Trusted Design

解説:

CVE-2024-6670に関する調査結果を以下の観点で解説します。

1. 脆弱性の概要

CVE-2024-6670は、Progress Software社のネットワーク監視アプリケーションWhatsUp Goldに存在するSQLインジェクションの脆弱性です。認証されていない攻撃者が暗号化されたユーザーパスワードを取得できてしまう問題です。

1.1 影響

この脆弱性が悪用されると、認証されていない攻撃者が暗号化されたユーザーパスワードを窃取し、認証をバイパスすることが可能になります。さらに、WhatsUp Goldの正規の機能である「Active Monitor PowerShell Script」を悪用することで、リモートコード実行（RCE）に繋がる攻撃が観測されています。これにより、ネットワーク監視データの操作、機密情報への不正アクセス、広範なネットワーク侵害、そしてランサムウェア感染などの重大な結果を招く可能性があります。

1.2 深刻度

CVE-2024-6670は「Critical（クリティカル）」と評価されています。 CVSS v3.1スコアは9.8です。 CVSS v3.1ベクトルは CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

WhatsUp Goldのバージョン2024.0.0より前にリリースされたものが影響を受けます。特定のOSバージョンに限定されるものではありません。

2.2 影響を受ける設定

この脆弱性は、WhatsUp GoldのHasErrorsメソッドにおける不適切な入力検証に起因します。 攻撃にはアプリケーションへのネットワークアクセスが必要であり、認証情報は不要です。 アプリケーションに1人のユーザーのみが設定されている場合、攻撃者はSQLインジェクションを介してそのユーザーの暗号化されたパスワードを不正に取得できるとされています。

3. 影響を受けた時の兆候

影響を受けた際の兆候としては、以下が挙げられます。

• WhatsUp Goldの「Active Monitor PowerShell Script」機能が悪用されたリモートコード実行攻撃。
• NmPoller.exe を使用して、リモートURLからPowerShellスクリプトが複数実行される。
• Atera AgentやSplashtop Remoteなどのリモートアクセスツール（RAT）のインストールが試みられる。
• WhatsUp Gold環境下での不審なプロセス作成イベント。

この脆弱性の概念実証（PoC）エクスプロイトが公開されてからわずか数時間で、活動的な悪用の初期兆候が検出されたと報告されています。

4. 推奨対策

4.1 本対策

WhatsUp Goldをバージョン2024.0.0以降にアップグレードしてください。ベンダーは2024年8月中旬にこの脆弱性に対するパッチを公開しています。

4.2 暫定回避策（緩和策）

• アップグレード後、コンソールパスワードをリセットし、最近のサインイン履歴を確認してください。
• 社内利用のサービスは適切なアクセス制御の下で管理してください。
• WhatsUp Gold環境下で、不審なプロセス作成イベントを注意深く監視してください。
• 強力なパスワードを使用し、パスワードの使い回しを避けてください。
• すべてのアカウント（業務、個人を問わず）において、多要素認証（MFA）を適用することを推奨します。

その他に解説すべき観点

• CISAの既知の悪用されている脆弱性カタログへの追加: 米国CISA（サイバーセキュリティ・インフラセキュリティ庁）は、CVE-2024-6670を「既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に追加しており、積極的に悪用されていることを示しています。
• 関連する脆弱性: CVE-2024-6670は、WhatsUp Goldにおける他のSQLインジェクション脆弱性であるCVE-2024-6671およびCVE-2024-6672と共に議論されることが多く、これらの脆弱性も同じくクリティカルな評価を受けています。
• 概念実証（PoC）の公開と活発な悪用: 脆弱性の修正パッチが公開された後、概念実証（PoC）エクスプロイトが公開され、その直後から攻撃が活発化したとされています。

参照したサイト

• CVE-2024-6670 and CVE-2024-6671 Detection: RCE Attacks Exploiting Critical SQL Injection Vulnerabilities in WhatsUp Gold | SOC Prime
• CVE-2024-6670 | Tenable®
• CVE-2024-6670: Progress WhatsUp Gold — SQL injection retrieves the password - SCRTY
• CVE-2024-6670 - CVE Record
• NVD-CVE-2024-6670 - NIST
• Exploits Released for Flaws in WhatsUp Gold and Jenkins - SOCRadar
• 監視アプリケーション「WhatsUp Gold」の脆弱性を突くリモートコード実行攻撃とその対策
• Breaking Down Barriers: Exploiting Pre-Auth SQL Injection In WhatsUp Gold - CVE-2024-6670 - Summoning Team
• ネットワーク監視ツール「WhatsUp Gold」にあらたな「クリティカル」脆弱性 - Security NEXT
• _IDS/IPS – IoT OT Security News