Telerik User Interface (UI) for ASP.NET AJAX の脆弱性（CVE-2017-11317）

何が起きた

Progress Telerik UI for ASP.NET AJAX の部品 RadAsyncUpload（ファイルを送る機能）で、データを守るための暗号化が弱いという弱点が見つかりました。悪用されると、任意の（攻撃者が好きに選べる）ファイルをアップロードされたり、任意のコードを実行されたりします。実際の攻撃での悪用が確認されています。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Telerik UI for ASP.NET AJAX を組み込んだ Web アプリを運用している組織が対象です。NVD では、R1 2017 より前と、R2 2017 SP2 より前の R2 が影響を受けるとされています。Telerik は、RadAsyncUpload を使っていないアプリでも対策が必要としています。

何をすればいい

Telerik は、別の弱点 CVE-2019-18935 も防ぐため、R1 2020（2020.1.114）以降への更新を強く勧めています。CVE-2017-11317 向けのパッチだけでは CVE-2019-18935 は防げないとされています。詳しくは Telerik の公式の案内を確認してください。

やることチェックリスト

• 使っている Telerik.Web.UI の版を確かめる
• R1 2020（2020.1.114）以降に更新する
• RadAsyncUpload を使っていないアプリも更新する

用語メモ

暗号化

データを決まった方法で変換し、鍵を知らない人には読めない形にすることです。

アップロード

手元のファイルをサーバーへ送って保存することです。

パッチ

プログラムの不具合や弱点を直すための修正です。