「アクセス解析CGI An-Analyzer」に複数の脆弱性

アングラーズネットが提供している「アクセス解析CGI An-Analyzer」に、OSコマンドインジェクションをはじめ、複数の脆弱性が含まれていることがわかった。アップデートが提供されている。

同プログラムは、ウェブサイトのアクセス解析を行うためのCGIプログラム。解析対象ページにクロスサイトスクリプティング（XSS）の脆弱性「CVE-2019-5989」が判明した。

さらにHTTPリファラからログイン用パスワードを取得されるおそれがある「CVE-2019-5990」が含まれるという。

また管理ページでは「OSコマンドインジェクション」が可能となる脆弱性「CVE-2019-5987」や、クロスサイトスクリプティング（XSS）の脆弱性「CVE-2019-5988」が明らかとなった。

同脆弱性はSTNetの渡邉優太氏が情報処理推進機構（IPA）へ報告したもので、JPCERTコーディネーションセンターが調整を実施。6月24日より修正版が提供されており、利用者は対象となるファイルを更新した上、解析用スクリプトを修正する必要がある。

（Security NEXT - 2019/07/05 ）ツイート