最近の脆弱性 › CVE-2022-36537

ZK Framework AuUploader の脆弱性（CVE-2022-36537）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2022-36537
製品	ZK Framework AuUploader
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2023-02-27
米国政府機関の対応期限	2023-03-20
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-441

何が起きた

Java で Web アプリを作るための部品集 ZK Framework の AuUploader という部分に、細工した POST リクエストを送ると、Web アプリの中に置かれたファイルの中身を読み取られてしまう弱点が見つかりました。ZK の案内によると、ふだんは利用者から見えない WEB-INF フォルダの設定ファイル（web.xml、zk.xml など）も読み取られるおそれがあります。この弱点は実際の攻撃で悪用されたことが確認されており、ランサムウェアでの悪用も確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ZK Framework を使って作られた Web アプリを運用している組織が対象です。CISA によると、ConnectWise R1Soft Server Backup Manager など、ZK Framework を組み込んだ製品も影響を受けることがあります。NVD の説明では 9.6.1、9.6.0.1、9.5.1.3、9.0.1.2、8.6.4.1 が影響を受けるとされています。

何をすればいい

ZK の案内に従い、9.6.2、または各系列の修正版（9.6.0.2、9.5.1.4、9.0.1.3、8.6.4.2）以降に更新されているか確認してください。すぐに更新できない場合は、ZK が配布している修正用のクラスをアプリに追加し、zk.xml に登録する回避策があります。ZK Framework を組み込んだ製品を使っている場合は、その製品のメーカーの案内も確認してください。公式の案内を確認し、手順に従って対策してください。

やることチェックリスト

ZK Framework を 9.6.2 以降に更新する
古い系列は 8.6.4.2 などの修正版に更新する
更新できなければ修正用クラスを zk.xml に登録する

用語メモ

POST リクエスト: Web ブラウザなどがサーバーへデータを送るときの通信の種類の一つです。フォームの送信やファイルのアップロードで使われます。
WEB-INF: Java の Web アプリで、設定ファイルなどを置くための特別なフォルダです。ふだんは外から直接見られないようになっています。
ランサムウェア: データを使えない状態にして、元に戻すことと引き換えに身代金を求める不正なプログラムです。

元データ（英語・CISA KEV より）

ZK Framework AuUploader Unspecified Vulnerability

概要

ZK Framework AuUploader servlets contain an unspecified vulnerability that could allow an attacker to retrieve the content of a file located in the web context. The ZK Framework is an open-source Java framework. This vulnerability can impact multiple products, including but not limited to ConnectWise R1Soft Server Backup Manager.

推奨対応

Apply updates per vendor instructions.