Acclaim Systems USAHERDS の脆弱性（CVE-2021-44207）

何が起きた

Acclaim Systems の USAHERDS というアプリに、認証情報（鍵）がプログラムに直接書き込まれている弱点が見つかり、実際の悪用が確認されています。CISA によると、この鍵（MachineKey）を別の脆弱性などで手に入れた攻撃者は、アプリが動いているサーバー上で遠隔からプログラムを実行できる可能性があります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

USAHERDS を使っている組織が対象です。NVD の説明では、7.4.0.1 までのバージョンが影響を受けるとされています。修正されたバージョンは、このデータからは不明です。

何をすればいい

メーカー（Acclaim Systems）の公式の案内を確認し、対策が示されていればそれに従ってください。CISA は、対策について製品の開発元に問い合わせるよう案内しています。対策が用意できない場合は、製品の利用をやめることも検討してください。

やることチェックリスト

• USAHERDS を使っているか確認する
• 対策について開発元に問い合わせる
• 対策がなければ利用の停止を検討する

用語メモ

認証情報

ログインや本人確認に使う ID・パスワード・鍵などの情報です。

MachineKey

ASP.NET のアプリが、データの暗号化や改ざんの確認に使う秘密の鍵です。

脆弱性

ソフトウェアや機器にある、攻撃に使われるおそれのある弱点です。