Trusted Design

CVE-2020-29574 の詳細

CVEの情報

説明:
An SQL injection vulnerability in the WebAdmin of Cyberoam OS through 2020-12-04 allows unauthenticated attackers to execute arbitrary SQL statements remotely.

CVE更新日: 2020-12-11 17:15:13.480000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2025-02-06

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.046960000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-29574について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2020-29574は、Cyberoam OSのWebAdminにおけるSQLインジェクションの脆弱性です。認証されていない攻撃者がリモートで任意のSQL文を実行できる可能性があります。 この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実世界での悪用が確認されています。

1.1 影響

  • 機密性への影響: 高
  • 完全性への影響: 高
  • 可用性への影響: 高

この脆弱性が悪用されると、システム上に認識されないアカウントが作成される可能性があります。

1.2 深刻度

  • CVSS v3 基本スコア: 9.8 (Critical - 緊急)

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Cyberoam OS (2020-12-04までのバージョン)

2.2 影響を受ける設定

WebAdminが利用可能な環境で影響を受けます。特定の追加設定に関する情報は見当たりませんでした。

3. 影響を受けた時の兆候

  • システム上に認識されない、または不正なアカウントが作成される。
  • WebAdminからの不正なデータアクセスや改ざん、サービス停止などの異常な動作。

4. 推奨対策

4.1 本対策

  • 直ちにパッチを適用するか、システムを隔離してください。
  • Sophosからホットフィックスがリリースされています。

4.2 暫定回避策（緩和策）

  • パッチ適用が困難な場合は、緊急措置として影響を受けるシステムをネットワークから隔離することを検討してください。 明確な暫定回避策についての詳細な情報は見当たりませんでした。

その他解説すべき観点

  • CWE (共通脆弱性タイプ一覧): CWE-89 (Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') - SQLコマンドに用いられる特殊な要素の不適切な無害化（SQLインジェクション）)
  • EPSS (Exploit Prediction Scoring System) 悪用確率: 4.7%
  • CISAによる修正期限: 2025年2月27日 (Known Exploited Vulnerabilitiesにリストされているシステムの場合)

参照元サイト

NVDサイト

NVDでCVEの詳細を見る

戻る