Fortra Tripwire Enterprise の脆弱性 CVE-2024-4332 が FIX：深刻な認証バイパスの恐れ

Tripwire Enterprise Faces Critical Authentication Bypass Flaw (CVE-2024-4332)

2024/06/04 SecurityOnline — Fortra が発表したのは、同社の主力製品であるコンフィグレーション・コントロール・ソリューション Tripwire Enterprise のセキュリティ・アドバイザリーである。このアドバイザリでは、深刻な脆弱性 CVE-2024-4332 (CVSS 9.1) を悪用する未認証の攻撃者が、認証を回避して、システムの API への特権的なアクセスを得ると説明されている。

この脆弱性は、オプションの “Auto-synchronize LDAP Users, Roles, and Groups” 機能を有効化し、LDAP / Active Directory SAML 認証を使用するようにコンフィグされている場合の、Tripwire Enterprise バージョン 9.1.0 に影響を及ぼす。このコンフィグを悪用する攻撃者が、有効なユーザー名を知っている場合には認証がバイパスされることになる。

この脆弱性の悪用に成功した攻撃者は、機密データやシステム構成にアクセスできるようになるため、不正な情報開示や改ざんにつながる可能性が生じる。Tripwire Enterprise は、重要な IT インフラを監視／管理するために、各種の業界で広く使用されているため、その影響は甚大である。

なお、Fortra が提供するマネージド・サービス Tripwire ExpertOps は、この脆弱性の影響を受けない。また、バージョン 9.1.0 未満を使用しているユーザーや、自動同期機能を有効にしていないユーザーも影響を受けない。ただし、Fortra が強く推奨するのは、最新リリースへとアップグレードし、最適なセキュリティを確保することだ。

この脆弱性に対処するため、すべての Tripwire Enterprise ユーザーに対して、直ちにバージョン 9.1.1 にアップグレードするよう、警告が発せられている。直ちにアップグレードができない場合の一時的な緩和策として、Settings Manager における “Auto Synchronize LDAP Users, Roles, and Groups” 機能の無効化がある。しかし、それにより APIアクセスも無効化されるため、あまり望ましくない解決策となる。

Fortra の Tripwire Enterprise に、認証バイパスの脆弱性が発生とのことです。文中では、コンフィグレーション・コントロール・ソリューションと記されていますが、Fortra の Webでは Security Configuration Management (SCM) と紹介されていました。