CVE-2015-4068とは？Arcserve Unified Data Protection (UDP)の脆弱性をわかりやすく解説

ひとことでArcserve UDP で、外から内部のファイルを読まれたり止められたりする弱点です。
深刻度9.1 緊急CVSS v3.1
まずやることArcserve UDP を 5.0 Update 4 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2015-4068
製品	Arcserve Unified Data Protection (UDP)
深刻度（CVSS）	9.1 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H`
KEVへの追加日	2022-03-25
米国政府機関の対応期限	2022-04-15
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-22（パストラバーサル）

何が起きた

バックアップ製品の Arcserve UDP に、ディレクトリトラバーサル（ファイルの場所の指定を細工して、本来見せない場所に手を伸ばす攻撃）の弱点が見つかりました。reportFileServlet と exportServlet という2つのサーブレットに細工したファイルの場所を送ると、秘密の情報を読まれたり、サービス妨害（サービスを止められること）を起こされたりするおそれがあります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Arcserve UDP の 5.0 Update 4 より前を使っている組織が対象です。

何をすればいい

Arcserve UDP の 5.0 Update 4 のリリースノートには、CVE-2015-4068 を修正したと書かれています。5.0 Update 4 以降に更新されているか確認します。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

Arcserve UDP を 5.0 Update 4 以降に更新する
更新後に Arcserve UDP の版を確かめる
古い版の Arcserve UDP が残る機器を洗い出す

用語メモ

ディレクトリトラバーサル用語集で見る: ファイルの場所の指定に .. などを入れて、本来見せない場所のファイルを読み出す攻撃です。
サービス妨害用語集で見る: システムを止めたり重くしたりして、正しく使えなくする攻撃です。
サーブレット: ウェブサーバーの上で動き、届いた要求に応じて処理をする Java の小さなプログラムです。

次に読む

基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Arcserve Unified Data Protection (UDP) Directory Traversal Vulnerability

概要

Directory traversal vulnerability in Arcserve UDP allows remote attackers to obtain sensitive information or cause a denial of service.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Arcserve Unified Data Protection (UDP) のパストラバーサルの脆弱性（CVE-2015-4068）