Rejetto HTTP File Server の脆弱性（CVE-2024-23692）

何が起きた

ファイルを共有するソフト Rejetto HTTP File Server（HFS）に、テンプレートインジェクションと呼ばれる弱点が見つかりました。攻撃者は細工した HTTP の要求を送るだけで、サーバー上で好きな命令（任意のコマンド）を実行できる可能性があります。ネットワーク経由で、ログインしていない攻撃者でも悪用でき、利用者の操作も必要ありません。実際の悪用が確認されており、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Rejetto HTTP File Server のバージョン 2.3m までを使っている人・組織が対象です。CVE の記録によると、HFS 2.3m は番号が割り当てられた時点でサポートが終わっています。メーカーのサイトでは、バージョン 2.3 から 2.4 は危険で使うべきではなく、バージョン 3 はこの弱点の影響を受けないと説明されています。

何をすればいい

メーカーのサイトによると、バージョン 2 には公式の修正がありません。バージョン 2 を使っている場合は使うのをやめ、影響を受けないバージョン 3 に移るか、別のソフトに置き換えてください。CISA も、対策ができない場合は製品の使用をやめるよう求めています。あわせて公式の案内を確認してください。

やることチェックリスト

• HFS のバージョン 2 を使っていないか調べる
• バージョン 2 の HFS は使うのをやめる
• 影響を受けないバージョン 3 か別の製品に移す

用語メモ

テンプレートインジェクション

画面などを作るためのひな形（テンプレート）に、攻撃者が仕掛けた命令を混ぜ込んで実行させる攻撃です。

HTTP

Web ブラウザと Web サーバーがやりとりするときの決まりごと（通信の方式）です。

ランサムウェア

ファイルを使えなくして、元に戻す代わりにお金を要求する不正なプログラムです。