Accellion FTA のOSコマンドインジェクションの脆弱性（CVE-2021-27102）

何が起きた

Accellion のファイル共有製品 FTA に、OS の命令を送り込まれてしまう弱点（OS コマンドインジェクション）が見つかりました。Accellion の公開情報によると、機器の内部で使うウェブサービスの呼び出しを通じて、OS の命令を実行されます。NVD の評価では、一般利用者程度の権限を持つ攻撃者が、対象の機器上で（ローカルで）悪用できるとされています。CISA によると実際の悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Accellion FTA を使っている組織が影響を受けます。Accellion の公開情報では、FTA 9_12_411 以前が対象です。また、Accellion は FTA の提供終了（EOL）を 2021年4月30日付けと発表しています。

何をすればいい

Accellion の公開情報では、修正版は FTA_9_12_416 以降です。この版以降に更新されているか確認してください。Accellion は FTA の提供を終了し、後継の Kiteworks への移行を案内しているため、置き換えも考えてください。あわせて公式の案内を確認してください。

やることチェックリスト

• FTA の版が 9_12_411 以前か調べる
• FTA_9_12_416 以降に更新する
• 提供が終わった FTA の置き換えを検討する

用語メモ

OS コマンドインジェクション

入力の中に OS への命令を紛れ込ませて、サーバーに実行させてしまう攻撃です。

ローカル

ネットワーク越しではなく、その機器の上で直接操作できる状態のことです。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪いプログラムです。