• ひとことでTelerik UI for ASP.NET AJAX で、暗号の鍵が漏れてファイル操作などを許す弱点
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることR1 2020（2020.1.114）以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2017-9248
製品Progress ASP.NET AJAX and Sitefinity
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-522（認証情報の保護が不十分）

何が起きた

Progress Telerik UI for ASP.NET AJAX と Sitefinity で使われる Telerik.Web.UI.dll に、暗号による守りが弱い問題が見つかりました。悪用されると、暗号の鍵（Telerik.Web.UI.DialogParametersEncryptionKey や MachineKey）が漏れ、クロスサイトスクリプティング（XSS）、ASP.NET の ViewState の改ざん、攻撃者が選んだファイルのアップロードやダウンロードにつながるおそれがあります。実際の悪用が確認されています。NVD の評価では、攻撃はネットワーク経由で行われ、攻撃者に権限は不要で、被害者の操作も不要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が Telerik の処理に要求を送る → 2. 暗号の弱さを突いて鍵を割り出す → 3. 鍵を使いファイル操作などを行う1攻撃者が Telerik の処理に要求を送る2暗号の弱さを突いて鍵を割り出す3鍵を使いファイル操作などを行う攻撃の流れ: 1. 攻撃者が Telerik の処理に要求を送る → 2. 暗号の弱さを突いて鍵を割り出す → 3. 鍵を使いファイル操作などを行う1攻撃者が Telerik の処理に要求を送る2暗号の弱さを突いて鍵を割り出す3鍵を使いファイル操作などを行う攻撃の流れ: 1. 攻撃者が Telerik の処理に要求を送る → 2. 暗号の弱さを突いて鍵を割り出す → 3. 鍵を使いファイル操作などを行う1攻撃者が Telerik の処理に要求を送る2暗号の弱さを突いて鍵を割り出す3鍵を使いファイル操作などを行う

誰が影響を受ける

Telerik UI for ASP.NET AJAX を組み込んだ Webアプリや、Sitefinity を使っている組織が対象です。NVD の説明では、Telerik UI for ASP.NET AJAX の R2 2017 SP1 より前と、Sitefinity の 10.0.6412.0 より前が影響を受けます。

何をすればいい

Progress の公式の案内を確認してください。Telerik の案内では、当初の対策は R2 2017 SP1（2017.2.621）以降への更新や修正パッチの適用と、web.config の Telerik.Web.UI.DialogParametersEncryptionKey と MachineKey を新しい固有の値に作り直すことでした。その後、別の弱点 CVE-2019-18935 も防ぐため、R1 2020（2020.1.114）以降への更新を強く勧めています。Sitefinity を使っている場合は、10.0.6412.0 以降に更新されているか確かめてください。

やることチェックリスト

  • R1 2020（2020.1.114）以降に更新する
  • web.config の鍵を新しい値に作り直す
  • Sitefinity を 10.0.6412.0 以降に更新する

用語メモ

MachineKey
ASP.NET が、データの暗号化や改ざんの検出に使う秘密の鍵です。
クロスサイトスクリプティング 用語集で見る
Webページに悪意のあるスクリプトを紛れ込ませ、閲覧した人のブラウザで動かす攻撃です。
ViewState
ASP.NET のページが、画面の状態を保つためにやり取りするデータです。
web.config
ASP.NET の Webアプリの設定を書いておくファイルです。

次に読む

同じ製品・メーカーの脆弱性Progress LoadMaster（CVE-2026-8037）9.8 緊急CVSS v3.1Progress LoadMasterで、ログインせずにOSのコマンドを実行される弱点です。同じ製品・メーカーの脆弱性Progress WhatsUp Gold（CVE-2024-4885）9.8 緊急CVSS v3.1Progress WhatsUp Gold で、ログインなしに外からプログラムを動かされる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Progress Telerik UI for ASP.NET AJAX and Sitefinity Cryptographic Weakness Vulnerability

概要

Progress Telerik UI for ASP.NET AJAX and Sitefinity have a cryptographic weakness in Telerik.Web.UI.dll that can be exploited to disclose encryption keys (Telerik.Web.UI.DialogParametersEncryptionKey and/or the MachineKey), perform cross-site-scripting (XSS) attacks, compromise the ASP.NET ViewState, and/or upload and download files.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る