【サイバーセキュリティ白書】2019年4月の脆弱性情報まとめ

サイバー攻撃の被害が後を絶たない昨今、最新の脆弱性を収集して把握することはセキュリティ対策を行う上で必要不可欠となっています。本シリーズ「サイバーセキュリティ白書」では、クラウド型WAF「攻撃遮断くん」やAWS WAF自動運用サービス「WafCharm」を開発運営するサイバーセキュリティクラウドのセキュリティエンジニアが調査した脆弱性情報を解説していきます。※本記事は2019年4月度脆弱性情報のまとめとなります。

2019年4月発表の脆弱性情報

2019年4月に公開された新たな脆弱性について、いくつかご紹介します。

１）Apach HTTP Serverに複数の脆弱性

・権限昇格の脆弱性
CVE-ID：CVE-2019-0211
CVSS v3 Base Score：7.8
CVSS v3 Vector：AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-0211
バージョン2.4.17から2.4.38に影響があります。
子プロセスを利用することで、親プロセスの権限にて任意のコードを実行できる可能性があります。

・mod_auth_digestにてアクセス制御に関する脆弱性
CVE-ID：CVE-2019-0217
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-0217
バージョン2.4.38までの2.4.xに影響があります。
アクセス制限を回避される可能性があります。

・mod_sslにてアクセス制御に関する脆弱性
CVE-ID：CVE-2019-0215
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-0215
バージョン2.4.37および2.4.38に影響があります。
アクセス制限を回避される可能性があります。

・mod_http2にてDoSの脆弱性
CVE-ID：CVE-2019-0197
CVSS v3 Base Score：RESERVED
CVSS v3 Vector：RESERVED
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-0197
バージョン2.4.34から2.4.38に影響があります。
http/1.1からhttp/2へのアップグレード要求が誤設定やクラッシュを引き起こす可能性があります。

・mod_http2にてDoSの脆弱性
CVE-ID：CVE-2019-0196
CVSS v3 Base Score：RESERVED
CVSS v3 Vector：RESERVED
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-0196
バージョン2.4.18から2.4.38に影響があります。
HTTP/2.0リクエストを誤って処理する可能性があるというものです。

・正規化に関する脆弱性
CVE-ID：CVE-2019-0220
CVSS v3 Base Score：RESERVED
CVSS v3 Vector：RESERVED
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-0220
バージョン2.4.38までの2.4.xに影響があります。
HTTPリクエストのURI部分に複数の連続したスラッシュが含まれている場合、一部のディレクティブを除いて、暗黙的に省略されるというものです。

上記6つの脆弱性については、Apache httpd 2.4.39へのバージョンアップが推奨の対応策となります。
Apache Software Foundationのアナウンスについては以下になります。
https://httpd.apache.org/security/vulnerabilities_24.html

２）Apache Tomcat on Windowsにリモートコード実行の脆弱性

CVE-ID：CVE-2019-0232
CVSS v3 Base Score：8.1
CVSS v3 Vector：AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-0232

バージョン9.0.0.M1から9.0.17、8.5.0から8.5.39、 7.0.0から7.0.93に影響があります。
修正済みのバージョン9.0.19、8.5.40、7.0.94へのバージョンアップが推奨の対応策となります。

３）Drupalに複数の脆弱性

・クロスサイトスクリプティングの脆弱性
CVE-ID：CVE-2019-11358
CVSS v3 Base Score：6.1
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-11358

Drupal は人気のあるCMSの一つです。
上記4つの脆弱性については、バージョン8.6.15、8.5.15、7.66へのバージョンアップが推奨の対応策となります。
Drupal.orgのSecurity advisoriesについては以下となります。
https://www.drupal.org/sa-core-2019-005
https://www.drupal.org/sa-core-2019-006

４）Joomla!に複数の脆弱性

・ディレクトリトラバーサルの脆弱性
CVE-ID：CVE-2019-10945
CVSS v3 Base Score：9.8
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-10945
バージョン1.5.0から3.9.4に影響があります。

・アクセス制御に関する脆弱性
CVE-ID：CVE-2019-10946
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-10946
バージョン3.2.0から3.9.4に影響があります。

・プロトタイプ汚染の脆弱性
CVE-ID：-
CVSS v3 Base Score：-
CVSS v3 Vector：-
情報源：https://developer.joomla.org/security-centre/779-20190403-core-object-prototype-pollution-in-jquery-extend.html
バージョン3.0.0から3.9.4に影響があります。

Joomla!は人気のあるCMSの一つです。
上記3つの脆弱性については、バージョン3.9.5へのバージョンアップが推奨の対応策となります。
Joomla.orgのSecurity Announcementsは以下になります。
https://developer.joomla.org/security-centre/777-20190401-core-directory-traversal-in-com-media.html
https://developer.joomla.org/security-centre/778-20190402-core-helpsites-refresh-endpoint-callable-for-unauthenticated-users.html
https://developer.joomla.org/security-centre/779-20190403-core-object-prototype-pollution-in-jquery-extend.html

５）Oracle WebLogic Serverにリモートコード実行の脆弱性

CVE-ID：CVE-2019-2725
CVSS v3 Base Score：9.8
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2019-2725

Oracle WebLogic ServerはOracle社が提供するアプリケーションサーバです。
バージョン10.3.6.0、12.1.3.0に影響があります。
対応するPatchがリリースされていますので、そちらの適用が推奨の対応策となります。
OracleのSecurity Alert Advisoryは以下となります。
https://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2725-5466295.html

６）Symfonyに複数の脆弱性

・クロスサイトスクリプティングの脆弱性
CVE-ID：CVE-2019-10909
CVSS v3 Base Score：RESERVED
CVSS v3 Vector：RESERVED
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10909
バージョン2.7.0から2.7.50、2.8.0から2.8.49、3.4.0から3.4.25、4.1.0から4.1.11、4.2.0から4.2.6に影響があります。
バージョン2.7.51、2.8.50、3.4.26、4.1.12、4.2.7にて修正されています。

・リモートコード実行の脆弱性
CVE-ID：CVE-2019-10910
CVSS v3 Base Score：RESERVED
CVSS v3 Vector：RESERVED
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10910
フィルタリングされていないユーザー入力から派生したサービスIDがリモートコード実行に繋がる可能性があります。
バージョン2.7.0から2.7.50、2.8.0から2.8.49、3.4.0から3.4.25、4.1.0から4.1.11、4.2.0から4.2.6に影響があります。
バージョン2.7.51、2.8.50、3.4.26、4.1.12、4.2.7にて修正されています。

・Cookieに関する脆弱性
CVE-ID：CVE-2019-10911
CVSS v3 Base Score：RESERVED
CVSS v3 Vector：RESERVED
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10911
Cookieの有効期限の一部をユーザー名の一部と見なしたりする可能性があります。
バージョン2.7.0から2.7.50、2.8.0から2.8.49、3.4.0から3.4.25、4.1.0から4.1.11、4.2.0から4.2.6に影響があります。
バージョン2.7.51、2.8.50、3.4.26、4.1.12、4.2.7にて修正されています。

・入力検証不備の脆弱性
CVE-ID：CVE-2019-10912
CVSS v3 Base Score：RESERVED
CVSS v3 Vector：RESERVED
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10912
バージョン2.8.0から2.8.49、3.4.0から3.4.25、4.1.0から4.1.11、4.2.0から4.2.6に影響があります。
バージョン2.8.50、3.4.26、4.1.12、4.2.7にて修正されています。

・HTTPメソッドにおける入力検証不備の脆弱性
CVE-ID：CVE-2019-10913
CVSS v3 Base Score：RESERVED
CVSS v3 Vector：RESERVED
情報源：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10913
バージョン2.7.0から2.7.50、2.8.0から2.8.49、3.4.0から3.4.25、4.1.0から4.1.11、4.2.0から4.2.6に影響があります。
バージョン2.7.51、2.8.50、3.4.26、4.1.12、4.2.7にて修正されています。
HTTPメソッドが、文字列に対して検証が行われず、利用される状態になっています。

SymfonyはPHPで実装されたWebアプリケーションフレームワークです。
対応するPatchがリリースされていますので、そちらの適用または修正されているバージョンへのアップデートが推奨の対応策となります。
しかしながら、バージョン3.0、3.1、3.2、3.3、4.0についてはメンテナンスされていないため、注意が必要です。

７）WordPress 用 Plugin Easy WP SMTPに特権昇格が可能な脆弱性

CVE-ID：-
CVSS v3 Base Score：-
CVSS v3 Vector：-
情報源：https://wordpress.org/plugins/easy-wp-smtp/#developers
Easy WP SMTPはメールをSMTP経由で送れるようにするプラグインです。
バージョン1.3.9に影響があります。
バージョン1.3.9.1へのアップデートが推奨の対応策となります。

８）WordPress 用 Plugin Social Warfareに特権昇格が可能な脆弱性

CVE-ID：-
CVSS v3 Base Score：-
CVSS v3 Vector：-
情報源：https://wordpress.org/plugins/social-warfare/#developers
Social Warfareはソーシャル・ネットワーキング・サービスへの共有ボタンを設置するためのプラグインです。
バージョン3.5.3へのアップデートが推奨の対応策となります。

９）WordPress 用 Plugin Visual CSS Style Editorにリモートコード実行の脆弱性

CVE-ID：-
CVSS v3 Base Score：-
CVSS v3 Vector：-
情報源：https://wordpress.org/plugins/yellow-pencil-visual-theme-customizer/#developers
Visual CSS Style EditorはWordPress用CSSエディタ機能を付与するプラグインです。
バージョン7.1.9以前のバージョンに影響があります。
バージョン7.2.0へのアップデートが推奨の対応策となります。

１０）WordPress 用 Plugin Yuzo Related Postsにクロスサイトスクリプティングの脆弱性

CVE-ID：-
CVSS v3 Base Score：-
CVSS v3 Vector：-
情報源：https://wordpress.org/support/topic/remove-this-plugin-immediately/
Yuzo Related Postsは関連記事を表示させるプラグインです。
プラグイン自体の削除が、推奨の対応策となります。

まとめ

今回ご紹介した脆弱性ですが、実際に公開された脆弱性の数からするとほんの一握りです。
それぞれの脆弱性に対して、製品を提供しているベンダーから推奨の対応策が提供されていますので、早急に対応を実施することが推奨されます。
ただし、様々な理由により、推奨の対策が実施できない場合もあると思います。そういった場合には、マネージドセキュリティサービスを利用してカバーすることも非常に有効となります。