Fortra Cobalt Strike のクロスサイトスクリプティングの脆弱性（CVE-2022-39197）

何が起きた

Fortra の Cobalt Strike で、Teamserver にクロスサイトスクリプティング（XSS）の弱点が見つかりました。攻撃者が Beacon の設定にある利用者名を不正な形に書き換えることで、離れた場所からプログラムを動かせるおそれがあります。ログインしていない攻撃者がネットワーク経由で悪用できますが、利用者の操作が必要です。CISA の一覧に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cobalt Strike（セキュリティの検査などに使われるツール）を使っている人や組織が対象です。NVD の説明では、HelpSystems Cobalt Strike の 4.7 までが影響を受けるとされています。

何をすればいい

NVD の説明では 4.7 までが影響を受けるとされ、CVE の記録は Cobalt Strike 4.7.1 の緊急の更新を案内するブログを出典に挙げています。Cobalt Strike のリリースノートでは、4.7.1 で Beacon のメタデータに使える文字が制限されました。4.7.1 以降に更新されているか確認してください。詳しくは、Fortra の公式の案内を確認してください。

やることチェックリスト

• 使っている Cobalt Strike の版番号を確かめる
• Cobalt Strike を 4.7.1 以降に更新する
• メーカーの案内に従って更新を適用する

用語メモ

クロスサイトスクリプティング（XSS）

画面に悪いスクリプトを紛れ込ませて、見た人の環境で動かしてしまう攻撃です。

Teamserver

Cobalt Strike で、複数の利用者が共同で作業するための中心となるサーバーです。

Beacon

Cobalt Strike で、検査の対象の機器に置かれて Teamserver とやり取りするプログラムです。