ForgeRock Access Management (AM) のリモートコード実行の脆弱性（CVE-2021-35464）

何が起きた

ForgeRock Access Management（AM）に、受け取ったデータを元のプログラムの形に戻す処理（デシリアライズ）の弱点が見つかりました。細工した通信を /ccversion/ で始まる窓口に1回送るだけで、離れた場所から任意のコードを実行される可能性があります。NVD の評価では、ログイン不要でネットワーク経由から攻撃できます。CISA の一覧に悪用が確認された脆弱性として載っており、CISA によるとランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ForgeRock によると、AM の 6.0.0.x、6.5.0.x、6.5.1、6.5.2.x、6.5.3 と、サポートが終わった AM 5.x、OpenAM 9.x から 13.x までが影響を受けます。修正版は AM 6.5.4 と AM 7 です。

何をすればいい

AM 6.5.4 または AM 7 に更新してください。ForgeRock は、まず回避策をすぐに行うよう勧めています。回避策は、web.xml の VersionServlet の設定を無効にするか、リバースプロキシなどで ccversion への接続を止めることです。AM 6.x 向けには修正パッチも出ています。公式の案内を確認してください。

やることチェックリスト

• AM 6.5.4 または AM 7 に更新する
• web.xml の VersionServlet の設定を無効にする
• リバースプロキシで ccversion への接続を止める

用語メモ

デシリアライズ

送られてきたデータを、プログラムが使えるもとの形に組み立て直す処理です。中身を確かめずに行うと、攻撃に使われることがあります。

リバースプロキシ

サーバーの手前に置いて通信を中継する仕組みで、特定の通信を止めることにも使えます。

回避策

修正版を入れるまでの間、弱点を突かれにくくするための一時的な対策です。