Laravel Framework の脆弱性 CVE-2024-29291：ゼロデイ状態で PoC も提供

Laravel Framework Hit by Data Exposure Vulnerability (CVE-2024-29291) – Database Credentials at Risk

2024/04/21 SecurityOnline — 先日に発見された、人気の Web 開発フレームワーク Laravel における脆弱性により、Web サイトやアプリケーションで、深刻なデータ侵害の可能性が生じている。この脆弱性 CVE-2024-29291 は、Laravel のバージョン 8〜11 に影響を及ぼし、機密性の高いデータベースのログイン認証情報が暴露される可能性があるという。

問題の核心

この脆弱性は、Laravel.log ファイルという、一見すると何の変哲もないソースから発生している。一般的に、このファイルはデバッグやエラー追跡に使用されるが、データベースのログイン情報を平文で保存してしまうという問題がある。したがって、このファイルにアクセスできる脅威アクターであれば、認証情報を容易に引き出すことが可能となる。

この問題の根源は、Laravel におけるエラー・ロギング処理の方法にある。このフレームワークは、開発者による問題の診断のために、エラーをログに記録する。しかし、これらのログにセンシティブなデータが含まれ、それらに対して、不適切なサニタイズなどが行われているとリスクが生じる。Laravel の場合には、特定のエラーや例外処理が発生するとロギング・メカニズムがトリガーされ、データベース認証情報の不正取得にいたるという。

この脆弱性において特に懸念されるのは、管理者以外のユーザーがログにアクセスできる環境や、サーバ権限の設定が不正確な環境に、デプロイされるアプリケーションである。つまり、攻撃者はシステムに直接アクセスすることなく、これらのログを不正に取得する可能性を持つことになる。

結果 データベースへのオープンドア

このセキュリティ上の欠陥は、深刻な結果をもたらす。データベースの認証情報を手にした攻撃者は、以下のアクションなどを可能にする：

  • 機密性の高いユーザーデータへのアクセスと操作
  • データベース全体を危険にさらす可能性
  • 盗んだ認証情報を悪用した関連システムへの攻撃の拡大
発見したのは？

脆弱性 CVE-2024-29291 を発見した、セキュリティ研究者である Huseein Amer が Laravel に報告している。また、その悪用の方法を示す、PoC エクスプロイトも公開している。Laravelフレームワークを使用している、開発コミュニティと Web サイトの所有者に対して、この PoC の公開は重要な警告となる。

行動への呼びかけ

Web サイトやアプリケーションで、Laravel のバージョン 8～11 を利用しているユーザーは、早急に対処することが必要となる。公式の修正プログラムが利用可能になるまでの間において、セキュリティ専門家が推奨するのは、以下の緩和策である：

  1. ログ・ファイルの精査： Laravel.log ファイルに認証情報が含まれていないことを、注意深く調べてほしい。機密データを含む可能性のある、古いログ・ファイルは削除すべきである。
  2. アクセスの制限： サーバ上のログ・ファイルにアクセスできる人物を制限するための、厳格なパーミッションを実装すべきである。
  3. 代替手段の検討： このフレームワークにおける代替のログ・メカニズムの利用を検討し、このリスクを生み出さないようにする。

Laravel に深刻な脆弱性が発生しています。PoC も提供されていますので、ご利用のチームは、ご注意ください。Wikipedia で Laravel は、「ハイエンド Web アプリケーションを構築するための、無料のオープンソース PHP ベース Web フレームワークである。Janvier Nsengiyumva により作成され、Model-View-Controller (MVC) アーキテクチャ・パターンに従い、Symfony に基づいた Web アプリケーションの開発を目的としている」と記されています。また、Qiita にも、たくさんのコンテンツが提供されています。