HPE製品に深刻なSQLインジェクション、告知を確認
HPE製品の特定の版に、SQLインジェクション(CWE-89)の脆弱性が見つかりました。CVSS v3は最高値の10.0で、認証も利用者の操作も要らずにネットワーク経由で影響が及ぶ評価です。対象の版を使っている場合は、HPEのセキュリティ告知で修正版を確認し、早急に適用の段取りを組んでください。
急ぎ度: 至急
認証も操作も不要でネットワークから影響が及ぶ最高値の評価であり、対象の版が稼働していれば優先して対応を確認すべきためです。
関係があるか
HPEの対象製品のうち、下記の版を運用している組織が該当します。特に、対象製品がインターネットや広い社内ネットワークから到達できる状態にある環境は優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| HPEの対象製品(正式な製品名はHPEの告知で確認してください) | 8.12.0.0 以上 8.13.3.0 以下 | 修正版の版番号は公表内容を確認できていません。HPEの告知で確認してください |
| HPEの対象製品(同上) | 8.10.0.0 以上 8.10.0.23 以下 | 修正版の版番号は公表内容を確認できていません。HPEの告知で確認してください |
確かめ方
- 1HPEのセキュリティ告知(hpesbnw05162en_us)を開き、対象製品名と修正版を確認します。
- 2社内の資産台帳や構成管理表で、告知にある製品が稼働していないか調べます。
- 3該当製品があれば、管理画面やコマンドで現在の版を確認し、8.10.0.0〜8.10.0.23 または 8.12.0.0〜8.13.3.0 に入っていないか照合します。
- 4該当する場合は、その製品がどのネットワーク(インターネット、社内全体、管理用の閉じたネットワークなど)から到達できるかも合わせて把握します。
何が起きたか
HPEが公表したセキュリティ告知で、同社製品の特定の版に、SQLインジェクションと呼ばれる種類の脆弱性があることが明らかになりました。外部から送られた入力が、製品内部のデータベースへの命令の一部として扱われてしまうことで、本来できない操作が行われるおそれがあります。
CVSS v3.1の評価は 10.0(Critical)で、ベクターは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H です。ネットワーク経由で、特別な条件や事前のログインなしに実行でき、機密性・完全性・可用性のすべてに大きな影響が出ると見積もられています。また、影響が脆弱な部品の範囲を超えて他に及ぶ評価(S:C)になっています。
対象は 8.12.0.0 から 8.13.3.0 までの版と、8.10.0.0 から 8.10.0.23 までの版です。製品名や弱点の詳しい説明は、本稿の時点では整理できていません。HPEの告知で確認してください。
攻撃の流れ
-
1
到達できる
対象製品の入力窓口に、ネットワーク経由で接続できる状態であることが前提になります。
-
2
不正な入力
ログインなどの手続きなしに、細工された入力が製品へ送られます。
-
3
命令として解釈
入力が内部のデータベースへの命令の一部として扱われます。
-
4
情報・設定に影響
保存されたデータの閲覧・改ざんや、機能の停止につながるおそれがあります。
-
5
他へ波及
影響が製品の範囲を超えて、接続先の他の機器やシステムに及ぶ可能性があります。
どう悪用されるか
評価上の前提条件は軽く、認証は不要、利用者の操作も不要で、ネットワーク経由で試行できるとされています。攻撃の難易度も低く見積もられています。したがって、対象製品に外部から到達できる環境ほどリスクが高くなります。社内の閉じたネットワークにだけ置かれている場合でも、社内の他の端末が侵害されれば同じ経路が使われるおそれがあります。
悪用された場合は、製品が扱うデータの漏えいや改ざん、機能の停止が想定されます。影響範囲の評価が「変更あり」であるため、製品単体にとどまらず、連携する別のシステムへ被害が広がる可能性も考える必要があります。
実際の攻撃で悪用されたという公表は、現時点で確認されていません。ただし、悪用の有無は今後変わりうるので、HPEの告知や各種の脆弱性情報を継続して確認してください。
今すぐやること
-
1
HPEの告知で対象と修正版を確認する
告知(hpesbnw05162en_us)で、対象製品名、修正版、案内されている対処を確認します。製品名と版の照合は、ここが出発点です。
-
2
稼働中の対象製品と版を洗い出す
資産台帳と実機の両方で、8.10.0.0〜8.10.0.23 および 8.12.0.0〜8.13.3.0 に該当する版がないかを確認します。検証環境や使われていない機器も忘れずに含めます。
-
3
修正版の適用を計画して実施する
修正版が提供されている場合は、メンテナンス時間を確保して適用します。適用前に設定のバックアップを取り、適用後は動作確認を行います。
-
4
対象製品への到達経路を絞る
適用までの間、対象製品への接続元を管理用の端末や必要なシステムに限定します。インターネットから直接到達できる場合は、まずそこを遮断または制限することを検討します。
-
5
ログに不審な形跡がないか確認する
対象製品のアクセスログやエラーログ、データベース関連のログに、普段と異なる大量のエラーや見慣れない接続元がないかを見ます。異常があれば、インシデント対応の手順に沿って調査します。
すぐ更新できないとき
HPEの告知に回避策が記載されているかは、本稿の時点で確認できていません。修正版をすぐ適用できない場合は、告知の案内に従うとともに、対象製品に到達できるネットワークを必要最小限に絞り、信頼できない経路からの接続を止めてください。
背景
SQLインジェクションは、外部から受け取った入力を適切に処理しないまま、データベースへの命令に組み込んでしまうことで起きる、古くから知られた種類の弱点です。ウェブアプリケーションを中心に長年問題になってきましたが、管理画面や連携用の窓口を持つ業務用の製品でも、繰り返し見つかっています。入力の検証が十分でないと、ログイン前の段階でも影響が出ることがあります。
企業向けの製品は、データや設定を一か所に集めて保持していることが多く、侵害された場合の影響が大きくなりがちです。このため、認証が不要な種類の脆弱性は、評価が高くなり、対応の優先度も上がります。
よくある質問
Q.自社の環境が対象かどうか、まず何をすればよいですか。
Q.すでに攻撃されていますか。
Q.社内ネットワークだけで使っていれば安心ですか。
まだ分かっていないこと
- 対象製品の正式名称と、弱点の技術的な詳細は、本稿の時点で整理できていません。HPEの告知で確認する必要があります。
- 修正版の具体的な版番号と、回避策の有無は、公表内容を確認できていません。
- 実際の攻撃での悪用や、悪用される見込みを示す指標の状況は、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hewlett Packard Enterprise (HPE) | Unknown product |
8.12.0.0 〜 8.13.3.0 8.10.0.0 〜 8.10.0.23 |
— — |
| Hewlett Packard Enterprise (HPE) | ArubaOS (AOS) |
8.13.0.0 〜 8.13.3.0 8.10.0.0 〜 8.10.0.23 |
— — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
No description provided
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security-alert@hpe.com
- web nvd.nist.gov
- web github.com