「サイボウズガルーン」にSQLiなど7件の脆弱性 - 修正版へ更新を

サイボウズは、グループウェア「サイボウズガルーン」に存在する複数の脆弱性へ対応するアップデートを公開した。

「SQLインジェクション」をはじめ、「クロスサイトスクリプティング（XSS）」「CSRF対策トークンの漏洩」「アクセス制限不備」など、あわせて7件の脆弱性が明らかとなった。脆弱性によって対象となるバージョンは異なるが、「同3.0.0」から「同4.2.3」までが影響を受けるという。

6件については、深刻度が4段階中上から3番目の「警告」とレーティングされており、のこる1件はもっとも低い「注意」だった。

アクセス制御不備の脆弱性「CVE-2017-2091」は、東内裕二氏がサイボウズに報告したもの。同社では他脆弱性とあわせてウェブサイトで脆弱性情報を公開するとともに、脆弱性を修正した最新版の提供を開始した。また周知を目的にJPCERTコーディネーションセンターへ報告。JVNを通じて情報が公開されている。

今回修正した脆弱性は以下のとおり。ただし、コマンドラインより削除したメッセージを復活させ、更新が可能となる深刻度「注意」の脆弱性については、CVE識別番号が割り当てられていない。

CVE-2017-2090
CVE-2017-2091
CVE-2017-2092
CVE-2017-2093
CVE-2017-2094
CVE-2017-2095

（Security NEXT - 2017/02/22 ） ツイート

PR

関連記事

「SSL VPN」の脆弱性探索行為、国内でも観測
Intel CPUにネットワーク経由で情報漏洩のおそれ - 「NetCAT攻撃」明らかに
OpenSSLにアップデート、重要度「低」の脆弱性3件に対応
「Chrome 77」で52件のセキュリティ修正 - EV証明書の常時組織名表示を削除
「Chrome」がアップデート、重要度「高」の脆弱性を修正
「Flash Player」に2件の深刻な脆弱性 - アップデートをリリース
MS、月例パッチで脆弱性79件を修正 - 一部でゼロデイ攻撃が発生
CMSの「SHIRASAGI」にオープンリダイレクトの脆弱性
法人向け「ウイルスバスター」狙う攻撃が複数発生 - 設定無効化のおそれ
「Exim」に深刻な脆弱性 - リモートよりコマンド実行のおそれ