Progress Telerik Report の深刻な脆弱性 CVE-2024-1800 が FIX：直ちにパッチ適用を！

CVE-2024-1800 (CVSS 9.9): Critical RCE Flaw Found in Popular Reporting Platform

2024/03/20 SecurityOnline —ビジネス・レポーティング・ソリューションとして広く利用されている Progress Telerik Report Server に、深刻なセキュリティ脆弱性 CVE-2024-1800 が発見された。この脆弱性の深刻度は CVSS：9.9 であり、Critical と評価されている。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で悪意のコードをリモートから実行できる。


Telerik Report Server とは？

Telerik Report Server は、企業におけるプロフェッショナル・グレードのレポートを作成／保存／配信／管理するための、センタライズされたプラットフォームである。その機能として挙げられるものには、レポート・スケジューリング／電子メール配信／Active Directory 認証システムとの統合などがある。

想定されるリスク

このリモートコード実行の脆弱性の悪用に成功した攻撃者は、影響を受けたサーバを完全に制御できるようになる。したがって、データの盗難や、マルウェアのインストール、重要な業務の中断などを含む、深刻な結果につながる可能性がある。

影響を受けるバージョン

Progress Telerik Report Server の 2024 Q1 (10.0.24.130) 以前 の全バージョンには、脆弱性 CVE-2024-1800 が存在する。利用中のバージョンを確認するためには、以下の手順に従ってほしい：

  • Report Server Web UI に管理者としてログインする。
  • Configuration ページへと移動する。
  • Version Number タブを選択して確認する
緊急対応

Progress は、Telerik Report Server バージョン 2024 Q1 (10.0.24.305) をリリースし、この脆弱性に対応している。したがって、ユーザー組織は、可能な限り早急に更新する必要がある。その方法は、以下の通りである：

  • Telerik アカウントにログインして、Report Server Downloads にアクセスする。
  • 最新の Report Server インストーラ (MSI ファイル) をダウンロードする。
  • ステップ・バイ・ステップの手順については、公式の Report Server アップグレード・ドキュメントを参照してほしい。

昨年は MOVEit の脆弱性で、散々な目にあった Progress です。今年も Kemp LoadMaster や OpenEdge の脆弱性に悩まされてきましたが、そこに Telerik Report も加わってしまいました。よろしければ、Progress で検索も、ご利用ください。