認証を必要としないSQLインジェクションの欠陥は、特定のサーバー構成においてリモートコード実行につながる可能性がある
セキュリティ研究者らは、地理空間データの管理・公開に使われるオープンソースのWebサーバー「GeoServer」において、現在まだパッチが提供されていないSQLインジェクションの脆弱性を攻撃者が悪用しようとしている証拠を確認しています。
このソフトウェアは、政府機関、防衛、科学、教育、工学、テクノロジーなど幅広い業界の組織で利用されており、過去にもハッカーの標的となってきました。
あるバグバウンティハンターは、水曜日にこの脆弱性をX上でゼロデイとして公開しました。その投稿によれば、jsonArrayContains関数に脆弱性が存在し、認証されていないユーザーがデータベースにSQLコマンドを注入できるとしています。
データベースがMicrosoft SQL Server上で管理者権限で稼働している場合、そのアカウントはシステム上でコマンドを実行する権限も持つため、SQLインジェクションはリモートコード実行の経路となってしまいます。別のユーザーもX上で、デフォルトではない構成においてこの欠陥を再現できたことを確認しています。
「公開されてから数時間以内に、私たちは悪用の試みを観測し始め、その後、少数の送信元IPアドレスから発信された数百件の試行を記録しています」と、セキュリティ企業watchTowrの研究者らは木曜日、CSOに対しメールで語りました。「脆弱性が一度公になると、攻撃者がいかに素早く動くかを示すまた一つの事例です」
これまでのところ、研究者らは悪意あるペイロードやコマンドが送信された形跡は確認しておらず、現時点での試みは脆弱なGeoServerインスタンスを特定するための偵察に近いものと見られます。しかし、この状況は今後変わる可能性が高いでしょう。GeoServerは、そのユーザーが高価値な標的と見なされることが多いため、これまでにも悪用された実績があります。
パッチが提供されるまでの間、GeoServerを運用している組織は、インターネットに公開されているインスタンスを洗い出し、外部からのアクセスを制限すべきです。また、すでに悪用が発生していないか、ログを確認しておくことも重要です。
