最近の脆弱性 › CVE-2018-14667

Red Hat JBoss RichFaces Framework のコードインジェクションの脆弱性（CVE-2018-14667）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2018-14667
製品	Red Hat JBoss RichFaces Framework
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-09-28
米国政府機関の対応期限	2023-10-19
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-94

何が起きた

Java のウェブアプリを作るための部品 RichFaces に、式言語インジェクションという弱点が見つかりました。UserResource という機能に細工したデータ（Java のシリアライズされたオブジェクトのつながり）を送ることで、攻撃者が任意の（好きに選んだ）コードを実行できる可能性があります。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに狙えます。CISA はこの弱点の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

RichFaces Framework 3.X から 3.3.4 までを使っているウェブアプリが対象です。Red Hat は、RichFaces を含む JBoss Enterprise Application Platform 5.2.0、JBoss SOA Platform 5.3.1、JBoss BRMS 5.3.1 向けに修正の更新を出しています。

何をすればいい

Red Hat の製品を使っている場合は、RHSA-2018:3517、RHSA-2018:3518、RHSA-2018:3519、RHSA-2018:3581 の更新が当たっているか確認してください。自分で RichFaces 3.X を組み込んだアプリを運用している場合は、Red Hat などの公式の案内を確認し、対策ができない場合は使用をやめることも検討してください。

やることチェックリスト

RichFaces 3.X を使うアプリがあるか調べる
Red Hat の RHSA-2018:3519 などの更新を適用する
対策できないアプリは使用をやめる

用語メモ

RichFaces: Java でウェブ画面を作るときに使う部品（フレームワーク）です。JBoss の製品にも含まれていました。
式言語インジェクション: プログラムの中で評価される式（命令のようなもの）に、攻撃者が細工した内容を混ぜ込み、意図しない処理をさせる攻撃です。
シリアライズ: プログラムの中のデータを、送ったり保存したりできる形に変換することです。細工したデータを読み込ませる攻撃に使われることがあります。

元データ（英語・CISA KEV より）

Red Hat JBoss RichFaces Framework Expression Language Injection Vulnerability

概要

Red Hat JBoss RichFaces Framework contains an expression language injection vulnerability via the UserResource resource. A remote, unauthenticated attacker could exploit this vulnerability to execute malicious code using a chain of Java serialized objects via org.ajax4jsf.resource.UserResource$UriData.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.