dotCMS dotCMS の危険なファイルのアップロードの脆弱性（CVE-2022-26352）

何が起きた

dotCMS の ContentResource API で、送られてきたファイルの名前を正しくチェックしない弱点が見つかりました。ファイル名を細工すると、本来の保存場所の外にファイルを置ける（ディレクトリトラバーサル）ため、.jsp ファイルのような実行できるファイルを置かれ、遠くからプログラムを動かされるおそれがあります。NVD の評価では、ネットワーク経由で、ログインなしで悪用できます。NVD の説明では、ログインなしの悪用は、匿名でのコンテンツ作成が有効な場合とされています。実際の攻撃での悪用が確認されており、ランサムウェアの攻撃でも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、dotCMS 3.0 から 22.02 までが対象です。この範囲の dotCMS でウェブサイトを運営している組織が影響を受けます。

何をすればいい

CISA は、メーカーの案内に従って更新するよう求めています。修正されたバージョンの番号は、このデータからは不明なので、dotCMS の公式の案内を確認して、修正済みの版に更新してください。使っている dotCMS が影響を受ける範囲に入っていないか確認してください。

やることチェックリスト

• dotCMS の版が 3.0 から 22.02 の間か調べる
• メーカーの修正済みの版に更新する
• 匿名でのコンテンツ作成の設定を確かめる

用語メモ

API

プログラムどうしがやり取りするための窓口のことです。

ディレクトリトラバーサル

ファイルの場所の指定を細工して、本来は届かない場所のファイルを読んだり書いたりする攻撃です。

ランサムウェア

データを使えなくして、元に戻すことと引きかえにお金を要求する悪いプログラムです。