CVE-2022-24637 — Open Web Analytics (1.7.4 より前)

Open Web Analytics (OWA) における、権限昇格につながる可能性のある重大な未認証情報漏えい問題に関する防御的な注意事項。

echoCTF の Fruityloops ボックスに取り組んでいる際に遭遇したもので、Open Web Analytics 1.7.3 が動作していた。

概要

未認証のリモート攻撃者が、OWA のキャッシュ処理から機密のユーザー情報を取得できる。このデータを悪用して管理者権限へ昇格される可能性がある。場合によっては、さらに連鎖してホスト全体が侵害されることもある。

影響

• アカウント関連の機密データの漏えい
• 管理者権限昇格への経路
• 他の脆弱性と組み合わせた場合のより広範な侵害

緩和策

1. Open Web Analytics を 1.7.4 以降にアップグレードする。これが主要な修正である。
2. キャッシュやその他の機密データディレクトリへのアクセスを制限し、HTTP 経由で静的ファイルとして配信されないようにする。
3. パッチ適用後に既存のキャッシュをクリアし、以前に生成された成果物が露出したまま残らないようにする。
4. 管理者アカウントを確認し、漏えいが疑われる場合は認証情報/API キーをローテーションし、悪用の痕跡がないかログを確認する。

参考資料

• NVD — CVE-2022-24637
• GitHub Advisory GHSA-pr9q-v585-qv2w
• Wiz 脆弱性概要
• Open Web Analytics のリリースノート / 1.7.4 以降へのアップグレード手順

このリポジトリの範囲

このリポジトリは、認識と修復のみを目的としてこの CVE を文書化したものである。エクスプロイトコード、ペイロード、再現手順は含まれていない。