Progress Telerik Report Server の認証回避の脆弱性（CVE-2024-4358）

何が起きた

帳票（レポート）を管理するソフト Progress Telerik Report Server に、認証の回避（なりすましによるもの）の弱点が見つかりました。IIS 上で動かしている場合、ログインしていない攻撃者が、本来は制限された機能を使えてしまうおそれがあります。ネットワーク経由で、権限がなくても悪用でき、利用者の操作も必要ありません。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Progress Telerik Report Server のバージョン 2024 Q1（10.0.24.305）以前を使っている人・組織が対象です。

何をすればいい

メーカーは、2024 Q2（10.1.24.514）以降へ更新することが、この弱点を取り除く唯一の方法だとしています。すぐに更新できない場合は、一時的な対策として IIS の URL Rewrite を使った設定で攻撃の入り口をふさぐよう強くすすめています。また、ユーザーの一覧（{host}/Users/Index）に、自分で追加していないローカルユーザーがいないか確かめるよう求めています。あわせて公式の案内を確認してください。

やることチェックリスト

• Report Server を 10.1.24.514 以降に更新する
• すぐ更新できなければ URL Rewrite で対策する
• 身に覚えのないローカルユーザーがいないか確かめる

用語メモ

認証の回避

本来はログインなどの確認が必要な機能を、確認なしで使えてしまうことです。

IIS

Microsoft の Web サーバーのソフトです。

URL Rewrite

IIS の追加機能で、決まったアドレスへのアクセスを書き換えたり、止めたりできます。