C20/100
脆弱性 · 中
KUSANAGIにHTTPヘッダーインジェクションの脆弱性
ティアC · 経過を注視 – 影響を受けるか確認
影響を受ける人： KUSANAGIを利用しているサーバー運用者
ティアCの理由： 開発者に影響
影響範囲
攻撃
被害
修正
要点
- GMOプライム・ストラテジーが提供するKUSANAGIにHTTPヘッダーインジェクションの脆弱性が存在することが、JVNで公開された
- ソースには深刻度、CVSS値、影響を受ける版、修正版の情報が記載されていない
- 悪用の有無や修正の提供状況は、ソースでは確認できない
なぜ重要か
KUSANAGIを使ってWebサイトやサーバーを構築・運用している開発者は、自身の環境が対象かを確認する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中1項目が「はい」
| はい | 開発者に影響 | サーバー構築・運用に使われるKUSANAGIの脆弱性であり、運用チームに影響する |
| いいえ | 基幹インフラ | 単一ベンダーが提供する製品であり、ほぼすべてのチームが使う基幹ソフトウェアではない |
| いいえ | 人気ツール | 国内のWordPress向け構成ツールであり、広く使われる汎用ツールとは言えない |
| いいえ | 悪用確認済み | JVNの脆弱性情報には、攻撃の観測や侵入事例の記載がない |
| いいえ | 公開エクスプロイト | JVNは脆弱性の存在を述べるだけで、エクスプロイトや詳細な手順は示していない |
| いいえ | 認証不要のリモート攻撃 | JVNは攻撃条件として認証不要かネットワーク経由かを明記していない |
| いいえ | 完全な乗っ取り | JVNはコード実行や権限昇格が可能であるとの記載をしていない |
| いいえ | シークレットの流出 | JVNは情報漏えいや認証情報の流出について記載していない |
| いいえ | サプライチェーン | JVNは正規配布経路を通じた悪意あるコードの配布について記載していない |
| いいえ | 修正なし | JVNは修正版の有無や未修正であることについて記載していない |
タイムライン
JVNで脆弱性情報が公開
jvn.jp
KUSANAGIにおけるHTTPヘッダーインジェクションの脆弱性
出典
KUSANAGIにおけるHTTPヘッダーインジェクションの脆弱性 ↗ jvn.jp · 1時間前