Trusted Design

解説:

CVE-2024-27348に関する脆弱性の調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2024-27348は、Apache HugeGraph Serverに存在する深刻なリモートコード実行（RCE）の脆弱性です。この脆弱性は、HugeGraph ServerがJava 8またはJava 11で動作している場合に影響を与えます。攻撃者は、認証なしで悪意のあるGremlinクエリを作成し、サンドボックスの制限を迂回して、任意のオペレーティングシステムコマンドを実行する可能性があります。この脆弱性の根本原因は、Gremlinグラフトラバーサル言語インターフェース、特にGremlinGroovyScriptEngineクラスにおけるSecurityManagerの不十分なリフレクションフィルタリングに起因する不適切なアクセス制御です。

1.1 影響

この脆弱性が悪用された場合、以下のような重大な影響が生じる可能性があります。

• 攻撃者による影響を受けるシステムへの不正なアクセスと制御。
• 機密データの窃盗または改ざん。
• サービスの中断。
• 追加のマルウェアのインストール。
• HugeGraph Serverプロセスと同じ権限での完全なサーバー侵害。

1.2 深刻度

CVE-2024-27348のCVSS v3.1スコアは9.8であり、Critical（緊急）と評価されています。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を既知の悪用されている脆弱性（KEV）カタログに追加しており、実環境での積極的な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はApache HugeGraph Server自体に存在するため、特定のOSバージョンに限定されるものではありません。HugeGraph Serverが動作する任意のオペレーティングシステムが影響を受ける可能性があります。

2.2 影響を受ける設定

• 対象製品: Apache HugeGraph Server
• 影響を受けるバージョン: 1.0.0 から 1.2.1 まで。
• 動作環境: Java 8 または Java 11 で動作している場合。
• 設定: 適切な認証制御が有効になっていない環境。

3. 影響を受けた時の兆候

• Shadowserver Foundationからの報告では、「/gremlin」エンドポイントへのPOSTリクエストを伴う積極的な悪用試行が示されています。
• 認証されていない攻撃者による任意のコマンド実行。
• システムの不正なアクセスと制御、データの窃盗/改ざん、サービスの中断、マルウェアのインストール。

4. 推奨対策

4.1 本対策

• バージョンアップ: Apache HugeGraph Serverをバージョン 1.3.0 以降にアップグレードしてください。
• Java環境: Java 8は追加のセキュリティリスクがあるため推奨されません。Java 11への移行を推奨します。

4.2 暫定回避策（緩和策）

• 認証の有効化: Gremlinサーバーへのアクセスを制限するために、組み込みの認証システムを有効にしてください。
• IP/ポートのホワイトリスト設定: RESTful APIへのアクセスを信頼できるIPアドレスとポートに制限するために、「Whitelist-IP/port」機能を設定してください。
• ネットワーク保護: Gremlinエンドポイントを標的とする疑わしいトラフィックを監視およびブロックするために、ファイアウォールや侵入検知システム（IDS）を展開してください。
• 入力検証: すべての受信Gremlinクエリを処理する前にサニタイズするため、堅牢なサーバーサイド入力検証を実装してください。
• 最小権限の原則: HugeGraphサーバーとやり取りするユーザーに対して、最小権限の原則を適用してください。
• ネットワークセグメンテーション: 攻撃者がシステムに侵入した場合の影響を制限するために、ネットワークをセグメント化してください。
• Symantecのネットワーク保護技術である侵入防止システム（IPS）は、これらの脆弱性悪用試行をブロックします。
• AppTrana WAAPのようなWeb Application Firewall (WAF) は、CVE-2024-27348の悪用試行を検出し防止することができます。

その他に解説すべき観点

• Apache HugeGraphは、大規模なグラフデータを管理・分析するために設計された、強力なオープンソースのグラフデータベースです。Apache TinkerPop 3フレームワークおよびGremlinグラフトラバーサル言語に対応しています。
• CISAは、連邦機関および重要インフラ機関に対し、2024年10月9日までにこの脆弱性への対応を完了するよう期限を設定しました。

参照したサイト

• Understanding CVE-2024–27348: A Critical Vulnerability in Apache HugeGraph Server
• Remote Code Execution vulnerability in Apache HugeGraph Server (CVE-2024–27348) - vsociety - Vicarius
• CVE-2024-27348: Apache HugeGraph RCE Vulnerability - SentinelOne
• CVE-2024-27348 – RCE in Apache HugeGraph | Indusface Blog
• CVE-2024–27348 - Remote Code Execution vulnerability in Apache HugeGraph Server
• jakabakos/CVE-2024-27348-Apache-HugeGraph-RCE - GitHub
• Apache HugeGraph-Server: Command execution in gremlin · CVE-2024-27348 - GitHub
• CVE-2024-27348 Impact, Exploitability, and Mitigation Steps | Wiz