CVE-2017-11357とは？Telerik User Interface (UI) for ASP.NET AJAXの脆弱性をわかりやすく解説

ひとことでTelerik UI for ASP.NET AJAX のアップロード部品で、任意のファイルを置かれる弱点
深刻度9.8 緊急CVSS v3.1
まずやること使っている Telerik UI の版を調べる

基本情報（データから表示）

CVE番号	CVE-2017-11357
製品	Telerik User Interface (UI) for ASP.NET AJAX
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-01-26
米国政府機関の対応期限	2023-02-16
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-20（入力の確認の不備）

何が起きた

Web アプリを作るための部品集 Telerik UI for ASP.NET AJAX のアップロード部品 RadAsyncUpload に、利用者からの入力をそのまま使ってしまう弱点が見つかりました。悪用されると、限られた場所に任意のファイルをアップロードされたり、遠くから任意のコードを実行されたりするおそれがあります。ログイン不要で、ネットワーク経由で離れた場所から悪用できます。実際に悪用が確認されており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Telerik UI for ASP.NET AJAX を組み込んだ Web アプリを動かしている組織が対象です。R2 2017 SP2 より前の版が影響を受けます。

何をすればいい

Telerik UI for ASP.NET AJAX を R2 2017 SP2（2017.2.711）以降に更新してください。ただし Telerik は、別の弱点 CVE-2019-18935 はこの修正では防げないため、R1 2020（2020.1.114）以降への更新を強く勧めています。公式の案内（Telerik のサポート記事）を確認して更新してください。

やることチェックリスト

使っている Telerik UI の版を調べる
R1 2020（2020.1.114）以降に更新する
少なくとも R2 2017 SP2 以降に更新する

用語メモ

ASP.NET: Microsoft が作った、Web アプリを作るための仕組みのことです。
アップロード用語集で見る: 手元のファイルを Web サイトやサーバーに送って置くことです。
ランサムウェア用語集で見る: データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪質なプログラムのことです。

次に読む

同じ製品・メーカーの脆弱性Telerik User Interface (UI) for ASP.NET AJAX（CVE-2017-11317）9.8 緊急CVSS v3.1Telerik UI for ASP.NET AJAX で、任意のファイルを置かれる弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Telerik UI for ASP.NET AJAX Insecure Direct Object Reference Vulnerability

概要

Telerik UI for ASP.NET AJAX contains an insecure direct object reference vulnerability in RadAsyncUpload that can result in file uploads in a limited location and/or remote code execution.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Telerik User Interface (UI) for ASP.NET AJAX の脆弱性（CVE-2017-11357）