Qlik Sense の脆弱性（CVE-2023-41265）

何が起きた

データ分析ソフト Qlik Sense Enterprise for Windows に、HTTPトンネリングの弱点が見つかりました。HTTP の要求の中に別の要求を紛れ込ませることで、攻撃者が権限昇格を行い、ソフトが動いているバックエンドサーバーに要求を実行させることができます。実際に悪用が確認されており、ランサムウェアでの悪用も確認されています。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。Qlik は、CVE-2023-41266 と組み合わせて悪用されると、ログインなしで遠くからプログラムを実行されるなど、サーバーが乗っ取られるおそれがあると説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Qlik Sense Enterprise for Windows の May 2023 Patch 3 以前、February 2023 Patch 7 以前、November 2022 Patch 10 以前、August 2022 Patch 12 以前を使っている組織が影響を受けます。

何をすればいい

Qlik の案内に従い、August 2023 IR、May 2023 Patch 4、February 2023 Patch 8、November 2022 Patch 11、August 2022 Patch 13 のいずれか以降に更新されているか確認します。Qlik は、常に最新のパッチに更新し、必要なパッチが適用済みか確認するよう勧めています。公式の案内を確認し、パッチが適用済みか確かめてください。

やることチェックリスト

• Qlik Senseを修正済みのパッチ以降に更新する
• 利用中の系列で最新のパッチを適用する
• パッチが適用済みかどうかを確認する

用語メモ

HTTPトンネリング

HTTP の要求の中に別の要求を隠して送り、本来届かない先まで通してしまう攻撃の手法です。

権限昇格

本来持っていない、より強い権限を不正に手に入れることです。

バックエンドサーバー

利用者からは直接見えない裏側で、データの処理などを受け持つサーバーです。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。