Red Hat JBoss RichFaces Framework の脆弱性（CVE-2018-14667）

何が起きた

Java のウェブアプリを作るための部品 RichFaces に、式言語インジェクションという弱点が見つかりました。UserResource という機能に細工したデータ（Java のシリアライズされたオブジェクトのつながり）を送ることで、攻撃者が任意の（好きに選んだ）コードを実行できる可能性があります。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに狙えます。CISA はこの弱点の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

RichFaces Framework 3.X から 3.3.4 までを使っているウェブアプリが対象です。Red Hat は、RichFaces を含む JBoss Enterprise Application Platform 5.2.0、JBoss SOA Platform 5.3.1、JBoss BRMS 5.3.1 向けに修正の更新を出しています。

何をすればいい

Red Hat の製品を使っている場合は、RHSA-2018:3517、RHSA-2018:3518、RHSA-2018:3519、RHSA-2018:3581 の更新が当たっているか確認してください。自分で RichFaces 3.X を組み込んだアプリを運用している場合は、Red Hat などの公式の案内を確認し、対策ができない場合は使用をやめることも検討してください。

やることチェックリスト

• RichFaces 3.X を使うアプリがあるか調べる
• Red Hat の RHSA-2018:3519 などの更新を適用する
• 対策できないアプリは使用をやめる

用語メモ

RichFaces

Java でウェブ画面を作るときに使う部品（フレームワーク）です。JBoss の製品にも含まれていました。

式言語インジェクション

プログラムの中で評価される式（命令のようなもの）に、攻撃者が細工した内容を混ぜ込み、意図しない処理をさせる攻撃です。

シリアライズ

プログラムの中のデータを、送ったり保存したりできる形に変換することです。細工したデータを読み込ませる攻撃に使われることがあります。