GRRにPHPコード注入の脆弱性、4.5.0で修正
予約管理アプリGRRのLDAP連携設定に、管理者の入力がPHPコードとして実行される脆弱性が見つかりました。4.5.0より前のGRRを社内や学校で運用している組織が対象で、4.5.0への更新と、管理者アカウントの見直しが必要です。
急ぎ度: 早めに
CVSS v3は9.1のCriticalですが、悪用には管理者権限が要り、修正版の4.5.0がすでに出ているため、通常の更新枠より前倒しして早めに更新する段階と見ます。
関係があるか
GRRを自組織のサーバーで運用している組織が対象です。管理画面に入れる人が限られていても、管理者アカウントが漏えいすれば条件を満たすため、LDAP連携を使っていない場合も含めて版を確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| GRR（JeromeDevome） | 4.5.0より前の版 | 4.5.0 |
確かめ方
- 1GRRのインストール時に使ったリリース番号か、管理画面の版情報を見て、4.5.0より前かどうかを確認します。
- 2GRRを置いたディレクトリで、
personnalisation/config_ldap.inc.phpがあるか、更新日時が最近の設定変更と合っているかを確認します。 - 3ファイルがあれば中身を開き、LDAPの接続設定とは思えないPHPコードが混ざっていないかを見ます。
- 4管理者権限を持つアカウントの一覧を出し、退職者や使っていないアカウントが残っていないかを確かめます。
何が起きたか
GRRのLDAP連携の設定画面で入力した値が、確認の足りないまま設定ファイルに書き込まれ、PHPコードとして実行されてしまう脆弱性です。悪用されると、管理者が管理画面から入力した内容をきっかけに、GRRを動かしているサーバー上で任意のコードが実行されます。
問題の場所は、/personnalisation/config_ldap.inc.php というファイルです。ldap_filter などのLDAPコネクターの設定項目に悪意あるPHPを入れると、このファイルに混ぜ込まれ、リモートコード実行につながります。CWEの分類はCWE-94（コード生成の制御不備）です。
GRRのアドバイザリは、この問題を4.5.0で修正したと報告しています。修正のコミットも公開されています。
攻撃の流れ
-
1
管理者権限の入手
GRRの管理者として管理画面にログインできる状態になります。
-
2
LDAP接続の成功
LDAPサーバーへの接続に成功します。接続先は攻撃者の用意したサーバーでもかまいません。
-
3
設定項目へ注入
続くコネクター設定のページで、`ldap_filter` などにPHPコードを含む値を送ります。
-
4
設定ファイル汚染
値が `config_ldap.inc.php` に書き込まれ、PHPコードとして読み込まれます。
-
5
サーバー上で実行
書き込まれたコードがGRRのサーバー上で動き、リモートコード実行が成立します。
どう悪用されるか
攻撃にはGRRの管理者権限が必要で、ネットワーク経由で実行でき、利用者の操作は要りません。管理者でありながらLDAPサーバーへの接続を成功させる必要があり、その接続先は攻撃者が管理するサーバーでもよいとされています。そのうえで、続く設定ページに悪意ある入力を送ることで成立します。
管理者の資格情報が盗まれた場合や、管理者権限を持つ内部の人物が悪意を持った場合が現実的な入口です。管理者権限の要件があるため、CVSSの攻撃条件は高めに評価されています。一方で影響範囲は変更ありと評価され、機密性・完全性・可用性への影響はいずれも高です。
成立すると、GRRを動かしているサーバー上で任意のコードが動きます。予約データや設定情報の読み出しと書き換え、サービス停止のほか、同じサーバーや同じネットワーク内への足がかりにされるおそれがあります。
今すぐやること
-
1
GRRを4.5.0に更新する
運用中の版が4.5.0より前なら、4.5.0以降の修正版に更新します。更新前にファイルとデータベースのバックアップを取り、更新後は予約の作成・表示とLDAPログインを試して動作を確認します。
-
2
LDAP設定ファイルを点検する
GRRの設置ディレクトリで、ファイルの更新日時と中身を確認します。LDAP設定と無関係なコードが見つかったら、サーバーが侵害された可能性があるため、更新だけで済ませず調査に切り替えます。
ls -l personnalisation/config_ldap.inc.php -
3
管理者アカウントを見直す
使っていない管理者アカウントを削除し、必要なものだけ残します。管理者のパスワードは、使い回しがないかを確認して、必要なら変更します。
-
4
管理画面へのアクセス元を絞る
管理画面を社内ネットワークやVPNからだけ開けるようにします。インターネットに公開している場合は、公開範囲を見直します。
すぐ更新できないとき
すぐに更新できない間は、管理画面へのアクセスを社内ネットワークやVPN経由に限り、管理者アカウントを必要最小限にしてください。LDAP設定を変更する予定がなければ、設定が済んだあとに設定ファイルをWebサーバーの実行ユーザーから書き込めない権限にする方法もあります。ただし、この変更でGRRの動作に支障が出ないかは、テスト環境で確認してから適用してください。
背景
GRRは、会議室や備品などの共有リソースを予約するためのWebアプリケーションです。利用者の登録は社内のユーザー管理と結び付けて運用されることが多く、LDAP連携の設定には、ディレクトリサーバーへの接続情報や検索条件が入ります。
今回の脆弱性は、その設定を保存するファイルがPHPのファイルであることに根があります。画面から入力した値をそのままPHPのファイルに書き出す仕組みでは、値の中のコードがそのまま実行される形になります。LDAP設定の画面は管理者しか使いませんが、設定ファイルはアプリケーションが毎回読み込むため、書き込めることがそのままコードの実行につながります。
よくある質問
Q.管理者権限が必要なのに、なぜCVSSが9.1と高いのですか。
Q.4.5.0に更新すれば、すでに書き込まれたコードも消えますか。
config_ldap.inc.php の中身を自分の目で確認してください。まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは公表されていません。最新の状況は、GRRのアドバイザリで確認してください。
- 4.5.0より前のどの版から影響を受けるのかは示されていません。古い版を使っている場合も、影響ありとみて更新を検討してください。
- LDAP連携を使っていない環境でも、同じ設定画面から条件を満たせるのかは分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| JeromeDevome | GRR | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
GRR is a resource management and reservation application. Prior to the advisory-reported fixed version 4.5.0, an administrator can inject malicious PHP through LDAP connector configuration parameters such as ldap_filter, poisoning /personnalisation/config_ldap.inc.php and permitting remote code execution. The administrator must first successfully connect to an LDAP server, which can be attacker-controlled, and then submit malicious input on the subsequent connector settings page. The advisory reports this issue as fixed in version 4.5.0.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web github.com
- web github.com
- web github.com