Checkbox Checkbox Survey の安全でないデシリアライズの脆弱性（CVE-2021-27852）

何が起きた

アンケート機能を追加する ASP.NET のアプリ Checkbox Survey の CheckboxWeb.dll に、外から受け取ったデータを安全でない形で復元（デシリアライズ）してしまう弱点が見つかりました。攻撃者は細工したデータを送り、サーバー上で任意の（攻撃者が好きに選べる）コードを実行できます。実際の攻撃での悪用が確認されています。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CERT/CC と NVD によると、Checkbox Survey のバージョン 7 より前（6 以前）を使っている組織が対象です。CERT/CC によると、バージョン 6 はすでに開発が終わっており、安全に使い続けることはできないとされています。

何をすればいい

CERT/CC は、Checkbox Survey をバージョン 7 以降に更新し、更新できない場合はバージョン 7 より前の Checkbox Survey をサーバーから取り除くよう案内しています。詳しくは CERT/CC の情報などで公式の案内を確認してください。

やることチェックリスト

• Checkbox Survey のバージョンを確かめる
• Checkbox Survey をバージョン 7 以降に更新する
• 更新できない古い版はサーバーから削除する

用語メモ

デシリアライズ

保存や送信のために変換されたデータを、プログラムで使える形に戻す処理です。中身を確かめずに戻すと、攻撃に使われることがあります。

ASP.NET

Microsoft の、Web アプリを作るための仕組みです。