ServiceNow Utah, Vancouver, and Washington DC Now Platform の脆弱性（CVE-2024-4879）

何が起きた

ServiceNow の Now Platform で、UI マクロという画面部品の中の Jelly テンプレートに、外から細工した内容を入れ込める弱点（テンプレートインジェクション）が見つかりました。悪用されると、ログインしていない攻撃者が、離れた場所から Now Platform の中で任意の（攻撃者が好きに選べる）プログラムを実行できるおそれがあります。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ServiceNow の Now Platform の Utah、Vancouver、Washington DC の各リリースを使っている組織が対象です。ServiceNow が管理するクラウド上のインスタンスにはメーカーが更新を適用済みで、パートナーや自社で運用している（セルフホスト）利用者向けにも更新が出されています。CVE の記録では、パッチの系列ごとに、Utah Patch 10 Hot Fix 3、Vancouver Patch 6 Hot Fix 2、Washington DC Patch 1 Hot Fix 2b などより前のものが影響を受けるとされています。

何をすればいい

自社で運用している場合は、使っているリリースに合ったパッチやホットフィックス（Utah Patch 10 Hot Fix 3、Vancouver Patch 6 Hot Fix 2、Washington DC Patch 1 Hot Fix 2b など）が当たっているか確認してください。メーカーは、まだなら早めにセキュリティパッチを当てるよう勧めています。ServiceNow の公式の案内（KB1645154、KB1644293）を確認し、対策ができない場合は使用の中止も検討してください。

やることチェックリスト

• 自社運用のリリースとパッチの番号を確認する
• KB1645154の表にある修正版を当てる
• まだならセキュリティパッチを早めに当てる

用語メモ

テンプレートインジェクション

画面を作るためのひな形（テンプレート）に、攻撃者が細工した命令を入れ込み、サーバー側で実行させる攻撃です。

ホットフィックス

特定の不具合や弱点を直すために、通常の更新とは別に急いで出される小さな修正プログラムです。

セルフホスト

メーカーのクラウドではなく、利用者が自分の環境にソフトウェアを置いて運用することです。