Cisco HyperFlex HX のコマンドインジェクションの脆弱性（CVE-2021-1498）

何が起きた

Cisco HyperFlex HX Data Platform の Web の管理画面で、利用者から受け取った入力の確かめ方が足りず、コマンドインジェクション（細工した入力で OS のコマンドを実行させる攻撃）ができてしまう弱点が見つかりました。Cisco によると、ログインしていない攻撃者が、離れた場所から細工したリクエストを管理画面に送ることで悪用でき、成功すると tomcat8 ユーザーの権限で任意のコマンドを実行されるおそれがあります。Cisco は、2021年11月に、この弱点を悪用しようとする攻撃の試みを新たに把握したとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco HyperFlex HX Software の、修正されていないバージョンを使っている組織が対象です。Cisco によると、4.0 より前、4.0、4.5 の各リリースが影響を受けます。

何をすればいい

Cisco によると、回避策はありません。4.0 は 4.0(2e) 以降、4.5 は 4.5(2a) 以降に更新し、4.0 より前を使っている場合は 4.0(2e) に移行してください。公式の案内を確認し、修正版に更新されているか確認してください。

やることチェックリスト

• 4.0 系を 4.0(2e) 以降に更新する
• 4.5 系を 4.5(2a) 以降に更新する
• 4.0 より前は 4.0(2e) に移行する

用語メモ

コマンドインジェクション

入力に OS の命令を紛れ込ませて、サーバーに実行させる攻撃です。

tomcat8

Web のサービスを動かすためのソフトの利用者名で、攻撃者はこの利用者の権限でコマンドを動かせます。

回避策

修正版に更新できないときに、一時的に被害を防ぐための方法です。