Trusted Design

CVE-2023-47246 の詳細

CVEの情報

説明:
In SysAid On-Premise before 23.3.36, a path traversal vulnerability leads to code execution after an attacker writes a file to the Tomcat webroot, as exploited in the wild in November 2023.

CVE更新日: 2023-11-10 06:15:30.510000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2023-11-13

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.988510000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2023-47246は、SysAidのオンプレミスITサービス管理システムに影響を与える、深刻度の高いゼロデイ脆弱性です。この脆弱性は、特にCL0Pランサムウェアグループに関連するLace Tempestなどの脅威アクターによって積極的に悪用されています。

1. 脆弱性の概要

1.1 影響

CVE-2023-47246は、パス・トラバーサルによって任意のコード実行を可能にする脆弱性です。攻撃者はこの脆弱性を悪用して、不正なアクセスを獲得し、システム内を移動し、コードを実行できます。具体的には、悪意のあるペイロード（Webシェルやその他のマルウェア）をアップロードし、システムの完全な制御を掌握します。これには、GraceWireトロイの木馬の注入、データ窃取、およびランサムウェア（CL0Pランサムウェアなど）の展開が含まれる可能性があります。

1.2 深刻度

この脆弱性にはCVSSスコア9.8（Critical）が割り当てられており、非常に深刻度が高いと評価されています。 実際に、2023年11月には実環境での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに限定されず、SysAidのオンプレミスITサービス管理システムに影響を与えます。

2.2 影響を受ける設定

SysAidオンプレミスソフトウェアのバージョン23.3.36より前のすべてのバージョンが影響を受けます。 この脆弱性は、SysAidの com.ilient.server.UserEntry クラスの doPost メソッドに存在し、accountID パラメータの操作を通じてパストラバーサルを発生させ、攻撃者がWebシェルを書き込む場所を決定できるようにします。

3. 影響を受けた時の兆候

以下は、システムがCVE-2023-47246によって侵害された可能性のある兆候です。

  • SysAid Tomcat Webルート（例: C:\Program Files\SysAidServer\tomcat\webapps\usersfiles\）内の不審なファイル、特にタイムスタンプが異常なWAR、ZIP、またはJSPファイル。
  • SysAid Tomcatサービスにおける不正なWebシェルファイルの存在。
  • Wrapper.exeからの予期しない子プロセスの生成。
  • PowerShellログにおける異常なPowerShellスクリプトの実行活動。
  • spoolsv.exe、msiexec.exe、svchost.exeなどの主要なプロセスにおける不正なコードインジェクションの兆候。
  • 既知のC2（Command and Control）サーバーのIPアドレス（例: GraceWire Loader C2の81.19.138.52、45.182.189.100、Cobalt Strike C2の179.60.150.34、Meshagentリモート管理ツールの45.155.37.105など）への接続。
  • 攻撃者による侵入痕跡を隠蔽するためのファイル削除などのクリーンアップ活動の証拠。
  • 特定のファイルのハッシュ値の検出（UserEntry.class, user.bin, user.exe, usersfiles.war）。

4. 推奨対策

4.1 本対策

SysAidオンプレミスソフトウェアをバージョン23.3.36以降に直ちにアップグレードしてください。

4.2 暫定回避策（緩和策）

  • SysAidサーバーをパブリックインターネットから隔離し、ネットワーク通信を必須の内部サービスのみに制限する。
  • データ窃取やコマンド＆コントロール通信を防ぐため、SysAidホストからのネットワーク出力フィルタリングを厳格に実施する。
  • Tomcat Webルート内での異常なファイル作成や変更、SysAidサービスアカウントから発信される予期しないプロセス実行に対する監視を強化する。
  • ネットワークの包括的な侵害評価を実施し、上記で挙げたIoC（Indicators of Compromise）の兆候がないか調査する。
  • SysAidサーバーへのフルアクセスが可能な認証情報や関連するアクティビティログを確認し、不審な活動がないことを検証する。

5. その他の解説すべき観点

  • 攻撃グループ: この脆弱性は、Lace Tempest（DEV-0950 / TA505）として知られる脅威アクターグループによって悪用されました。このグループは、CL0Pランサムウェアグループとの関連が指摘されています。
  • 攻撃のプロセス: 攻撃者はパストラバーサル脆弱性（CWE-35）を悪用し、Webシェルやその他のペイロードを含むWARアーカイブファイルをSysAid Tomcat WebサービスのWebルートにアップロードします。これにより、攻撃者は影響を受けるシステムに対する不正なアクセスと制御を獲得します。その後、Webシェルを介してPowerShellスクリプトを展開し、GraceWireマルウェアローダー（user.exe）を実行して、spoolsv.exe、msiexec.exe、svchost.exeなどの主要なシステムプロセスにマルウェアを注入します。

参照サイト:

NVDサイト

NVDでCVEの詳細を見る

戻る