CVE詳細 - CVE-2024-28987-

CVE-2024-28987 の詳細

CVEの情報

説明:
The SolarWinds Web Help Desk (WHD) software is affected by a hardcoded credential vulnerability, allowing remote unauthenticated user to access internal functionality and modify data.

CVE更新日: 2024-08-21 22:15:04.350000

CVSSバージョン: 3.1

CVSSスコア: 9.1

KEVの情報

KEV更新日: 2024-10-15

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.932990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2024-28987は、SolarWinds Web Help Desk (WHD) ソフトウェアに存在する脆弱性です。以下に、その詳細を解説します。

1. 脆弱性の概要

CVE-2024-28987は、SolarWinds Web Help Desk (WHD) ソフトウェアにおけるハードコードされた認証情報に関する脆弱性です。この脆弱性を悪用することで、リモートの認証されていない攻撃者が内部機能にアクセスし、データを操作できる可能性があります。

1.1 影響

この脆弱性が悪用されると、攻撃者は特定のWHDエンドポイント上でデータの作成、読み取り、更新、削除を行うことが可能になります。これは認証をバイパスして、機密データへの不正アクセスや設定の改ざんにつながる可能性があります。WHDサーバー自体を完全に侵害するわけではありませんが、チケットの詳細（パスワードリセット要求や共有サービスアカウントの認証情報など）といった機密情報へのアクセスが可能となり、認証情報を介した横方向の移動のリスクが高まります。また、一部の情報源では、Javaデシリアライゼーションによるリモートコード実行 (RCE) に関連する可能性も指摘されています。

1.2 深刻度

CVE-2024-28987は、CVSS v3スコア9.1の「緊急（Critical）」と評価されています。さらに、CISA (米国サイバーセキュリティ・インフラセキュリティ庁) の既知の悪用されている脆弱性（KEV）カタログに2024年10月15日に追加されており、実環境での積極的な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はSolarWinds Web Help Desk (WHD) ソフトウェアに影響を与えます。特定のOSバージョンに関する言及はありませんが、WHDソフトウェアが動作する環境が対象となります。

2.2 影響を受ける設定

Web Help Deskバージョン12.8.3 HF1およびそれ以前のすべてのバージョンが影響を受けます。

3. 影響を受けた時の兆候

侵害の兆候 (IOC) は、Web Help Deskのログファイル（C:\Program Files\WebHelpDesk\Logs\whd_access_log.<YYYY-MM-DD>.log）で確認できます。認識されていないIPアドレスがOrionTicketエンドポイントを列挙している場合、悪用の可能性が示唆されます。

4. 推奨対策

4.1 本対策

本脆弱性に対する永続的な対策としては、SolarWinds Web Help Deskをバージョン12.8.3 HF2にアップグレードすることが推奨されます。アップグレード手順は以下の通りです： * 現在のWeb Help Deskの構成とデータベースをバックアップします。 * 公式のSolarWindsサポートポータルから最新バージョンをダウンロードします。 * ベンダーが提供するアップグレード手順に従ってパッチを適用します。 * アップグレード後、デフォルトまたはハードコードされた認証情報が削除されていることを確認します。

4.2 暫定回避策（緩和策）

この脆弱性に対する効果的な暫定回避策は文書化されておらず、パッチの適用が不可欠です。ただし、パッチ適用が完了するまでの間、Web Help Deskシステムへのネットワークアクセスを信頼できるIPアドレスのみに一時的に制限することを考慮できます。また、Symantec Data Center Security (DCS) のデフォルトロックダウンポリシーは、任意のコマンドの実行を防ぎ、重要なOSファイルへのアクセスを制限することで、この脆弱性から基盤となるオペレーティングシステムを保護できます。DCSネットワークルールは、信頼されたクライアントにアプリケーションを制限するように設定でき、DCS監視ポリシーは認証されていないユーザーのアクティビティを監視およびフラグ付けできます。

補足情報

CVE-2024-28987は、開発者用のハードコードされた認証情報に起因する脆弱性です。
この脆弱性の概念実証（PoC）エクスプロイトコードは公開されています。
CISAは、2024年10月15日にCVE-2024-28987を既知の悪用されている脆弱性 (KEV) カタログに追加しました。これは、この脆弱性が現実の標的に対して実際に悪用された信頼できる証拠があることを意味します。
この脆弱性は、システムのさらなる侵害のための初期侵入経路として頻繁に悪用されます。
この脆弱性は、別の深刻な脆弱性であるCVE-2024-28986 (JavaデシリアライゼーションRCE) と関連しており、同じHotfixで両方が修正されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る