Telerik Report Server の脆弱性 CVE-2024-4358 が FIX：機密情報への不正アクセスの恐れ

CVE-2024-4358: Critical Authentication Bypass Flaw Discovered in Progress Telerik Report Server

2024/05/29 SecurityOnline — 世界中で利用されているレポート管理ソリューション Progress Telerik Report Server に、深刻なな脆弱性 CVE-2024-4358 (CVSS：9.8)  が発見された。この脆弱性の悪用に成功した未認証の攻撃者は、認証メカニズムを迂回し、機密性の高いレポート・データやサーバ機能への、不正アクセスを実施する可能性を手にする。

この脆弱性は Telerik Report Server 2024 Q1 (10.0.24.305) 以下のバージョンに存在し、攻撃者により悪用されると、レポート・サーバーをホストする IIS サーバ上の認証メカニズムがバイパスされえる可能性が生じる。現時点では悪用は確認されていないが、早急な対応が必要である。

ユーザーにとって必要なことは、意図的せずに追加された新たなローカル・ユーザー存在を、レポート・サーバのユーザー・リストで確認することだ。それは、”{host}/Users/Index” への移動で完了する。

この脆弱性は、Trend Micro Zero Day Initiative と共同で調査を行っている、Summoning Team の Sina Kheirkhah により発見された。

この脆弱性に対する唯一の有効策は、Telerik Report Server バージョン 2024 Q2 (10.1.24.514) 以降にアップデートすることだ。セキュリティ・パッチを積極的に適用し、ユーザーのアクセス・リストを見直すことは、安全で回復力のある IT 環境を維持するために不可欠なステップである。

2023年の Progress の製品は、数多くの侵害により、多大な被害を発生させてきました。現時点では、悪用は確認されていないとのことですが、ご利用のチームは、ご注意ください。よろしければ、Progress で検索も、ご利用ください。