Trusted Design

解説:

CVE-2023-41266について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-41266は、Qlik Sense Enterprise for Windowsに存在するパス・トラバーサル（Path Traversal）の脆弱性です。不適切な入力検証に起因しており、認証されていないリモートの攻撃者が、細工されたHTTPリクエストを送信することで匿名セッションを生成し、本来認証されたユーザーのみがアクセスできるエンドポイントに対してHTTPリクエストを送信できるようになります。

1.1 影響 この脆弱性が悪用されると、攻撃者は匿名セッションを確立し、本来アクセスが制限されているエンドポイントへリクエストを送信できます。 特に、別の脆弱性であるCVE-2023-41265（HTTPトンネリングの脆弱性）と組み合わせることで、認証されていない状態でのリモートコード実行（RCE）を達成し、Qlik Senseソフトウェアが動作するサーバーを完全に侵害する可能性があります。 これにより、機密性の高いビジネスインテリジェンスデータの抽出や、Qlik Senseダッシュボードの操作が行われる危険性があります。 実際、この脆弱性はCactusランサムウェアキャンペーンを含む、複数のインシデントで悪用が確認されています。

1.2 深刻度 * NVD（NIST National Vulnerability Database）: CVSS v3.1 ベーススコア 6.5、評価基準は「MEDIUM（中）」です。 * Qlik / MITRE: CVSS v3.1 ベーススコア 8.2、評価基準は「HIGH（高）」です。 * CISA KEV（Known Exploited Vulnerabilities Catalog）: この脆弱性は、CISAの「悪用が確認された脆弱性カタログ」に登録されており、活発な悪用が確認されています。 * EPSS（Exploit Prediction Scoring System）: EPSS確率は94.30%または84.8%と報告されており、これは30日以内にこの脆弱性が悪用される可能性が非常に高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン OSバージョンに特化したものではなく、Qlik Sense Enterprise for Windowsの特定のバージョンが影響を受けます。

2.2 影響を受ける設定 * 影響を受ける製品: Qlik Sense Enterprise for Windows * 影響を受けるバージョン: 2022年8月から2023年5月の間にリリースされたQlik Sense Enterprise for Windowsの複数のバージョンが影響を受けます。 具体的には以下のバージョンおよびそれ以前のパッチバージョンです。 * May 2023 Patch 3 およびそれ以前 * February 2023 Patch 7 およびそれ以前 * November 2022 Patch 10 およびそれ以前 * August 2022 Patch 12 およびそれ以前 * 必要なアクセス: 攻撃者はQlik Senseサーバーへのネットワークアクセスが必要です。 * 影響を受ける設定: 不明（特定のアプリケーション設定ではなく、アプリケーション自体の入力検証の不備に起因するため）

3. 影響を受けた時の兆候

直接的なシステムログや特定のエラーメッセージといった兆候は明示されていませんが、以下の状況が兆候となる可能性があります。 * Qlik Sense Enterpriseサーバー上での匿名セッションの異常な生成。 * 本来アクセスが制限されているエンドポイントへの不審なHTTPリクエスト。 * Cactusランサムウェアなど、既知のランサムウェアによるシステムへの不正アクセスや侵害の証拠。 * Qlik Senseサーバー上での予期せぬリモートコード実行の兆候。

4. 推奨対策

4.1 本対策 Qlikが提供するパッチを適用することが最も推奨される対策です。 以下のバージョンへアップデートしてください。 * August 2023 IR (Initial Release) またはそれ以降のパッチ * May 2023 Patch 4 * February 2023 Patch 8 * November 2022 Patch 11 * August 2022 Patch 13

なお、CVE-2023-41265およびCVE-2023-41266に対する修正が含まれるCVE-2023-48365のパッチを適用することも推奨されます。

4.2 暫定回避策（緩和策） 明確な暫定回避策は公開されていません。CISAは、ベンダーの指示に従って修正または緩和策を適用するか、利用可能な修正策がない場合は製品の使用を中止することを推奨しています。

参照したサイト

• CVE-2023-41266: Qlik Sense Path Traversal Vulnerability - SentinelOne
• CVE-2023-41265, CVE-2023-41266 & CVE-2023-48365: Multiple Vulnerabilities in Qlik Sense Enterprise Actively Exploited - Arctic Wolf
• CVE-2023-41266: Qlik Sense — a path traversal that mints a session | SCRTY:CRDS
• CVE-2023-41266 Detail - NVD - NIST
• CVE-2023-41266 — Qlik Sense Path Traversal Vulnerability - eVulnAble
• Critical Security fixes for Qlik Sense Enterprise for Windows (CVE-2023-41266, CVE-2023-41265) - Qlik Community
• 「Qlik Sense Enterprise」の脆弱性が標的に - ランサム攻撃でも - Security NEXT
• Qlik Sense Enterprise - Path Traversal (CVE-2023-41266) - Vulnerability & Exploit Database
• ZeroQlik: Unauthenticated Path Traversal in Qlik Sense Enterprise - Praetorian