Progress ASP.NET AJAX and Sitefinity の脆弱性（CVE-2017-9248）

何が起きた

Progress Telerik UI for ASP.NET AJAX と Sitefinity で使われる Telerik.Web.UI.dll に、暗号による守りが弱い問題が見つかりました。悪用されると、暗号の鍵（Telerik.Web.UI.DialogParametersEncryptionKey や MachineKey）が漏れ、クロスサイトスクリプティング（XSS）、ASP.NET の ViewState の改ざん、攻撃者が選んだファイルのアップロードやダウンロードにつながるおそれがあります。実際の悪用が確認されています。NVD の評価では、攻撃はネットワーク経由で行われ、攻撃者に権限は不要で、被害者の操作も不要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Telerik UI for ASP.NET AJAX を組み込んだ Webアプリや、Sitefinity を使っている組織が対象です。NVD の説明では、Telerik UI for ASP.NET AJAX の R2 2017 SP1 より前と、Sitefinity の 10.0.6412.0 より前が影響を受けます。

何をすればいい

Progress の公式の案内を確認してください。Telerik の案内では、当初の対策は R2 2017 SP1（2017.2.621）以降への更新や修正パッチの適用と、web.config の Telerik.Web.UI.DialogParametersEncryptionKey と MachineKey を新しい固有の値に作り直すことでした。その後、別の弱点 CVE-2019-18935 も防ぐため、R1 2020（2020.1.114）以降への更新を強く勧めています。Sitefinity を使っている場合は、10.0.6412.0 以降に更新されているか確かめてください。

やることチェックリスト

• R1 2020（2020.1.114）以降に更新する
• web.config の鍵を新しい値に作り直す
• Sitefinity を 10.0.6412.0 以降に更新する

用語メモ

MachineKey

ASP.NET が、データの暗号化や改ざんの検出に使う秘密の鍵です。

クロスサイトスクリプティング

Webページに悪意のあるスクリプトを紛れ込ませ、閲覧した人のブラウザで動かす攻撃です。

ViewState

ASP.NET のページが、画面の状態を保つためにやり取りするデータです。

web.config

ASP.NET の Webアプリの設定を書いておくファイルです。