- ひとことでQuest KACEの管理用機器で、誰でも命令を実行できてしまう弱点です。
- 深刻度9.8 緊急CVSS v3.1
- まずやることKACEのバージョンを調べる
基本情報（データから表示）
| CVE番号 | CVE-2018-11138 |
|---|---|
| 製品 | Quest KACE System Management Appliance |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-03-25 |
| 米国政府機関の対応期限 | 2022-04-15 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-78（OSコマンドインジェクション） |
何が起きた
Quest KACE System Management Appliance（パソコンなどをまとめて管理する機器）で、'/common/download_agent_installer.php' という部分に、ログインしていない利用者でもアクセスできる弱点が見つかりました。これを悪用すると、機器の上で任意の（好きに選べる）命令を実行できます。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。CISA によると、実際の悪用が確認されており、ランサムウェア攻撃での悪用も知られています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Quest KACE System Management Appliance を使っている組織が対象です。NVD のデータでは 8.0.318 が影響を受けるとされています。修正されたバージョンは、このデータからは不明です。
何をすればいい
Quest の公式の案内を確認し、修正済みのバージョンに更新されているか確認してください。修正版の番号は、このデータからは分かりません。CISA はメーカーの案内に従って更新することを求めています。
やることチェックリスト
- KACEのバージョンを調べる
- Questの案内で修正の有無を確かめる
- メーカーの更新を適用する
用語メモ
- ランサムウェア 用語集で見る
- データを使えない状態にして、元に戻すことと引き換えにお金を要求する悪いプログラムです。
- ログインしていない攻撃者
- IDやパスワードで本人確認を済ませていない、外部の攻撃者のことです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Quest KACE System Management Appliance Remote Command Execution Vulnerability
概要
The '/common/download_agent_installer.php' script in the Quest KACE System Management Appliance is accessible by anonymous users and can be abused to perform remote code execution.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る