最近の脆弱性 › CVE-2022-31199

Netwrix Auditor の安全でないデシリアライズの脆弱性（CVE-2022-31199）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2022-31199
製品	Netwrix Auditor
深刻度（CVSS）	不明
KEVへの追加日	2023-07-11
米国政府機関の対応期限	2023-08-01
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-502, CWE-122

何が起きた

Netwrix Auditor の「User Activity Video Recording」（利用者の操作を録画する機能）に、受け取ったデータを安全でない方法で元に戻す（デシリアライズ）弱点が見つかり、実際の悪用が確認されています。ログインしていない攻撃者がネットワーク越しに、最も強い権限である NT AUTHORITY\SYSTEM として任意のプログラムを実行できるおそれがあります。悪用には、攻撃者が 9004/TCP のポートに届く必要があります。この脆弱性はランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Netwrix Auditor を使っている組織が対象です。CVE の記録によると、Netwrix Auditor のサーバーだけでなく、監視される側のシステムに入れたエージェントも影響を受けます。NVD の対象範囲の設定と発見者の Bishop Fox の勧告では、10.5 より前の版が対象とされています。

何をすればいい

Netwrix の声明に従って、Netwrix Auditor を 10.5.10977.0 に更新してください。Netwrix は 10.5.10936.0 で最初の修正を出したあと、社内の調査で見つかった別の悪用の道をふさぐために 10.5.10977.0 を出しています。あわせて、Netwrix Auditor のシステムにインターネットから接続できないようにしてください。Netwrix の公式の案内も確認してください。

やることチェックリスト

Netwrix Auditor を 10.5.10977.0 に更新する
インターネットから接続できないようにする
9004/TCP への外部からの接続を制限する

用語メモ

デシリアライズ: 保存や送信のために変換されたデータを、プログラムで使える形に戻す処理です。中身を確かめずに戻すと、攻撃に使われることがあります。
NT AUTHORITY\SYSTEM: Windows で最も強い権限を持つ、システム用のアカウントです。
エージェント: 監視や管理のために、対象のパソコンやサーバーに入れる小さなプログラムです。
ランサムウェア: データを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。

元データ（英語・CISA KEV より）

Netwrix Auditor Insecure Object Deserialization Vulnerability

概要

Netwrix Auditor User Activity Video Recording component contains an insecure objection deserialization vulnerability that allows an unauthenticated, remote attacker to execute code as the NT AUTHORITY\SYSTEM user. Successful exploitation requires that the attacker is able to reach port 9004/TCP, which is commonly blocked by standard enterprise firewalling.

推奨対応

Apply updates per vendor instructions or discontinue use of the product if updates are unavailable.