Sentinel Keys Serverに遠隔操作の脆弱性、修正版あり
Thales製のSentinel Keys Server（Windows版）に、認証なしで遠隔からコードを実行されるおそれのある脆弱性が公表されました。1.3.8.0未満を使っている組織は、修正版への更新と、サーバーへ届く通信の範囲の見直しを進めてください。
急ぎ度: 早めに
CVSS v3が9.8の認証不要の遠隔コード実行で、修正版1.3.8.0も出ているため、公表直後の今のうちに更新を計画に入れる段階です。
関係があるか
Windows上でSentinel Keys Serverを動かしている組織が対象です。ソフトウェアのライセンス管理にこのサーバーを使っている部門や、製品を納めた先の運用担当も確認が必要です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Thales Sentinel Keys Server（Windows） | 1.3.8.0未満 | 1.3.8.0 |
確かめ方
- 1社内のWindowsサーバーに、Sentinel Keys Serverが入っていないかを一覧で調べます。資産管理ツールやソフトウェア一覧で製品名を検索すると早く済みます。
- 2見つかったサーバーで、インストールされている版を確認します。1.3.8.0より小さければ影響を受けます。
- 3ライセンス管理を委託している場合や、ソフトウェアに同梱されている場合は、委託先や提供元にSentinel Keys Serverの有無と版を問い合わせます。
何が起きたか
Windows上で動くSentinel Keys Serverに、認証なしで外部から細工したHTTPリクエストを送られると、サーバー上で任意のコードを実行されるおそれのある脆弱性が見つかりました。実行される権限はNT AUTHORITY\SYSTEMで、Windowsの最上位にあたります。2026年10月30日に公表されたばかりです。
このサーバーはHTTPリクエストの最初のフィールドの長さを検査していません。そのため、想定より長い値を受け取るとスタック上のメモリーがあふれます（CWE-121）。加えて、この入口に認可の確認がないこと（CWE-862）も脆弱性として挙げられています。
Thalesは1.3.8.0で修正しました。1.3.8.0未満がすべて対象です。
攻撃の流れ
-
1
サーバーを探す
攻撃者が、ネットワーク上でSentinel Keys Serverが待ち受けている場所を見つけます。
-
2
細工した要求を送る
ログインなしで、最初のフィールドを異常に長くしたHTTPリクエストを送ります。
-
3
メモリーがあふれる
長さが検査されないため、スタックのメモリーが破壊されます。
-
4
SYSTEM権限で実行
攻撃者の指定したコードがNT AUTHORITY\SYSTEMで動き、サーバーを掌握されます。
どう悪用されるか
認証は要りません。ネットワーク越しにサーバーへ届けば試せて、利用者の操作も不要です。条件の複雑さも低いと評価されており、サーバーのHTTPの入口に到達できることが前提になります。
成功すると、SYSTEM権限でコードを実行されます。情報の漏えい、改ざん、サービス停止のどれも起こりえます。そのサーバーが社内ネットワークにつながっていれば、ほかのサーバーへ広げるための足がかりにもされます。
今すぐやること
-
1
対象のサーバーと版を洗い出す
Sentinel Keys Serverが動いているWindowsサーバーを特定し、版を確認します。インストール済みソフトウェアの一覧から探せます。
Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object DisplayName -like "*Sentinel*" | Select-Object DisplayName, DisplayVersion -
2
1.3.8.0以降の修正版に更新する
ThalesのサポートポータルにあるKB0031216の告知で、入手先と更新手順を確認します。ライセンスの取得が止まる時間が出るかもしれないので、利用部門と時間帯を決めてから更新します。
-
3
サーバーに届く通信を絞る
更新までのあいだ、ライセンスを取りに来るクライアントなど、必要な接続元だけがサーバーへ届くようにします。インターネットから直接届く状態なら、まず遮断します。
-
4
不審な兆候を確認する
公表直後で悪用の報告は確認できていませんが、更新前の期間にサーバーが再起動していないか、見覚えのないプロセスや新規アカウントがないかをログで見ておきます。
すぐ更新できないとき
すぐに更新できないときは、Sentinel Keys Serverが受け付けるHTTPの通信を、必要なクライアントのアドレスだけに制限します。ファイアウォールやネットワーク機器の設定で行い、インターネットからの到達は止めます。回避策の有無や詳細は、ThalesのKB0031216の告知で確認してください。
背景
Sentinel Keys Serverは、Thalesのソフトウェア保護・ライセンス管理の製品群に含まれるサーバーです。ライセンスを使う側のPCやアプリからの問い合わせに応じる立場なので、複数の部署や端末から届く場所に置かれがちです。業務ソフトの利用権を握るサーバーが止まると現場の作業も止まるため、更新が後回しになりやすい種類の機器でもあります。
今回の脆弱性は、外部から届いたHTTPリクエストの長さを確認しないまま処理するという、入力検査の漏れです。しかも、ライセンスを配るサーバーがSYSTEM権限で動いているため、乗っ取られたときの影響がサーバー全体に及びます。ライセンス用だからと管理が手薄になっていないかを、この機会に点検する価値があります。
よくある質問
Q.Windows以外のOSで動かしている場合も影響しますか。
Q.社内ネットワークの中だけで使っているので、更新しなくてもよいですか。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Thalesgroup | Sentinel Keys Server |
1.3.8.0 未満 |
1.3.8.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Stack-based buffer overflow and missing
authorization vulnerability in Thales Sentinel Keys Server on Windows allows
Overflow Buffers. Sentinel Keys Server does not check the length of the first
field in the HTTP request. An attacker may craft an HTTP request and send it to
Sentinel Keys Server. It may lead to remote code execution as NT
AUTHORITY\SYSTEM.
This issue affects Sentinel Keys Server:
versions lower than 1.3.8.0.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web supportportal.thalesgroup.com
- web nvd.nist.gov
- web github.com