• ひとことでZK Framework のアップロード機能から、サーバー内のファイルの中身を読み取られる弱点です。
  • 深刻度7.5 重要CVSS v3.1
  • まずやることZK Framework を 9.6.2 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2022-36537
製品ZK Framework AuUploader
深刻度（CVSS）7.5 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2023-02-27
米国政府機関の対応期限2023-03-20
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-441

何が起きた

Java で Web アプリを作るための部品集 ZK Framework の AuUploader という部分に、細工した POST リクエストを送ると、Web アプリの中に置かれたファイルの中身を読み取られてしまう弱点が見つかりました。ZK の案内によると、ふだんは利用者から見えない WEB-INF フォルダの設定ファイル（web.xml、zk.xml など）も読み取られるおそれがあります。この弱点は実際の攻撃で悪用されたことが確認されており、ランサムウェアでの悪用も確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がアップロードの窓口を見つける → 2. 細工した POST リクエストを送る → 3. サーバー内のファイルが応答に含まれる → 4. 設定ファイルなどの中身を読み取られる1攻撃者がアップロードの窓口を見つける2細工した POST リクエストを送る3サーバー内のファイルが応答に含まれる4設定ファイルなどの中身を読み取られる攻撃の流れ: 1. 攻撃者がアップロードの窓口を見つける → 2. 細工した POST リクエストを送る → 3. サーバー内のファイルが応答に含まれる → 4. 設定ファイルなどの中身を読み取られる1攻撃者がアップロードの窓口を見つける2細工した POST リクエストを送る3サーバー内のファイルが応答に含まれる4設定ファイルなどの中身を読み取られる攻撃の流れ: 1. 攻撃者がアップロードの窓口を見つける → 2. 細工した POST リクエストを送る → 3. サーバー内のファイルが応答に含まれる → 4. 設定ファイルなどの中身を読み取られる1攻撃者がアップロードの窓口を見つける2細工した POST リクエストを送る3サーバー内のファイルが応答に含まれる4設定ファイルなどの中身を読み取られる

誰が影響を受ける

ZK Framework を使って作られた Web アプリを運用している組織が対象です。CISA によると、ConnectWise R1Soft Server Backup Manager など、ZK Framework を組み込んだ製品も影響を受けることがあります。NVD の説明では 9.6.1、9.6.0.1、9.5.1.3、9.0.1.2、8.6.4.1 が影響を受けるとされています。

何をすればいい

ZK の案内に従い、9.6.2、または各系列の修正版（9.6.0.2、9.5.1.4、9.0.1.3、8.6.4.2）以降に更新されているか確認してください。すぐに更新できない場合は、ZK が配布している修正用のクラスをアプリに追加し、zk.xml に登録する回避策があります。ZK Framework を組み込んだ製品を使っている場合は、その製品のメーカーの案内も確認してください。公式の案内を確認し、手順に従って対策してください。

やることチェックリスト

  • ZK Framework を 9.6.2 以降に更新する
  • 古い系列は 8.6.4.2 などの修正版に更新する
  • 更新できなければ修正用クラスを zk.xml に登録する

用語メモ

POST リクエスト 用語集で見る
Web ブラウザなどがサーバーへデータを送るときの通信の種類の一つです。フォームの送信やファイルのアップロードで使われます。
WEB-INF
Java の Web アプリで、設定ファイルなどを置くための特別なフォルダです。ふだんは外から直接見られないようになっています。
ランサムウェア 用語集で見る
データを使えない状態にして、元に戻すことと引き換えに身代金を求める不正なプログラムです。

次に読む

基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

ZK Framework AuUploader Unspecified Vulnerability

概要

ZK Framework AuUploader servlets contain an unspecified vulnerability that could allow an attacker to retrieve the content of a file located in the web context. The ZK Framework is an open-source Java framework. This vulnerability can impact multiple products, including but not limited to ConnectWise R1Soft Server Backup Manager.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る