CVEノート

最近の脆弱性 › CVE-2021-42237

Sitecore XP の安全でないデシリアライズの脆弱性（CVE-2021-42237）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2021-42237
製品Sitecore XP
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-25
米国政府機関の対応期限2022-04-15
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-502

何が起きた

Web サイトを作る仕組みの Sitecore XP に、安全でないデシリアライズという弱点が見つかりました。受け取ったデータを確かめずにプログラムの部品へ戻してしまうため、サーバーで命令を実行されるおそれがあります。実際の悪用が確認されており、ランサムウェアでの悪用も確認されています。攻撃者はネットワーク経由で離れた場所から、ログインや特別な設定なしで悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がネットワークからサーバーに接続する → 2. 細工したデータをログインなしで送る → 3. デシリアライズでデータが戻される → 4. サーバーで命令が実行される1攻撃者がネットワークからサーバーに接続する2細工したデータをログインなしで送る3デシリアライズでデータが戻される4サーバーで命令が実行される攻撃の流れ: 1. 攻撃者がネットワークからサーバーに接続する → 2. 細工したデータをログインなしで送る → 3. デシリアライズでデータが戻される → 4. サーバーで命令が実行される1攻撃者がネットワークからサーバーに接続する2細工したデータをログインなしで送る3デシリアライズでデータが戻される4サーバーで命令が実行される

誰が影響を受ける

Sitecore の公式記事 KB1000776 では、Sitecore XP 7.5 Initial Release から 7.5 Update-2、8.0 Initial Release から 8.0 Update-7、8.1 Initial Release から 8.1 Update-3、8.2 Initial Release から 8.2 Update-7 が対象です。修正版の番号は示されておらず、ファイルを消す対策が案内されています。

何をすればいい

Sitecore XP 8.0 から 8.2 Update-7 を使っている場合は、すべてのサーバーから Report.ashx というファイル（/sitecore/shell/ClientBin/Reporting/Report.ashx）を消してください。Sitecore は、このファイルは今は使われておらず、消しても問題ないと説明しています。Sitecore XP 7.5 系を使っている場合は、Sitecore XP 9.0.0 以降に上げるか、Report.ashx を消してください。公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

用語メモ

デシリアライズ
保存や送信のために一列に並べたデータを、元のプログラムの部品に戻す処理です。確かめずに戻すと、悪い命令が入り込むことがあります。
ランサムウェア
データを暗号化して使えなくし、元に戻す代わりにお金を要求する不正なプログラムです。

元データ（英語・CISA KEV より）

Sitecore XP Remote Command Execution Vulnerability

概要

Sitcore XP contains an insecure deserialization vulnerability which can allow for remote code execution.

推奨対応

Apply updates per vendor instructions.

公式情報