CVE-2017-11317とは？Telerik User Interface (UI) for ASP.NET AJAXの脆弱性をわかりやすく解説

ひとことでTelerik UI for ASP.NET AJAX で、任意のファイルを置かれる弱点です。
深刻度9.8 緊急CVSS v3.1
まずやること使っている Telerik.Web.UI の版を確かめる

基本情報（データから表示）

CVE番号	CVE-2017-11317
製品	Telerik User Interface (UI) for ASP.NET AJAX
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-04-11
米国政府機関の対応期限	2022-05-02
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-326（不十分な暗号の強さ）

何が起きた

Progress Telerik UI for ASP.NET AJAX の部品 RadAsyncUpload（ファイルを送る機能）で、データを守るための暗号化が弱いという弱点が見つかりました。悪用されると、任意の（攻撃者が好きに選べる）ファイルをアップロードされたり、任意のコードを実行されたりします。実際の攻撃での悪用が確認されています。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Telerik UI for ASP.NET AJAX を組み込んだ Web アプリを運用している組織が対象です。NVD では、R1 2017 より前と、R2 2017 SP2 より前の R2 が影響を受けるとされています。Telerik は、RadAsyncUpload を使っていないアプリでも対策が必要としています。

何をすればいい

Telerik は、別の弱点 CVE-2019-18935 も防ぐため、R1 2020（2020.1.114）以降への更新を強く勧めています。CVE-2017-11317 向けのパッチだけでは CVE-2019-18935 は防げないとされています。詳しくは Telerik の公式の案内を確認してください。

やることチェックリスト

使っている Telerik.Web.UI の版を確かめる
R1 2020（2020.1.114）以降に更新する
RadAsyncUpload を使っていないアプリも更新する

用語メモ

暗号化: データを決まった方法で変換し、鍵を知らない人には読めない形にすることです。
アップロード用語集で見る: 手元のファイルをサーバーへ送って保存することです。
パッチ用語集で見る: プログラムの不具合や弱点を直すための修正です。

次に読む

同じ製品・メーカーの脆弱性Telerik User Interface (UI) for ASP.NET AJAX（CVE-2017-11357）9.8 緊急CVSS v3.1Telerik UI for ASP.NET AJAX のアップロード部品で、任意のファイルを置かれる弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Telerik UI for ASP.NET AJAX Unrestricted File Upload Vulnerability

概要

Telerik.Web.UI in Progress Telerik UI for ASP.NET AJAX allows remote attackers to perform arbitrary file uploads or execute arbitrary code.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Telerik User Interface (UI) for ASP.NET AJAX の脆弱性（CVE-2017-11317）