Novi Survey Novi Survey の安全でないデシリアライズの脆弱性（CVE-2023-29492）

何が起きた

アンケート用のソフト Novi Survey に、受け取ったデータを安全でない方法で元に戻す（デシリアライズする）弱点が見つかりました。悪用されると、サーバー上でサービスアカウントの権限のまま、攻撃者が選んだ任意のプログラムを動かされるおそれがあります。NVD の評価では、ネットワーク経由で、ログインなしに、利用者の操作もなしで攻撃できるとされています。この弱点は、実際の攻撃で悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

自分のサーバーに入れて使う版（installable version）の Novi Survey で、8.9.43676 より前のすべてのバージョンが対象です。メーカーによると、この弱点では保存されているアンケートや回答のデータには直接アクセスできないとされています。

何をすればいい

Novi Survey を 8.9.43676 以降に更新してください。メーカーは、8.9.43676 より前のバージョン向けの回避策（ワークアラウンド）はないとしているため、更新が唯一の対策です。メーカーの公式の案内も確認してください。

やることチェックリスト

• Novi Survey を 8.9.43676 以降に更新する
• 自社で入れた Novi Survey の版番号を調べる
• 回避策がないため更新を最優先にする

用語メモ

デシリアライズ

保存や送信のために変換したデータを、プログラムで使える形に戻す処理です。中身を確かめずに戻すと、細工したデータで悪用されることがあります。

サービスアカウント

人ではなく、ソフトやサービスが動くために使うアカウントです。

ワークアラウンド

修正版を入れられないときに、一時的に被害を防ぐための代わりの方法です。