• ひとことでSugarCRM のメールテンプレート機能から、PHP のコードを差し込まれる弱点
  • 深刻度8.8 重要CVSS v3.1
  • まずやることSugarCRM に Hotfix 91155 が当たっているか調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2023-22952
製品SugarCRM Multiple Products
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2023-02-02
米国政府機関の対応期限2023-02-23
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-20（入力の確認の不備）

何が起きた

顧客管理のソフト SugarCRM のメールテンプレート（EmailTemplates）の機能で、入力をきちんと確かめていないため、細工したリクエストで PHP のコードを差し込まれてしまう弱点が見つかりました。差し込まれたコードがサーバーで動くと、遠くから任意のコードを実行されるおそれがあります。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できます。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したリクエストを送る → 2. メールテンプレートに PHP のコードが入る → 3. サーバーで攻撃者のコードが動く1攻撃者が細工したリクエストを送る2メールテンプレートに PHP のコードが入る3サーバーで攻撃者のコードが動く攻撃の流れ: 1. 攻撃者が細工したリクエストを送る → 2. メールテンプレートに PHP のコードが入る → 3. サーバーで攻撃者のコードが動く1攻撃者が細工したリクエストを送る2メールテンプレートに PHP のコードが入る3サーバーで攻撃者のコードが動く攻撃の流れ: 1. 攻撃者が細工したリクエストを送る → 2. メールテンプレートに PHP のコードが入る → 3. サーバーで攻撃者のコードが動く1攻撃者が細工したリクエストを送る2メールテンプレートに PHP のコードが入る3サーバーで攻撃者のコードが動く

誰が影響を受ける

SugarCRM の製品を自社のサーバーで使っている組織が対象です。NVD の説明では、12.0 の Hotfix 91155 より前の SugarCRM が影響を受けます。製品ごとの詳しいバージョンは、このデータからは不明です。

何をすればいい

SugarCRM に Hotfix 91155 が当たっているか確認し、まだなら当ててください。公式の案内（SugarCRM のセキュリティ情報やサポート）を確認して、自分の版に合った修正を入手してください。

やることチェックリスト

  • SugarCRM に Hotfix 91155 が当たっているか調べる
  • 未適用なら Hotfix 91155 を適用する
  • メーカーのサポートで自分の版の修正を入手する

用語メモ

PHP 用語集で見る
Web サイトのサーバー側の処理によく使われるプログラミング言語のことです。
Hotfix 用語集で見る
見つかった問題をすぐ直すために出される、小さな修正プログラムのことです。
リクエスト
ブラウザーなどがサーバーに送る「このページがほしい」「このデータを受け取って」というお願いのことです。

次に読む

基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Multiple SugarCRM Products Remote Code Execution Vulnerability

概要

Multiple SugarCRM products contain a remote code execution vulnerability in the EmailTemplates. Using a specially crafted request, custom PHP code can be injected through the EmailTemplates.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る