールにおける深刻なパストラバーサル脆弱性です。

1. 脆弱性の概要

CVE-2023-32315は、Openfireの管理コンソールに存在するパストラバーサル（ディレクトリトラバーサル）の脆弱性です。この脆弱性は、すでに設定済みのOpenfire環境において、認証されていないユーザーが設定環境を悪用し、通常は管理者ユーザーに予約されている管理コンソールの制限されたページにアクセスすることを許可します。

根本原因は、OpenfireのWebアプリケーションルーティングロジックにおける不十分な入力検証と不適切なアクセス制御にあります。設定環境のエンドポイントが、初期セットアッププロセスが完了したかどうかを適切に検証しないことに加えて、パスのスラッシュ（../）が特定の非標準のUTF-16ベースの文字エンコーディング（例: %u002e%u002e）を使って適切にサニタイズされないため、攻撃者が意図したディレクトリ構造を脱出して保護された管理リソースに到達できるようになります。

1.1 影響

  • 認証バイパス: 認証されていないリモートの攻撃者が認証をバイパスし、Openfire管理コンソールにアクセスできます。
  • 管理機能への不正アクセス: 攻撃者は管理パネルのログインをバイパスし、管理者権限で管理機能（例えば、新規管理者ユーザーの作成）を実行できる可能性があります。
  • リモートコード実行 (RCE): 認証バイパス後、攻撃者は悪意のあるプラグインをアップロードしてウェブシェルを取得し、サーバー上で任意のコードを実行することで、サーバーを完全に制御できる可能性があります。
  • マルウェア配布: この脆弱性は、Kinsingマルウェアの配布など、実際に悪用されていることが確認されています。

1.2 深刻度

  • CVSS v3.1 Base Score: 8.6 (High)
  • CISAによる評価: CISAは、この脆弱性を9.8（Critical）と評価しており、既知の悪用された脆弱性（KEV）カタログに追加しています。これは、この脆弱性が実際に野外で悪用されていることを意味します。

2. 対象となる環境

2.1 影響を受けるOSバージョン

OpenfireはOSではなくXMPPサーバーです。以下のOpenfireのバージョンが影響を受けます。

  • 2015年4月以降にリリースされたOpenfireの全バージョン、具体的にはバージョン3.10.0から4.7.4まで。
  • バージョン4.6.0から4.6.7も具体的に影響を受けます。

2.2 影響を受ける設定

  • Webベースの管理コンソールが有効になっているOpenfireサーバー。
  • 特に、初期セットアップが完了した後でも、setup環境のエンドポイントが適切に保護されていない設定。
  • Jettyフィルター（AuthCheckFilter）が、非標準のUTF-16ベースの文字エンコーディング（例: %u002e%u002e）を使用したパストラバーサル攻撃を適切に処理できない設定。

3. 影響を受けた時の兆候

  • Webサーバーログに、Openfireの設定環境URL（例: /setup/setup-s/%u002e%u002e/）への予期せぬHTTPリクエストがある場合。
  • 許可されていない新しい管理者ユーザーアカウントがOpenfire内に作成されている場合。
  • admin.authorizedJIDsシステムプロパティに不審なユーザー名が追加されている場合。
  • 悪意のあるプラグイン（JSPウェブシェルなど）がデプロイされている場合。
  • サーバーの活動ログに不審な動作や攻撃試行を示す兆候が見られる場合。

4. 推奨対策

4.1 本対策

  • Openfireのアップグレード: 以下のパッチ適用済みバージョンへのアップグレードが推奨されます。
    • Openfire 4.7.5
    • Openfire 4.6.8
    • 今後リリースされる4.8ブランチの最初のバージョン（バージョン4.8.0と予想される）にも改善が含まれます。
  • 関連プラグインの更新: 以下のプラグインも最新バージョンに更新してください。
    • Random Avatar plugin version 1.1.0
    • Monitoring Service plugin version 2.5.0
    • HTTP File Upload plugin version 1.3.0

4.2 暫定回避策（緩和策）

  • 管理コンソールのインターネット公開制限: Openfireの管理Webページポート（9090および9091）をインターネットに公開しないでください。もし公開する必要がある場合は、承認されたIPアドレスからのみアクセスを許可するようにファイアウォールで制限してください。
  • 疑わしいユーザーの確認と削除: admin.authorizedJIDsシステムプロパティの値を確認し、不審な追加ユーザー名がないかチェックし、ある場合は削除してください。
  • 悪意のあるプラグインの手動削除: 悪意のあるプラグインがデプロイされた場合、Openfireサービスを停止し、プラグインディレクトリから悪意のある.jarファイルとそのフォルダを手動で削除してから、サービスを再起動してください。
  • ログとアクティビティの監視: サーバーの活動とログを定期的に監視し、攻撃の兆候となる不審な動作がないか確認してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る