Accellion FTA のSQLインジェクションの脆弱性（CVE-2021-27101）

何が起きた

Accellion のファイル共有製品 FTA に、データベースへの命令を不正に紛れ込ませられる弱点（SQL インジェクション）が見つかりました。NVD の説明によると、document_root.html へのリクエストで、細工した Host ヘッダーを送ることで悪用されます。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できるとされています。CISA によると実際の悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Accellion FTA を使っている組織が影響を受けます。Accellion の公開情報では、FTA 9_12_370 以前が対象です。また、Accellion は FTA の提供終了（EOL）を 2021年4月30日付けと発表しています。

何をすればいい

Accellion の公開情報では、修正版は FTA_9_12_380 以降です。この版以降に更新されているか確認してください。Accellion は FTA の提供を終了し、後継の Kiteworks への移行を案内しているため、置き換えも考えてください。あわせて公式の案内を確認してください。

やることチェックリスト

• FTA の版が 9_12_370 以前か調べる
• FTA_9_12_380 以降に更新する
• 提供が終わった FTA の置き換えを検討する

用語メモ

SQL インジェクション

入力の中にデータベースへの命令を紛れ込ませて、データを盗んだり書き換えたりする攻撃です。

Host ヘッダー

ウェブの通信で、どのサイトあての通信かを伝えるための情報です。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪いプログラムです。