ゼロデイ攻撃に悪用されるMOVEit Transferの重大な脆弱性（CVE-2023-34362）

米国時間2023年6月8日に掲載されたフォーティネットブログの抄訳です。

影響を受けるプラットフォーム：　SQLデータベースが動作し、パッチが未適用のあらゆるMOVEit Transferバージョン
影響を受けるユーザー：　　　　　脆弱なバージョンのMOVEit Transferを使用しているあらゆる組織
影響：　　　　　　　　　　　　　リモートの攻撃者によるバックドアのインストールやデータの流出
深刻度：　　　　　　　　　　　　高

FortiGuard Labsは、セキュアマネージドファイル転送（MFT）ソフトウェアのMOVEitに重大なSQLインジェクションのゼロデイ脆弱性（CVE-2023-34362）が存在すると認識しています。MOVEitは、Cl0pランサムウェアの脅威アクターに悪用されていると言われています。政府、金融、メディア、航空、医療関連の有名な組織が被害を受け、データが流出したり窃取されたりしたことが報告されています。

その深刻度の高さから、CISAは2023年6月1日、この脆弱性に関する勧告を発表しました。さらに6月2日には、悪用された既知の脆弱性カタログを更新し、CVE-2023-34362を追加しました。

このブログでは、CVE-2023-34362について知っておくべき情報をお伝えします。さらに詳細な情報については、関連するFortiGuard Labsアウトブレイクアラートをご覧ください。

MOVEit Transferとは

MOVEit Transferは、市販されているセキュアマネージドファイル転送ソフトウェアで、SFTP、SCP、およびHTTPベースのアップロードを使用して、組織と顧客との間で安全にファイルを転送することができます。

CVE-2023-34362とは

MOVEit Transferには、SQLインジェクションに対する脆弱性があります。この脆弱性によって、未認証の攻撃者にMOVEit Transferのデータベースへのアクセスを許してしまう可能性があります。SQL（Structured Query Language：構造化照会言語）では、リレーショナルデータベースに対してクエリやコマンドを実行できます。インジェクション脆弱性を利用すると、攻撃者はSQLクエリを操作してシステムをエクスプロイトし、データを取得または変更することができます。

その場合、攻撃者は本来ならばセキュリティで保護されているはずのデータベースからデータを取得し、独自のSQLクエリを実行し、データの変更や削除を行います。この脆弱性は、MOVEitの2021.0.6（13.0.6）以前のバージョンと、2021.1.4（13.1.4）、2022.0.4（14.0.4）、2022.1.5（14.1.5）、2023.0.1（15.0.1）、さらには次のエンジンを使用して実際のデータベースをホストしているバージョンに影響します。MySQL（オープンソースのリレーショナルデータベース管理システム）、Microsoft SQL Server（Microsoftのオンプレミスリレーショナルデータベース管理システム）、Azure SQL（Microsoftのクラウドベースリレーショナルデータベース管理システム）

報告によると、バックドアとして機能するWebシェルがインストールされ、エクスプロイトが成功するとデータが漏洩されます。ただし、次のセクションで説明するように、攻撃者はエクスプロイト後に任意のファイルを配信することができます。

本ブログの執筆時点において、この脆弱性にはCVSSスコアによる判定も必要とされています。

インストールされたWebシェルの動作

CVE-2023-34362のエクスプロイト後にインストールされたと思われるWebシェルバックドアを調査した結果、バックドアに対するすべてのコマンドは、追加のHTTPリクエストヘッダーを介して送信されることが判明しました。攻撃者を検証し、バックドアへのアクセスを許可するには、パスワードが必要です。パスワードは「X-siLock-Comment」ヘッダーと共に送信されます。パスワードが無効な場合、バックドアは404 HTTPステータスコードを返します。これはバックドアの存在を隠すためです。

FortiGuard Labsは、以下のようなWebシェルの攻撃フローも突きとめました。

1.     サービスアカウントを削除する。HTTPリクエストヘッダーには以下が含まれます。

• X-siLock-Comment：[パスワード]
• X-siLock-Step1：-2

「X-siLock-Step1」ヘッダーで「-2」が送信されると、バックドアはデータベース内の「user」テーブルから「Health Check Service」という名前のユーザーを削除します。

2.     データベースファイルをリストに表示する。HTTPリクエストヘッダーには以下が含まれます。

• X-siLock-Comment：[パスワード]
• X-siLock-Step1：-1

「X-siLock-Step1」ヘッダーで「-1」が送信されると、バックドアはデータベース内のファイルをリストに表示します。ファイルのリストには、ファイルメタデータも含まれています。ファイルのID、名前、サイズ、ファイルの場所（フォルダパス）、ファイルの所有者、ファイルをアップロードしたユーザーも表示されます。さらに、ファイルが関連付けられている組織もリストに含まれます。

3.     新規サービスアカウントを作成する。HTTPリクエストヘッダーには以下が含まれます。

• X-siLock-Comment：[パスワード]
• X-siLock-Step1：[任意の組織ID]

「X-siLock-Step1」ヘッダーで「-1」および「-2」以外の整数値が送信されると、バックドアはその整数値を組織IDと見なします。攻撃フローのステップ2でデータベースファイルがリストに表示されると、そこから組織IDを列挙することができます。攻撃者は、特定の組織の新規サービスアカウントを作成しようとします。攻撃フローのステップ1が成功したことを確認するために、このコマンドはまず、その組織に所属しており、セッションがアクティブで権限レベル「30」のユーザーを探します。「Health Check Service」という名前のアカウントが存在しない場合、バックドアは16桁のランダムな英数字から成る新しいユーザー名を作成します。次に、指定された組織の新しいHealth Check Serviceアカウントとして、そのユーザー名を挿入します。そして、このサービスアカウントはローカルであると想定されるため、IPアドレス127.0.0.1を使用して、現在アクティブなセッションのリストにそのアカウントを追加します。

4.     任意のファイルをダウンロードする。HTTPリクエストヘッダーには以下が含まれます。

• X-siLock-Comment：[パスワード]
• X-siLock-Step1：[任意の組織ID]
• X-siLock-Step2：[任意のフォルダID]
• X-siLock-Step3：[任意のファイルID]

組織ID、フォルダID、ファイルIDがすべて指定されると、バックドアはファイルのダウンロードを試みます。これらの値は、全体的な攻撃フローのステップ2から取得できます。

攻撃の範囲

この脆弱性の影響を受けた組織の正確な数は不明ですが、公表されている情報によると、複数の有名な組織が被害を受けたということです。

CVE-2023-34362のエクスプロイトによってインストールされたと思われるWebシェルバックドアは、米国、英国、ドイツ、イタリア、インド、パキスタンから公共のファイルスキャンサービスに送信されていました。したがって、これらの国々に潜在的な被害者が所在している可能性があります。

CVE-2023-34362に関するベンダーのアドバイザリ

ベンダーは2023年5月31日、以下のタイムラインでアドバイザリを発表しました。

• MOVEit Transferの重大な脆弱性（2023年5月）
• MOVEit TransferとMOVEit Cloudの脆弱性

このアドバイザリには、CVE-2023-34462を利用した攻撃をサイバーセキュリティ担当者が特定するのに役立つIOC（Indicators of Compromise：侵害指標）が記載されています。

CVE-2023-34362に対応したベンダーパッチ

ベンダーパッチは2023年5月31日にリリースされています。

保護の現状

FortiGuard Labsは、以下のアンチウイルスシグネチャを使用して、CVE-2023-34362のエクスプロイト後にインストールされると言われているWebシェルバックドアサンプルに対処します。

• JS/TiMove.A!tr.bdr

FortiGuard Labsは、CVE-2023-34362に対応した以下のIPSシグネチャをバージョン23.570でリリースしました。

• Progress.MOVEit.Transfer.Unrestricted.File.Upload

Webフィルタリングは、Progressが発表したセキュリティアドバイザリに記載されているネットワークIOCをブロックします。

FortiGuard Labsが提供するすべての保護機能の詳細については、アウトブレイクアラートのページをご覧ください。

利用可能な減災策

ベンダーのアドバイザリには、ベンダーパッチの適用前に利用できる減災策が記載されています。

結論

伝えられるところによると、CVE-2023-34362は、データの流出やその他の不正行為を目論むCl0pランサムウェアの脅威アクターによって、さまざまな組織を侵害するために悪用されています。CVE-2023-34362は世間の注目を集めていることから、FortiGuard Labsは他の脅威アクターもこの脆弱性を悪用し、新しいエクスプロイト攻撃が増加するとみています。そのため、MOVEit Transferユーザーの皆様には、早急にすべてのパッチを適用し、ベンダーが提供する減災策を実施することを強くお勧めします。

FortiGuard Labsは、今後も積極的に情勢を監視して新たな実用的インテリジェンスを収集し、防御に関する追加情報を入手でき次第お伝えしていきます。

IOC（Indicators of Compromise：侵害指標）

ファイルIOC

詳しくは、フォーティネットのFortiGuard Labs脅威リサーチ / インテリジェンス部門、およびFortiGuardセキュリティサブスクリプション / サービスのポートフォリオを参照してください。