• ひとことでTelerik UI for ASP.NET AJAX のアップロード部品の弱点で、サーバー上でコードを実行される問題です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることTelerik.Web.UI.dll の版を確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2019-18935
製品Progress Telerik UI for ASP.NET AJAX
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-502（信頼できないデータのデシリアライズ）

何が起きた

Progress の Telerik UI for ASP.NET AJAX にある、ファイルをアップロードする部品 RadAsyncUpload に、信頼できないデータのデシリアライズの弱点が見つかりました。悪用されると、サーバーの w3wp.exe というプロセスの権限で悪意のあるコードを実行されます。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が、被害者の操作なしに悪用できます。CISA は実際の悪用を確認しており、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が暗号化のかぎを破るか手に入れる → 2. RadAsyncUpload に細工した要求を送る → 3. サーバーがデータをデシリアライズする → 4. w3wp.exe の権限でコードが実行される1攻撃者が暗号化のかぎを破るか手に入れる2RadAsyncUpload に細工した要求を送る3サーバーがデータをデシリアライズする4w3wp.exe の権限でコードが実行される攻撃の流れ: 1. 攻撃者が暗号化のかぎを破るか手に入れる → 2. RadAsyncUpload に細工した要求を送る → 3. サーバーがデータをデシリアライズする → 4. w3wp.exe の権限でコードが実行される1攻撃者が暗号化のかぎを破るか手に入れる2RadAsyncUpload に細工した要求を送る3サーバーがデータをデシリアライズする4w3wp.exe の権限でコードが実行される攻撃の流れ: 1. 攻撃者が暗号化のかぎを破るか手に入れる → 2. RadAsyncUpload に細工した要求を送る → 3. サーバーがデータをデシリアライズする → 4. w3wp.exe の権限でコードが実行される1攻撃者が暗号化のかぎを破るか手に入れる2RadAsyncUpload に細工した要求を送る3サーバーがデータをデシリアライズする4w3wp.exe の権限でコードが実行される

誰が影響を受ける

NVD の説明によると、Telerik UI for ASP.NET AJAX の 2019.3.1023 以前が影響を受けます。Progress によると、攻撃には、攻撃者が RadAsyncUpload の暗号を破るか暗号化のかぎを知っていること、そして RadAsyncUpload の型を許可リストで制限する機能（AllowedCustomMetaDataTypes）が有効でないことが必要です。2019.3.1023 ではこの機能は自分で有効にする必要があり、2020.1.114 以降は初期設定で有効です。

何をすればいい

Progress は、R1 2020（2020.1.114）以降に更新し、推奨されるセキュリティ設定を適用するよう案内しています。Progress の表では、2011.1.315 から 2019.3.917 までの版は、R3 2019 SP1（2019.3.1023）以降に更新して推奨設定を適用するよう求めています。使っている Telerik.Web.UI.dll の版を確かめてください。あわせて、公式の案内を確認してください。

やることチェックリスト

  • Telerik.Web.UI.dll の版を確かめる
  • 2020.1.114 以降に更新する
  • 推奨されるセキュリティ設定を適用する

用語メモ

デシリアライズ 用語集で見る
保存や送信のために変換したデータを、プログラムで使える形に戻す処理です。信頼できないデータを戻すと、悪用されることがあります。
w3wp.exe
Windows の Web サーバー IIS で、Web アプリを動かすプロセスです。
ランサムウェア 用語集で見る
データを暗号化して使えなくし、元に戻す代わりにお金を要求する不正なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Progress LoadMaster（CVE-2026-8037）9.8 緊急CVSS v3.1Progress LoadMasterで、ログインせずにOSのコマンドを実行される弱点です。同じ製品・メーカーの脆弱性Progress WhatsUp Gold（CVE-2024-4885）9.8 緊急CVSS v3.1Progress WhatsUp Gold で、ログインなしに外からプログラムを動かされる弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Progress Telerik UI for ASP.NET AJAX Deserialization of Untrusted Data Vulnerability

概要

Progress Telerik UI for ASP.NET AJAX contains a deserialization of untrusted data vulnerability through RadAsyncUpload which leads to code execution on the server in the context of the w3wp.exe process.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る