最近の脆弱性 › CVE-2024-6670
Progress WhatsUp Gold のSQLインジェクションの脆弱性（CVE-2024-6670）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2024-6670 |
|---|---|
| 製品 | Progress WhatsUp Gold |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2024-09-16 |
| 米国政府機関の対応期限 | 2024-10-07 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-89 |
何が起きた
ネットワーク監視ソフト Progress WhatsUp Gold に、データベースへの命令に不正な文字列を混ぜ込まれてしまう弱点（SQL インジェクション）が見つかりました。ログインしていない攻撃者が、利用者の暗号化されたパスワードを取り出せるおそれがあります。CISA の KEV に載っており、実際の悪用が確認され、ランサムウェアでの悪用も確認されています。KEV の概要では、利用者が1人だけの設定の場合に起きるとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
2024.0.0 より前に出た WhatsUp Gold を使っている組織が影響を受けます。
何をすればいい
Progress の勧告に従い、WhatsUp Gold をできるだけ早く 2024.0.0 以降に更新してください。Progress によると、上げなければ弱点は残ったままです。20.0.2 以降からなら、24.0.0 に直接上げられます。
やることチェックリスト
- 使っている WhatsUp Gold のバージョンを調べる
- WhatsUp Gold を 2024.0.0 以降に更新する
- 2024.0.0 より前の版が残っていないか調べる
用語メモ
- SQL インジェクション
- データベースへの命令に、攻撃者が細工した文字列を混ぜて、想定外の操作をさせる攻撃です。
- ランサムウェア
- データを暗号化して使えなくし、元に戻すことと引き換えにお金を要求する不正なプログラムです。
元データ（英語・CISA KEV より）
Progress WhatsUp Gold SQL Injection Vulnerability
概要
Progress WhatsUp Gold contains a SQL injection vulnerability that allows an unauthenticated attacker to retrieve the user's encrypted password if the application is configured with only a single user.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.