プラットフォーム
python
コンポーネント
iris-evtx-module
修正版
1.0.1
CVE-2024-34060は、IRIS EVTX Pipeline Moduleにおいて発見された任意ファイルアクセス脆弱性です。この脆弱性は、EVTXファイルのアップロード処理におけるファイル名検証の不備に起因し、攻撃者によるリモートコード実行（RCE）のリスクを高めます。影響を受けるバージョンは1.0.0以前であり、バージョン1.0.0へのアップデートによって修正されています。
この脆弱性を悪用されると、攻撃者はIRIS EVTX Pipeline Moduleを通じて任意のファイルを書き込むことが可能になります。ファイル名検証の不備により、攻撃者は意図しない場所にファイルを書き込み、システムを改ざんしたり、悪意のあるコードを実行したりする可能性があります。さらに、この脆弱性はServer Side Template Injection (SSTI) と組み合わせることで、リモートコード実行（RCE）につながる重大なリスクをもたらします。攻撃者は、システム上で任意のコマンドを実行し、機密情報を窃取したり、システムを完全に制御したりする可能性があります。
この脆弱性は、2024年5月23日に公開されました。現時点では、公的なPoC（Proof of Concept）は確認されていませんが、任意ファイルアクセスとSSTIの組み合わせによるRCEの可能性から、攻撃者による悪用が懸念されます。CISA KEVカタログへの登録状況は不明です。
Organizations utilizing the IRIS EVTX Pipeline Module for log ingestion, particularly those with internet-facing deployments or those using the module to process logs from untrusted sources, are at significant risk. Legacy configurations of IRIS web applications and environments where input validation is weak are especially vulnerable.
• linux / server:
find /opt/iris/ -name "iris-evtx-module*" -mtime +7 # Check for older versions
journalctl -u iris-web -g "EVTX upload" | grep -i "error" # Look for upload errors• generic web:
curl -I <IRIS_WEB_ENDPOINT>/evtx_upload.php | grep -i "server" # Check server header for potential information leakagedisclosure
エクスプロイト状況
EPSS
2.44% (85% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への最善の対応は、IRIS EVTX Pipeline Moduleをバージョン1.0.0にアップデートすることです。アップデートが直ちに実行できない場合は、EVTXファイルのアップロードを一時的に停止するか、ファイル名に特殊文字が含まれていないか検証するなどの回避策を講じることを推奨します。また、WAF（Web Application Firewall）を導入し、悪意のあるファイル名パターンをブロックするルールを設定することも有効です。アップデート後、ファイルアップロード機能が正常に動作することを確認してください。
Actualice el módulo iris-evtx-module a la versión 1.0.0 o superior. Esto corrige la vulnerabilidad de escritura arbitraria de archivos. Puede actualizar el módulo utilizando el gestor de paquetes de Python, pip, ejecutando el comando: `pip install --upgrade iris-evtx-module`.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-34060は、IRIS EVTX Pipeline Moduleのバージョン1.0.0以前における、EVTXファイルのアップロード処理におけるファイル名検証の不備に起因する任意ファイルアクセス脆弱性です。
はい、バージョン1.0.0以前を使用している場合、攻撃者による任意のファイル書き込みやリモートコード実行のリスクがあります。
IRIS EVTX Pipeline Moduleをバージョン1.0.0にアップデートしてください。
現時点では公的なPoCは確認されていませんが、悪用される可能性はあります。
IRIS EVTX Pipeline Moduleの公式アドバイザリは、IRISのセキュリティ情報ページで確認できます。
requirements.txt ファイルをアップロードすると、影響の有無を即座にお知らせします。