• ひとことでUnraid で、ログインをすり抜けて管理画面に入られてしまう弱点です。
  • 深刻度7.5 重要CVSS v3.1
  • まずやること使っている Unraid の版が 6.8.0 か確認する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2020-5849
製品Unraid Unraid
深刻度（CVSS）7.5 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-287（認証の不備）
CWE-697（比較の誤り）

何が起きた

Unraid に、認証（ログインの確認）をすり抜けて、管理画面に入れてしまう弱点が見つかりました。NVD の評価では、ネットワーク経由で、権限なしに悪用できるとされています。CISA によると、この弱点は CVE-2020-5847 と組み合わせて、リモートコード実行（離れた場所からプログラムを動かされること）に使えます。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がネット経由で接続する → 2. 認証をすり抜けて管理画面に入る → 3. CVE-2020-5847 と組み合わせる → 4. 離れた場所からコードを実行する1攻撃者がネット経由で接続する2認証をすり抜けて管理画面に入る3CVE-2020-5847 と組み合わせる4離れた場所からコードを実行する攻撃の流れ: 1. 攻撃者がネット経由で接続する → 2. 認証をすり抜けて管理画面に入る → 3. CVE-2020-5847 と組み合わせる → 4. 離れた場所からコードを実行する1攻撃者がネット経由で接続する2認証をすり抜けて管理画面に入る3CVE-2020-5847 と組み合わせる4離れた場所からコードを実行する攻撃の流れ: 1. 攻撃者がネット経由で接続する → 2. 認証をすり抜けて管理画面に入る → 3. CVE-2020-5847 と組み合わせる → 4. 離れた場所からコードを実行する1攻撃者がネット経由で接続する2認証をすり抜けて管理画面に入る3CVE-2020-5847 と組み合わせる4離れた場所からコードを実行する

誰が影響を受ける

NVD の説明によると、Unraid 6.8.0 を使っている人・組織が対象です。修正された版の番号は、このデータからは不明です。

何をすればいい

使っている Unraid の版を確認し、Unraid の公式の案内で修正された版を確かめて更新してください。組み合わせて使われる CVE-2020-5847 の対策もあわせて行ってください。

やることチェックリスト

  • 使っている Unraid の版が 6.8.0 か確認する
  • Unraid の案内に従って新しい版に更新する
  • CVE-2020-5847 の対策もあわせて実施する

用語メモ

認証 用語集で見る
利用者が本人であるかを、パスワードなどで確かめる仕組みです。
リモートコード実行 用語集で見る
離れた場所にいる攻撃者が、ネットワーク越しに機器の上でプログラムを動かせてしまうことです。
管理画面 用語集で見る
機器やソフトウェアの設定を変えるための画面です。

次に読む

同じ製品・メーカーの脆弱性Unraid（CVE-2020-5847）9.8 緊急CVSS v3.1Unraid で、PHP の関数の使い方の不備からプログラムを実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Unraid Authentication Bypass Vulnerability

概要

Unraid contains an authentication bypass vulnerability that allows attackers to gain access to the administrative interface. This CVE is chainable with CVE-2020-5847 for remote code execution.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る