Kentico Xperience の安全でないデシリアライズの脆弱性（CVE-2019-10068）

何が起きた

Kentico Xperience のステージングサービス（別のサーバーへ内容を送って同期する機能）で、セキュリティ用のヘッダーを正しく確かめない弱点が見つかりました。細工したリクエストで最初の認証をすり抜け、攻撃者が用意したデータを .NET のオブジェクトとして復元（デシリアライズ）させることができ、サーバー上でプログラムを実行されるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Kentico（Kentico Xperience）でWebサイトを運営している組織が対象です。影響を受けるのは、12.0.x の 12.0.15 より前、11.0.x の 11.0.48 より前、10.0.x の 10.0.52 より前、そして 9.x の各バージョンです。メーカーの情報でも、影響は 9.0 からとされています。

何をすればいい

12.0.x は 12.0.15 以降、11.0.x は 11.0.48 以降、10.0.x は 10.0.52 以降のホットフィックスが入っているか確認してください。メーカーは最新のホットフィックスを入れること、古いバージョンなら最新版への移行を強くすすめています。すぐ更新できない場合の回避策として、メーカーは設定の Staging で「Staging service authentication」を X.509 にする方法を示しています。あわせて、公式の案内を確認してください。

やることチェックリスト

• 最新のホットフィックスを入れる
• 12.0.xは12.0.15以降にそろえる
• 認証方式をX.509に切り替える

用語メモ

ステージングサービス

作業用のサーバーで作った内容を、公開用のサーバーへ送って同じ状態にそろえる機能です。

デシリアライズ

保存や送信のために変換したデータを、プログラムの中で使える形に戻す処理です。信用できないデータを戻すと危険な場合があります。

ホットフィックス

不具合や弱点を直すために、メーカーが出す修正プログラムです。