Sitecore CMS and Experience Platform (XP) の安全でないデシリアライズの脆弱性（CVE-2019-9874）

何が起きた

Sitecore CMS と Sitecore XP の Sitecore.Security.AntiCSRF というモジュールに、外から届いたデータを確かめずに元のプログラムの形に戻してしまう（デシリアライズする）弱点がありました。攻撃者が __CSRFTOKEN という項目に細工した .NET のデータを入れて送ると、任意の（攻撃者が好きに選べる）コードを実行される可能性があります。NVD の評価では、ログイン不要の攻撃者が離れた場所からネットワーク経由で悪用できます。CISA の KEV に載っており、Sitecore も2020年3月の更新で、実際に悪用されていると案内しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Sitecore CMS 7.0 から 7.2 と、Sitecore XP 7.5 から 8.2 を使っているサイトが対象です。Sitecore のセキュリティ情報では、Sitecore CMS 6.6.3 から Sitecore XP 8.2.7 までが影響を受け、Sitecore XP 9.0.0 以降は影響を受けないとしています。

何をすればいい

Sitecore のセキュリティ情報（SC2019-002-312864）に従い、使っている版に合った修正プログラム（SC Hotfix 313001-1）を当ててください。当てた後は、bin フォルダにある Sitecore.Security.AntiCsrf.dll のハッシュ値が、Sitecore の示す値と同じか確かめます。すぐに当てられない場合は、一時的な回避策として、sitecore の shell フォルダへのアクセスを IIS の設定で拒否するか、信頼できる IP アドレスからだけに絞ります。あわせて、Sitecore の公式の案内を確認してください。

やることチェックリスト

• 版に合った SC Hotfix 313001-1 を当てる
• Sitecore.Security.AntiCsrf.dll のハッシュ値を照合する
• 当てるまで shell フォルダへのアクセスを拒否する

用語メモ

デシリアライズ

保存や送信のために変換したデータを、元のプログラムの形に戻す処理です。信頼できないデータを戻すと、危険な動きをさせられることがあります。

KEV

米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。

IIS

Microsoft の Windows で動くウェブサーバーの仕組みです。