【サイバーセキュリティ白書】2019年1月の脆弱性情報まとめ

サイバー攻撃の被害が後を絶たない昨今、最新の脆弱性を収集して把握することはセキュリティ対策を行う上で必要不可欠となっています。本シリーズ「サイバーセキュリティ白書」では、クラウド型WAF「攻撃遮断くん」やAWS WAF自動運用サービス「WafCharm」を開発運営するサイバーセキュリティクラウドのセキュリティエンジニアが調査した脆弱性情報を解説していきます。※本記事は2019年1月度 脆弱性情報のまとめとなります。

2019年1月に公開された新たな脆弱性について、いくつかご紹介します。

・mod_sslにDoSの脆弱性
CVE-ID：CVE-2019-0190
CVSS v3 Base Score：UNDERGOING ANALYSIS
CVSS v3 Vector：UNDERGOING ANALYSIS
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-0190
Apache 2.4.37 で mod_sslでopenssl 1.1.1以降を利用している環境が対象です。
細工したリクエストを送り、mod_sslをループ状態にすることでDoS状態にできる可能性があります。

・mod_http2にDoSの脆弱性
CVE-ID：CVE-2018-17189
CVSS v3 Base Score：UNDERGOING ANALYSIS
CVSS v3 Vector：UNDERGOING ANALYSIS
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-17189
リクエストボディを低速で送信することでDoS状態にできる可能性があります。
http/2を動作させていない環境であれば、影響はありません。

・mod_sessionに有効期限が無視される脆弱性
CVE-ID：CVE-2018-17199
CVSS v3 Base Score：UNDERGOING ANALYSIS
CVSS v3 Vector：UNDERGOING ANALYSIS
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-17199
mod_session_cookieセッションではセッションの有効期限が無視される可能性があります。

推奨される対応策は、3つの脆弱性ともにバージョン2.4.38以降へのアップデート実施となります。

CVE-ID：CVE-2019-6339
CVSS v3 Base Score：UNDERGOING ANALYSIS
CVSS v3 Vector：UNDERGOING ANALYSIS
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6339
Drupal は人気のあるCMSの一つです。
Drupal.orgのSecurity advisoriesにてSA-CORE-2019-002として公開されています。
バージョン7.x、8.5.x、8.6.xに影響があります。
それぞれ、バージョン7.62、8.5.9、8.6.6へのアップデート実施が推奨の対応策となります。

・アクセス制御に関する脆弱性
CVE-ID：CVE-2018-17855
CVSS v3 Base Score：8.8
CVSS v3 Vector：AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-17855
ある権限を持つユーザのメールアカウントにアクセスできる場合、攻撃に利用される可能性があります。

・入力確認に関する脆弱性
CVE-ID：CVE-2018-17856
CVSS v3 Base Score：7.2
CVSS v3 Vector：AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-17856
デフォルトALC設定に起因する脆弱性で、com_joomlaupdateへのアクセスや任意のコードを実行される可能性があります。

Joomla!は人気のあるCMSの一つです。
上記2つの脆弱性は、ともにバージョン3.8.12までに影響があります。
推奨される対応策は、バージョン3.8.12へのアップデート実施となります。

CVE-ID：CVE-2019-2406
CVSS v3 Base Score：7.2
CVSS v3 Vector：AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2406
バージョン12.1.0.2, 12.2.0.1, 18cに影響があります。
本脆弱性を悪用するには管理者権限が必要となります。

・WLS – Web Servicesに脆弱性
CVE-ID：CVE-2019-2395
CVSS v3 Base Score：5.4
CVSS v3 Vector：AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:L
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2395
バージョン10.3.6.0に影響があります。
一般ユーザ権限にてHTTP経由にて攻撃が成功する可能性があります。

・WLS – Deploymentに脆弱性
CVE-ID：CVE-2019-2398
CVSS v3 Base Score：4.3
CVSS v3 Vector：AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2398
バージョン10.3.6.0, 12.1.3.0, 12.2.1.3に影響があります。
一般ユーザの権限にて、HTTP経由にて攻撃が成功する可能性があります。

・WLS Core Componentsに脆弱性
CVE-ID：CVE-2019-2418
CVSS v3 Base Score：6.5
CVSS v3 Vector：AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:L
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2418
バージョン10.3.6.0, 12.1.3, 12.2.1.3に影響があります。
認証されていないユーザを利用し、T3プロトコル経由にて攻撃が成功する可能性があります。

・WLS Core Componentsに脆弱性
CVE-ID：CVE-2019-2452
CVSS v3 Base Score：6.7
CVSS v3 Vector：AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:H
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2452
バージョン10.3.6.0, 12.1.3.0, 12.2.1.3に影響があります。
管理者権限をもつ攻撃者によってHTTP経由にて攻撃が成功する可能性があります。

・Application Container – JavaEEに脆弱性
CVE-ID：CVE-2019-2441
CVSS v3 Base Score：5.3
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2441
バージョン12.2.1.3に影響があります。
認証されていないユーザを利用し、HTTP経由にて攻撃が成功する可能性があります。

それぞれの脆弱性の推奨の対応策は、2019/1/15にリリースされているCritical Patch Update – January 2019の実施となります。

CVE-ID：CVE-2018-16850
CVSS v3 Base Score：9.8
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16850
バージョン10.x, 11.xに影響があります。
バージョン10.6、11.1へのアップデート実施が推奨の対応策となります。

・クロスサイトスクリプティングの脆弱性
CVE-ID：CVE-2018-19131
CVSS v3 Base Score：6.1
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-19131
細工したX.509証明書を利用して、攻撃される可能性があります。

・DoSの脆弱性
CVE-ID：CVE-2018-19132
CVSS v3 Base Score：5.9
CVSS v3 Vector：AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-19132
SNMPが有効の場合、SNMPパケット経由にてDoS状態にされる可能性があります。

上記2つの脆弱性は、ともにバージョン4.3までに影響があります。
推奨される対応策は、バージョン4.4以上へのアップデート実施となります。

CVE-ID：CVE-2018-18546
CVSS v3 Base Score：9.8
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-18546
ThinkPHPは中国で人気のあるWebフレームワークです。
バージョン3.2.4が対象で、推奨の対応策はバージョン3.2.5へのアップデートとなります。

CVE-ID：CVE-2019-6703
CVSS v3 Base Score：UNDERGOING ANALYSIS
CVSS v3 Vector：UNDERGOING ANALYSIS
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6703
寄付を募集する機能を追加するWordPress用プラグインで、
本脆弱性は0day攻撃に利用されたとの情報もあります。
このプラグインについては開発・サポートが終了しており、
機能をオフにするだけでは脆弱性の悪用を防ぐことができないとされています。
推奨の対応策については、このプラグインの削除を実施することとなります。

今回ご紹介した脆弱性ですが、実際に公開された脆弱性の数からするとほんの一握りです。
それぞれの脆弱性に対して、製品を提供しているベンダーから推奨の対応策が提供されていますので、早急に対応を実施することが推奨されます。
ただし、様々な理由により、推奨の対策が実施できない場合もあると思います。そういった場合には、マネージドセキュリティサービスを利用してカバーすることも非常に有効となります。