【CISA】2023年に最も悪用された脆弱性トップ15

[アメリカ合衆国サイバーセキュリティ・社会基盤安全保障庁](https://www.cisa.gov/)が、先日2024/11/12に[2023 Top Routinely Exploited Vulnerabilities](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-317a)というレポートを公開していました。
2023年に最も悪用された脆弱性トップ15がリストアップされています。

このような脆弱性を見つけたとか、理論上脆弱性があるとかではなく、実際に悪用された脆弱性なので、万一対象であれば速やかに対処する必要があります。


ちなみに共同執筆は以下の各組織となっています。
ものすごいメンバーだ。

・[Federal Bureau of Investigation](https://www.fbi.gov/) (FBI)
・[National Security Agency](https://www.nsa.gov/) (NSA)
・[Australian Cyber Security Centre](https://www.cyber.gov.au/) (ACSC)
・[Canadian Centre for Cyber Security](https://www.cyber.gc.ca/en) (CCCS)
・[New Zealand National Cyber Security Centre](https://www.ncsc.govt.nz/) (NCSC-NZ)
・[Computer Emergency Response Team New Zealand](https://www.cert.govt.nz/) (CERT NZ)
・[National Cyber Security Centre](https://www.ncsc.gov.uk/) (NCSC-UK)

# 2023 Top Routinely Exploited Vulnerabilities

## [CVE-2023-3519](https://www.cve.org/CVERecord?id=CVE-2023-3519)

[Citrix NetScaler ADC](https://docs.netscaler.com/ja-jp/citrix-adc.html)および[NetScaler Gateway](https://docs.netscaler.com/ja-jp/netscaler-gateway.html)の脆弱性です。

不正なリクエストを送りつけることで、認証をスルーしてバックドアを仕掛けることができます。
[実際の攻撃例](https://securityintelligence.com/posts/x-force-uncovers-global-netscaler-gateway-credential-harvesting-campaign/)では、ログインページを改竄することでログイン情報を盗み出したとのことです。


[修正がリリースされています](https://support.citrix.com/s/article/CTX561482-citrix-adc-and-citrix-gateway-security-bulletin-for-cve20233519-cve20233466-cve20233467?language=en_US)。
また、顧客が管理しているサービスのみに影響があり、Citrixのクラウドサービスを使っている場合は問題なかったそうです。


・[exploit](https://github.com/BishopFox/CVE-2023-3519)
・[Citrix ADCおよびCitrix Gatewayの脆弱性（CVE-2023-3519）に関する注意喚起](https://www.jpcert.or.jp/at/2023/at230013.html)
・[Threat Brief: RCE Vulnerability CVE-2023-3519 on Customer-Managed Citrix Servers](https://unit42.paloaltonetworks.com/threat-brief-citrix-cve-2023-3519/)



## [CVE-2023-4966](https://www.cve.org/CVERecord?id=CVE-2023-4966)

これまたCitrix NetScaler ADCとNetScaler Gatewayの脆弱性です。
特にCitrixBleedと個別名称が付けられており、影響の広さがうかがえます。

非常に長いHostヘッダのついたリクエストヘッダをつけたGETリクエストを送りつけるとバッファオーバーフローを起こし、なぜか他人のセッションCookieを返してくるそうです。
あとはそれを使えばなりすましログインできるということになります。

[exploit](https://github.com/GossiTheDog/scanning/blob/main/CitrixBleed.curl)は一目でわかる単純なつくりをしています。

・[exploit](https://github.com/GossiTheDog/scanning/blob/main/CitrixBleed.curl)
・[【脅威分析レポート】CitrixBleedの脆弱性（CVE-2023-4966）に関する分析](https://www.cybereason.co.jp/blog/threat-analysis-report/11486/)
・[36 million people affected by data breach at Xfinity](https://therecord.media/millions-affected-by-xfinity-data-breach)



## [CVE-2023-20198](https://www.cve.org/CVERecord?id=CVE-2023-20198) / [CVE-2023-20273](https://www.cve.org/CVERecord?id=CVE-2023-20273)

Cisco製ルータのOSである[Cisco IOS XE](https://www.cisco.com/c/ja_jp/products/ios-nx-os-software/ios-xe/index.html)の脆弱性です。

CVE-2023-20198は、HTTPサーバ機能が有効になっている場合に、細工したPOSTリクエストを送信することで特権ユーザを作成することができます。
CVE-2023-20273はWebインターフェイスのコマンドインジェクション脆弱性で、ルート権限でOSコマンドを実行するそうです。

ということで、このふたつがあればまあだいたい何でもできてしまいますね。

[exploit](https://github.com/smokeintheshell/CVE-2023-20198)を見ると、SOAPを送りつけていることが分かります。
SOAP……生きていたのか…！？

[修正がリリースされています](https://www.cisco.com/c/ja_jp/support/docs/csa/2023/cisco-sa-iosxe-webui-privesc-j22SaA4z.html)。

本脆弱性によってハッキングされた機器は5万台以上あったのですが、その後[数日で数百台まで激減した](https://codebook.machinarecord.com/threatreport/30084/)そうです。
もちろん実際に減ったわけではなく、存在を隠すように進化したのだと思われますが詳細は不明です。

・[exploit](https://github.com/smokeintheshell/CVE-2023-20198)
・[Cisco IOS XE ソフトウェア、Web 管理 UI の脆弱性が悪用される](https://gblogs.cisco.com/jp/2023/11/talos-active-exploitation-of-cisco-ios-xe-software/)
・[CVE-2023-20198：Cisco IOS XE のゼロデイ脆弱性の積極的悪用](https://www.rapid7.com/ja/about/japan-blog-and-news/jcto-simplify-security-posture2/)
・[Active exploitation of Cisco IOS XE Software Web Management User Interface vulnerabilities](https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/)


## [CVE-2023-27997](https://www.cve.org/CVERecord?id=CVE-2023-27997)

[FortiOS](https://www.fortinet.com/jp/products/fortigate/fortios)の脆弱性です。

VPNの認証リクエストを受け取る処理にバグがあり、本来の長さの2倍のリクエストを受け取ってしまうため想定外のメモリを書き換えることができるというバッファオーバーフロー脆弱性です。
[詳細な技術記事](https://blog.lexfo.fr/xortigate-cve-2023-27997.html)がありましたが、正直何言ってるかわからない。

[修正がリリースされています](https://www.cisco.com/c/ja_jp/support/docs/csa/2023/cisco-sa-iosxe-webui-privesc-j22SaA4z.html)。


・[exploit](https://github.com/lexfo/xortigate-cve-2023-27997)
・[CVE-2023-27997の深刻なパッチ遅れ、エクスプロイト可能なFortiGateファイアウォールが4600以上](https://criminalip.co.jp/2023/08/10/cve-2023-27997/)
・[XORtigate: Pre-authentication Remote Code Execution on Fortigate VPN (CVE-2023-27997)](https://blog.lexfo.fr/xortigate-cve-2023-27997.html)


## [CVE-2023-34362](https://www.cve.org/CVERecord?id=CVE-2023-34362)

ファイル転送ツール[MOVEit Transfer](https://www.progress.com/jp/moveit/moveit-transfer)のSQLインジェクション脆弱性です。

この脆弱性による攻撃は、公開されるより少なくとも30日前から始まっていたようです。
さらに、最も古い痕跡は[2021年から存在した](https://www.kroll.com/en/insights/publications/cyber/clop-ransomware-moveit-transfer-vulnerability-cve-2023-34362)とかなんとか。

SQLインジェクションと言われるとそんな原始的なミスを…って思いますが、実際はそう単純なわけではなく、正常なルートではきちんとエスケープ処理されており、[複雑な過程を経てようやく成功する攻撃だった](https://attackerkb.com/topics/mXmV0YpC3W/cve-2023-34362/rapid7-analysis)とのことです。
どうやって発見するんだこういうの。

[修正がリリースされています](https://www.progress.com/trust-center/moveit-transfer-and-moveit-cloud-vulnerability)。

・[exploit](https://github.com/sfewer-r7/CVE-2023-34362)
・[CVE-2023-34362](https://attackerkb.com/topics/mXmV0YpC3W/cve-2023-34362/rapid7-analysis)
・[【脅威分析レポート】CVE-2023-34362 – MOVEit Transferにおけるクリティカルなゼロデイ脆弱性](https://www.cybereason.co.jp/blog/threat-analysis-report/10984/)
・[MOVEit Transfer Critical Vulnerability (CVE-2023-34362) Exploited as a 0-day](https://www.fortinet.com/blog/threat-research/moveit-transfer-critical-vulnerability-cve-2023-34362-exploited-as-a-0-day)


## [CVE-2023-22515](https://www.cve.org/CVERecord?id=CVE-2023-22515)

[Atlassian Confluence Data Center](https://www.atlassian.com/ja/enterprise/data-center/confluence)の脆弱性です。

何故かQiitaに[詳しい検証記事](https://qiita.com/oniondroid/items/5ed2f56478c657f08397)がありました。
不正なリクエストを送りつけることで、本来なら最初の一回だけしか行われないはずの管理者セットアップを再度実行できてしまうとのことです。
これによって管理者アカウントを作成されて乗っ取られてしまいます。

Atlassianのホスト環境であれば問題なく、独自サーバに展開している場合に攻撃された可能性があるということです。

[修正がリリースされています](https://ja.confluence.atlassian.com/security/cve-2023-22515-privilege-escalation-vulnerability-in-confluence-data-center-and-server-1295682276.html)。

・[exploit](https://github.com/Chocapikk/CVE-2023-22515)
・[脆弱性検証（CVE-2023-22515）](https://qiita.com/oniondroid/items/5ed2f56478c657f08397)
・[CVE-2023-22515 - Confluence Data Center および Server におけるアクセス制御破損の脆弱性](https://ja.confluence.atlassian.com/security/cve-2023-22515-privilege-escalation-vulnerability-in-confluence-data-center-and-server-1295682276.html)


## [CVE-2021-44228](https://www.cve.org/CVERecord?id=CVE-2021-44228)

[Log4Shell](https://ja.wikipedia.org/wiki/Log4Shell)です。

Log4Jには、出力文字列から`${java:version}`をJavaのバージョンに変換する、みたいな機能があります。
この機能をうまく利用することで、外部サーバから任意のコードを拾ってきて実行できてしまうという脆弱性がLog4Shellです。

影響範囲が非常に大きいこともあり、2023年も引き続き盛んに攻撃されているようです。

・[exploit](https://github.com/tangxiaofeng7/CVE-2021-44228-Apache-Log4j-Rce)
・[Apache Log4jに見つかった脆弱性「Log4Shell」とは](https://www.ntt.com/business/services/xmanaged/column/apache-log4j.html)
・[Apache Log4jの脆弱性「Log4Shell」を悪用する攻撃手口を解説](https://www.trendmicro.com/ja_jp/research/21/l/attack-method-of-log4shell.html)
・[Restrict LDAP access via JNDI #608](https://github.com/apache/logging-log4j2/pull/608)


## [CVE-2023-2868](https://www.cve.org/CVERecord?id=CVE-2023-2868)

[Barracuda Email Security Gateway](https://www.barracuda.co.jp/)のコマンドインジェクション脆弱性です。

不正な名前を付けたファイルを`.tar`に固めて送りつけるとエスケープされずに[qx](https://perldoc.perl.org/perlop#qx/STRING/)されてしまうというものであり、直球ストレートのコマンドインジェクションですね。

[修正バージョンは自動適用される](https://www.barracuda.com/company/legal/esg-vulnerability)ということです。
やはり自動更新は正義。

・[exploit](https://github.com/cfielding-r7/poc-cve-2023-2868)
・[Barracuda Email Security Gateway Appliance (ESG) Vulnerability](https://trust.barracuda.com/security/information/esg-vulnerability)
・[NISCと気象庁が使用していたメール関連機器へのサイバー攻撃についてまとめてみた](https://piyolog.hatenadiary.jp/entry/2023/08/07/013359)
・[中国との関連が疑われる攻撃的、かつ高度なスキルを持つ攻撃者が Barracuda ESGのゼロデイ脆弱性（CVE-2023-2868）を悪用](https://cloud.google.com/blog/ja/topics/threat-intelligence/barracuda-esg-exploited-globally)



## [CVE-2022-47966](https://www.cve.org/CVERecord?id=CVE-2022-47966)

[Zoho ManageEngine](https://www.manageengine.com/)の脆弱性です。

中で使っている認証ライブラリ[Apache Santuario](https://santuario.apache.org/)のバージョンが古く、証明書検証の過程で任意コードを実行できてしまうそうです。
つまりZoho ManageEngineだけではなく、古いApache Santuarioを使っている他のソフトウェアでも発生する可能性があるのでは？

[修正がリリースされています](https://www.manageengine.jp/support/kb/ADAudit_Plus/?p=3140)。

・[exploit](https://github.com/horizon3ai/CVE-2022-47966)
・[CVE-2022-47966 SAML ShowStopper](https://blog.viettelcybersecurity.com/saml-show-stopper/)
・[Zoho ManageEngine の RCE 脆弱性 CVE-2022-47966：活発な悪用と攻撃](https://iototsecnews.jp/2023/01/20/critical-manageengine-rce-bug-now-exploited-to-open-reverse-shells/)


## [CVE-2023-27350](https://www.cve.org/CVERecord?id=CVE-2023-27350)

印刷管理ソフト[PaperCut MF/NG](https://www.papercut.com/)の脆弱性です。

このソフトウェアは元々ログイン後に任意のスクリプトを実行する機能があるみたいですが、特定のリクエストを送りつけることで認証をバイパスして機能を実行できてしまったそうです。
普通プリンタをインターネットに直接つなげることはあんまりないので、その場合は攻撃の危険性はかなり低減されます。
もちろんインターネットにつないでいたらアウトです。

[修正がリリースされています](https://www.papercut.com/kb/Main/PO-1216-and-PO-1219)。

・[exploit](https://github.com/horizon3ai/CVE-2023-27350)
・[CVE-2023-27350: PaperCut NG and MF Remote Code Execution Vulnerability](https://blogs.juniper.net/en-us/threat-research/cve-2023-27350-papercut-ng-and-mf-remote-code-execution-vulnerability)
・[印刷管理ソフトウェアPaperCutに深刻なリモートコード実行の脆弱性「CVE-2023-27350」](https://www.trendmicro.com/ja_jp/research/23/d/update-now-papercut-vulnerability-cve-2023-27350-under-active-ex.html)


## [CVE-2020-1472](https://www.cve.org/CVERecord?id=CVE-2020-1472)

Windows Active Directoryに使われるプロトコルNetlogonの脆弱性です。
ドメインコントローラが乗っ取られるという極めて危険な脆弱性です。

本脆弱性は、2021年以降、攻撃される脆弱性リストの上位に位置し続けています。

原因としては、暗号化の初期化ベクトルが常に0だったらしい。ええ…

Windowsであれば、セキュリティ更新プログラムで自動的に修正されているはずです。

・[exploit](https://github.com/dirkjanm/CVE-2020-1472)
・[Zerologon: Instantly Become Domain Admin by Subverting Netlogon Cryptography (CVE-2020-1472)](https://www.secura.com/blog/zero-logon)
・[Zerologon（ゼロログオン）とは？脆弱性の仕組みとその対策を解説](https://www.nri-secure.co.jp/blog/looking-back-on-the-vulnerability-zerologon)
・[Active Directoryの脆弱性「Zerologon (CVE-2020-1472)」に要注意！](https://blogs.manageengine.jp/domain-controller-patch-alert-vulnerability/)


## [CVE-2023-42793](https://www.cve.org/CVERecord?id=CVE-2023-42793)

[JetBrains TeamCity Server](https://www.jetbrains.com/ja-jp/teamcity/)の脆弱性です。

Webサーバにおいて、認証をバイパスして任意のコマンドを実行することができます。

・[exploit](https://github.com/Zenmovie/CVE-2023-42793)
・[TeamCityへの侵入攻撃：APT29がCVE-2023-42793を悪用か?](https://www.fortinet.com/jp/blog/threat-research/teamcity-intrusion-saga-apt29-suspected-exploiting-cve-2023-42793)


## [CVE-2023-23397](https://www.cve.org/CVERecord?id=CVE-2023-23397)

[Microsoft Outlook](https://www.microsoft.com/ja-jp/microsoft-365/outlook/email-and-calendar-software-microsoft-outlook)の脆弱性です。

特殊なメールを送信することで、Windowsの認証に使用されている[Net-NTLMv2](https://binary-pulsar.hatenablog.jp/entry/2018/12/06/090000)認証情報が流出するそうです。
通常、メールによる攻撃はユーザが添付ファイルを開く、URLを踏むといったユーザ側のアクションも必要としますが、この攻撃はユーザがメールを開かなくとも成立するそうです。
いったいどういうことなんだ。

・[exploit](https://github.com/Trackflaw/CVE-2023-23397)
・[Microsoft Outlook の特権の昇格の脆弱性](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397)
・[Outlook for Windowsに深刻な特権昇格の脆弱性「CVE-2023-23397」](https://www.trendmicro.com/ja_jp/research/23/c/patch-cve-2023-23397-immediately-what-you-need-to-know-and-do.html)


## [CVE-2023-49103](https://www.cve.org/CVERecord?id=CVE-2023-49103)

[ownCloud Graph API](https://marketplace.owncloud.com/apps/graphapi)の不適切な設定による情報流出です。

ownCloud Graph APIは、オンラインストレージ[ownCloud Server](https://owncloud.com/)をMicrosoftアカウントで使用できるようにするプラグイン、だと思うのですがよくわかりません。

で、このプラグインは内部で[Microsoft Graph API](https://github.com/microsoftgraph/msgraph-sdk-php)を使っているようです。
このライブラリには[GetPhpInfo.php](https://github.com/microsoftgraph/msgraph-sdk-php/tree/1.109.0/tests)というテスト用ファイルが含まれており、中身は[phpinfo()](https://www.php.net/manual/ja/function.phpinfo.php)を表示しているだけです。
ベストプラクティスに従って普通に使うかぎりではテスト用ファイルはWebからアクセスされる場所には入らないのですが、ownCloud Graph APIは不適切な設定のせいでWebアクセス可能な場所に入ってしまっていたようです。

結果として様々な環境変数、データベース接続アカウント等が流出する羽目になってしまいました。

本来はライブラリ使用側の問題ですが、不用意なファイルが置いてあるのも問題なので[Microsoft Graph API側も該当ファイルを削除する](https://github.com/microsoftgraph/msgraph-sdk-php/security/advisories/GHSA-cgwq-6prq-8h9q)ことにしたようです。

Microsoft Graph APIは、グラフ描画とかは全く関係ない[資格情報とかを管理するAPI](https://qiita.com/massie_g/items/fe7540161aa4a5f86bf5)です。
こいつ訳あって調べたことがあるのですが、まじで意味がわからなくて死んだ。


・[exploit](https://github.com/creacitysec/CVE-2023-49103)
・[オンラインストレージ構築ソフト「ownCloud」に緊急の脆弱性、更新を](https://news.mynavi.jp/techplus/article/20231130-2829424/)
・[CVE-2023-49103 - ownCloud Graph API における重大な脆弱性情報](https://www.rapid7.com/ja/about/japan-blog-and-news/etr-cve-2023-49103-critical-information-disclosure-in-owncloud-graph-api/)


# 感想

トップ15のうち12件が2023年の当年中に発見された脆弱性です。

[2022年](https://qiita.com/rana_kualu/items/2c54e4b57c92f34b0011)はトップ12のうち同年に見つかった脆弱性が5件だったことを考えると、脆弱性が見つかってから攻撃に転用されるまでの期間が明らかに短くなっていますね。

私でもやらないようなしょうもない脆弱性から、調査報告が何言ってるのかさっぱりわからない高度な脆弱性まで、様々な脆弱性があらゆる攻撃に使われています。
今後も脆弱性との戦いは永遠に続くだろうし、ますます早期対応が重要になってくることでしょう。
というかご自慢のAIを使って自動でアップデートとか防衛とかするようにしてくれないかね。

どうでもいいけどexploitがPythonばっかりなのはなんでだろう。