Sitecore CMS and Experience Platform (XP) の安全でないデシリアライズの脆弱性（CVE-2019-9875）

何が起きた

ウェブサイトを作る製品 Sitecore CMS と Experience Platform (XP) で、不正な操作を防ぐための部品（anti CSRF モジュール）が、送られてきたデータを確かめずに元のプログラムの形に戻してしまう弱点が見つかりました。ログイン済みの攻撃者が、細工した .NET のデータを __CSRFTOKEN という項目に入れて送ると、任意のコードを実行できるおそれがあります。この弱点は実際の攻撃に使われたことが確認されています。ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Sitecore XP を使っている組織です。Sitecore のセキュリティ情報（SC2020-002-293863）では、影響を受けるのは Sitecore XP 9.0 Initial Release、9.0 Update-1、9.0 Update-2、9.1 Initial Release で、9.1 Update-1 以降は影響を受けないとされています。NVD の説明では「9.1 まで」とされています。Sitecore XP 8.2 以前はこの弱点の影響は受けませんが、関連する別の重大な弱点（SC2019-002-312864）の影響を受けるとされています。

何をすればいい

Sitecore は、影響を受けるすべての版に修正プログラム（SC Hotfix 313001-2 Security.AntiCsrf 1.1.1）を出しています。手順に従って Sitecore.Xaml.AntiCsrf.config を App_Config の Include の zzz フォルダーに置き、修正プログラムを Package Installation Wizard で入れてください。すぐに当てられない場合の一時的な対策として、IIS で sitecore の shell フォルダーへのアクセスをすべての利用者について拒否する方法が案内されています（この間はコンテンツの編集ができなくなります）。編集を止められない場合は、信頼できる IP アドレスからだけ shell フォルダーに入れるように制限する方法もあります。Sitecore XP 8.2 以前を使っている場合は、SC2019-002-312864 の修正を当ててください。

やることチェックリスト

• 9.0〜9.1 Initial Release か確認する
• 修正プログラム 313001-2 を入れる
• 当てられない間は shell フォルダーを拒否する

用語メモ

CSRF

ログイン中の利用者に、本人が意図しない操作をさせる攻撃のことです。

任意のコード

攻撃者が好きに選んだプログラムの命令のことです。

ログイン済み

ユーザー名とパスワードなどで、すでにシステムに入っている状態のことです。

IIS

Microsoft のウェブサーバーのソフトです。Windows のサーバーでウェブサイトを動かすときに使われます。