• ひとことでQlik Senseで、ログインなしに匿名の利用者として入り込まれる弱点
  • 深刻度6.5 警告CVSS v3.1
  • まずやることQlik Senseを修正済みのパッチ以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2023-41266
製品Qlik Sense
深刻度（CVSS）6.5 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
KEVへの追加日2023-12-07
米国政府機関の対応期限2023-12-28
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-20（入力の確認の不備）

何が起きた

データ分析ソフト Qlik Sense Enterprise for Windows に、パストラバーサルの弱点が見つかりました。細工した HTTP の要求を送ると、ログインしていない攻撃者が匿名のセッションを作り、本来アクセスできないエンドポイントに要求を送れてしまいます。実際に悪用が確認されており、ランサムウェアでの悪用も確認されています。Qlik は、CVE-2023-41265 と組み合わせて悪用されると、ログインなしで遠くからプログラムを実行されるなど、サーバーが乗っ取られるおそれがあると説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したHTTPの要求を送る → 2. ログインなしで匿名のセッションを作る → 3. 権限のないエンドポイントに要求を送る1攻撃者が細工したHTTPの要求を送る2ログインなしで匿名のセッションを作る3権限のないエンドポイントに要求を送る攻撃の流れ: 1. 攻撃者が細工したHTTPの要求を送る → 2. ログインなしで匿名のセッションを作る → 3. 権限のないエンドポイントに要求を送る1攻撃者が細工したHTTPの要求を送る2ログインなしで匿名のセッションを作る3権限のないエンドポイントに要求を送る攻撃の流れ: 1. 攻撃者が細工したHTTPの要求を送る → 2. ログインなしで匿名のセッションを作る → 3. 権限のないエンドポイントに要求を送る1攻撃者が細工したHTTPの要求を送る2ログインなしで匿名のセッションを作る3権限のないエンドポイントに要求を送る

誰が影響を受ける

Qlik Sense Enterprise for Windows の May 2023 Patch 3 以前、February 2023 Patch 7 以前、November 2022 Patch 10 以前、August 2022 Patch 12 以前を使っている組織が影響を受けます。

何をすればいい

Qlik の案内に従い、August 2023 IR、May 2023 Patch 4、February 2023 Patch 8、November 2022 Patch 11、August 2022 Patch 13 のいずれか以降に更新されているか確認します。Qlik は、常に最新のパッチに更新し、必要なパッチが適用済みか確認するよう勧めています。公式の案内を確認し、パッチが適用済みか確かめてください。

やることチェックリスト

  • Qlik Senseを修正済みのパッチ以降に更新する
  • 利用中の系列で最新のパッチを適用する
  • パッチが適用済みかどうかを確認する

用語メモ

パストラバーサル 用語集で見る
ファイルや場所を指定する部分を細工して、本来は入れない場所にたどり着く攻撃です。
セッション 用語集で見る
サーバーが、接続してきた相手を一定の間覚えておくための仕組みです。
エンドポイント 用語集で見る
プログラムがサーバーとやり取りするときに使う、決まった入口のことです。
ランサムウェア 用語集で見る
データを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。

次に読む

同じ製品・メーカーの脆弱性Qlik Sense（CVE-2023-48365）9.9 緊急CVSS v3.1Qlik Sense で、HTTP の要求をすり抜けさせて裏側のサーバーを操作される弱点です同じ製品・メーカーの脆弱性Qlik Sense（CVE-2023-41265）9.9 緊急CVSS v3.1Qlik Senseで、細工した要求で裏側のサーバーに命令を通される弱点基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Qlik Sense Path Traversal Vulnerability

概要

Qlik Sense contains a path traversal vulnerability that allows a remote, unauthenticated attacker to create an anonymous session by sending maliciously crafted HTTP requests. This anonymous session could allow the attacker to send further requests to unauthorized endpoints.

推奨対応

Apply remediations or mitigations per vendor instructions or discontinue use of the product if remediation or mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る