リビジョン履歴

  • 1.0: 2020 年 12 月 23 日: 初回バージョン
  • 1.1: 2021 年 1 月 8 日: CVE ID を追加。修復策および緩和策の各セクションを更新

概要

ベリタスは、現在実施中のテストプロセスの一環として、Veritas APTARE IT Analytics によって攻撃者が管理者権限を使って任意のコードを実行できてしまう問題を発見しました。

問題

CVE ID: CVE-2020-36161
重大度: 重大
CVSS v3.1 基本スコア: 9.3 (AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)

APTARE アプリケーションは起動時に OpenSSL をロードし、このライブラリは次の場所から存在しない構成ファイルをロードしようと試みます。

  • APTARE 10.4 以前: \apache24\conf\openssl.cnf
  • APTARE 10.5: \usr\local\ssl\openssl.cnf

Windows システムでは、ユーザーはデフォルトで C:\ 直下にディレクトリを作成できます。APTARE で権限を持っていなくても、Windows システム上の権限の低いユーザーが上記の構成ファイルの場所にディレクトリを作成できてしまいます。Windows システムの再起動時に、悪質な OpenSSL エンジンによって SYSTEM として任意のコードの実行が悪用される恐れがあります。これにより攻撃者はシステム上で管理者アクセス権を持つことになり、すべてのデータやインストール済みアプリケーションに (デフォルトで) アクセスできるようになります。また、Linux サーバー向けの APTARE と共に配布されている OpenSSL 実行可能ファイルにも、同様のアクセスを可能にする関連脆弱性が存在します。

影響を受けるバージョン

APTARE IT Analytics バージョン 10.5 および 10.4

修復策

現在メンテナンス契約をお持ちのお客様は、下記のように更新およびパッチをダウンロードしてインストールすることができます。

これらのメンテナンスリリースは、Veritas Update から自動的にダウンロードおよびインストールすることができます。

APTARE IT Analytics 10.3 以前のバージョンをお使いの場合は、APTARE IT Analytics 10.5 にアップグレードすることをお勧めします。

利用可能な更新については、ベリタスダウンロードセンター (https://www.veritas.com/support/ja_JP/downloads) を参照してください。

緩和策

Windows 環境の場合は、管理者アカウントを使って上記のディレクトリパスを作成し、他のすべてのユーザーに対して書き込みアクセスを拒否するようディレクトリの ACL を設定します。これにより、攻撃者が悪質な OpenSSL エンジンをインストールするのを防ぐことができます。また、OpenSSL 実行可能ファイル (Windows の場合は C:\opt\apache\bin\openssl.exe、Linux の場合は /opt/apache/ssl/bin/openssl) を削除してください。手動による手順について詳しくは、APTARE IT Analytics のセキュリティ脆弱性に関するサポート記事を参照してください。

お問い合わせ

この脆弱性に関してご質問や問題がありましたら、ベリタステクニカルサポート (https://www.veritas.com/support/ja_JP) にお問い合わせください。