CVEノート

最近の脆弱性 › CVE-2021-42258

BQE BillQuick Web Suite のSQLインジェクションの脆弱性（CVE-2021-42258）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2021-42258
製品BQE BillQuick Web Suite
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2021-11-17
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-89

何が起きた

BQE の BillQuick Web Suite で、利用者名の入力欄を通して、データベースへの命令を不正に書きかえられる弱点（SQLインジェクション）が見つかり、実際に悪用が確認されています。NVD の説明では、ログインしていない攻撃者が離れた場所からプログラムを動かすことができ、2021年にランサムウェアを入れるために悪用されました。NVD の評価でも、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がログイン画面に接続する → 2. 利用者名の欄に細工した文字を入れる → 3. データベースへの命令が書きかわる → 4. 攻撃者のプログラムが動く1攻撃者がログイン画面に接続する2利用者名の欄に細工した文字を入れる3データベースへの命令が書きかわる4攻撃者のプログラムが動く攻撃の流れ: 1. 攻撃者がログイン画面に接続する → 2. 利用者名の欄に細工した文字を入れる → 3. データベースへの命令が書きかわる → 4. 攻撃者のプログラムが動く1攻撃者がログイン画面に接続する2利用者名の欄に細工した文字を入れる3データベースへの命令が書きかわる4攻撃者のプログラムが動く

誰が影響を受ける

NVD の説明では、BillQuick Web Suite 2018 から 2021 までの、22.0.9.1 より前の版が影響を受けます。

何をすればいい

NVD の説明では 22.0.9.1 より前の版が影響を受けるため、22.0.9.1 以降に更新されているか確認してください。あわせて、BQE の公式の案内を確認し、その案内に従って更新してください。

やることチェックリスト

用語メモ

SQLインジェクション
入力欄などに細工した文字を入れて、データベースへの命令を不正に書きかえる攻撃です。
ランサムウェア
データを暗号化して使えなくし、元に戻すことと引きかえにお金を求める不正なプログラムです。

元データ（英語・CISA KEV より）

BQE BillQuick Web Suite SQL Injection Vulnerability

概要

BQE BillQuick Web Suite contains an SQL injection vulnerability when accessing the username parameter that may allow for unauthenticated, remote code execution.

推奨対応

Apply updates per vendor instructions.

公式情報