シノプシス ソフトウェア・インテグリティ・グループはブラック・ダックになりました 詳細はこちら

close search bar

申し訳ありませんが、この言語ではまだご利用いただけません

close language selection

[CyRC脆弱性勧告]OpenTSDBの脆弱性CVE-2023-25826およびCVE-2023-25827

Jamie Harris

Jul 30, 2023 / 1 min read

概要

Black Duck Cybersecurity Research Center(CyRC)は、OpenTSDB内でリモート・コマンド実行の脆弱性(CVE-2023-25826)と反射型クロスサイト・スクリプティング(XSS)の脆弱性(CVE-2023-25827)を発見しました。OpenTSDBは、Apache HBase上で動作し、時間ベースのメトリクスを大規模に管理、クエリ、表示するための分散時系列データベース(TSDB)です。

CVE-2023-25826:レガシーHTTPクエリAPIに渡されるパラメータの検証が不十分なため、細工したOSコマンドを複数のパラメータに挿入し、OpenTSDBホスト・システム上で悪意のあるコードを実行することが可能な状態です。このエクスプロイトは、この脆弱性が以前にCVE-2020-35476として公開されたときに行われた修正の不備が原因になっています。クエリAPIへの入力許可を制限するために実装された正規表現検証が意図したとおりに機能せず、細工されたコマンドで検証をバイパスできるようになっています。

CVE-2023-25827:レガシーHTTPクエリAPIとログ・エンドポイントによるエラー・メッセージに反映されるパラメータの検証が不十分なため、対象となるOpenTSDBユーザーのブラウザ内に悪意のあるJavaScriptが挿入され、実行される可能性があります。この問題の原因は、サジェスチョン・エンドポイントに反映されたXSS脆弱性(CVE-2018-13003)と同じです。


エクスプロイト

CVE-2023-25826:レガシーHTTPクエリAPI(「/q」エンドポイント)にリクエストを指定すると、細工されたシステム・コマンドが「key」、「style」、「smooth」パラメータに挿入され、検証手段をバイパスする可能性があります。リクエストが送信されると、パラメータがグラフ生成シェル・スクリプトに渡され、指定されたコマンドが実行されます。

CVE-2023-25827:悪意のあるURLが作成され、被害者に送られる可能性があります。その場合、レガシーHTTPクエリAPI(「/q」エンドポイント)およびロギングのエンドポイント「/logs」でリクエスト・エラーが発生します。「/q」の「start」、「end」、「m」、「key」パラメータ、および「/logs」の「level」パラメータに任意のJavaScriptを挿入できます。被害者が細工されたURLにアクセスすると、URLに含まれているJavaScriptが結果のエラー・メッセージに反映され、ブラウザ内で実行されます。

影響のあるソフトウェア

  • OpenTSDBバージョン1.0.0~2.4.1

影響

CVE-2023-25826が悪用されると、OpenTSDBアプリケーションの権限内でホスト・システムによって実行される任意のOSコマンドが挿入される可能性があります。

CVE-2023-25827が悪用されると、標的となったユーザーのブラウザ内で任意のJavaScriptが実行され、攻撃者がブラウザに保存されている設定済みの認証トークンやセッションCookieなどの機密情報を盗むことが可能になります。

CVE-2023-25826

CVE-2023-25827

発見者

上記の脆弱性はCyRCのリサーチャーであるJamie Harrisによって発見されました。

タイムライン

2023年1月27日:初回の開示と確認

2023年2月21日:初回のフォローアップ

2023年3月8日:2回目のフォローアップ

2023年3月29日:最終フォローアップ

2023年4月11日:OpenTSDBが修正を提供

2023年4月12日:Synopsysが修正を確認

2023年5月3日:CVEの公開

CVSSについて

FIRST.Org, Inc.(FIRST)は、CVSSを所有および管理する米国を拠点とする非営利団体です。CVSSを利用または実装するために、FIRSTのメンバーである必要はありませんが、FIRSTでは、CVSSを利用する個人または組織に対して適切な帰属を示すよう求めています。FIRSTはまた、スコアを公開する個人または組織は、スコアの算出方法を誰もが理解できるように、ガイドラインに従うことを明記しています。

この投稿に関連するタグ セキュリティに関するニュースとリサーチ.

Continue Reading

トピックを探索する