Red Hat JBoss の情報漏えいの脆弱性（CVE-2010-1428）

何が起きた

Red Hat JBoss のアプリケーションサーバーにある Web Console（/web-console）という管理画面は、本来ログインしていない人を入れない設定です。しかし、その制限が GET と POST という種類の HTTP リクエストにしかかかっていない弱点が見つかりました。ネットワーク経由で、ログインなしに、別の種類のリクエストを使って大事な情報を得られます。実際に悪用されたことが確認されており、ランサムウェアの攻撃に使われたことも分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Red Hat JBoss Enterprise Application Platform（JBoss EAP）を使っている組織です。データでは、4.2 の 4.2.0.CP09 より前と、4.3 の 4.3.0.CP08 より前が影響を受けます。

何をすればいい

JBoss EAP 4.3 は 4.3.0.CP08 以降に、4.2 は 4.2.0.CP09 以降に更新されているか確認してください。Red Hat によると、修正版の Web Console は、ログインしていない人のアクセスをすべて止める設定になっています。公式の案内を確認してください。

やることチェックリスト

• JBoss EAP の版を調べる
• 4.3 は 4.3.0.CP08 以降に更新する
• 4.2 は 4.2.0.CP09 以降に更新する

用語メモ

HTTP リクエスト

ブラウザーなどが Web サーバーに送るお願いのことで、GET や POST などの種類があります。

Web Console

JBoss の状態を Web ブラウザーから見たり管理したりするための画面です。

ランサムウェア

ファイルを使えなくして、元に戻す代わりにお金を求める悪いプログラムです。