onPhase Forms 11.0.14に認証回避、遠隔でOS命令実行の恐れ
onPhase(frevvo)の公開登録フォームに認証回避の脆弱性があり、認証なしの攻撃者が既存ユーザーとして認証され、管理者相当の権限を得てOSコマンドを実行できるおそれがあります。影響が公表されているのは版11.0.14で、利用している組織は公開登録フォームの到達範囲を確認してください。修正版の版番号は、ベンダーのリリースノートで確かめてください。
急ぎ度: 至急
CVSS v4.0で9.3の重大な脆弱性で、認証も利用者の操作も不要のままネットワーク越しにOSコマンド実行まで至る可能性があるためです。
関係があるか
onPhase Forms(frevvo)の版11.0.14を使い、公開登録フォームをインターネットや広い社内ネットワークに公開している組織が当てはまります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| onPhase Forms(frevvo) | 版11.0.14（公開登録フォーム）。ほかの版が影響を受けるかは公表されていません | 公表されていません。ベンダーのリリースノートで確認してください |
確かめ方
- 1自社でonPhase Forms(frevvo)を稼働させているか、情報システム部門や導入ベンダーに確認します。
- 2管理画面やサーバーの導入情報で、稼働中の版が11.0.14かどうかを確認します。
- 3公開登録フォームに外部のネットワークから到達できるかを、ファイアウォールやリバースプロキシの設定から確認します。
- 4SaaSとして提供を受けている場合は、提供元に対応状況を問い合わせます。
何が起きたか
onPhase(frevvo)は、業務用のフォームやワークフローを作って運用するための製品です。その公開登録フォームに、本来必要なはずの認証が正しく働かない弱点が見つかりました。認証を持たない外部の人物が、すでに存在するユーザーになりすましてログインできてしまい、管理者に相当する強い権限まで得られるおそれがあります。
この弱点は、登録フォームに渡すパラメーターを細工することで成立します。有効なテナント名と、既存のユーザー識別子が必要とされています。なりすました先でTenantAdminとDesignerの権限を得ると、サーバー上で任意のOSコマンドを実行できるとされています。分類はCWE-306（重要な機能に対する認証の欠如）です。
影響が公表されている版は11.0.14です。CVSS v4.0の基本値は9.3で、深刻度はcriticalとされています。なお、実際の攻撃での悪用が確認された情報（KEVへの掲載）や、悪用される見込みを示すEPSSの値は、現時点で示されていません。
攻撃の流れ
-
1
登録フォームに到達
攻撃者が、外部から到達できる公開登録フォームにアクセスします。
-
2
パラメーターを操作
有効なテナント名と既存のユーザー識別子を含む登録パラメーターを操作し、認証を回避します。
-
3
他人として認証
認証なしのまま、任意のテナントユーザーとして認証された状態になります。
-
4
管理権限を取得
TenantAdminとDesignerの権限を得ます。
-
5
OS命令を実行
サーバー上で任意のOSコマンドを実行できる状態になります。
どう悪用されるか
悪用に必要な前提は少ないとされています。攻撃者はネットワーク越しに公開登録フォームへ到達できればよく、事前の認証も利用者の操作も要りません。ただし、有効なテナント名と既存のユーザー識別子が必要です。これらをどう入手されるかは公表されていません。推測されやすい名前や、外部に見える形で使われている名前がある場合は、注意が必要です。
悪用された場合は、フォームの内容や登録情報の閲覧・改ざんにとどまらず、サーバー上で任意のコマンドが実行されるおそれがあります。機密性・完全性・可用性のいずれにも大きな影響が及ぶと評価されています。サーバーが社内ネットワークにつながっている場合は、そこから他のシステムへ被害が広がる可能性も考えておく必要があります。
今すぐやること
-
1
利用状況と版を確認する
onPhase Forms(frevvo)を使っているか、稼働中の版が11.0.14かを洗い出します。検証環境や部門ごとの導入分も対象に含めます。
-
2
ベンダーの告知で修正版を確認する
ベンダーのリリースノートを確認し、この問題に対応した版が出ているか、適用の手順は何かを確かめて、修正版へ更新します。
-
3
公開登録フォームへの到達を絞る
更新までの間は、公開登録フォームへアクセスできる送信元を、必要な範囲に限定します。登録機能を使っていなければ、停止も検討します。
-
4
ログと権限を点検する
登録フォームへの不審なアクセス、身に覚えのないTenantAdminやDesignerの権限の付与、見慣れないフォームやユーザーの作成がないかを確認します。サーバー側でも、想定外のプロセスや設定変更がないかを調べます。
-
5
侵害の疑いがあれば切り分ける
不審な痕跡が見つかった場合は、該当サーバーをネットワークから切り離し、保全した上で調査します。認証情報や連携先の鍵の入れ替えも検討します。
すぐ更新できないとき
回避策は公表されていません。修正版の適用までの暫定対応としては、公開登録フォームへのアクセス元の制限や、機能の一時停止が考えられます。実施前に、業務への影響を確認してください。
背景
onPhase(frevvo)のような業務フォーム基盤は、申請・承認・登録といった社内外のやり取りの入口になります。取引先や顧客に公開される画面を持つことも多く、インターネット側から直接触れられる位置に置かれやすい製品です。管理者権限を握られると、フォームの内容やユーザー情報だけでなく、動いているサーバー自体にも手が届きます。
認証の欠如や回避は、Webアプリケーションで繰り返し問題になってきた種類の弱点です。ログインや登録、パスワード再設定といった入口の処理で、本人確認が不十分なまま進んでしまうと、他の防御が働く前に管理者相当の権限を奪われるおそれがあります。外部に公開した入口ほど優先して点検する価値があります。
よくある質問
Q.実際に攻撃されていますか。
Q.公開登録フォームを使っていなければ影響はありませんか。
Q.修正版はありますか。
Q.社内ネットワーク内だけで使っていても対応は必要ですか。
まだ分かっていないこと
- 修正版の版番号と、11.0.14以外の版が影響を受けるかは公表されていません。
- 有効なテナント名や既存のユーザー識別子を、攻撃者がどのように知り得るかは明らかになっていません。
- 実際の攻撃での悪用の有無は、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| onPhase | onPhase Forms | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An authentication bypass vulnerability in the public onPhase/ frevvo registration form version 11.0.14 allows an unauthenticated remote attacker to authenticate as an arbitrary tenant user, obtain TenantAdmin and Designer privileges, and execute arbitrary operating system commands via manipulation of registration parameters containing a valid tenant name and existing user identifier.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web frevvo-docs.atlassian.net
- web frevvo-docs.atlassian.net
- web nvd.nist.gov
- web github.com