ハッカーが進行中の攻撃でShowDocの重大なRCE脆弱性を悪用

サイバーセキュリティ研究者は、ITチーム向けに設計された広く使用されているオンラインドキュメント共有プラットフォームであるShowDocの重大な脆弱性を指摘しています。

CNVD-2020-26585として追跡されているこの深刻なセキュリティ欠陥により、侵害されたサーバー上で認証されていないリモートコード実行（RCE）が可能になります。

この脆弱性は、内部コラボレーション用にソフトウェアの古いバージョンに依存している組織に大きなリスクをもたらします。これは、攻撃者がホストシステムを完全に乗っ取ることを可能にするからです。

Vulhubリポジトリで公開されている技術文書および概念実証エクスプロイトによると、この脆弱性は無制限のファイルアップロード機構に根ざしています。

バージョン2.8.7より前のShowDocは、ユーザーがアップロードしたファイルを適切に検証およびサニタイズできません。アプリケーションがアップロードエンドポイントへのアクセスに認証を必要としないため、遠隔の脅威アクターは簡単にセキュリティフィルターをバイパスして、悪意のあるファイルをサーバーに直接アップロードできます。

セキュリティアナリストは、この脆弱性の悪用が危険なほど単純で、ほとんど技術的な知識を必要としないことを実証しています。

脅威アクターは、アプリケーションの画像アップロードシステムに特別に作成されたHTTP POSTリクエストを送信することで、攻撃を開始できます。

エクスプロイトの技術的な詳細は、次のステップを含みます：

• 攻撃者は、アップロードプロセスを開始するために/index.php?s=/home/page/uploadImg ディレクトリをターゲットにします。
• PHPウェブシェルなどの悪意のあるペイロードは、基本的なファイル拡張子の操作を使用して偽装されます。たとえば、攻撃者はファイル名に角括弧を挿入します（test.<>phpなど）。弱い拡張子チェックをバイパスするためです。
• 脆弱なShowDocアプリケーションは、ファイルタイプをサニタイズせずにリクエストを処理し、新しくアップロードされたファイルへの直接URLで応答します。
• 攻撃者はこの正確なウェブアドレスに移動して、悪意のあるスクリプトをトリガーし、任意のコード実行権限を取得します。

このエクスプロイトは事前の認証を一切必要としないため、脆弱なShowDocインスタンスへのネットワークアクセスを持つ任意の脅威アクターが攻撃を開始できます。

ウェブシェルが正常にデプロイされると、ハッカーはシステムレベルのコマンドを実行したり、非常に機密性の高いITドキュメントを盗んだり、他の内部ネットワークアセットにピボットしたり、ランサムウェアなどの二次的なペイロードをデプロイしたりできます。

Vulhubで共有されている概念実証は、コマンドがシームレスに実行されることを確認し、この欠陥の深刻な影響を強調しています。

この重大なRCE脆弱性からネットワークインフラを保護するため、ITおよびセキュリティチームは直ちに防御措置を実施する必要があります。

軽減および修復戦略は以下を含みます：

• すべてのShowDocデプロイメントを直ちにバージョン2.8.7以降にアップグレードします。これには、この欠陥の公式セキュリティパッチが含まれています。
• 内部ドキュメント共有プラットフォームへのパブリックインターネットアクセスを、セキュアなVPNの背後に配置することで制限します。
• Web Application Firewall（WAF）をデプロイして、画像アップロードディレクトリをターゲットにした疑わしいPOSTリクエストを自動的に検出およびブロックします。
• 異常なファイル拡張子、予期しないPHP実行、またはアップロードエンドポイントへの不正なアクセスについてサーバーログを積極的に監視します。