vBulletinの脆弱性（CVE-2020-17496）を標的としたアクセスを観測

警察庁が10月16日、vBulletinの脆弱性（CVE-2020-17496）を標的としたアクセスの観測等について発表した。

脆弱性と脅威

2020.10.20 Tue 8:05

警察庁が10月16日、vBulletinの脆弱性（CVE-2020-17496）を標的としたアクセスの観測等について発表した。

MH Sub I LLC.が提供するvBulletinは、フォーラムサイトを作成するためのソフトウェアで8月10日に、vBulletinに存在する脆弱性（CVE-2020-17496）が公表されたが、当該脆弱性は2019年10月に@policeのWebサイトにて「vBulletin の脆弱性（CVE-2019-16759）を標的としたアクセス」として注意喚起を行った、遠隔からの攻撃者による任意のコードを実行される可能性がある脆弱性の修正を回避する脆弱性。海外の共有ウェブサービスにて、当該脆弱性を対象としたPoCが公開されたことを確認した。脆弱性のあるバージョンは、以下の通り。

vBulletin 5.5.4 から 5.6.2 のバージョン

警察庁では、使用するvBulletinのバージョンが脆弱性の影響を受けることが判明した場合は、開発元から公開されているセキュリティパッチを適用するか、インターネットからのアクセスを許可する場合には、必要な送信元IPアドレスのみにアクセスを許可するか、VPNを用いて接続することを検討するよう呼びかけている。

また警察庁では7月16日以降、Android Debug Bridge（ADB）に使用される宛先ポート5555/TCPに対し、特定のコマンドにより外部サーバからシェルスクリプトをダウンロードし、実行を試みるアクセスの増加を観測している。シェルスクリプトが実行されると、外部サーバから不正プログラムをダウンロードし実行を試みる。不正プログラムはMirai、またはその亜種と見られる。

不正プログラムをダウンロードさせる外部サーバについて、@policeのWebサイトにて8月に「ZeroShellの脆弱性を標的としたアクセスの観測について」として注意喚起を行っているが、こちらで観測された不正プログラムをダウンロードさせる外部サーバと同じIPアドレスのサーバであった。ADBを標的としたアクセスについて、8月中旬頃に外部サーバのIPアドレスが変化、9月には別のIPアドレスのものも確認している。

警察庁では、ZeroShellの脆弱性を標的とした不正プログラムの配信インフラと、宛先ポート5555/TCPを使用しているAndroid搭載機器を標的とした不正プログラムの配信インフラが、Mirai、またはその亜種といったIoT機器に感染する不正プログラムの配信に共有されていると推測している。