Sitecore XP の脆弱性（CVE-2021-42237）

何が起きた

Web サイトを作る仕組みの Sitecore XP に、安全でないデシリアライズという弱点が見つかりました。受け取ったデータを確かめずにプログラムの部品へ戻してしまうため、サーバーで命令を実行されるおそれがあります。実際の悪用が確認されており、ランサムウェアでの悪用も確認されています。攻撃者はネットワーク経由で離れた場所から、ログインや特別な設定なしで悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Sitecore の公式記事 KB1000776 では、Sitecore XP 7.5 Initial Release から 7.5 Update-2、8.0 Initial Release から 8.0 Update-7、8.1 Initial Release から 8.1 Update-3、8.2 Initial Release から 8.2 Update-7 が対象です。修正版の番号は示されておらず、ファイルを消す対策が案内されています。

何をすればいい

Sitecore XP 8.0 から 8.2 Update-7 を使っている場合は、すべてのサーバーから Report.ashx というファイル（/sitecore/shell/ClientBin/Reporting/Report.ashx）を消してください。Sitecore は、このファイルは今は使われておらず、消しても問題ないと説明しています。Sitecore XP 7.5 系を使っている場合は、Sitecore XP 9.0.0 以降に上げるか、Report.ashx を消してください。公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

• Sitecore XP のバージョンを確認する
• 全サーバーから Report.ashx を消す
• 7.5 系は 9.0.0 以降に上げる

用語メモ

デシリアライズ 用語集で見る

保存や送信のために一列に並べたデータを、元のプログラムの部品に戻す処理です。確かめずに戻すと、悪い命令が入り込むことがあります。

ランサムウェア 用語集で見る

データを暗号化して使えなくし、元に戻す代わりにお金を要求する不正なプログラムです。