• ひとことでNetwrix Auditor の録画機能に、遠くから命令を実行される弱点があります。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることNetwrix Auditor を 10.5.10977.0 に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2022-31199
製品Netwrix Auditor
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2023-07-11
米国政府機関の対応期限2023-08-01
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-502（信頼できないデータのデシリアライズ）
CWE-122（ヒープ領域のバッファオーバーフロー）

何が起きた

Netwrix Auditor の「User Activity Video Recording」（利用者の操作を録画する機能）に、受け取ったデータを安全でない方法で元に戻す（デシリアライズ）弱点が見つかり、実際の悪用が確認されています。ログインしていない攻撃者がネットワーク越しに、最も強い権限である NT AUTHORITY\SYSTEM として任意のプログラムを実行できるおそれがあります。この脆弱性はランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がネットワーク越しに録画機能に接続する → 2. 細工したデータを録画機能に送る → 3. データが安全でない方法で読み込まれる → 4. SYSTEM 権限で命令が実行される1攻撃者がネットワーク越しに録画機能に接続する2細工したデータを録画機能に送る3データが安全でない方法で読み込まれる4SYSTEM 権限で命令が実行される攻撃の流れ: 1. 攻撃者がネットワーク越しに録画機能に接続する → 2. 細工したデータを録画機能に送る → 3. データが安全でない方法で読み込まれる → 4. SYSTEM 権限で命令が実行される1攻撃者がネットワーク越しに録画機能に接続する2細工したデータを録画機能に送る3データが安全でない方法で読み込まれる4SYSTEM 権限で命令が実行される攻撃の流れ: 1. 攻撃者がネットワーク越しに録画機能に接続する → 2. 細工したデータを録画機能に送る → 3. データが安全でない方法で読み込まれる → 4. SYSTEM 権限で命令が実行される1攻撃者がネットワーク越しに録画機能に接続する2細工したデータを録画機能に送る3データが安全でない方法で読み込まれる4SYSTEM 権限で命令が実行される

誰が影響を受ける

Netwrix Auditor を使っている組織が対象です。CVE の記録によると、Netwrix Auditor のサーバーだけでなく、監視される側のシステムに入れたエージェントも影響を受けます。NVD の対象範囲の設定では、10.5 より前の版が対象とされています。

何をすればいい

Netwrix の声明に従って、Netwrix Auditor を 10.5.10977.0 に更新してください。Netwrix は 10.5.10936.0 で最初の修正を出したあと、社内の調査で見つかった別の悪用の道をふさぐために 10.5.10977.0 を出しています。あわせて、Netwrix Auditor のシステムにインターネットから接続できないようにしてください。Netwrix の公式の案内も確認してください。

やることチェックリスト

  • Netwrix Auditor を 10.5.10977.0 に更新する
  • インターネットから接続できないようにする
  • Netwrix Auditor の今の版を確かめる

用語メモ

デシリアライズ 用語集で見る
保存や送信のために変換されたデータを、プログラムで使える形に戻す処理です。中身を確かめずに戻すと、攻撃に使われることがあります。
NT AUTHORITY\SYSTEM
Windows で最も強い権限を持つ、システム用のアカウントです。
エージェント 用語集で見る
監視や管理のために、対象のパソコンやサーバーに入れる小さなプログラムです。
ランサムウェア 用語集で見る
データを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。

次に読む

基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Netwrix Auditor Insecure Object Deserialization Vulnerability

概要

Netwrix Auditor User Activity Video Recording component contains an insecure objection deserialization vulnerability that allows an unauthenticated, remote attacker to execute code as the NT AUTHORITY\SYSTEM user. Successful exploitation requires that the attacker is able to reach port 9004/TCP, which is commonly blocked by standard enterprise firewalling.

推奨対応

Apply updates per vendor instructions or discontinue use of the product if updates are unavailable.

この元データの出どころ: CISA KEV カタログで見る