Openfireは、XMPP（Extensible Messaging and Presence Protocol）プロトコルをベースにしたオープンソースのリアルタイムコラボレーションサーバーです。インスタントメッセージング、グループチャット、その他のリアルタイムコミュニケーションサービスを容易に実現します。Openfireは、その柔軟性、拡張性、そして堅牢なセキュリティ機能で高い評価を得ています。組織や教育機関で広く利用されているほか、カスタムチャットやコラボレーションアプリケーションを構築するための基盤としても活用されています。使いやすさと豊富なプラグインサポートにより、社内チームコミュニケーションと顧客対応チャットソリューションの両方で広く採用されています。
2023月に発見された新たなセキュリティ上の懸念事項（CVE-32315-XNUMX）は、Openfireコンソールに関連するものです。パストラバーサルの脆弱性として特徴付けられるこの脆弱性は、セットアップ環境を明確に標的としています。この脆弱性を悪用すると、権限のないユーザーが、既存の設定内にある認証されていないOpenfireセットアップ環境に侵入できるようになります。さらに、悪意のある攻撃者は、通常はOpenfire管理コンソールからのみアクセスできる管理者用セットアップファイルに侵入できます。これにより、コンソールへの管理者ユーザーの追加、またはプラグインのアップロードというXNUMXつの重大な操作が実行され、サーバーを完全に制御できるようになる可能性があります。
CVE-2023-32315
CVE-2023-32315の脆弱性は、まさにこの種の攻撃を防ぐために導入されていた既存のパストラバーサル対策メカニズムに起因していました。しかし、このメカニズムはUTF-16文字を含む特定の非標準URLエンコード手法を防御できませんでした。これらのエンコード手法は当時使用されていた組み込みWebサーバーでサポートされていなかったため、パストラバーサル対策はそのようなシナリオでは効果を発揮しませんでした。
この脆弱性は、2015年3.10.0月以降にリリースされたOpenfireバージョン4.7.5以降のすべてのバージョンに影響します。この問題はOpenfireリリース4.6.8および4.8で修正されており、4.8.0ブランチの最初のリリース（バージョンXNUMXと命名される予定）では追加の機能強化が予定されています。
パストラバーサルによるリモートコード実行
徹底的な検査の結果、 公にアクセス可能 エクスプロイト攻撃シーケンスを次のように分解していきます。
- トークン取得フェーズ:
JSESSION ID や CSRF などの必要なセッション トークンを取得します。
セッショントークンの取得
- ディレクトリトラバーサルと管理アクションフェーズ:
取得したトークンをディレクトリトラバーサル技術と組み合わせて管理操作を実行します。よくある操作としては、認証を必要とせずに管理者ユーザーを作成することが挙げられます。
管理者ユーザーの作成
- 管理者レベルのアクセスフェーズ:
管理アクションを正常に実行した後、システムへの昇格アクセス権を取得します。
管理者ログイン
- 悪意のあるプラグインの展開フェーズ:
このプラグインは、Web シェルとして機能することと、攻撃者が制御するマシンへの秘密の接続を確立することの 2 つの目的を果たすことができます。
悪意のあるプラグインをアップロードする
現実世界における結果:
CVE-2023-32315は、広く普及しているXMPPサーバーであるOpenfireに存在する重大な認証バイパスの脆弱性です。この脆弱性により、悪意のある攻撃者は有効なユーザー名とパスワードを入力せずにOpenfire管理コンソールに自由にアクセスできるようになります。侵入に成功すると、攻撃者はサーバーを乗っ取り、以下のような様々な悪意ある行為を実行できるようになります。
- サーバーの構成設定を変更します。
- マルウェアなどの悪意のあるソフトウェアをインストールする。
- 機密データの盗難
- サーバーの通常の操作を妨害します。
この脆弱性はすでに現実のシナリオで悪用されており、攻撃者がこれを利用して Kinsing マルウェアや暗号通貨マイナーを展開した事例も報告されています。
CVE-2023-32315への対策
CVE-2023-32315 に関連するリスクに対して Openfire サーバーを強化するには、次の包括的な対策を実施することが重要です。
Openfireを最新バージョンに更新します。 Openfire のインストールを、重要なセキュリティパッチを含む最新リリースに速やかに更新してください。この脆弱性に特に対処しているバージョン 4.7.5 または 4.6.8 が推奨されます。
ファイアウォール制限を実装する: ファイアウォールを利用してOpenfireサーバーへのアクセスを制限しましょう。信頼できるIPアドレスまたはネットワークからの接続のみを許可するよう設定してください。 セキュリティの追加層 不正侵入のリスクを軽減するのに役立ちます。
評判の高いIPSおよびAVソリューションを活用: 信頼できる侵入防止システム（IPS）とウイルス対策（AV）ソリューションを導入することで、セキュリティ体制を強化しましょう。サーバー環境を定期的にスキャンし、侵害の兆候がないか確認しましょう。これらのツールは、 プロアクティブな保護 新たな脅威に対抗するため。
サーバーログの監視と分析: Openfireサーバー上の異常なアクティビティや不審なアクティビティを検出するために、堅牢なログ監視・分析システムを導入してください。タイムリーな検出により、潜在的な脅威への迅速な対応が可能になります。
これらの対策を実施し、セキュリティ対策を積極的に講じることで、CVE-2023-32315 やその他の潜在的な脅威の被害に遭うリスクを大幅に軽減できます。
クイックヒールプロテクション
すべての Quick Heal 顧客は、次のシグネチャによってこの脆弱性から保護されています。
- HTTP/CVE-2023-32315!VS.48114
- HTTP/CVE-2023-32315!VS.48144
著者：
ヴィネイクマール
ヴィニート・サロテ
