Trusted Design

解説:

CVE-2024-4885について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2024-4885は、Progress社のネットワーク監視ツールであるWhatsUp Goldにおける、認証不要のリモートコード実行（RCE）の脆弱性です。

この脆弱性は、WhatsUp GoldのWhatsUp.ExportUtilities.Export.GetFileWithoutZipメソッドの実装に起因します。具体的には、ユーザーが提供するパスに対する適切な検証が欠如しており、ファイル操作の際に不正なパスが使用される可能性があります。これにより、攻撃者は細工されたペイロードを送信することで、対象のサーバー上で任意のコードを実行することができます。

1.1 影響

本脆弱性が悪用されると、認証されていない攻撃者はiisapppool\nmconsoleアカウントの権限で任意のコマンドを実行できます。このアカウントは管理者権限ではありませんが、WhatsUp Goldのコンテキスト内では昇格された権限を持ち、サーバー上でコードを実行し、基盤となるシステムにアクセスする能力があります。

結果として、攻撃者は以下のことが可能になります。 * 完全なホストシステム乗っ取り * 機密情報の窃取 * ランサムウェアのインストール * 内部ネットワークへの侵入（ラテラルムーブメント）

1.2 深刻度

CVE-2024-4885は、CVSSv3スコアが9.8と評価されており、「緊急（Critical）」に分類される極めて深刻な脆弱性です。

また、本脆弱性はCISA（米国サイバーセキュリティ・社会基盤安全保障庁）の「既知の悪用されている脆弱性（KEV: Known Exploited Vulnerabilities）」カタログに登録されており、実際の攻撃で積極的に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受けるのは、Progress WhatsUp Goldです。 * WhatsUp Goldバージョン2023.1.2およびそれ以前のバージョン * WhatsUp Goldバージョン2023.1.3より前にリリースされたすべてのバージョン

2.2 影響を受ける設定

特に、以下の設定のWhatsUp Goldインスタンスが影響を受けやすくなります。 * インターネットに直接公開されているWhatsUp Goldインスタンス * 管理コンソールやAPIエンドポイントが適切なアクセス制御下にない場合

3. 影響を受けた時の兆候

システムがCVE-2024-4885によって影響を受けた場合、以下のような兆候が見られる可能性があります。 * SIEM（Security Information and Event Management）システムで、不審なリクエストが検出される。 * WhatsUp Goldがインストールされているサーバーから、異常なアウトバウンド接続が確認される。 * 攻撃者によってサーバー上にファイルが書き込まれ、その後リモートで実行される挙動。 * WhatsUp GoldのActive Monitor PowerShell Script機能によって、予期しないPowerShellスクリプトが実行される可能性がある。 * 通常の初期段階の侵害兆候（不審なログオン、不審なURLアクセス、マルウェア実行など）が見られない場合でも、脆弱性悪用の可能性を考慮する必要があります。

4. 推奨対策

4.1 本対策

• Progress WhatsUp Goldをバージョン23.1.3以降に直ちにアップデートしてください。 このバージョンには、本脆弱性に対するパッチが含まれています。

4.2 暫定回避策（緩和策）

パッチの適用がすぐにできない場合、以下の緩和策を検討してください。 * WhatsUp Goldサーバーをファイアウォールの背後に配置し、信頼できるIPアドレスまたは内部ネットワークからのみアクセス可能にする。インターネットへの直接公開は避けるべきです。 * 公開されているポート、特にユーザー入力を受け付けるポートについては、厳重な注意を払い、不要な公開を避ける。 * WhatsUp Goldの管理コンソールやAPIエンドポイントに厳格なアクセス制御を適用する。 * すべてのユーザーアカウントに対して強力なパスワードを設定する。 * WhatsUp GoldのActive Monitor PowerShell Script機能の使用を、パッチ適用が完了するまで一時的に停止することを検討する。 * AMSI（Antimalware Scan Interface）などを活用し、WhatsUp GoldのActive Monitor PowerShell Script機能によって実行されるPowerShellスクリプトが、期待されるものと一致するか継続的に監視する。 * Symantec Data Center Securityのデフォルトロックダウンポリシー（sym_win_hardened_sbp）を使用している場合、基盤となるWindowsサーバーを保護し、任意のコマンド実行を防ぐ効果が期待できる。 * DCSのネットワークルールを構成し、NmApi.exeアプリケーションの通信を信頼できるクライアントに制限する。 * ベンダーのアドバイザリを常に監視し、セキュリティパッチがリリースされ次第、迅速に適用する。 * SIEM（Security Information and Event Management）などを活用し、提供された技術的詳細および公式アドバイザリに基づき、不審なリクエストがないか継続的に監視する。 * 公開ポートに対して定期的な自動セキュリティスキャンを実行し、脆弱性が残存していないか確認する。

その他に解説すべき観点

• 積極的な悪用: CVE-2024-4885は、PoC (Proof-of-Concept) エクスプロイトが公開されており、既に脅威アクターによって積極的に悪用されていることが確認されています。そのため、迅速な対応が不可欠です。
• 脆弱性の発見: この脆弱性は、研究者によって発見され、ZDI（Zero Day Initiative）がアドバイザリを公開しています。

参照したサイト

• Progress WhatsUp Gold - Unauthenticated RCE Vulnerability - Armis
• CVE-2024-4885 - Progress Software WhatsUp Gold RCE vulnerability - Broadcom Inc.
• Progress Software WhatsUp Gold GetFileWithoutZip Directory Traversal - Remote Code Execution (CVE-2024-4885) - Vulnerability & Exploit Database - Pentest-Tools.com
• Critical WhatsUp Gold vulnerability actively exploited - Field Effect
• Critical Progress WhatsUp RCE flaw now under active exploitation - Bleeping Computer
• NVD-CVE-2024-4885 - NIST
• CVE-2024-4885 on CISA KEV — In WhatsUp Gold versions released before 2023 | SARA
• WhatsUp Gold Pre-Auth RCE GetFileWithoutZip Primitive CVE-2024-4885
• Protecting Against RCE Attacks Abusing WhatsUp Gold Vulnerabilities | Trend Micro (US)
• CVE-2024-4885: WhatsUp Gold — Path Traversal to Unauthenticated Code Execution
• Web Attack: Progress WhatsUpGold CVE-2024-4885 - Broadcom Inc.
• sinsinology/CVE-2024-4885 - GitHub