Progress

Progress Software社は、先週のShareFile Storage Zone Controllerの緊急シャットダウンの原因が、深刻度の高いゼロデイ脆弱性にあることを確認し、この脆弱性を修正するためのセキュリティアップデートを公開しました。

先週、プログレス社は「信憑性の高い外部からのセキュリティ脅威」に関する警告を受けたことを受け、ShareFile Storage Zone Controllerを利用している顧客に対し、Windowsサーバーを直ちにシャットダウンするよう要請しました。

当時、同社はサイバーセキュリティの専門家と協力して事態を調査する間、Storage Zone Controller を使用するすべての ShareFile アカウントへのアクセスを一時的に停止していた。

image

「SZCに対する潜在的な脅威について、信頼できる情報源から情報を得たため、慎重を期して対応しました。その後の調査により脆弱性が判明し、一般に知られる前に速やかに修正パッチを適用しました」とProgressは述べた。

本日顧客に送付された最新情報によると、Progress社は調査の結果、ShareFile Storage Zone Controllerのすべての5.xおよび6.xバージョンに影響を及ぼす、深刻度の高いパストラバーサル脆弱性を特定したと述べている。

「認証済みの管理者ユーザーは、アプリケーションのサービスアカウントがアクセス可能な任意のファイルを読み取ったり、脅威アクターが制御するコンテンツを任意のディレクトリに書き込んだり、サーバーのファイルシステムの構成を列挙したりすることが可能です」と、が確認したメールには記載されている。

Progress社によると、この脆弱性にはCVE識別子が割り当てられており、2週間後に公開される予定である。

公開が遅れている理由について尋ねられた際、Progress社は、CVEの公開を遅らせることで、詳細が公になり潜在的な脅威アクターが入手可能になる前に、顧客がパッチを適用する時間を確保できると説明した。さらに、これは同社の標準的な対応であると付け加えた。

同社は、ShareFile Storage Zone Controllerのバージョン5.12.5および6.0.2をリリースしており、すべての顧客に対し、セキュリティ更新プログラムをできるだけ早く適用するよう強く推奨している。更新プログラムの適用が完了すれば、Storage Zone Controllerをオンライン状態に戻すことができる。

Progress社は、ShareFileの顧客を標的とした潜在的な脅威に関する「信頼できる情報源からの情報」を受け取っていたものの、現時点では顧客のアカウントが侵害されたという兆候はないとしている。

「現時点では、ShareFileの顧客アカウントやデータへの不正アクセスを示す兆候はなく、活発な脅威も確認されていません」とProgressは述べています。

Storage Zone Controllerは、顧客が管理するWindowsサーバーであり、組織がファイルをオンプレミスに保管しつつ、認証、権限管理、監査、コラボレーションのためにShareFileのクラウドプラットフォームを引き続き利用できるようにするものです。 

Storage Zone Controllersには、システムを介して転送されたファイルが格納されているため、データ窃取攻撃を行う恐喝グループにとって格好の標的となります。

当メディアはProgressに対し、この脆弱性が社内で発見されたものか、外部の研究者によって発見されたものか、また追加の技術的詳細が公開される予定があるかについて問い合わせた。

回答が得られ次第、この記事を更新する予定です。

26年7月14日更新：Progress Softwareからの追加声明に基づき記事を更新しました。