Red Hat JBoss の認証回避の脆弱性（CVE-2010-0738）

何が起きた

Red Hat JBoss のアプリケーションサーバーにある JMX Console という管理画面で、ログインの確認が GET と POST という種類の HTTP リクエストにしかかかっていない弱点が見つかりました。ネットワーク経由で、ログインなしに、別の種類のリクエストを送ると、管理画面の処理を動かせます。実際に悪用されたことが確認されており、ランサムウェアの攻撃に使われたことも分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Red Hat JBoss Enterprise Application Platform（JBoss EAP）を使っている組織です。データでは、4.2 の 4.2.0.CP09 より前と、4.3 の 4.3.0.CP08 より前が影響を受けます。

何をすればいい

JBoss EAP 4.3 は 4.3.0.CP08 以降に、4.2 は 4.2.0.CP09 以降に更新されているか確認してください。Red Hat によると、修正版ではすべてのリクエストにログインの確認がかかります。すぐに更新できない場合や設定を変えている場合は、JBoss EAP のリリースノートの手順で手作業で直すこともできます。公式の案内を確認してください。

やることチェックリスト

• 4.3 は 4.3.0.CP08 以降に更新する
• 4.2 は 4.2.0.CP09 以降に更新する
• 更新できなければリリースノートの手順で直す

用語メモ

JMX Console

JBoss の中の部品を Web ブラウザーから管理するための画面です。

HTTP リクエスト

ブラウザーなどが Web サーバーに送るお願いのことで、GET や POST などの種類があります。

リリースノート

ソフトの新しい版で何が変わったかをまとめた文書です。