Qlik Sense の脆弱性（CVE-2023-48365）

何が起きた

Qlik Sense Enterprise for Windows で、HTTP のヘッダーの確認が不十分なため、攻撃者が HTTP の要求を別の要求の中に紛れ込ませる（HTTP トンネリング）ことができる弱点が見つかりました。これにより権限を上げ、リポジトリのアプリケーションを動かす裏側のサーバーに HTTP の要求を実行できます。この弱点は実際に悪用され、ランサムウェアでの悪用も知られています。NVD の説明と Qlik の記事の概要では、ログインしていない攻撃者がコードを実行できるおそれがあるとされています。一方、NVD の評価の条件と Qlik の評価では、攻撃に一般利用者程度の権限が必要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Qlik Sense Enterprise for Windows を使っている組織が対象です。Qlik の情報では、August 2023 Patch 1、May 2023 Patch 5、February 2023 Patch 9、November 2022 Patch 11、August 2022 Patch 13、May 2022 Patch 15、February 2022 Patch 14、November 2021 Patch 16 と、それ以前のすべてのバージョンが影響を受けます。この弱点は、CVE-2023-41265 の修正が不完全だったために残ったものです。

何をすればいい

使っている系列に合わせて、November 2023 IR、August 2023 Patch 2、May 2023 Patch 6、February 2023 Patch 10、November 2022 Patch 12、August 2022 Patch 14、May 2022 Patch 16、February 2022 Patch 15、November 2021 Patch 17 以降に更新してください。Qlik は、常に最新のパッチに更新するよう案内しています。これらのパッチには CVE-2023-41265 と CVE-2023-41266 の修正も含まれます。Qlik の公式の案内も確認してください。

やることチェックリスト

• 使っている系列の修正パッチ以降に更新する
• August 2023 系列は Patch 2 以降に更新する
• 最新のパッチが当たっているか確認する

用語メモ

HTTP トンネリング

HTTP の要求の中に別の要求を紛れ込ませ、本来は届かない場所へ要求を通してしまう手口です。

ランサムウェア 用語集で見る

データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。