ProjectSend ProjectSend の認証の不備の脆弱性（CVE-2024-11680）

何が起きた

ファイルを受け渡すためのソフト ProjectSend に、ログインの確認が正しく行われない弱点が見つかりました。攻撃者は options.php に細工した通信を送ることで、ソフトの設定を書き換えられます。悪用されると、アカウントを作られたり、Web シェルを置かれたり、悪意のある JavaScript を埋め込まれたりするおそれがあります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用でき、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ProjectSend を自分のサーバーに入れて使っている人や組織が対象です。NVD の説明では、r1720 より前の版が影響を受けます。

何をすればいい

ProjectSend の公式の案内を確認してください。r1720 より前が影響を受けるため、r1720 以降に更新されているか確認してください。CISA は、メーカーの案内に従って対策し、対策できない場合は利用をやめるよう求めています。

やることチェックリスト

• ProjectSend の版を確認する
• r1720 以降に更新する
• 対策できなければ利用を中止する

用語メモ

Web シェル

サーバーに置かれる不正なプログラムで、攻撃者がブラウザーなどからサーバーを操作するために使います。

JavaScript

Web ページの中で動くプログラムの言語です。悪用されると、ページを見た人のブラウザーで不正な処理が動くことがあります。

アカウント

サービスを使うための利用者の登録情報です。