SugarCRM Multiple Products のリモートコード実行の脆弱性（CVE-2023-22952）

何が起きた

顧客管理のソフト SugarCRM のメールテンプレート（EmailTemplates）の機能で、入力をきちんと確かめていないため、細工したリクエストで PHP のコードを差し込まれてしまう弱点が見つかりました。差し込まれたコードがサーバーで動くと、遠くから任意のコードを実行されるおそれがあります。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できます。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

SugarCRM の製品を自社のサーバーで使っている組織が対象です。NVD の説明では、12.0 の Hotfix 91155 より前の SugarCRM が影響を受けます。製品ごとの詳しいバージョンは、このデータからは不明です。

何をすればいい

SugarCRM に Hotfix 91155 が当たっているか確認し、まだなら当ててください。メーカーの勧告ページは今回開けなかったため、公式の案内（SugarCRM のセキュリティ情報やサポート）を確認して、自分の版に合った修正を入手してください。

やることチェックリスト

• SugarCRM に Hotfix 91155 が当たっているか調べる
• 未適用なら Hotfix 91155 を適用する
• メーカーのサポートで自分の版の修正を入手する

用語メモ

PHP

Web サイトのサーバー側の処理によく使われるプログラミング言語のことです。

Hotfix

見つかった問題をすぐ直すために出される、小さな修正プログラムのことです。

リクエスト

ブラウザーなどがサーバーに送る「このページがほしい」「このデータを受け取って」というお願いのことです。