Trusted Design

CVE-2024-34102 の詳細

CVEの情報

説明:
Adobe Commerce versions 2.4.7, 2.4.6-p5, 2.4.5-p7, 2.4.4-p8 and earlier are affected by an Improper Restriction of XML External Entity Reference ('XXE') vulnerability that could result in arbitrary code execution. An attacker could exploit this vulnerability by sending a crafted XML document that references external entities. Exploitation of this issue does not require user interaction.

CVE更新日: 2024-06-13 09:15:10.380000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2024-07-17

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999940000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2024-34102は、Adobe CommerceおよびMagento Open Sourceに影響を与える、XML外部エンティティ（XXE）の脆弱性です。この脆弱性は「CosmicSting」とも呼ばれています。

1. 脆弱性の概要

CVE-2024-34102は、Adobe CommerceおよびMagento Open SourceのXML外部エンティティ（XXE）の脆弱性であり、「CosmicSting」とも呼ばれています。この脆弱性は、影響を受けるAdobe CommerceコンポーネントにおけるXML入力の不適切な処理（XML外部エンティティ参照の不適切な制限）に起因します。攻撃者は細工されたXMLドキュメントを送信することで、外部エンティティを含ませることができ、結果としてサーバー上で任意のコード実行を引き起こす可能性があります。この脆弱性の悪用には、ユーザーの操作や特権は不要です。

1.1 影響

この脆弱性が悪用されると、以下の影響が発生する可能性があります。

  • 任意のコード実行 (RCE): 攻撃者は任意のコマンドをサーバー上で実行できる可能性があります。
  • 機密データの窃取: /etc/passwd や app/etc/env.php などの機密ファイルや暗号化キーを読み取り、窃取される可能性があります。
  • セキュリティ機能のバイパスと権限昇格: 攻撃者はセキュリティ機能をバイパスし、権限を昇格できる可能性があります。
  • 完全な管理者APIアクセス: 窃取した暗号化キーを用いてJSON Web Token (JWT)を生成し、管理者APIへの無制限のアクセスを取得される可能性があります。
  • サプライチェーン攻撃の可能性: 他の脆弱性（例: Linux glibcのiconv()関数におけるCVE-2024-2961）と組み合わせることで、認証なしでリモートコード実行にエスカレートされる可能性があり、特に危険です。
  • Adobeは、この脆弱性がAdobe Commerceのマーチャントを標的とした限定的な攻撃で悪用されたことを認識しています。 報道によると、侵害されたオンラインストアが1時間あたり3～5件のペースで発生しているとされています。

1.2 深刻度

  • 深刻度: 緊急 (Critical)
  • CVSS v3.1基本評価スコア: 9.8 (緊急)
  • CVSSベクタ文字列: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • CISA（米国サイバーセキュリティ・インフラセキュリティ庁）のKnown Exploited Vulnerabilities Catalog (KEV) にも登録されています。

2. 対象となる環境

  • 対象製品:
    • Adobe Commerce
    • Magento Open Source
    • Adobe Commerce Webhooks Plugin

2.1 影響を受けるOSバージョン

この脆弱性は、Adobe CommerceおよびMagento Open Sourceアプリケーション自体のXML処理に関するものであり、特定のOSバージョンに限定されるものではありません。検索結果では、特定のOSバージョンが影響を受けるとは明記されていません。

2.2 影響を受ける設定

  • REST APIエンドポイントにおけるXMLデータの不適切な入力検証と、非安全なXMLエンティティの処理が原因です。
  • 特に、JSONペイロード内のネストされたオブジェクトを介してXXEをトリガーできる点が挙げられます。
  • 認証なしでアクセス可能な特定のREST APIエンドポイント（例: /rest/V1/guest-carts/1/estimate-shipping-methods）が攻撃対象となります。

3. 影響を受けた時の兆候

  • 異常なアウトバウンドネットワークトラフィック。
  • 予期せぬコマンドの実行。
  • 機密ファイルへの不正アクセス。
  • 攻撃が他の脆弱性と連鎖した場合、CMSブロックへの悪意のあるスクリプトの注入、これにより不正な注文、顧客データの盗難、ウェブサイト全体の侵害が発生する可能性があります。
  • app/etc/env.php ファイルが盗まれ、その結果、完全な管理者APIアクセスを可能にするJWTが生成される。

4. 推奨対策

4.1 本対策

  • Adobeが提供する最新のセキュリティパッチを速やかに適用してください。
  • 以下のバージョン以降にアップデートしてください。
    • Adobe Commerce: 2.4.7-p1, 2.4.6-p6, 2.4.5-p8, 2.4.4-p9
    • Adobe Commerce Webhooks Plugin: 1.4.1以降
  • AdobeはCVE-2024-34102に対する単独のパッチもリリースしています。
  • 詳細なパッチ適用手順については、Adobeのセキュリティアドバイザリ「APSB24-40」を参照してください。

4.2 暫定回避策（緩和策）

  • XMLパーサーにおいて、XML外部エンティティのサポートを可能な限り無効にしてください。
  • セキュアなXMLパーサー設定を使用して、DOCTYPE宣言を無効にしてください。例えば、以下の設定が推奨されます。 bash parser.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true); parser.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
  • システムの継続的な監視を行い、侵害の兆候がないか確認してください。
  • 異常なXMLリクエストやファイルアクセスパターンに特に注意を払い、ネットワークトラフィックを定期的に監査してください。
  • DOCTYPE宣言や外部エンティティ参照を含むXMLペイロードを監視・警告するために、侵入検知システム（IDS）を導入してください。
  • パッチ適用後には暗号化キーのローテーションを実施してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る