Last Updated on 2024-06-27 17:51 by admin
2024年6月27日、Fortra FileCatalyst Workflowにおいて、データベースを改ざんする可能性のある重大なセキュリティ脆弱性が公開された。この脆弱性はCVE-2024-5276として追跡され、CVSSスコアは9.8である。影響を受けるのは、バージョン5.1.6 Build 135およびそれ以前のFileCatalyst Workflowである。バージョン5.1.6 build 139でこの問題は修正された。
Fortraは、SQLインジェクションの脆弱性により、攻撃者がアプリケーションデータを変更できると述べている。影響には、管理ユーザーの作成やアプリケーションデータベース内のデータの削除または変更が含まれる。この脆弱性の無認証での成功した悪用には、匿名アクセスが有効になっているWorkflowシステムが必要であるが、認証されたユーザーによっても悪用される可能性がある。
修正パッチを直ちに適用できないユーザーは、Apache Tomcatインストールディレクトリ内の”web.xml”ファイルで、脆弱なサーブレット（csv_servlet、pdf_servlet、xml_servlet、json_servlet）を無効にすることで、一時的な回避策とすることができる。
サイバーセキュリティ企業Tenableが2024年5月22日にこの欠陥を報告し、その後、脆弱性の証明コンセプト（PoC）エクスプロイトを公開した。攻撃者は、JOBIDパラメータを介して、様々なURLエンドポイントのワークフローウェブアプリケーションでSQLインジェクションを実行できる。
【ニュース解説】
2024年6月27日に、Fortra FileCatalyst Workflowというアプリケーションにおいて、データベースを不正に改ざんする可能性のある重大なセキュリティ脆弱性が発見されました。この脆弱性はCVE-2024-5276として識別され、非常に高いリスクを示すCVSSスコア9.8を受けています。影響を受けるのは、バージョン5.1.6 Build 135およびそれ以前のFileCatalyst Workflowであり、バージョン5.1.6 build 139で修正されています。
この脆弱性はSQLインジェクション（SQLi）と呼ばれ、攻撃者がアプリケーションのデータベースに対して不正な命令を実行できるものです。具体的には、管理ユーザーの不正作成やデータの削除・変更などが可能になります。この攻撃を成功させるには、匿名アクセスが許可されているシステムが対象となることが多いですが、認証済みのユーザーによる悪用も考えられます。
修正パッチの適用が遅れる場合、一時的な対策として特定のサーブレットを無効にすることが推奨されています。この問題は、サイバーセキュリティ企業Tenableによって報告され、証明コンセプト（PoC）エクスプロイトも公開されています。これにより、JOBIDパラメータを悪用してSQLインジェクションを実行する方法が示されています。
この脆弱性の発見と公開は、企業や組織にとって重要な警告となります。SQLインジェクションは長年にわたって知られている攻撃手法でありながら、依然として多くのシステムでリスクとなっています。このような脆弱性が存在することは、アプリケーションのセキュリティ対策の不備を示しており、定期的なセキュリティチェックと迅速なパッチ適用の重要性を強調しています。
また、この事例は、匿名アクセスを許可するシステムのリスクを浮き彫りにしています。認証メカニズムを適切に設定し、不要なアクセス権限を制限することは、セキュリティを確保する上で基本的ながら極めて重要な対策です。さらに、サイバーセキュリティの専門家や研究者による積極的な脆弱性の発見と報告は、より安全なデジタル環境を構節するために不可欠です。
長期的な視点では、このようなセキュリティ脆弱性の発見と修正は、ソフトウェア開発のプロセスにおけるセキュリティの組み込みを促進するきっかけとなります。セキュリティはアフターケアではなく、設計段階から考慮されるべき重要な要素です。この事件を教訓に、開発者や企業はセキュリティ対策の強化と、持続可能なセキュリティ文化の構築に向けて努力する必要があります。
from Critical SQLi Vulnerability Found in Fortra FileCatalyst Workflow Application.
