最近の脆弱性 › CVE-2024-5217
ServiceNow Utah, Vancouver, and Washington DC Now Platform の脆弱性（CVE-2024-5217）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2024-5217 |
|---|---|
| 製品 | ServiceNow Utah, Vancouver, and Washington DC Now Platform |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2024-07-29 |
| 米国政府機関の対応期限 | 2024-08-19 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-184 |
何が起きた
ServiceNow の Now Platform で、GlideExpression というスクリプトの部分に、禁止すべき入力のリストが不十分な弱点が見つかりました。このため、ログインしていない利用者が、Now Platform の中で好きなプログラムを動かせる（リモートコード実行）おそれがあります。ネットワーク経由で、ログイン不要の攻撃者が悪用できます。この弱点は、実際の攻撃での悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
ServiceNow の Now Platform のうち、Washington DC、Vancouver、それより前のリリース（Utah など）を使っている組織です。CVE の記録では、たとえば Washington DC Patch 4 より前、Vancouver Patch 10 より前などが対象として挙がっています。
何をすればいい
ServiceNow の KB1648313 に従い、2024年6月に公開されたパッチやホットフィックスを、まだならできるだけ早くインスタンスに適用してください。修正版は系列ごとにあり、たとえば Washington DC は Patch 1 Hot Fix 3b、Patch 2 Hot Fix 2、Patch 3 Hot Fix 2、Patch 4、Patch 5、Vancouver は Patch 6 Hot Fix 2 から Patch 10 まで、Utah は Patch 10 Hot Fix 3 などです。修正は累積なので、それより後のリリースにも入っています。
やることチェックリスト
- 使っているリリースとパッチの番号を確かめる
- KB1648313の表にある修正版を当てる
- 2024年6月のパッチをインスタンスに適用する
用語メモ
- インスタンス
- ServiceNow で、組織ごとに用意される個別の環境のことです。
- ホットフィックス
- 特定の問題をすぐに直すために出される、小さな修正プログラムです。
- リモートコード実行
- 離れた場所にいる攻撃者が、相手の機器で好きなプログラムを動かせてしまうことです。
元データ（英語・CISA KEV より）
ServiceNow Incomplete List of Disallowed Inputs Vulnerability
概要
ServiceNow Washington DC, Vancouver, and earlier Now Platform releases contain an incomplete list of disallowed inputs vulnerability in the GlideExpression script. An unauthenticated user could exploit this vulnerability to execute code remotely.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.