Trusted Design

CVE-2024-11680 の詳細

CVEの情報

説明:
ProjectSend versions prior to r1720 are affected by an improper authentication vulnerability. Remote, unauthenticated attackers can exploit this flaw by sending crafted HTTP requests to options.php, enabling unauthorized modification of the application's configuration. Successful exploitation allows attackers to create accounts, upload webshells, and embed malicious JavaScript.

CVE更新日: 2024-11-26 10:15:04.540000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2024-12-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.918490000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2024-11680に関する脆弱性調査結果を以下に解説します。

CVE-2024-11680 解説

1. 脆弱性の概要

ProjectSendにおいて、不適切な認証の脆弱性が存在します。リモートの認証されていない攻撃者が、細工されたHTTPリクエストをoptions.phpに送信することで、アプリケーションの構成を不正に変更する可能性があります。 この脆弱性は、CWE-287（不適切な認証）に分類されます。

1.1 影響 この脆弱性が悪用された場合、以下のような影響が想定されます。 * 不正なアカウントの作成 * ウェブシェル（悪意のあるスクリプト）のアップロード * 悪意のあるJavaScriptの埋め込み * 特権昇格により、システム全体へのより広範なアクセス権の獲得 * リモートコード実行（RCE）により、ホストシステム上で任意のPHPコードが実行される * アプリケーションの構成が不正に変更される * 機密データへの不正アクセス * 重要なデータの操作または削除

1.2 深刻度 CVSSv3スコアは9.8であり、緊急（Critical）に分類されています。 この脆弱性はCISAの既知の悪用されている脆弱性カタログ（KEV）に追加されており、実際に悪用されていることが確認されています。 EPSS（Exploit Prediction Scoring System）の予測では、2026年9月21日時点で悪用される可能性が91.7%と非常に高い値を示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン この脆弱性はWebアプリケーション「ProjectSend」のロジックに存在するため、特定のOSバージョンに限定されません。ProjectSendを動作させているあらゆるOS環境が影響を受ける可能性があります。 * 影響を受ける製品: ProjectSendバージョン r1720 未満のすべてのバージョン。

2.2 影響を受ける設定 * options.phpがHTTP経由でアクセス可能なすべてのインストールが影響を受けます。 * 脆弱性はユーザー登録機能で発生し、攻撃者が細工されたHTTP POSTリクエストと悪意のあるCSRFトークンをoptions.phpに送信することで悪用されます。 * 認証チェックがアプリケーションコードの他の部分が実行された後にのみ行われるため、認証されていないユーザーでも適切な検証なしに高レベルの権限を必要とする操作を実行できてしまいます。

3. 影響を受けた時の兆候

  • options.phpを標的とした悪意のあるペイロードを含む不審なログエントリが確認される可能性があります。
  • 身に覚えのないアカウントが作成されている。
  • ウェブシェルや悪意のあるJavaScriptがアップロードまたは埋め込まれている兆候。
  • アプリケーションの設定が不正に変更されている。

4. 推奨対策

4.1 本対策 * ProjectSendをバージョンr1720以降にアップグレードしてください。 * CISAは、2024年12月24日までにこの脆弱性に対処するよう強く勧告しています。

4.2 暫定回避策（緩和策） * 現在のところ、アップグレード以外の具体的な暫定回避策は明確に示されていません。一般的なWebアプリケーションのセキュリティ対策として、Webアプリケーションファイアウォール（WAF）による保護や、options.phpへの不正なアクセスを検出・ブロックするよう設定することが考えられます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る