Trusted Design

解説:

CVE-2023-48365は、Qlik Sense Enterprise for Windowsに存在する深刻な脆弱性です。以下に、この脆弱性に関する詳細を解説します。

1. 脆弱性の概要

CVE-2023-48365は、Qlik Sense Enterprise for WindowsにおけるHTTPリクエストスマグリングの脆弱性であり、認証されていないリモートコード実行 (RCE) を可能にします。この脆弱性は、HTTPヘッダーの不適切な検証に起因しており、リモートの攻撃者がHTTPリクエストをバックエンドのリポジトリアプリケーションサーバーにトンネリングすることで、特権を昇格させることを可能にします。この脆弱性は、以前のCVE-2023-41265に対する不完全な修正であり、元の修正が根本的なセキュリティ問題を完全に解決していなかったことを示しています。

1.1 影響

この脆弱性が悪用されると、認証されていない攻撃者は、Qlik Sense Enterpriseサーバー上で任意のコードを実行できる可能性があります。 攻撃者はバックエンドサーバーを完全に制御し、マルウェアやランサムウェアの展開、機密データの漏洩、またはネットワーク内の他のシステムへの侵入を行う可能性があります。 CISAの既知の悪用された脆弱性（KEV）カタログにも追加されており、実際に悪用が確認されています。

1.2 深刻度

CVE-2023-48365のCVSSv3.1スコアは9.9（Critical）です。 これは、ネットワーク経由で攻撃が可能であり、認証なしで低複雑度な攻撃が可能です。攻撃が成功すると、機密性、完全性、可用性のすべてが重大な影響を受ける可能性があります。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Qlik Sense Enterprise for Windowsの以下のバージョンに影響を及ぼします。

• August 2023 Patch 1以前のバージョン
• May 2023 Patch 5以前のバージョン
• February 2023 Patch 9以前のバージョン
• November 2022 Patch 11以前のバージョン
• August 2022 Patch 13以前のバージョン
• May 2022 Patch 15以前のバージョン
• February 2022 Patch 14以前のバージョン
• November 2021 Patch 16以前のバージョン

2.2 影響を受ける設定

Qlik Sense Enterprise for WindowsのQlikリポジトリサービスに存在します。 このサービスはWebフロントエンドとバックエンドサーバー間の通信を仲介する重要なコンポーネントであり、高価値で本質的に脆弱なターゲットとなります。

3. 影響を受けた時の兆候

• Qlik Senseサーバーのログに、不正なアクセス試行や異常なHTTPリクエストが見られる。
• Qlik Senseサーバー上で、意図しないプロセスやサービスが実行されている。
• システムパフォーマンスの低下。
• 身に覚えのないファイルやディレクトリの作成。
• 不審なネットワーク通信。
• Cactusランサムウェアなど、マルウェアやランサムウェア感染の兆候。

4. 推奨対策

4.1 本対策

Qlik Sense Enterprise for Windowsを、この脆弱性に対応するバージョンにすぐにアップグレードすることが強く推奨されます。修正済みバージョンは以下の通りです。

• August 2023 Patch 2
• May 2023 Patch 6
• February 2023 Patch 10
• November 2022 Patch 12
• August 2022 Patch 14
• May 2022 Patch 16
• February 2022 Patch 15
• November 2021 Patch 17

これらのパッチには、以前の問題であるCVE-2023-41265およびCVE-2023-41266の修正も含まれています。

4.2 暫定回避策（緩和策）

パッチの適用が直ちに不可能な場合は、以下の緩和策を検討してください。

• Qlik Senseサーバーへのネットワークアクセスを信頼できるIP範囲に制限する。
• すべてのQlik Senseインフラストラクチャが、パッチが適用されるまで信頼されていないネットワークから隔離されていることを確認する。
• Qlik Senseサーバーのログを定期的にレビューし、過去の悪用の兆候がないか確認し、インジケーターが見つかった場合はインシデントレスポンスを実施する。
• 不正なアクセス試行やQlikサービスを標的とした異常なHTTPリクエストがないか、ログを定期的に分析する。
• この脆弱性を積極的に悪用している脅威アクターに関する脅威インテリジェンスを統合し、運用する。
• 悪用シナリオをシミュレートするインシデントレスポンス演習を実施し、検出および対応プロセスの有効性をテストする。

参照したサイト

• CVE-2023-48365: Qlik Sense RCE Vulnerability - SentinelOne
• Qlik Sense Enterprise for Windows Pre-Auth RCE (CVE-2023-48365) - Armis
• January 15 Advisory: Qlik Sense RCE Vulnerability Added to CISA KEV [CVE-2023-48365] - Censys
• CVE-2023-48365: Qlik Sense HTTP Tunneling Vulnerability - Safeguard
• CVE-2023-48365 - CVE Record - National Vulnerability Database (NVD)
• CVE-2023-48365 | Tenable®
• CVE-2023-48365 - Qlik Sense HTTP Tunneling vulnerability reported as exploited in the wild - Broadcom Inc.
• CVE-2023-48365: Qlik Sense Enterprise for Windows before August 2023 Patch - Attackerkb
• Critical Security fixes for Qlik Sense Enterprise for Windows (CVE-2023-48365) - Qlik Community
• CVE-2023-41265, CVE-2023-41266 & CVE-2023-48365: Multiple Vulnerabilities in Qlik Sense Enterprise Actively Exploited - Arctic Wolf
• Attack: Qlik Sense Enterprise unauthenticated RCE CVE-2023-48365 - Broadcom Inc.
• Critical Security fixes for Qlik Sense Enterprise for Windows (CVE-2023-48365) - Qlik Support
• 数千个Qlik Sense 服务器受到Cactus 勒索攻击威胁 - 安全客
• NVD-CVE-2023-48365 - National Vulnerability Database