• ひとことでDotNetNuke (DNN) で、入力値を守る暗号化が弱く破られるおそれがある弱点です。
  • 深刻度7.5 重要CVSS v3.1
  • まずやることDNN の版が 9.2 から 9.2.2 でないか確認する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2018-18325
製品DotNetNuke (DNN) DotNetNuke (DNN)
深刻度（CVSS）7.5 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-326（不十分な暗号の強さ）

何が起きた

DotNetNuke (DNN) が、入力値（パラメーター）を守るために弱い暗号化の方法を使っている弱点が見つかりました。CISA によると、これは以前の CVE-2018-15811 の修正が不完全だったために残った問題です。NVD の評価では、ネットワーク経由で、ログインなしに、被害者の操作も不要で悪用できます。この弱点は、実際の攻撃での悪用が確認されています。

誰が影響を受ける

NVD の説明によると、DNN の 9.2 から 9.2.2 が対象です。

何をすればいい

修正されたバージョンの番号は、このデータからは不明です。CISA は、開発元の案内に従って更新するよう求めています。DNN の公式の案内を確認し、9.2 から 9.2.2 を使っている場合は、案内に従って新しい版へ更新してください。

やることチェックリスト

  • DNN の版が 9.2 から 9.2.2 でないか確認する
  • 開発元の案内に従い新しい版へ更新する
  • CVE-2018-15811 の対策も合わせて確認する

用語メモ

暗号化
データを、鍵を持つ人以外には読めない形に変えることです。方法が弱いと、第三者に中身を読まれたり作り変えられたりします。
パラメーター 用語集で見る
URL などに付けてサーバーに渡す設定値や入力値のことです。

次に読む

同じ製品・メーカーの脆弱性DotNetNuke (DNN)（CVE-2018-15811）7.5 重要CVSS v3.1DotNetNuke (DNN) で、入力値を守る暗号化が弱く破られるおそれがある弱点です。同じ製品・メーカーの脆弱性DotNetNuke (DNN)（CVE-2017-9822）8.8 重要CVSS v3.1DotNetNuke (DNN) で、細工した Cookie により攻撃者のコードが動く弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

DotNetNuke (DNN) Inadequate Encryption Strength Vulnerability

概要

DotNetNuke (DNN) contains an inadequate encryption strength vulnerability resulting from the use of a weak encryption algorithm to protect input parameters. This CVE ID resolves an incomplete patch for CVE-2018-15811.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る