Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「アクセス解析CGI An-Analyzer」に複数の脆弱性

アングラーズネットが提供している「アクセス解析CGI An-Analyzer」に、OSコマンドインジェクションをはじめ、複数の脆弱性が含まれていることがわかった。アップデートが提供されている。

同プログラムは、ウェブサイトのアクセス解析を行うためのCGIプログラム。解析対象ページにクロスサイトスクリプティング(XSS)の脆弱性「CVE-2019-5989」が判明した。

さらにHTTPリファラからログイン用パスワードを取得されるおそれがある「CVE-2019-5990」が含まれるという。

また管理ページでは「OSコマンドインジェクション」が可能となる脆弱性「CVE-2019-5987」や、クロスサイトスクリプティング(XSS)の脆弱性「CVE-2019-5988」が明らかとなった。

同脆弱性はSTNetの渡邉優太氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施。6月24日より修正版が提供されており、利用者は対象となるファイルを更新した上、解析用スクリプトを修正する必要がある。

(Security NEXT - 2019/07/05 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

トレンド複数製品に管理画面回避のおそれ - パッチリリース
NVIDIAのディスプレイドライバに複数脆弱性 - アップデートを提供
「Joomla 3.9.13」がリリース - 脆弱性2件を修正
フリマアプリ「ラクマ」に認証情報漏洩のおそれ
「Office for Mac」の「マクロ無効設定」が回避されるおそれ
オムロン製安全回路プログラミングツールに脆弱性 - アップデートがリリース
トレンドマイクロ「Apex One」にコマンドインジェクションの脆弱性
「Chrome」ゼロデイ脆弱性、水飲み場攻撃「WizardOpium作戦」に悪用
「Chrome」に2件の脆弱性、アップデート公開 - ゼロデイ攻撃も確認
「Samba」に3件の脆弱性 - アップデートがリリース