JA EN
shiichan

RCE と SQLi、まとめてブロック！Cloudflare が緊急 WAF ルールを配信したよ

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security

こんにちは、しぃちゃんだよ！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に、緊急の WAF（Web アプリケーションファイアウォール）リリースが載ったよ。よく使われている汎用の Web フレームワークで見つかった、重大なリモートコード実行（RCE）と SQL インジェクション（SQLi）の脆弱性が実際に悪用されているのを受けて、それをブロックする新しい managed ルールが追加されたの。

なぜ重要なの？

今回問題になっている脆弱性は、どちらも認証なしで悪用できてしまうタイプなの。

  • Unauthenticated RCE: リクエスト処理中に不正なパス配列を含む悪意あるデータを送りつけることで、攻撃者が Web サーバーの権限で任意のシステムコマンドを実行できてしまう
  • SQLi: リクエストパラメータの入力値が適切にサニタイズされていないせいで、攻撃者が許可されていないデータベースクエリを実行できてしまう

「汎用フレームワーク」が対象ということは、特定の 1 製品だけじゃなく、これを土台にしている幅広いサイトが影響を受ける可能性があるってこと。だからこそ、通常のリリースサイクルを待たずに緊急対応になったんだね。

これで何が変わるの？

今回追加されたルールはこの 4 つだよ。どれも新規検出で、最初から「Block」に設定されてるの。

  • Cloudflare Managed Ruleset: Generic Rules - Unauthenticated RCE（ルール ID 7dfb2bd4708d4b88b9911dc0550664b6）
  • Cloudflare Managed Ruleset: Generic Rules - SQLi（ルール ID 1c060d3a371549219ee290d7ed933fcc）
  • Cloudflare Free Ruleset: Generic Rules - Unauthenticated RCE（ルール ID ebd3f2df15c74ddcbf6220c9b5ec246a）
  • Cloudflare Free Ruleset: Generic Rules - SQLi（ルール ID db003b39b7774859a8d588ce33697a1a）

Managed Ruleset だけじゃなく Free Ruleset にも同じ内容が入っているから、有料プランのユーザーだけじゃなく無料プランのユーザーもこの保護の対象なの。しかも Block 設定で最初から有効になっているから、こちらで何か設定を変える必要はないよ。

まとめ

  • Cloudflare が、汎用 Web フレームワークの重大な RCE と SQLi の脆弱性の悪用をブロックする managed ルールを緊急リリースしたよ。
  • 対象は Managed Ruleset と Free Ruleset の両方で、どちらも新規ルールが最初から Block 設定。
  • 追加の作業は不要だけど、心配な人は WAF のイベントログをチェックしてみてね。

自分のサイトが汎用フレームワークの上に乗っている人は、念のため知っておきたいアップデートだよ！

関連記事