【サイバーセキュリティ白書】2019年8月の脆弱性情報まとめ

サイバー攻撃の被害が後を絶たない昨今、最新の脆弱性を収集して把握することはセキュリティ対策を行う上で必要不可欠となっています。本シリーズ「サイバーセキュリティ白書」では、クラウド型WAF「攻撃遮断くん」やAWS WAF自動運用サービス「WafCharm」を開発運営するサイバーセキュリティクラウドのセキュリティエンジニアが調査した脆弱性情報を解説していきます。※本記事は2019年8月度 脆弱性情報のまとめとなります。

2019年8月に公開された新たな脆弱性について、いくつかご紹介します。

・不適切な入力検証に関する脆弱性
CVE-ID：CVE-2019-14232
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-14232

・不適切な入力検証に関する脆弱性
CVE-ID：CVE-2019-14233
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-14233

・SQLインジェクションの脆弱性
CVE-ID：CVE-2019-14234
CVSS v3 Base Score：9.8
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-14234

・不適切な入力検証に関する脆弱性
CVE-ID：CVE-2019-14235
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-14235

DjangoはPythonで実装されたWebアプリケーションフレームワークです。
上記４つの脆弱性はバージョン1.11.23以前、2.1.11以前、2.2.4以前に影響があります。
Django Software Foundationが提供しているセキュリティパッチの適用が推奨の対応策となります。

CVE-ID：CVE-2019-6003
CVSS v3 Base Score：6.1
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
情報源：https://jvn.jp/jp/JVN29343839/

EC-CUBEはオープンソースのEC向けコンテンツ管理システムです。
EC-CUBE用Amazon Payプラグインにクロスサイトスクリプティングの脆弱性があります。
Amazon Payプラグイン2.12、2.13のバージョン 2.4.2およびそれ以前に影響があります。
最新バージョンへのアップデートが推奨の対応策となります。

CVE-ID：CVE-2019-9511
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-9511
「Data Dribble」と呼称される脆弱性です。
複数のストリームで指定されたリソースから大量のデータを要求することでDoS状態にされる可能性があります。

CVE-ID：CVE-2019-9512
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-9512
「Ping Flood」と呼称される脆弱性です。
継続的なpingをHTTP/2ピアに送信することでDoS状態にされる可能性があります。

CVE-ID：CVE-2019-9513
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-9513
「Resource Loop」と呼称される脆弱性です。
複数のリクエストストリームを作成し、優先度ツリーに混乱を引き起こすような方法を利用することでDoS状態にされる可能性があります。

CVE-ID：CVE-2019-9514
CVSS v3 Base Score：7.5
CVSS v3 Vector： AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-9514
「Reset Flood」と呼称される脆弱性です。
多くのストリームを作成し、各ストリーム上でピアからRST_STREAMフレームのストリームを要求する無効なリクエストを送信することでDoS状態にされる可能性があります。

CVE-ID：CVE-2019-9515
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-9515
「Settings Flood」と呼称される脆弱性です。
SETTINGSフレームのストリームをピアに送信することでDoS状態にされる可能性があります。

CVE-ID：CVE-2019-9516
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-9516
「0-Length Headers Leak」と呼称される脆弱性です。
長さ0のヘッダー名と長さ0のヘッダー値を持つヘッダーのストリームを送信することでDoS状態にされる可能性があります。

CVE-ID：CVE-2019-9517
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-9517
「Internal Data Buffering」と呼称される脆弱性です。
大きな応答オブジェクトに対するリクエストのストリームを送信することでDoS状態にされる可能性があります。

CVE-ID：CVE-2019-9518
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-9518
「Empty Frames Flood」と呼称される脆弱性です。
空のペイロードとストリームの終了フラグなしでフレームのストリームを送信することでDoS状態にされる可能性があります。

CVE-ID：CVE-2019-14654
CVSS v3 Base Score：8.8
CVSS v3 Vector：AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-14654

Joomla! は人気のあるCMSの一つです。
バージョン3.9.7および3.9.8に影響があります。
バージョン3.9.9へのアップデートが推奨の対応策となります。

CVE-ID：CVE-2018-20962
CVSS v3 Base Score：6.1
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
情報源：https://nvd.nist.gov/vuln/detail/CVE-2018-20962

LaravelはPHPで実装されたWebアプリケーションフレームワークです。
バージョン3.4.9までのBackpack/CRUD Backpackコンポーネントに影響があります。
バージョン3.4.9以降のBackpack/CRUD Backpackコンポーネントへのアップデートが推奨の対応策となります。

CVE-ID：CVE-2019-1552
CVSS v3 Base Score：3.3
CVSS v3 Vector：AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-1552

OpenSSLを利用している環境がWindowsの場合、OpenSSLバージョン1.1.1、1.1.0および1.0.2に影響があります。
OpenSSL 1.1.1d、1.1.0l、1.0.2tへのアップデートが推奨の対応策となります。

CVE-ID：CVE-2019-15107
CVSS v3 Base Score：9.8
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-15107

Webminは、Unix系OSを設定できるウェブブラウザベースの管理ツールです。
バージョン1.920およびそれ以前に影響があります。
CVE-2019-15231も採番されていますが、CVE-2019-15107との重複として、取り下げられています。
バージョン1.930へのアップデートが推奨の対応策となります。

CVE-ID：CVE-2019-5956
CVSS v3 Base Score：6.4
CVSS v3 Vector：AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
情報源：http://jvn.jp/cert/JVNVU93628467

WonderCMSは、オープンソースでDB不要のコンテンツマネジメントシステムです。
バージョン2.4.2およびそれ以前に影響があります。
CVE-2018-7172の修正が不足していたことに起因する脆弱性です。
最新バージョンへのアップデートが推奨の対応策となります。

今回ご紹介した脆弱性ですが、実際に公開された脆弱性の数からするとほんの一握りです。
それぞれの脆弱性に対して、製品を提供しているベンダーから推奨の対応策が提供されていますので、早急に対応を実施することが推奨されます。
ただし、様々な理由により、推奨の対策が実施できない場合もあると思います。そういった場合には、マネージドセキュリティサービスを利用してカバーすることも非常に有効となります。