Embedthis GoAhead のリモートコード実行の脆弱性（CVE-2017-17562）

何が起きた

機器に組み込まれることの多いウェブサーバー Embedthis GoAhead に、CGI の機能を使っているとき、外部からサーバー上で命令を実行される弱点が見つかりました。NVD の説明によると、CGI のプログラムを動かす際に、信頼できないリクエストの値で環境変数を設定してしまうことが原因です。CISA によると、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、3.6.5 より前の Embedthis GoAhead で、CGI が有効になっていて、CGI のプログラムが動的リンクされている場合に影響を受けます。GoAhead はさまざまな機器に組み込まれているため、自分の機器に使われているかはメーカーの情報で確かめる必要があります。

何をすればいい

NVD の説明にもとづき、GoAhead を 3.6.5 以降に更新されているか確認してください。GoAhead を組み込んだ機器を使っている場合は、その機器のメーカーの公式の案内を確認し、更新を当ててください。

やることチェックリスト

• GoAhead を 3.6.5 以降に更新する
• GoAhead を組み込んだ機器を洗い出す
• 機器メーカーが出した更新を当てる

用語メモ

CGI

ウェブサーバーが、リクエストに応じて別のプログラムを動かし、その結果を返す仕組みです。

動的リンク

プログラムが動き出すときに、必要な部品（ライブラリ）を外から読み込む方式です。

環境変数 用語集で見る

プログラムに渡される設定の値で、動き方に影響します。