Ubiquiti UniFi Network Application の脆弱性 CVE-2024-27981 が FIX：直ちにアップデートを！

CVE-2024-27981: Critical Vulnerability Patched in Ubiquiti UniFi Network Application

2024/03/26 SecurityOnline — Ubiquiti Networks が緊急リリースしたのは、広範に利用されている UniFi ネットワーク・アプリケーションに対するセキュリティ・アップデートである。このパッチは、脆弱性 CVE-2024-27981 (CVSS：9.1) に対処するものである。この脆弱性が悪用されると、管理者権限を持つ攻撃者が、基礎となるサーバの root レベルの制御を取得する可能性が生じる。

脆弱性の詳細

この脆弱性 CVE-2024-27981 は、UniFi Network Application 8.0.28 以下の、セルフホスト型 Linux インストールに存在する。この脆弱性を悪用する前提として、攻撃者は UniFi Network アプリケーションの管理者レベルの認証情報を所有している必要がある。

Ubiquiti のセキュリティ・アドバイザリには、「UniFi Network Application 8.0.28以下を搭載した Self-Hosted UniFi Network Server (Linux) に、コマンド・インジェクションの脆弱性が発見された。この脆弱性の悪用に成功した、UniFi Network Application の管理者認証情報を持つ攻撃者は、ホストデバイスの root に権限を昇格する可能性がある」と詳述されている。

不正アクセスに成功した攻撃者は、悪意のコマンドを注入して、権限を root レベルにまで昇格させることができる。root レベルの制御は、デバイスに対する完全な管理権限を与え、攻撃者によりデータの窃取や、追加のマルウェアのインストール、そして、重要なネットワークの運用妨害などが生じる可能性がある。

脆弱性の危険にさらされているのは？

UniFi ネットワーク・アプリケーションを、Linux 上でセルフホストしている組織や個人が、この脆弱性のリスクにさらされている。自身のコンピュータ／オンサイトの専用サーバ／Linux ベースのクラウド・インスタンスを使用しているユーザーが、そこに含まれる。

修正とアップデートの重要性

脆弱性 CVE-2024-27981 の発見／報告を受けた Ubiquiti は、すでに UniFi Network Application のパッチ版 (8.1.113 以降) をリリースしている。管理者に推奨されるのは、直ちに UniFi をアップデートすることである。この一見すると些細なソフトウェア・アップデートが、安全なネットワークの維持と、深刻な侵害の分かれ目になる可能性がある。

Ubiquiti UniFi Network Application を調べてみたら、さまざまなネットワーク・デバイスを紹介する日本語ページがありました。そして、この脆弱性 CVE-2024-27981 は、CVSS 値が 9.1 と評価されているものです。ご利用のチームは、ご注意ください。よろしければ、Ubiquiti で検索も、ご利用ください。