Progress WS_FTP Server の安全でないデシリアライズの脆弱性（CVE-2023-40044）

何が起きた

Progress の WS_FTP Server の Ad Hoc Transfer というファイル受け渡しの部品に、外から受け取ったデータを安全確認なしに元のデータへ戻してしまう（安全でない逆シリアル化）弱点が見つかり、実際に悪用が確認されています。悪用されると、サーバーの OS 上で攻撃者のコマンドを実行される可能性があります。攻撃に必要な条件は出典で説明が分かれており、CVE の記録（Progress）は「ログインする前の攻撃者」、CISA の KEV の概要は「ログイン済みの攻撃者」、NVD の評価は「一般利用者程度の権限が必要」としています。ランサムウェア攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

WS_FTP Server を運用している組織が対象です。データによると、8.7.4 より前と 8.8.2 より前の版が影響を受けます。CVE の記録では、8.7 系は 8.7.0 から 8.7.4 の手前まで、8.8 系は 8.8.0 から 8.8.2 の手前までです。

何をすればいい

Progress の告知に従い、WS_FTP Server を修正済みの版（2020.0.5（8.7.5）か 2022.0.3（8.8.3））に更新してください。Progress はいちばん新しい版に上げるよう勧めていて、フルインストーラーでの更新だけが対処方法です（更新中はシステムが止まります）。すぐに更新できない場合、Ad Hoc Transfer モジュールを入れているなら、それを外すか無効にすることで緩和できます。サポートが終わった版を使っている場合は、サポート中の修正済みの版へ上げてください。

やることチェックリスト

• WS_FTP Serverの版番号を確認する
• 8.7.5か8.8.3の修正済みの版に更新する
• すぐ更新できなければAd Hocモジュールを無効にする

用語メモ

逆シリアル化

保存や送信のために一列に並べたデータを、もとのデータの形に戻す処理です。中身を確かめずに戻すと悪用されることがあります。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりに身代金を要求する不正なプログラムです。

KEV

米国の CISA が公開している、実際に悪用が確認された脆弱性の一覧です。