Microsoft SQL Server のリモートコード実行の脆弱性（CVE-2020-0618）

何が起きた

Microsoft SQL Server のレポート機能 Reporting Services が、ページへの要求を正しく扱えず、送られたデータを安全を確かめずに元の形へ戻してしまう弱点（デシリアライズの問題）が見つかりました。CISA の KEV に載っており、実際の悪用が確認され、ランサムウェアでの悪用も確認されています。ネットワーク経由で、ログイン済みの攻撃者が細工したページの要求を送ることで悪用でき、Report Server のサービスアカウントの権限で命令を実行されるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Reporting Services を使っている SQL Server 2012 Service Pack 4、SQL Server 2014 Service Pack 3、SQL Server 2016 Service Pack 2 が影響を受けます。

何をすればいい

Microsoft は2020年2月に修正を出しています。公式の案内を確認し、使っている版に合う更新を入れてください。SQL Server 2012 Service Pack 4 は KB4532098、SQL Server 2014 Service Pack 3 は KB4532095（GDR）か KB4535288（CU）、SQL Server 2016 Service Pack 2 は KB4532097（GDR）か KB4535706（CU）です。

やることチェックリスト

• Reporting Services を使う SQL Server を洗い出す
• 版に合う更新（例 KB4532098）を入れる
• 2014 と 2016 は GDR か CU の更新を入れる

用語メモ

Reporting Services

SQL Server のデータから帳票やレポートを作り、Web で見られるようにする機能です。

サービスアカウント

サーバーのプログラムが動くときに使う専用のアカウントです。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引き換えにお金を要求する不正なプログラムです。

デシリアライズ

送られてきたデータを元のプログラムのデータに戻す処理です。中身を確かめずに戻すと、攻撃者の命令が動くことがあります。