- ひとことでSolarWinds Serv-U のログイン画面で、入力の確かめ方が不十分な弱点
- 深刻度5.3 警告CVSS v3.1
- まずやることServ-U の版を調べる
基本情報（データから表示）
| CVE番号 | CVE-2021-35247 |
|---|---|
| 製品 | SolarWinds Serv-U |
| 深刻度（CVSS） | 5.3 警告CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
| KEVへの追加日 | 2022-01-21 |
| 米国政府機関の対応期限 | 2022-02-04 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-20（入力の確認の不備） |
何が起きた
ファイル転送ソフト SolarWinds Serv-U の Web ログイン画面で、LDAP 認証に送る文字のチェックが不十分な弱点が見つかりました。NVD の評価では、離れた場所からログインなしで悪用できるとされ、CISA によると実際の悪用が確認されています。SolarWinds によると、LDAP サーバーが不適切な文字を無視していたため、その先への影響は見つかっていません。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
SolarWinds Serv-U の 15.2.5 とそれより前の版を使っている組織が対象です。
何をすればいい
SolarWinds によると、修正版は Serv-U 15.3 です。15.3 以降に更新されているか確認してください。SolarWinds は最新版への更新を計画するようすすめています。公式の案内を確認してください。
やることチェックリスト
- Serv-U の版を調べる
- Serv-U を 15.3 以降に更新する
- 最新版への更新を計画する
用語メモ
- LDAP 認証
- 社内の利用者情報をまとめたサーバー（ディレクトリー）を使って、ログインする人を確かめる仕組みです。
- Serv-U
- SolarWinds のファイル転送サーバーのソフトウェアです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
SolarWinds Serv-U Improper Input Validation Vulnerability
概要
SolarWinds Serv-U versions 15.2.5 and earlier contain an improper input validation vulnerability that allows attackers to build and send queries without sanitization.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る