Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「サイボウズガルーン」にSQLiなど7件の脆弱性 - 修正版へ更新を

サイボウズは、グループウェア「サイボウズガルーン」に存在する複数の脆弱性へ対応するアップデートを公開した。

「SQLインジェクション」をはじめ、「クロスサイトスクリプティング(XSS)」「CSRF対策トークンの漏洩」「アクセス制限不備」など、あわせて7件の脆弱性が明らかとなった。脆弱性によって対象となるバージョンは異なるが、「同3.0.0」から「同4.2.3」までが影響を受けるという。

6件については、深刻度が4段階中上から3番目の「警告」とレーティングされており、のこる1件はもっとも低い「注意」だった。

アクセス制御不備の脆弱性「CVE-2017-2091」は、東内裕二氏がサイボウズに報告したもの。同社では他脆弱性とあわせてウェブサイトで脆弱性情報を公開するとともに、脆弱性を修正した最新版の提供を開始した。また周知を目的にJPCERTコーディネーションセンターへ報告。JVNを通じて情報が公開されている。

今回修正した脆弱性は以下のとおり。ただし、コマンドラインより削除したメッセージを復活させ、更新が可能となる深刻度「注意」の脆弱性については、CVE識別番号が割り当てられていない。

CVE-2017-2090
CVE-2017-2091
CVE-2017-2092
CVE-2017-2093
CVE-2017-2094
CVE-2017-2095

(Security NEXT - 2017/02/22 ) このエントリーをはてなブックマークに追加

PR

関連記事

トレンドマイクロの複数製品に脆弱性 - 順次更新を実施
「Adobe Acrobat/Reader」に深刻な脆弱性 - アップデート準備中
Facebookの「WordPress」向けプラグインに脆弱性 - チャット乗っ取りのおそれ
WordPressの人気テーマ「Divi」に深刻な脆弱性
Ciscoの複数ネットワーク管理製品に深刻な脆弱性 - 認証回避や遠隔操作のおそれ
IoT機器で広く採用される「Treck TCP/IP Stack」に深刻な脆弱性
横河電機の制御システム向けアラーム管理ソフトに複数脆弱性
「SKYSEA Client View」に脆弱性 - 緊急対応を
セキュアブート回避の脆弱性「BootHole」が判明 - LinuxやWindowsに影響
「BIG-IP」脆弱性問題でF5が侵害の調査方法を公開 - 米政府も注意喚起