Trusted Design

CVE-2023-41265 の詳細

CVEの情報

説明:
An HTTP Request Tunneling vulnerability found in Qlik Sense Enterprise for Windows for versions May 2023 Patch 3 and earlier, February 2023 Patch 7 and earlier, November 2022 Patch 10 and earlier, and August 2022 Patch 12 and earlier allows a remote attacker to elevate their privilege by tunneling HTTP requests in the raw HTTP request. This allows them to send requests that get executed by the backend server hosting the repository application. This is fixed in August 2023 IR, May 2023 Patch 4, February 2023 Patch 8, November 2022 Patch 11, and August 2022 Patch 13.

CVE更新日: 2023-08-29 23:15:09.170000

CVSSバージョン: 3.1

CVSSスコア: 9.6

KEVの情報

KEV更新日: 2023-12-07

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.882150000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-41265について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-41265は、Qlik Sense Enterprise for Windowsに存在するHTTPリクエストトンネリングの脆弱性です。この脆弱性は、Qlik Sense Enterpriseが未加工のHTTPリクエストをバックエンドのリポジトリアプリケーションに転送する際に、リクエストの検証とサニタイズを適切に実施しないことに起因します。分類はCWE-444（HTTPリクエストの解釈の不整合）です。

1.1 影響

この脆弱性を悪用することで、低い特権を持つリモートの攻撃者が、細工したHTTPリクエストをHTTPレイヤーを介してトンネリングし、バックエンドのリポジトリサーバーによって高い権限で実行させることが可能になります。これにより、攻撃者はアクセス制御を迂回し、サーバー上で不正な操作を実行できるようになります。最終的には、特権昇格、認証されていないリモートコード実行（RCE）、および完全な管理者権限の取得につながる可能性があります。 CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、この脆弱性がランサムウェア活動（Cactusランサムウェアなど）に利用されていることを確認しており、実環境での悪用が確認されています。

1.2 深刻度

CVSS v3.1スコアは9.6または9.9と評価されており、「クリティカル」に分類されます。 CISAのKnown Exploited Vulnerabilities (KEV) カタログに2023年12月6日または7日に追加されており、実際に悪用されていることが確認されています。 悪用可能性予測スコア（EPSS）は0.925で、悪用されやすい脆弱性の上位99.7パーセンタイルに位置付けられています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Qlik Sense Enterprise for Windowsに影響するため、Windows OS上で動作する環境が対象となります。

2.2 影響を受ける設定

以下のQlik Sense Enterprise for Windowsのバージョンが影響を受けます。

  • May 2023 Patch 3 およびそれ以前のバージョン
  • February 2023 Patch 7 およびそれ以前のバージョン
  • November 2022 Patch 10 およびそれ以前のバージョン
  • August 2022 Patch 12 およびそれ以前のバージョン

3. 影響を受けた時の兆候

この脆弱性は特権昇格やリモートコード実行、そしてランサムウェア感染につながる可能性があるため、以下のような兆候が考えられます。

  • ランサムウェアによるファイル暗号化や身代金要求メッセージの表示
  • 不正なプロセス、サービス、または予期しないプログラムの実行
  • 管理者権限の不正な取得
  • 不審なネットワーク通信やデータ流出の兆候

具体的なログの記録や、この脆弱性に特化したIoC（Indicators of Compromise）は、参照したサイトには明記されていませんでした。

4. 推奨対策

4.1 本対策

Qlik Sense Enterprise for Windowsを以下のいずれかの修正済みのバージョンに直ちにアップデートしてください。

  • August 2023 IR (Initial Release)
  • May 2023 Patch 4
  • February 2023 Patch 8
  • November 2022 Patch 11
  • August 2022 Patch 13

補足として、CVE-2023-41265の最初の修正にはバイパスの可能性が発見され、CVE-2023-48365として別の脆弱性が公開され、より堅牢な修正が提供されています。そのため、CVE-2023-48365の修正を含むバージョンにアップデートすることが推奨されます。 アップデートされたソフトウェアは、Qlikの公式ダウンロードページ（顧客ログインが必要）からダウンロードできます。

4.2 暫定回避策（緩和策）

  • パッチ適用が可能になるまで、影響を受けるQlik Sense Enterpriseのインスタンスをインターネットから隔離することを検討してください。
  • ベンダーの指示に従って修正または緩和策を適用するか、修正または緩和策が利用できない場合は製品の使用を中止するよう、CISAは求めています。

5. その他に解説すべき観点

  • CISA KEVカタログへの登録: 本脆弱性は、CISAの「Known Exploited Vulnerabilities (KEV) Catalog」に2023年12月6日または7日に追加されました。これは、この脆弱性が実際に攻撃で悪用されている証拠であり、米国の連邦行政機関には2023年12月27日または28日までの修正が義務付けられました。これは民間組織にとっても、この脆弱性の優先度を高く設定すべき重要なシグナルとなります。
  • 関連する脆弱性: CVE-2023-41265は、CVE-2023-41266（パス・トラバーサルの脆弱性）としばしば併記され、これらを組み合わせることで認証されていないリモートコード実行が可能になります。 また、CVE-2023-41265の初期の修正が不完全であったため、CVE-2023-48365という新たな脆弱性（HTTPトンネリングの脆弱性）が特定され、さらなる修正がリリースされています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る