CVE-2024-6670とは？Progress WhatsUp Goldの脆弱性をわかりやすく解説

ひとことでProgress WhatsUp Gold で、ログインなしに暗号化されたパスワードを取り出される弱点です。
深刻度9.8 緊急CVSS v3.1
まずやること使っている WhatsUp Gold のバージョンを調べる

基本情報（データから表示）

CVE番号	CVE-2024-6670
製品	Progress WhatsUp Gold
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-09-16
米国政府機関の対応期限	2024-10-07
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-89（SQLインジェクション）

何が起きた

ネットワーク監視ソフト Progress WhatsUp Gold に、データベースへの命令に不正な文字列を混ぜ込まれてしまう弱点（SQL インジェクション）が見つかりました。ログインしていない攻撃者が、利用者の暗号化されたパスワードを取り出せるおそれがあります。CISA の KEV に載っており、実際の悪用が確認され、ランサムウェアでの悪用も確認されています。KEV の概要では、利用者が1人だけの設定の場合に起きるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

2024.0.0 より前に出た WhatsUp Gold を使っている組織が影響を受けます。

何をすればいい

Progress の勧告に従い、WhatsUp Gold をできるだけ早く 2024.0.0 以降に更新してください。Progress によると、上げなければ弱点は残ったままです。20.0.2 以降からなら、24.0.0 に直接上げられます。

やることチェックリスト

使っている WhatsUp Gold のバージョンを調べる
WhatsUp Gold を 2024.0.0 以降に更新する
2024.0.0 より前の版が残っていないか調べる

用語メモ

SQL インジェクション用語集で見る: データベースへの命令に、攻撃者が細工した文字列を混ぜて、想定外の操作をさせる攻撃です。
ランサムウェア用語集で見る: データを暗号化して使えなくし、元に戻すことと引き換えにお金を要求する不正なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Progress WhatsUp Gold（CVE-2024-4885）9.8 緊急CVSS v3.1Progress WhatsUp Gold で、ログインなしに外からプログラムを動かされる弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Progress WhatsUp Gold SQL Injection Vulnerability

概要

Progress WhatsUp Gold contains a SQL injection vulnerability that allows an unauthenticated attacker to retrieve the user's encrypted password if the application is configured with only a single user.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Progress WhatsUp Gold のSQLインジェクションの脆弱性（CVE-2024-6670）