Qlik Sense のパストラバーサルの脆弱性（CVE-2023-41266）

何が起きた

データ分析ソフト Qlik Sense Enterprise for Windows に、パストラバーサルの弱点が見つかりました。細工した HTTP の要求を送ると、ログインしていない攻撃者が匿名のセッションを作り、本来アクセスできないエンドポイントに要求を送れてしまいます。実際に悪用が確認されており、ランサムウェアでの悪用も確認されています。Qlik は、CVE-2023-41265 と組み合わせて悪用されると、ログインなしで遠くからプログラムを実行されるなど、サーバーが乗っ取られるおそれがあると説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Qlik Sense Enterprise for Windows の May 2023 Patch 3 以前、February 2023 Patch 7 以前、November 2022 Patch 10 以前、August 2022 Patch 12 以前を使っている組織が影響を受けます。

何をすればいい

Qlik の案内に従い、August 2023 IR、May 2023 Patch 4、February 2023 Patch 8、November 2022 Patch 11、August 2022 Patch 13 のいずれか以降に更新されているか確認します。Qlik は、常に最新のパッチに更新し、必要なパッチが適用済みか確認するよう勧めています。公式の案内を確認し、パッチが適用済みか確かめてください。

やることチェックリスト

• Qlik Senseを修正済みのパッチ以降に更新する
• 利用中の系列で最新のパッチを適用する
• パッチが適用済みかどうかを確認する

用語メモ

パストラバーサル

ファイルや場所を指定する部分を細工して、本来は入れない場所にたどり着く攻撃です。

セッション

サーバーが、接続してきた相手を一定の間覚えておくための仕組みです。

エンドポイント

プログラムがサーバーとやり取りするときに使う、決まった入口のことです。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。