最近の脆弱性 › CVE-2018-15811
DotNetNuke (DNN) の脆弱性（CVE-2018-15811）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2018-15811 |
|---|---|
| 製品 | DotNetNuke (DNN) DotNetNuke (DNN) |
| 深刻度（CVSS） | 7.5 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| KEVへの追加日 | 2021-11-03 |
| 米国政府機関の対応期限 | 2022-05-03 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-326 |
何が起きた
DotNetNuke (DNN) が、入力値（パラメーター）を守るために弱い暗号化の方法を使っている弱点が見つかりました。NVD の評価では、ネットワーク経由で、ログインなしに、被害者の操作も不要で悪用できます。この弱点は、実際の攻撃での悪用が確認されています。
誰が影響を受ける
NVD の説明によると、DNN の 9.2 から 9.2.1 が対象です。ただし CVE の記録によると、この弱点の修正は不完全で、9.2 から 9.2.2 にも同じ問題が残っています（CVE-2018-18325）。
何をすればいい
修正されたバージョンの番号は、このデータからは不明です。CISA は、開発元の案内に従って更新するよう求めています。DNN の公式の案内を確認し、9.2 から 9.2.2 を使っている場合は、案内に従って新しい版へ更新してください。
やることチェックリスト
- DNN の版が 9.2 から 9.2.2 でないか確認する
- 開発元の案内に従い新しい版へ更新する
- CVE-2018-18325 の対策も合わせて確認する
用語メモ
- 暗号化
- データを、鍵を持つ人以外には読めない形に変えることです。方法が弱いと、第三者に中身を読まれたり作り変えられたりします。
- パラメーター
- URL などに付けてサーバーに渡す設定値や入力値のことです。
元データ（英語・CISA KEV より）
DotNetNuke (DNN) Inadequate Encryption Strength Vulnerability
概要
DotNetNuke (DNN) contains an inadequate encryption strength vulnerability resulting from the use of a weak encryption algorithm to protect input parameters.
推奨対応
Apply updates per vendor instructions.