任意ファイル読み取り CVE-2024-24919

SIEMで受信したアラートは以下の通りです。

まず、CVE-2024-24919とは何でしょうか？以下はNISTのウェブサイトに掲載されている説明です。

さらに調査を進めると、CVE-2024-24919はパストラバーサル攻撃であり、「/etc/passwd」ディレクトリへのリクエストが行われた理由が説明されます。

「/etc/passwd」ディレクトリには、ユーザーのユーザー名、ユーザーID（UID）、グループID（GID）、ホームディレクトリ、ログインシェルなど、ユーザーアカウント情報が格納されています。

これでサーバーを封じ込めるには十分であり、侵害の兆候が他にないかさらに調査を進めます。

疑わしいIPアドレスの調査

まず、脅威インテリジェンスフィードで送信元IPアドレスを確認します。このIPは、特にCVE-2024-24919が原因で悪意のあるものとしてフラグが立てられています。

また、AbuseIPDBとVirusTotalにも報告されています。

送信元IPアドレスでログを検索すると、3つのイベントが見つかります。 そのうちの2つは、SIEMアラートで確認された内容と一致しています。

最初のログ（No Event Time）を調査すると、送信元アドレスが203.160.68.12（疑わしいIP）であると示されています。

ただし、生ログにはIPが203.160.68.13であると記載されており、今回は「/etc/shadow」ディレクトリを要求しています。このディレクトリには、システム上のユーザーアカウントの暗号化されたパスワードハッシュが格納されています。また、203.160.68.13でログを検索しても結果は表示されず、脅威インテリジェンスフィードやAbuseIPDB/Talos/VirusTotalでもフラグが立てられていません。

203.160.68.13 のさらなる調査

宛先IP（172.16.20.146）のログを確認すると、上記と同じログと、サーバーにアクセスしたIPアドレスの一覧を含む別のログが表示されます。ここでは、203.160.68.12が3回の個別接続を行い、203.160.68.13は1回のみであったことがわかります。

宛先アドレス（172.16.20.146）はサーバーであり、203.160.68.12との接続は3回、203.160.68.13との接続は2回行われています。

対応

サーバー（172.16.20.146）は隔離され、疑わしい2つのIPアドレス（203.160.68.12と203.160.68.13）をブラックリストに登録しました。影響を受けたすべてのユーザーは、予防措置としてパスワードを変更する必要があります。

まとめ

攻撃者はパストラバーサル攻撃を実行し、「/etc/passwd」および「/etc/shadow」ディレクトリ内のデータにアクセスしました。これらのファイルには、ユーザー名、ユーザーID、ハッシュ化されたパスワードなど、ユーザー情報が含まれています。攻撃者が使用されたハッシュアルゴリズムを特定できれば、パスワードを解読できる可能性があります。サーバーは封じ込められ、疑わしいIPアドレスはブラックリストに登録されました。影響を受けたすべてのユーザーは、予防措置としてパスワードを変更する必要があります。