Acronis の脆弱性 CVE-2023-45249 が FIX：ユーザー操作を必要としない攻撃が発生

Acronis warns of Cyber Infrastructure default password abused in attacks

2024/07/26 BleepingComputer — Acronis が顧客に発している警告は、インフラストラクチャの重要なセキュリティ上の欠陥に、パッチを適用するよう促すものである。デフォルトの認証情報を用いる攻撃者が、この脆弱性 CVE-2023-45249 の悪用に成功すると、欠陥のあるサーバの認証がバイパスされることになる。Acronis Cyber Protect (ACI) は、マルチテナント型の統合プラットフォームであり、リモート・エンドポイント管理／バックアップ／仮想化機能などを連携させるものだ。さらに、ディザスタ・リカバリのワークロードを実行し、企業のバックアップ・データを安全に保存する。

Acronis によると、20,000社以上のサービス・プロバイダーが ACI を使用し、150カ国以上において 750,000社以上の企業を保護しているという。

この脆弱性 CVE-2023-45249 を悪用する未認証の攻撃者は、ユーザー操作を必要としない複雑度の低い攻撃により、パッチが未適用の ACI サーバー上でリモート・コードを実行する可能性を手にする。

以下の製品群に影響を及ぼす、この脆弱性 CVE-2023-45249 に対しては、9カ月前にパッチが適用されている：

• ACI ビルド 5.0.1-61 以前：ACI 5.0 update 1.4 で修正
• ACI ビルド 5.1.1-71 以前：ACI 5.1 update 1.2 で修正
• ACI ビルド 5.2.1-69 以前：ACI 5.2 update 1.3 で修正
• ACI ビルド 5.3.1-53 以前：ACI 5.3 update 1.3 で修正
• ACI ビルド 5.4.4-132 以前：ACI 5.4 update 4.2 で修正

今週の初めに、Acronis が公表した最新のセキュリティ・アドバイザリにおいて、このバグが攻撃に悪用されていることが確認されている。同社は管理者に対して、可能な限り早急にパッチを適用するよう警告している。

Acronis は、「このアップデートには、重大なセキュリティ脆弱性の修正が含まれており、すべてのユーザーにとって迅速なインストールが必要なものである。この脆弱性は実際に悪用されていることを、当社は認識している。Acronis 製品のセキュリティを維持するためには、ソフトウェアを常に最新の状態に保つことが重要である。サポートおよびセキュリティ・アップデートの提供に関するガイドラインについては、Acronis 製品のサポート・ライフサイクルを参照してほしい。」と述べている。

ユーザーが使用しているサーバで、この脆弱性の有無を確認する際には、ソフトウェアのメインウィンドウから Help -> About へと移動することで、Acronis Cyber Protectのビルド番号を参照できる。

ACI を最新のビルドにアップデートするには、以下の手順が必要となる：

1. アカウントにログインする (これらの手順を使用すれば、アカウント作成とライセンス登録が可能) 。
2. Products セクションから最新の ACI ビルドをダウンロードし、脆弱なサーバにインストールする。

Acronis の脆弱性 CVE-2023-45249 は、だいぶ以前にパッチが適用されていますが、いまも悪用されているとのことです。ご利用のチームは、ご注意ください。Acronis も息の長い会社ですね。Wikipediaで調べたところ、2023年の創業と記されていました。HQ のあるシンガポールの会社だと思っていましたが、スイスで生まれたようです。なお、2021/07/29 の「ビジネスメール詐欺 (BEC) を阻止するためのベスト・プラクティスとは？」は、同社のスポンサード記事ですが、なかなか読み応えのあるものとなっています。よろしければ、ご参照ください。