2025.01.17

2024年12月度 MBSD-SOCの検知傾向トピックス

著者：MBSD-SOC

ServiceNowにおけるNow Platformの脆弱性（CVE-2024-4879）を狙った攻撃

　今月は、ServiceNowにおけるNow Platformの脆弱性（CVE-2024-4879）を狙った攻撃が増加しました。

　Now Platformは、業務プロセスを効率化し、自動化を実現するためのソリューションです。本脆弱性は、7/10(水)に公開されたもので、攻撃者に悪用された場合は、リモートから認証なしで任意のコードを実行されてしまう恐れがあります。

　本脆弱性のCVSS値（脆弱性の深刻度）は、9.8（重要度: Critical）と評価とされており、深刻な脆弱性に位置づけられています。当該基盤を使用されている場合は、早急に最新のバージョンにアップデートすることをお勧めします。

　下図は、本脆弱性を狙った攻撃の検知数推移です。弊社SOCでは7/11(木)に初観測しており、12月に攻撃が急増しました。

図. CVE-2024-4879の脆弱性を狙った攻撃の検知数推移

　以下は、弊社SOCで検知した攻撃例です。サーバーサイドテンプレートインジェクション（SSTI）のペイロードをURLに追加して、アプリケーションが「gs.addErrorMessage」内の計算結果を応答するかどうかで脆弱性の有無を調査した通信となっています。

図. CVE-2024-4879の脆弱性を狙った攻撃例
GET /login.do?jvar_page_title=<style><j:jelly xmlns:j="jelly" xmlns:g='glide'><g:evaluate>gs.addErrorMessage(13371337);</g:evaluate></j:jelly></style> HTTP/1.1 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,/*;q=0.8 Accept-Encoding: gzip,deflate,br Mozilla/5.0 (X11; Linux x86_64; rv:124.0) Gecko/20100101 Firefox/124.0 Host: www.example.co.jp

　下表は、本脆弱性を狙った攻撃元国です。インドからの攻撃を多数観測しています。