Ajax.NET Professionalの全バージョンに深刻な脆弱性、リモートコード実行の恐れでCISAの悪用カタログにも追加

要点

• .NET向けライブラリ「Ajax.NET Professional（パッケージ名：ajaxpro.2）」のすべてのバージョンにおいて、遠隔から任意のコードが実行可能となる脆弱性「CVE-2021-23758」が確認された。

• 信頼できないデータを復元する処理（デシリアライゼーション）の不備により、任意の.NETクラスが処理されてしまうことが原因となっている。

• 米国立標準技術研究所（NIST）は深刻度を「Critical（9.8）」と算定し、脆弱性情報を報告したSnykは「High（8.1）」と評価している。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、実際に攻撃で悪用された脆弱性として「既知の悪用された脆弱性カタログ（KEV）」に本件を登録した。

• GitHubリポジトリ上で修正コミットが公開されているほか、各機関から技術アドバイザリや実証コード情報が提供されている。

• 2026年8月26日（協定世界時）、米国立標準技術研究所（NIST）が運営する脆弱性情報データベース「NVD（National Vulnerability Database）」において、.NET環境向けWeb開発ライブラリ「Ajax.NET Professional」に関する脆弱性「CVE-2021-23758」の詳細が公開された。対象となっているのは「ajaxpro.2」パッケージの全バージョンであり、信頼できない入力データの処理不備に起因してリモートコード実行（遠隔からの不正なプログラム実行）に至る恐れがあるという。本脆弱性は米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）の悪用確認リストにも登録されており、公的機関およびセキュリティ企業が詳細な情報を提示している。

脆弱性の仕組み：不信頼データのデシリアライゼーション

NVDの解説によると、Ajax.NET Professionalのパッケージ「ajaxpro.2」の全バージョンには、「不信頼データのデシリアライゼーション（Deserialization of Untrusted Data）」に関する脆弱性が存在する。デシリアライゼーションとは、保存やネットワーク転送のために変換されたデータ列を、プログラム内で扱える元のオブジェクトへと復元する処理のことである。

本ライブラリでは、このデータ復元処理において任意の.NETクラスがデシリアライズされてしまう欠陥が存在する。これにより、外部の悪意ある送信者が細工したデータを送り込むことで、システム上で意図しないクラスを処理させることが可能となる。その結果、認証などの事前権限を持たない状態であっても、遠隔から任意のコードを実行（Remote Code Execution）される危険性がある。

NISTとSnykによる深刻度評価の差異とメトリクス詳細

本脆弱性の影響度について、NVD（NIST）とCVE採番機関（CNA）であるセキュリティ企業Snykの間で、共通脆弱性評価システム「CVSS v3.1」に基づく評価がそれぞれ示されている。

NISTによる評価では、基本スコアが最上位クラスの「9.8（Critical）」と判定されている。NISTが定めたCVSS 3.1のベクトル「CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H」の内訳は次のとおりである。

• 攻撃元区分（AV:N）: ネットワーク経由で遠隔から攻撃可能である。
• 攻撃条件の複雑さ（AC:L）: 攻撃の複雑さは「低（Low）」であり、特別な前提条件を必要としない。
• 必要な特権レベル（PR:N）: 攻撃にあたってシステムの認証や特権は「不要（None）」。
• 利用者の関与（UI:N）: ユーザーの操作や介在は「不要（None）」。
• スコープ（S:U）: 他のセキュリティコンポーネントへの波及（スコープ変更）は「なし（Unchanged）」。
• 影響度（C:H / I:H / A:H）: 情報漏えいなどの機密性（Confidentiality）、データの改ざんなどの完全性（Integrity）、システム停止などの可用性（Availability）のすべてにおいて「高（High）」の影響を受ける。

一方、Snykが算出した基本スコアは「8.1（High）」となっている。Snykのベクトル「CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H」では、攻撃条件の複雑さ（AC）が「高（High）」に設定されている点がNISTと異なる。攻撃成立に必要な環境や条件について両者で見解の差があるものの、遠隔からの認証不要な攻撃により、機密性・完全性・可用性のすべてに重大な影響を及ぼし得るという点では一致している。

CISAの悪用確認リスト（KEV）への追加と関連動向

本脆弱性は、CISAの「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog: KEV）」に追加されている。KEVカタログは、米連邦政府の指令「BOD 22-01（Binding Operational Directive 22-01）」に基づき、実際のサイバー攻撃において悪用が確認された脆弱性を集約したリストである。理論的なリスクにとどまらず、実際に悪用された経緯を持つ脆弱性として位置づけられている。

また、NVDの参照情報（References）には、CISA-ADP（CISA Authorized Data Publisher）経由で、Cisco Talosの脅威レポート「UAT-10147」へのリンクが掲載されている。このレポートは、中国語話者の攻撃者が侵害後の作戦行動にエージェント型AI（Agentic AI）を統合した事例を扱ったものであり、本脆弱性に関連する脅威動向のサードパーティアドバイザリとして参照されている。

提供されているパッチおよび公開リファレンス

本脆弱性に対する対策や技術情報として、NVDでは以下の情報源が提示されている。

• 修正パッチ: 開発者Michael Schwarz氏のGitHubリポジトリ（michaelschwarz/Ajax.NET-Professional）において、修正コミット「b0e63be5f0bb20dfce507cb8a1a9568f6e73de57」が公開されている。
• 実証コード情報: Packet Storm Securityにおいて、リモートコード実行に関するエクスプロイト情報（実証コード・解析情報）が「AjaxPro-Deserialization-Remote-Code-Execution.html」として登録されている。
• セキュリティアドバイザリ: Snykの脆弱性データベース（SNYK-DOTNET-AJAXPRO2-1925971）に、詳細なアドバイザリが公開されている。
• 公的機関の情報: CISAのKEVカタログにおいて、CVE-2021-23758に関する情報が米国政府リソースとして提供されている。