Eptura Archibus でサーバー上のコード実行の恐れ、修正版あり
施設・資産管理ソフト Eptura Archibus に、不正なファイルをアップロードされてサーバー上でコマンドを実行されるおそれのある重大な脆弱性が見つかり、修正版が出ています。認証回避の脆弱性と組み合わせると、ログインなしでも悪用できると説明されています。Archibus を運用している組織は、ベンダーの告知で修正版を確認し、適用を急いでください。
急ぎ度: 早めに
実際の攻撃での悪用は公表されていませんが、CVSS 9.6 の重大な欠陥で、認証回避と組み合わせるとログインなしでサーバーを乗っ取られるため、インターネットに公開している場合は特に早い対応が必要です。
関係があるか
Eptura Archibus を自社のサーバーで運用している組織が対象です。とくにインターネットから Archibus の画面に届く構成や、多くの利用者にアカウントを配っている構成では影響が大きくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Eptura Archibus | 影響を受ける版は現時点で明らかになっていません。ベンダーの告知で確認してください。 | 修正版は出ていますが、版番号は公表内容から特定できません。ベンダーの告知で確認してください。 |
確かめ方
- 1社内で Archibus を使っているか、情報システム部門と施設管理・総務などの利用部門の両方に確認する。部門が独自に立てたサーバーやクラウド上の環境も含めて探す。
- 2Archibus の管理画面やログイン画面に表示される版を確認し、ベンダーの告知にある修正版と比べる。
- 3Archibus の画面がインターネットから見えるか、VPN や IP 制限の内側に限られているかを、ファイアウォールやリバースプロキシの設定で確認する。
- 4Rapid7 の解説記事(参考リンク)と、ベンダーの告知で、自社の版が対象に入るかを照らし合わせる。
何が起きたか
Eptura Archibus に、レポートの出力(エクスポート)機能を悪用してサーバー上にプログラムを置かれてしまう脆弱性が見つかりました。本来はレポート用のファイルだけを受け付けるべきところ、利用者が中身も拡張子も自由に指定してアップロードできる状態でした。置かれたファイルをウェブ経由で開かれると、サーバー上でコマンドが実行されるおそれがあります。
仕組みを少し詳しく説明します。アップロードするファイルの中身は自由に指定でき、JSP のコードを入れて、拡張子に JSPX を指定できます。アップロードされたファイルには誰でもブラウザからアクセスでき、そのときにコードが動き、コマンド実行につながります。分類は CWE-434(危険な種類のファイルを無制限にアップロードできる欠陥)です。
この脆弱性の悪用には、CVSS ベクターでは低い権限のログインが必要とされています。ただし、同じ製品の認証回避の脆弱性と組み合わせると、認証なしでサーバー上でコードを実行できると説明されています。Rapid7 の解説記事の題からは、認証回避・リモートコード実行・データベースの読み取りが同時に修正されたことがうかがえます。個別の詳細はベンダーと Rapid7 の告知で確認してください。
攻撃の流れ
-
1
ログインを得る
通常のアカウント、または認証回避の欠陥を使って、Archibus の機能に到達します。
-
2
不正ファイル送信
レポート出力の機能に、レポートではないファイルを送り込みます。
-
3
JSPX として保存
拡張子に JSPX を指定でき、サーバー上で実行されうる形式で保存されます。
-
4
ファイルを開く
保存先には誰でもアクセスでき、ブラウザから呼び出すとコードが動きます。
-
5
コマンド実行
Archibus を動かしているサーバー上で、攻撃者の指示したコマンドが動きます。
どう悪用されるか
悪用には、単独では低い権限のログインが必要です。ネットワーク経由で届けば攻撃でき、利用者に特別な操作をしてもらう必要はありません。複雑な条件は不要とされています。
認証回避の脆弱性と組み合わせた場合は、アカウントを持たない外部の攻撃者でも、サーバー上でコードを実行できると説明されています。成功すると、Archibus のサーバー上で任意のコマンドが動くことになります。CVSS では機密性と完全性への影響が高く評価されており、保存された施設・資産・従業員関連の情報が読まれたり、書き換えられたりするおそれがあります。このサーバーを足がかりに社内の他のシステムへ広がる可能性も考えられます。
実際の攻撃で悪用されたという情報は、現時点で公表されていません。ただし、技術的な解説が公開されているため、未対応の環境が狙われる可能性は高まります。
今すぐやること
-
1
利用状況と版を洗い出す
Archibus を使っている環境をすべて把握し、版を確認します。開発用・検証用の環境も見落とさないようにしてください。
-
2
修正版を確認して適用する
Eptura のベンダー告知で、対象の版と修正版を確認します。本番に当てる前に検証環境で動作を確かめ、可能な限り早く適用してください。
-
3
外部公開を見直す
インターネットから直接アクセスできる場合は、修正までの間、VPN や IP 制限の内側に移すことを検討します。
-
4
不審なファイルを探す
Archibus のウェブアプリの配置先に、身に覚えのない JSP や JSPX ファイルが作られていないか調べます。見つかったら削除する前に、保全して調査担当に渡してください。以下は読み取りだけを行う例で、
/path/to/archibusは実際の配置先に置き換えます。find /path/to/archibus -type f ( -name "*.jspx" -o -name "*.jsp" ) -mtime -90 -ls -
5
ログとアカウントを点検する
ウェブサーバーのアクセスログで、レポート出力の機能への不自然なアップロードや、その直後に新しい JSPX ファイルへアクセスした記録がないかを確認します。使われていないアカウントや、権限の過大なアカウントも整理してください。
すぐ更新できないとき
ベンダーが案内する回避策は、現時点で明らかになっていません。修正版を当てられない間の一般的な緩和策として、Archibus へのアクセスを社内ネットワークや VPN に限る、レポート出力を使うアカウントを必要な人に絞る、アップロード先ディレクトリから JSPX や JSP を実行できないようにウェブサーバーやリバースプロキシで制限する、といった方法があります。いずれも完全な対策ではないため、修正版の適用までの暫定措置として扱ってください。
背景
Eptura Archibus は、施設管理、不動産、資産管理などに使われる業務システムです。建物や設備、スペース、保守作業に関する情報が集まり、Java ベースのウェブアプリケーションとして社内サーバーで動かす構成が多いと考えられます。多くの部門が使うため、アカウントの数が多くなりがちで、ログインを前提にした欠陥でも影響が広がりやすい製品です。
今回と同じく、ファイルのアップロード機能の検査が甘く、サーバー上で動くプログラムを置かれてしまう欠陥は、ウェブアプリケーションで長く問題になってきた典型的なタイプです。置かれたプログラムは「ウェブシェル」と呼ばれ、攻撃者がサーバーを遠隔操作する入口として使われます。ログイン後の機能に潜む欠陥でも、認証回避の欠陥と連鎖すると、外部から直接悪用できる脆弱性になる点が特に危険です。
よくある質問
Q.ログインしていない人でも攻撃できますか。
Q.すでに攻撃に使われていますか。
Q.社内ネットワークだけで使っていれば、急がなくてもよいですか。
まだ分かっていないこと
- 影響を受ける版と、直った版の具体的な番号は、現時点で明らかになっていません。
- 認証回避の脆弱性など、同時に修正された他の問題の識別番号と詳細は、ここでは確認できません。Rapid7 とベンダーの告知を確認してください。
- 実際の攻撃で悪用されたかどうかは、現時点で公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A user can upload export reports with any file contents and specify any contents. JSP code can be uploaded, JSPX can be specified as the file extension, and anyone can browse to the uploaded file, leading to command execution. The authentication bypass vulnerability can be chained with this vulnerability to run code on the server without authentication.
出典: NIST National Vulnerability Database NVD GitHub Advisory
参照URL
- web cve@rapid7.com
- web nvd.nist.gov
- web rapid7.com
- web github.com