Trusted Design

解説:

CVE-2024-50623について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2024-50623は、Cleo Harmony、VLTrader、およびLexiCom製品における、認証されていない無制限のファイルアップロードおよびダウンロードの脆弱性です。この脆弱性により、攻撃者は悪意のあるファイルをアップロードし、リモートで任意のコマンドを実行できるため、リモートコード実行 (RCE) につながる可能性があります。

1.1 影響

この脆弱性が悪用されると、攻撃者は認証なしで影響を受けるシステム上で任意のコードを実行でき、完全なシステム侵害につながる可能性があります。これにより、機密性、完全性、可用性が侵害される恐れがあります。Clopランサムウェアグループによるデータ窃取攻撃に悪用されたことが報告されており、システム偵察、ファイルの流出、コマンド実行を目的としたJavaバックドアをアップロードするために使用されています。

1.2 深刻度

CVSSスコアは8.8（Critical）と評価されており、CISA ADPによって割り当てられています。SentinelOneは「非常にクリティカル」と評価しています。この脆弱性は悪用が容易であるため、非常に重大とされています。CISAは、この脆弱性を既知の悪用された脆弱性カタログに追加しており、連邦政府機関にとって重大なリスクをもたらすと指摘しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに関する言及はありません。影響を受けるのはCleo製品のバージョンです。

2.2 影響を受ける設定

以下のCleo製品が影響を受けます。 * Cleo Harmony (バージョン 5.8.0.21 より前) * Cleo VLTrader (バージョン 5.8.0.21 より前) * Cleo LexiCom (バージョン 5.8.0.21 より前)

注記: バージョン 5.8.0.21 は不完全なパッチであり、依然として脆弱性が悪用される可能性があります。

3. 影響を受けた時の兆候

影響を受けた場合の兆候としては、以下が挙げられます。 * アップロードディレクトリ内に予期せぬファイルが存在する。 * ログに大量のファイルアップロードが記録されている。 * 不正なコマンド実行を示すログが見られる。 * 悪意のあるFreemarkerテンプレートの形式で、サーバーサイドJavaScriptを含む悪意のあるバックドアコードがCleo Harmony、VLTrader、LexiComインスタンスにインストールされる。 * /[cleo product]/temp ディレクトリに悪意のあるホストを含むランダムな名前のファイルが配置され、/autorun ディレクトリにインポートコマンドが配置される。 * これらのコマンドが悪意のあるIPアドレスからリバースシェル接続を確立しようとする。 * 異常なPowerShell実行など、システム上の異常な動作。

4. 推奨対策

4.1 本対策

• Cleoが提供するセキュリティパッチを適用してください。ただし、Cleo Harmony、VLTrader、LexiComのインスタンスを、利用可能な最新のパッチバージョンに直ちにアップグレードすることが強く推奨されます。現在、Cleoは新しいCVEと新しいパッチのリリースを準備中であると報告されています。

4.2 暫定回避策（緩和策）

• ファイルアップロードの権限を信頼できるソースのみに制限してください。
• より厳格な入力検証とファイル検査を実装してください。
• 既知の悪意のあるIPアドレスをネットワークレベルでブロックしてください。
• 影響を受けるシステムを隔離し、異常な動作（予期せぬPowerShellの実行など）を監視してください。
• SIEMやEDRを使用してこれらのイベントを監視することも有効です。

他に解説すべき観点

• 積極的な悪用: この脆弱性は、HuntressやCISAによって積極的に悪用されていることが確認されています。
• PoCの利用可能性: Proof of Concept (PoC) エクスプロイトが公開されており、悪用されるリスクが高い状態です。

---

参照したサイト

• SentinelOne: CVE-2024-50623: Cleo Harmony File Upload RCE Vulnerability
• Censys: December 10 Advisory: Unrestricted File Upload Vulnerability in Multiple Cleo File Transfer Products [CVE-2024-50623]
• CISA: CISA Adds One Known Exploited Vulnerability to Catalog
• CVE Record: CVE-2024-50623
• Cleo: Cleo Product Security Advisory - CVE-2024-50623
• CyRisk: Mitigating CVE-2024-50623: Unrestricted File Upload and Download Vulnerability in Cleo Products
• Tenable®: CVE-2024-50623
• Codebook｜Security News: ファイル転送ソフトのCleoで重大な脆弱性が悪用される(CVE-2024-50623)
• Macnica security blog: Cleo の脆弱性 CVE-2024-50623 が標的：洗練された Java バックドアを検出
• Help Net Security: Attackers actively exploiting flaw(s) in Cleo file transfer software (CVE-2024-50623)
• Recorded Future: Cleo MFT Vulnerability CVE-2024-50623: Critical RCE Risk
• SOC Prime: CVE-2024-50623 Detection: Attackers Actively Exploit a RCE Vulnerability in Cleo Harmony, VLTrader, and LexiCom File Transfer Products
• Codebook｜Security News: Clopランサムウェア、Cleo製品のゼロデイ使ったデータ窃取攻撃の実施認める（CVE-2024-50623）
• Avertium: Critical CVE-2024-50623: Cleo Vulnerability Patch Alert
• 安全客: 攻击者主动利用Cleo 文件传输软件（CVE-2024-50623）中的漏洞
• 阿里云漏洞库: 高危Cleo Synchronization 任意ファイル読み取りアップロード脆弱性（CVE-2024-50623）
• Macnica security blog: Cleo の脆弱性 CVE-2024-50623 の悪用：Clop ランサムウェア・グループの犯行が濃厚
• GitHub: POC - CVE-2024-50623- Cleo Unrestricted file upload and download
• GitHub: Cleo Unrestricted file upload and download PoC (CVE-2024-50623)
• Impress Watch: OSを脆弱性のある古い状態へ巻き戻す「Windows Downdate」攻撃、Kasperskyなどが注意喚起
• Reddit: インシデント：現在、脅威アクターがCleoサーバーを大量に悪用中 ...