WS_FTP Serverにコマンド実行の脆弱性、修正版あり
Windows上で動くWS_FTP Serverに、特定の構成で高い権限のコマンドを実行されるおそれのある脆弱性が見つかり、修正版が出ています。取引先とのファイル受け渡しなどで使っている組織は、まず版を確認してください。該当する場合は、修正版への更新を計画に入れ、公開範囲も見直すと安心です。
急ぎ度: 早めに
CVSS v3は9.0で認証なしに悪用できる評価ですが、悪用の難しさが高いとされ、KEVへの掲載も確認できず、修正版が出ているため、至急ではなく早めの更新が妥当です。
関係があるか
Windows上でWS_FTP Serverを運用している組織が対象です。取引先向けやインターネット向けにFTPサービスを公開している環境は、先に確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Progress WS_FTP Server（2024系） | 2024.0.7より前 | 2024.0.7 |
| Progress WS_FTP Server（2025系） | 2025.0.4より前 | 2025.0.4 |
確かめ方
- 1WS_FTP Serverが動いているWindowsサーバーを洗い出します。資産台帳に載っていない、取引先専用のサーバーも対象に入れてください。
- 2サーバー上で導入済みの版を確認し、2024系なら2024.0.7、2025系なら2025.0.4より前かどうかを照らし合わせます。
- 3外部（インターネットや取引先のネットワーク）から、そのサーバーに接続できるかをファイアウォールの設定で確認します。
何が起きたか
Progress SoftwareのWS_FTP Serverに、OSコマンドインジェクションの脆弱性が見つかりました。特定の構成では、サーバー上で任意のコマンドを高い権限で実行されるおそれがあります。ベンダーは修正版を公開しています。
ベンダーの告知の題は、FTPの通知に使う変数を経由したコマンドインジェクションとなっています。分類はCWE-78とCWE-88です。外部から渡された値が、コマンドの組み立てやその引数の処理に影響する種類の問題です。
外部に公開している環境では、計画停止の機会を待たずに更新する対象だと筆者は考えています。
攻撃の流れ
-
1
サーバーへ接続
ネットワーク越しにWS_FTP Serverへ到達します。
-
2
通知の変数に介入
通知に使われる変数の処理に、細工した値が入り込みます。
-
3
コマンドが実行
値がOSコマンドの一部として解釈され、実行されます。
-
4
高い権限で動作
サーバー上で、高い権限を持つ処理として動きます。
-
5
影響が広がる
データの読み出しや改ざん、停止、ほかの機器への足がかりにつながります。
どう悪用されるか
CVSSのベクターでは、ネットワーク経由で、認証もログインした利用者の操作も要らない評価です。一方で、悪用の難しさは高いとされています。ベンダーも「特定の構成で」と書いており、どんな設定でも通るわけではないようです。
悪用に成功すると、WS_FTP Serverが動くWindows上で、任意のコマンドを高い権限で実行される可能性があります。機密性・完全性・可用性への影響はいずれも高い評価で、影響範囲は脆弱なコンポーネントの外に及ぶとされています。取引先とやり取りするファイルの漏えいや改ざん、サービス停止に加え、同じネットワーク内の別の機器への侵入の足場にされることも想定しておくべきです。
今すぐやること
-
1
導入している版を確認する
WS_FTP Serverが動くサーバー上で版を確認します。2024.0.7または2025.0.4より前なら、更新の対象です。
Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*, HKLM:\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object DisplayName -like "*WS_FTP*" | Select-Object DisplayName, DisplayVersion -
2
修正版に更新する
使っている系列の修正版へ更新します。更新前に設定とデータのバックアップを取り、可能なら検証環境で動作を確かめてから本番へ適用してください。取引先との転送が止まる時間帯は、先に関係者へ伝えておきます。
-
3
公開範囲を見直す
インターネットや取引先のネットワークから、サーバーへ届く経路を確認します。接続元が決まっているなら、ファイアウォールで許可する送信元を絞ります。
-
4
更新前後の挙動を点検する
更新までの期間について、サーバー上で身に覚えのないプロセスの起動、新しいファイルやアカウントの作成、通知機能まわりの設定変更がないかをログで確認します。不審な点があれば、更新だけで済ませず、インシデントとして調査してください。
すぐ更新できないとき
修正版をすぐに適用できない場合は、ファイアウォールでFTPサービスに届く送信元を、取引先など必要な相手だけに絞ります。通知機能を使っていないなら、その設定を無効にできるか確認してください。脆弱性の条件が公表されていないため、これで防げる保証はなく、あくまで修正版を当てるまでのつなぎです。
背景
WS_FTP Serverは、取引先とのファイル受け渡しなどに使われるWindows向けのファイル転送サーバーです。外部から接続できる位置に置かれやすく、受け渡し中の業務データも集まります。侵入されたときの影響が大きくなりやすい製品です。
同じ製品では2023年にも重大な脆弱性が公表され、公表後に悪用が確認されたものがありました。今回は別の問題で、通知に使う変数の扱いが原因です。ただ、外部公開されたファイル転送サーバーが、公表後に狙われた例があることは踏まえておくべきでしょう。
よくある質問
Q.社内ネットワークからしか使っていないサーバーは、後回しにしてよいですか。
Q.2024系と2025系のどちらの修正版に更新すればよいですか。
まだ分かっていないこと
- 「特定の構成」が具体的にどの設定を指すのかは公表されていません。通知機能を使っていない環境が影響を受けないかも、現時点では判断できません。
- 実際の攻撃で悪用されたかどうか、検証用のコードが出回っているかは公表されていません。ベンダーの告知で最新の状況を確認してください。
- 2024系より前の版が影響を受けるか、ベンダー推奨の回避策があるかは公表されていません。これもベンダーの告知で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Progress Software | WS_FTP Server |
2024.0.7 未満 2025.0.4 未満 |
2024.0.7 2025.0.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An OS command injection vulnerability in Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow arbitrary command execution with elevated privileges under certain configurations.
出典: CVE.org (CVE Program・cvelistV5) NVD