• ひとことでSQL Server Reporting Services で、細工した要求から命令を実行される弱点です。
  • 深刻度8.8 重要CVSS v3.1
  • まずやることReporting Services を使う SQL Server を洗い出す

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2020-0618
製品Microsoft SQL Server
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2024-09-18
米国政府機関の対応期限2024-10-09
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-502（信頼できないデータのデシリアライズ）

何が起きた

Microsoft SQL Server のレポート機能 Reporting Services が、ページへの要求を正しく扱えず、送られたデータを安全を確かめずに元の形へ戻してしまう弱点（デシリアライズの問題）が見つかりました。CISA の KEV に載っており、実際の悪用が確認され、ランサムウェアでの悪用も確認されています。ネットワーク経由で、ログイン済みの攻撃者が細工したページの要求を送ることで悪用でき、Report Server のサービスアカウントの権限で命令を実行されるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がログイン済みの立場を得る → 2. Reporting Services に細工した要求を送る → 3. サービスアカウントの権限で命令が動く1攻撃者がログイン済みの立場を得る2Reporting Services に細工した要求を送る3サービスアカウントの権限で命令が動く攻撃の流れ: 1. 攻撃者がログイン済みの立場を得る → 2. Reporting Services に細工した要求を送る → 3. サービスアカウントの権限で命令が動く1攻撃者がログイン済みの立場を得る2Reporting Services に細工した要求を送る3サービスアカウントの権限で命令が動く攻撃の流れ: 1. 攻撃者がログイン済みの立場を得る → 2. Reporting Services に細工した要求を送る → 3. サービスアカウントの権限で命令が動く1攻撃者がログイン済みの立場を得る2Reporting Services に細工した要求を送る3サービスアカウントの権限で命令が動く

誰が影響を受ける

Microsoft によると、Reporting Services を使っている SQL Server 2012 Service Pack 4、SQL Server 2014 Service Pack 3、SQL Server 2016 Service Pack 2 が影響を受けます。

何をすればいい

Microsoft は2020年2月に修正を出しています。公式の案内を確認し、使っている版に合う更新を入れてください。SQL Server 2012 Service Pack 4 は KB4532098、SQL Server 2014 Service Pack 3 は KB4532095（GDR）か KB4535288（CU）、SQL Server 2016 Service Pack 2 は KB4532097（GDR）か KB4535706（CU）です。

やることチェックリスト

  • Reporting Services を使う SQL Server を洗い出す
  • 版に合う更新（例 KB4532098）を入れる
  • 2014 と 2016 は GDR か CU の更新を入れる

用語メモ

Reporting Services
SQL Server のデータから帳票やレポートを作り、Web で見られるようにする機能です。
サービスアカウント
サーバーのプログラムが動くときに使う専用のアカウントです。
ランサムウェア 用語集で見る
データを暗号化して使えなくし、元に戻すことと引き換えにお金を要求する不正なプログラムです。
デシリアライズ 用語集で見る
送られてきたデータを元のプログラムのデータに戻す処理です。中身を確かめずに戻すと、攻撃者の命令が動くことがあります。

次に読む

同じ製品・メーカーの脆弱性Microsoft SQL Server（CVE-2019-1068）8.8 重要CVSS v3.1Microsoft SQL Serverで、内部の関数の扱いの誤りから、サービスの権限でコードを実行される弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Microsoft SQL Server Reporting Services Remote Code Execution Vulnerability

概要

Microsoft SQL Server Reporting Services contains a deserialization vulnerability when handling page requests incorrectly. An authenticated attacker can exploit this vulnerability to execute code in the context of the Report Server service account.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る