プラットフォーム
php
コンポーネント
suitecrm
修正版
7.10.8
CVE-2019-25663は、SuiteCRM 7.10.7におけるSQLインジェクション脆弱性です。この脆弱性を悪用されると、認証された攻撃者がデータベースクエリを操作し、機密情報を抽出することが可能です。影響を受けるバージョンは7.10.7です。この脆弱性はSuiteCRM 7.10.16で修正されています。
SuiteCRMのバージョン7.10.7には、メールモジュールにおけるSQLインジェクションの脆弱性が存在します。認証された攻撃者は、'parentTab'パラメータを介してSQLコードを注入することにより、データベースクエリを操作してこの脆弱性を悪用できます。これにより、SuiteCRMデータベースに保存されている機密情報（顧客データ、販売情報、その他の機密情報など）への不正アクセスが可能になる可能性があります。この脆弱性の重大性は、組織のデータの完全性と機密性を損なう可能性があることにあります。
この脆弱性は、'parentTab'パラメータに悪意のある値を設定したGETリクエストをメールモジュールに送信することで悪用されます。攻撃者は、ブール型のSQLインジェクション技術を使用して、データベースから情報を抽出できます。攻撃者は、この脆弱性を悪用するためにSuiteCRMシステム内で認証されている必要があります。成功裏な悪用には、SQLの基本的な知識と、悪意のあるSQLクエリを構築する能力が必要です。
Organizations heavily reliant on SuiteCRM for managing customer relationships and sales data are at significant risk. Specifically, those running older, unpatched versions of SuiteCRM (7.10.7–7.10.7) and those with limited security controls or inadequate WAF protection are particularly vulnerable. Shared hosting environments where multiple customers share the same SuiteCRM instance also face increased risk.
• php: Examine SuiteCRM application logs for unusual SQL queries containing potentially malicious syntax (e.g., UNION SELECT, OR 1=1).
• generic web: Monitor web server access logs for GET requests to the email module with unusual or excessively long parentTab parameters.
• database (mysql): Run a query to check for unauthorized database users or modified database schemas that might indicate compromise: SELECT User, Host FROM mysql.user;
• php: Use a code scanner to identify instances of user-supplied data being directly incorporated into SQL queries without proper sanitization.
disclosure
エクスプロイト状況
EPSS
0.03% (8% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性を軽減するため、SuiteCRMをバージョン7.10.16以降にアップグレードすることを強くお勧めします。このバージョンには、'parentTab'パラメータのSQLインジェクション脆弱性に対する修正が含まれています。さらに、すべてのユーザー入力を検証およびサニタイズするなど、セキュアコーディングプラクティスを実装することで、将来のSQLインジェクション脆弱性を防止できます。定期的なセキュリティ監査とペネトレーションテストも、潜在的なセキュリティの欠陥を特定し、修正するのに役立ちます。
Actualice SuiteCRM a la versión 7.10.16 o posterior para mitigar la vulnerabilidad de inyección SQL. Asegúrese de realizar una copia de seguridad de su base de datos antes de aplicar la actualización. Consulte la documentación oficial de SuiteCRM para obtener instrucciones detalladas sobre cómo actualizar.
脆弱性分析と重要アラートをメールでお届けします。
SQLインジェクションは、攻撃者がユーザー入力に悪意のあるSQLコードを挿入することにより、データベースクエリを操作する攻撃技術です。
SuiteCRMのバージョンが7.10.7以前の場合は、この脆弱性に対して脆弱です。SuiteCRMのバージョンを確認し、最新の利用可能なバージョンにアップグレードしてください。
システムが侵害された疑いがある場合は、すべてのユーザーのパスワードをすぐに変更し、システムログを調べて不審な活動がないか確認し、サイバーセキュリティの専門家に相談してください。
はい、二要素認証を有効にする、データベースへのアクセスを制限する、データの定期的なバックアップを作成するなど、さまざまなセキュリティ対策を講じることができます。
この脆弱性に関する詳細については、CVE脆弱性データベースで確認できます：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-25663