Red Hat の深刻な脆弱性 CVE-2024-7923 が FIX：Pulpcore の認証バイパスに対応

Red Hat Issues Critical Patch for Pulpcore Authentication Bypass Flaw (CVE-2024-7923)

2024/09/06 SecurityOnline — Red Hat Satellite デプロイメントで採用された、コンテンツ管理システム Pulpcore の認証バイパス脆弱性 CVE-2024-7923 に関する、重要なセキュリティ・アドバイザリが発行された。この脆弱性 CVE-2024-7923 (CVSS：9.8) の悪用に成功したユーザーは、権限を必要とせずに管理アクセスを取得できるようになり、システムを完全に侵害する可能性を手にする。

この脆弱性について

この脆弱性が発生する条件は、Pulpcore バージョン 3.0+ が、Gunicorn バージョン 22.0 以前に導入されるときとなる。この問題は、Apache の mod_proxy が HTTP ヘッダーを処理する方法に起因し、具体的に言うと ヘッダー内のアンダースコアの制限に関連している。Apache mod_proxy は、不正な HTTP ヘッダーを正しく設定解除／フィルター処理できないため、攻撃者が悪意のあるヘッダーを挿入してシステムを騙し、不正アクセスを許可させる余地を残してしまう。

したがって、この脆弱性を悪用する攻撃者は不正な認証ヘッダーを作成し、通常のセキュリティ・チェックをバイパスすることで、脆弱なシステムの管理権限を取得する可能性を手にする。この脆弱性は、管理者権限に関係する問題を引き起こすため、影響を受ける Satellite デプロイメントを使用している組織にとっては、きわめて深刻なリスクが生じることになる。つまり、攻撃者により、重要なシステム操作が侵害される恐れがあるのだ。

影響と緊急性

この脆弱性は、Pulpcore バージョン 3.0 以降を使用する、すべてのアクティブな Red Hat Satellite デプロイメント (バージョン 6.13／6.14／6.15) に影響を及ぼす。不正な管理者アクセスが生じる可能性があるため、直ちに対処する必要がある、重大な脆弱性として捉えるべきだ。

緩和策

すでに脆弱性 CVE-2024-7923 は，Foreman 3.10.1／3.11.2／3.12.0 で修正されている。つめり RedHat は、CVE-2024-7923 に対処するパッチを発行することで、迅速に対応している。ユーザーに対してが強く推奨されるのは、可能な限り早急に最新パッチを適用し、Pulpcore および Gunicorn を更新することである。

まず、Red Hat Satellite ですが、Wikipedia によると、「システム管理者のための製品であり、Red Hat Enterprise Linux (RHEL) ホストを導入／管理する。Satellite サーバは Red Hat Subscription Management を用いて登録され、関連ソフトウェアのセキュリティ・エラータやバグ修正などをミラーリングし、ローカルに追加されたソフトウェアやコンフィグとともに、接続されたサーバに提供する」とのことです。したがって、Satellite に発生した脆弱性が悪用されると、社内のシステム全体に影響が及ぶことになります。ご利用のチームは、ご注意ください。