ProjectSend での任意のコード実行につながる認証処理における検証不備の脆弱性（Scan Tech Report）

◆概要
　2024 年 7 月に公開された ProjectSend の脆弱性の悪用を試みるエクスプロイトコードが公開されています。脆弱性の悪用により、攻撃者は脆弱なアプリケーションが稼働しているサーバへの侵入が可能となります。ソフトウェアの更新により対策してください。

◆分析者コメント
　本記事で取り上げるエクスプロイトコードは、新規ユーザの作成のみを実証するコードとなっていますが、ProjectSend のページの改ざんによる悪意ある JavaScript の埋め込みや、Web シェルの設置による遠隔コード実行を引き起こす脆弱性です。ProjectSend を利用している場合は、バージョン情報を確認して、アップデートにより早急に脆弱性に対策しましょう。

◆深刻度(CVSS)
[CVSS v3.1]
9.8

https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2024-11680&vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=VulnCheck

◆影響を受けるソフトウェア
　ProjectSend のバージョン r1720 よりも古いバージョンが当該脆弱性の影響を受けます。

◆解説
　ファイル共有用 Web アプリケーションとして用いられている ProjectSend に任意のコード実行につながる認証不備の脆弱性が報告されています。

　脆弱性は認証後画面の複数ページに存在します。脆弱な ProjectSend では、認証後画面のページでの認証の検証に不備が存在するため、ProjectSend の設定を変更して新規ユーザの登録などが未認証状態で可能となります。攻撃者は脆弱性を悪用して、ProjectSend への悪意のある JavaScript の埋め込みや、Web シェルのアップロードによる任意のコード実行が可能となります。

◆対策
　ProjectSend のバージョンを r1720 またはそれよりも新しいバージョンにアップデートしてください。

◆関連情報
[1] ProjectSend 公式 GitHub
　　https://github.com/projectsend/projectsend/commit/193367d937b1a59ed5b68dd4e60bd53317473744
[2] National Vulnerability Database (NVD)
　　https://nvd.nist.gov/vuln/detail/CVE-2024-11680
[3] CVE Mitre
　　https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-11680

◆エクスプロイト
　以下の Web サイトにて、当該脆弱性を悪用して対象アプリケーションへの新規アカウントの作成を試みるエクスプロイトコードが公開されています。

　　GitHub - D3N14LD15K/CVE-2024-11680_PoC_Exploit
　　https://github.com/D3N14LD15K/CVE-2024-11680_PoC_Exploit/blob/main/exploit.sh

#--- で始まる行は執筆者によるコメントです。