Accellion FTA のOSコマンドインジェクションの脆弱性（CVE-2021-27104）

何が起きた

Accellion のファイル共有製品 FTA に、外から OS の命令を送り込まれてしまう弱点（OS コマンドインジェクション）が見つかりました。Accellion の公開情報によると、管理用のいくつかの窓口に細工した POST リクエストを送ると、OS の命令を実行されます。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できるとされています。CISA によると実際の悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Accellion FTA を使っている組織が影響を受けます。Accellion の公開情報では、FTA 9_12_370 以前が対象です。また、Accellion は FTA の提供終了（EOL）を 2021年4月30日付けと発表しています。

何をすればいい

Accellion の公開情報では、修正版は FTA_9_12_380 以降です。この版以降に更新されているか確認してください。Accellion は FTA の提供を終了し、後継の Kiteworks への移行を案内しているため、置き換えも考えてください。あわせて公式の案内を確認してください。

やることチェックリスト

• FTA の版が 9_12_370 以前か調べる
• FTA_9_12_380 以降に更新する
• 提供が終わった FTA の置き換えを検討する

用語メモ

OS コマンドインジェクション

入力の中に OS への命令を紛れ込ませて、サーバーに実行させてしまう攻撃です。

POST リクエスト

ブラウザーなどからサーバーへデータを送るときの通信の一種です。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪いプログラムです。