Progress Telerik UI for ASP.NET AJAX の安全でないデシリアライズの脆弱性（CVE-2019-18935）

何が起きた

Progress の Telerik UI for ASP.NET AJAX にある、ファイルをアップロードする部品 RadAsyncUpload に、信頼できないデータのデシリアライズの弱点が見つかりました。悪用されると、サーバーの w3wp.exe というプロセスの権限で悪意のあるコードを実行されます。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が、被害者の操作なしに悪用できます。CISA は実際の悪用を確認しており、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、Telerik UI for ASP.NET AJAX の 2019.3.1023 以前が影響を受けます。Progress によると、攻撃には、攻撃者が RadAsyncUpload の暗号を破るか暗号化のかぎを知っていること、そして RadAsyncUpload の型を許可リストで制限する機能（AllowedCustomMetaDataTypes）が有効でないことが必要です。2019.3.1023 ではこの機能は自分で有効にする必要があり、2020.1.114 以降は初期設定で有効です。

何をすればいい

Progress は、R1 2020（2020.1.114）以降に更新し、推奨されるセキュリティ設定を適用するよう案内しています。Progress の表では、2011.1.315 から 2019.3.917 までの版は、R3 2019 SP1（2019.3.1023）以降に更新して推奨設定を適用するよう求めています。使っている Telerik.Web.UI.dll の版を確かめてください。あわせて、公式の案内を確認してください。

やることチェックリスト

• Telerik.Web.UI.dll の版を確かめる
• 2020.1.114 以降に更新する
• 推奨されるセキュリティ設定を適用する

用語メモ

デシリアライズ

保存や送信のために変換したデータを、プログラムで使える形に戻す処理です。信頼できないデータを戻すと、悪用されることがあります。

w3wp.exe

Windows の Web サーバー IIS で、Web アプリを動かすプロセスです。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりにお金を要求する不正なプログラムです。