Trusted Design

CVE-2023-38180 の詳細

CVEの情報

説明:
.NET and Visual Studio Denial of Service Vulnerability

CVE更新日: 2023-08-08 19:15:10.367000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2023-08-09

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.140160000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2023-38180は、Microsoftの.NET環境におけるサービス拒否（DoS）の脆弱性です。以下にその詳細を解説します。

1. 脆弱性の概要

CVE-2023-38180は、Microsoft .NET Framework、ASP.NET Core、およびVisual Studio 2022に影響を与えるサービス拒否（DoS）の脆弱性です。この脆弱性は、Kestrel Webサーバーのコンポーネントに存在し、悪意のあるクライアントを検出した際に、その切断に失敗することが根本原因となっています。これにより、アプリケーションが過剰なリソースを消費し、リソース枯渇状態に陥る可能性があります。 攻撃者は認証やユーザー操作なしに、ネットワーク経由でこの脆弱性を悪用し、影響を受けるアプリケーションのサービス拒否状態を引き起こすことができます。

1.1 影響

この脆弱性が悪用された場合、影響を受けるアプリケーションは動作が遅くなる、ハングする、クラッシュする、または正当なユーザーがサービスにアクセスできなくなる可能性があります。 この脆弱性は可用性に特化したものであり、データの機密性や整合性への直接的な影響はないとされています。

1.2 深刻度

  • CVSSv3.1スコア: 7.5 (Red Hatによる評価では「重要 (Important)」)
    • CVSSv3.1ベクトル: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • (NVDによる評価は現在提供されていませんが、Microsoft Corporationがソースです。)
  • CISAのKnown Exploited Vulnerabilities (KEV) カタログに登録されており、2023年8月10日時点で活発な悪用が確認されている既知の脆弱性です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに直接影響するのではなく、以下のMicrosoft .NET関連製品に影響します。

  • ASP.NET Core 2.1
  • .NET 6.0 (バージョン 6.0.19 以前のアプリケーション)
  • .NET 7.0 (バージョン 7.0.8 以前のアプリケーション)
  • Microsoft Visual Studio 2022 (バージョン 17.6.6 より前の 17.6)

これらの製品が動作するWindows環境が間接的に影響を受けます。Debianにおいては「Microsoft .NETには関係ない」と記載されています。

2.2 影響を受ける設定

  • Kestrel Webサーバーを利用しているアプリケーションが影響を受けます。
  • 根本原因は、Kestrelが潜在的に悪意のあるクライアントを検出しても適切に切断できないという、不適切なリソース消費処理（CWE-400）にあります。

3. 影響を受けた時の兆候

影響を受けたシステムでは、以下のような兆候が見られる可能性があります。

  • アプリケーションのパフォーマンス低下や動作の遅延。
  • アプリケーションのハングまたはクラッシュ。
  • 正当なユーザーがサービスにアクセスできない、またはログインできない状態。
  • ホストOS全体のリソース枯渇による動作の遅延。

4. 推奨対策

4.1 本対策

  • セキュリティ更新プログラムの適用: MicrosoftはCVE-2023-38180に対処するセキュリティ更新プログラムをリリースしています。
  • .NETの更新: .NET 6.0 または .NET 7.0 の最新バージョンをインストールしてください。
  • Visual Studioの更新: Visual Studioを介して.NET SDKをインストールしている場合、Visual Studioを更新することで.NET SDKも自動的に更新されます。
  • Fedoraユーザーは、Fedora Package Announcementsに記載されている更新を適用してください。
  • CISAは、連邦政府機関に対して2023年8月30日までにこの脆弱性を修正するよう指示しています。

4.2 暫定回避策（緩和策）

  • アプリケーションがリバースプロキシまたはWeb Application Firewall (WAF) の背後で実行されており、それらがHTTPベースの攻撃に対する独自の緩和策を備えている場合、この脆弱性の影響が軽減される可能性があります。
  • 暫定的な緩和策は、パッチが利用できない場合や、直ちに適用できない場合にのみ慎重に検討・適用する必要があります。 緩和策の導入は、その環境への適用可能性と潜在的な影響を評価した上で行うべきです。

他に解説すべき観点

  • CISA Known Exploited Vulnerabilities (KEV) カタログへの登録: この脆弱性は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）のKEVカタログに登録されており、実環境での悪用が確認されています。これにより、米国連邦政府機関にはこの脆弱性に対する緊急の対応が義務付けられています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る