vtenextで認証なしにパスワード変更される脆弱性、修正版あり
業務システムのvtenext 25.02に、ユーザー名が分かれば認証なしで任意アカウントのパスワードを変更できる脆弱性が公表されました。25.02.1へ更新し、公開環境では管理者の二要素認証とログも確認してください。
急ぎ度: 至急
CVSS v3は9.8で認証なしにネットワークから悪用でき、修正版25.02.1が出ており、悪用手法を扱う技術解説も公開されているとみられるためです。
関係があるか
vtenext 25.02を自社で運用している組織が対象です。ログイン画面にインターネットや取引先のネットワークから届く環境では、とくに優先度が上がります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| vtenext | 25.02以上、25.02.1未満 | 25.02.1 |
確かめ方
- 1管理画面やインストール先のバージョン情報で、vtenextの版を確認する。
- 2版が25.02系で、25.02.1に達していなければ該当する。
- 3ログイン画面にインターネットや取引先のネットワークから到達できるかを、ネットワーク担当者と確認する。
- 4管理者権限のアカウントのうち、二要素認証が未設定のものを洗い出す。
何が起きたか
vtenextのパスワード再設定の機能に、本人確認が抜けている脆弱性があります。ユーザー名が分かれば、認証を受けていない第三者がそのアカウントのパスワードを書き換えられます。
問題があるのは、パスワード再設定に使うhub/rpwd.phpです。パスワードを変更する処理で、再設定の案内に付くはずのトークンが検証されません。分類はCWE-620（パスワード変更の検証不備）です。
管理者アカウントが二要素認証を設定していない場合は、書き換えたパスワードでそのまま管理者としてログインされます。vtenext 25.02.1で修正されました。
攻撃の流れ
-
1
画面に到達
攻撃者がvtenextのパスワード再設定の窓口にネットワーク経由で届く。
-
2
ユーザー名を把握
攻撃対象にする有効なユーザー名を知っている。
-
3
パスワード書き換え
トークンの検証がないまま、対象アカウントのパスワードが変更される。
-
4
管理者でログイン
二要素認証が未設定の管理者として、新しいパスワードでログインされる。
どう悪用されるか
悪用に認証は要りません。再設定の窓口にネットワークから届き、有効なユーザー名を知っていれば成り立ちます。利用者がリンクを開くなどの操作も要りません。CVSSでも、攻撃の難しさは低く、利用者の操作は不要と評価されています。
成功すると、攻撃者は対象アカウントとして振る舞えます。二要素認証が未設定の管理者を狙われた場合は、顧客情報の閲覧、データの書き換え、設定変更まで及ぶ恐れがあります。CVSSが機密性・完全性・可用性のすべてを高と評価しているのは、このためです。
二要素認証を設定した管理者は、この脆弱性だけではログインされないと読めます。ただしパスワードの変更自体は認証なしで通るため、二要素認証は更新の代わりになりません。
今すぐやること
-
1
版を確認する
運用中のvtenextが25.02系で、25.02.1未満かを確認します。複数の環境があれば、検証用や外部公開用も含めて洗い出します。
-
2
25.02.1へ更新する
修正版の25.02.1に更新します。更新手順や注意点は、ベンダーのリリースノートで確認してください。更新前にデータベースとファイルのバックアップを取っておくと、戻せなくなる事態を避けられます。
-
3
更新前の侵害の跡を調べる
外部から届く状態で運用していた場合は、更新前にパスワードを書き換えられていないかを調べます。hub/rpwd.phpへのアクセスの有無、身に覚えのないパスワード変更、不審なログイン、管理者アカウントの設定変更が手がかりです。ログの場所は環境によって異なります。
grep "hub/rpwd.php" /var/log/apache2/access.log -
4
管理者に二要素認証を設定する
二要素認証が未設定の管理者アカウントをなくします。疑わしい変更が見つかったアカウントは、パスワードを再設定します。
-
5
ログイン画面への到達範囲を絞る
社内利用が中心なら、VPNや接続元IPで到達できる範囲を限定します。更新までの時間を稼げるだけでなく、更新後の備えにもなります。
すぐ更新できないとき
すぐに更新できない場合は、WebサーバーやWAFでhub/rpwd.phpへのアクセスを遮断するか、vtenext全体への接続元を社内やVPNに限定します。遮断すると、利用者のパスワード再設定の機能も使えなくなります。これは暫定の策で、ベンダーが示した回避策ではありません。ほかの回避策があるかは、ベンダーの告知で確認してください。
背景
vtenextは、顧客情報や商談、問い合わせの履歴を社内で共有するための業務システムです。管理者アカウントは全利用者のデータと設定に触れるため、乗っ取られたときの影響が一人分では済みません。
CWE-620に当たるのは、パスワード再設定の入口では本人確認をしていても、新しいパスワードを受け付ける最後の段階で確認が抜けている実装です。この脆弱性では、再設定の案内に付くトークンが変更時に検証されません。再設定の画面は、ログインの前に誰でも触れる場所にあるため、ここが破られるとログイン認証の手前で守りが崩れます。
よくある質問
Q.25.02より前の版は影響を受けますか。
Q.クラウドやホスティングで利用している場合はどうすればよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| vtenext | vtenext |
25.02 以上 25.02.1 未満 |
25.02.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
vtenext 25.02 before 25.02.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to change any account password via hub/rpwd.php without token verification. Attackers knowing a valid user_name can send action=change_password to RecoverPwd::displayChangePwd() and log in as administrators lacking two-factor authentication.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web 0xbro.red
- web blog.sicuranext.com
- web github.com