CVE-2024-28784 — IBM QRadar SIEM ルールウィザードにおける保存型XSS

🛠 製品情報

• ベンダー: IBM
• 製品: IBM Security QRadar SIEM
• 影響を受けるバージョン: 7.5.0 UpdatePackage 7 (Build 20230822112654)
• コンポーネント: ルールウィザード (正規表現ロジックブロック)
• CVE ID: CVE-2024-28784

---

🐞 脆弱性概要

IBM QRadar SIEM のルールウィザードコンポーネントに保存型クロスサイトスクリプティング (XSS) の脆弱性が存在します。問題は、ユーザー制御の入力を「正規表現」ロジックブロック内で適切にサニタイズしていないことにあります。エスケープされていないHTML/JavaScriptを含む悪意のある入力が保存され、後で他の認証ユーザーのブラウザコンテキストで実行される可能性があります。

---

📋 再現手順

1. ルール作成/編集権限を持つユーザーアカウントでQRadar SIEMにログインします。
2. 次の場所に移動:
   Offense → Rules → Actions → New Event Rule
3. 条件ブロックを追加:
   "これらのプロパティのいずれかがこの正規表現に一致する場合" .
   
4. 任意のプロパティを選択します。
5. 「この正規表現」入力欄に、以下のペイロードを入力します:

   "><script>alert(alert('XSS'))</script>
   

6. Submit をクリックします。
7. ルールブロックを再度開くと、悪意のあるペイロードが保持され、操作または読み込み時にトリガーされます。

---

🔐 アクセス要件

• 認証: 必要
• 権限: ルール作成/編集にアクセスできるユーザー

---

⚙️ 技術詳細

• 脆弱性タイプ: 保存型クロスサイトスクリプティング (XSS)
• ベクター: Web UI → ルールウィザード
• インジェクションポイント: 正規表現フィールド
• 永続性: 設定に保存され、表示時にトリガー
• セキュリティ上の誤り: 不適切な入力サニタイズとHTMLコンテキストでの反映

---

⚠️ 影響

このXSS脆弱性により、攻撃者は以下を実行できます:

• 他のユーザーのブラウザセッションで任意のJavaScriptを実行
• セッションハイジャックやトークン窃取を実行
• 認証ユーザーから機密データを窃取
• ユーザーになりすまし、または権限を昇格（特権ユーザーがペイロードをトリガーした場合）
• 被害者をフィッシングや悪意のあるドメインにリダイレクト

---

🧪 悪用に関する注意点

• 悪用は容易ではなく、攻撃者がペイロードを注入し、被害者が感染したルールインターフェースと対話する必要があります。
• ユーザーが保存されたルールと頻繁に対話する場合、攻撃はソーシャルエンジニアリングを必要としません。

---

🏁 タイムライン

日付	イベント
2024-03-18	脆弱性発見
2024-03-18	HackerOne経由でIBMに報告
2024-04-02	CVE-2024-28784 割り当て

---

📄 免責事項

この研究は倫理ガイドラインに沿って実施され、責任ある開示プロセスが行われました。本番システムに損害はありませんでした。この公開は教育および防御目的のみを目的としています。

---

👤 著者

Rodrigo Hormazábal
セキュリティ研究者 — SOAR & SIEM オートメーション
🔗 LinkedIn
🧑‍💻 GitHub
🐙 HackerOne