【CVE-2024-5608】ManageEngine ADAudit Plusにバージョン8121未満のSQL Injection脆弱性、技術者レポート機能に深刻な影響

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

ManageEngine ADAudit PlusにSQL Injection脆弱性
バージョン8121未満が影響を受ける深刻な脆弱性
CVSSスコア8.3のHigh深刻度レベル

ManageEngine ADAudit PlusのSQL Injection脆弱性

Zohocorpは2024年10月24日、ManageEngine ADAudit Plusのバージョン8121未満に存在するSQL Injection脆弱性を公開した。この脆弱性は技術者レポート機能に存在しており、CVE-2024-5608として識別されている。【CVE-2024-5608】^[1]

この脆弱性はCVSS 3.1で8.3のスコアを記録しており、深刻度はHighレベルに分類されている。攻撃元区分はネットワークであり、攻撃条件の複雑さは低く、特権レベルは低いものの、ユーザーの関与は不要とされている。

影響範囲は広く、機密性と完全性への影響が高く、可用性への影響は低いと評価されている。この脆弱性に対する具体的な攻撃方法は公開されていないものの、SQLインジェクション攻撃により重要な情報が漏洩する可能性が指摘されている。

ManageEngine ADAudit Plus脆弱性の詳細

項目	詳細
脆弱性ID	CVE-2024-5608
影響を受けるバージョン	8121未満
CVSSスコア	8.3（High）
脆弱性の種類	SQL Injection
影響を受ける機能	技術者レポート機能
公開日	2024年10月24日

脆弱性の詳細はこちら

SQL Injectionについて

SQL Injectionとは、Webアプリケーションのセキュリティ上の脆弱性を悪用し、データベースに不正なSQLコマンドを挿入・実行する攻撃手法のことを指す。主な特徴として、以下のような点が挙げられる。

データベースの情報を不正に取得・改ざん・削除が可能
認証をバイパスし、不正アクセスを行うことが可能
データベースサーバー上でコマンドを実行することも可能

SQL Injectionは特に深刻な脆弱性として知られており、ManageEngine ADAudit Plusの場合、技術者レポート機能を通じて攻撃が可能となっている。この脆弱性が悪用された場合、重要な監査データや設定情報が漏洩する可能性があるため、早急なアップデートが推奨されている。

ManageEngine ADAudit Plus脆弱性に関する考察

ManageEngine ADAudit PlusはActive Directoryの監査ツールとして広く使用されており、企業の重要な監査情報を扱うため、SQL Injection脆弱性の影響は深刻である。特に技術者レポート機能は多くの組織で利用されており、攻撃者による不正アクセスのリスクが高まっている状況だ。

今後は類似の脆弱性を防ぐため、入力値の徹底的な検証やパラメータ化クエリの採用など、より強固なセキュリティ対策が求められる。また、定期的なセキュリティ監査や脆弱性診断の実施により、新たな脆弱性の早期発見が重要になってくるだろう。

ManageEngine ADAudit Plusの利用者は、早急にバージョン8121以降へのアップデートを実施する必要がある。さらに、監査ログの定期的なレビューや、不審なアクセスの監視強化など、多層的な防御策の導入を検討すべきだ。