ファイル転送製品「FileCatalyst」に深刻な脆弱性 - 2023年8月の更新で修正

Fortraは現地時間3月13日、ファイル転送ソリューション「FileCatalyst」に関する2件のセキュリティアドバイザリを公表した。特に「FileCatalyst Workflow」の脆弱性については影響が大きいが、報告を受けた2023年8月のアップデートで修正済みだという。

「FileCatalyst Workflow」のウェブポータルでは、ディレクトリトラバーサルの脆弱性「CVE-2024-25153」が明らかとなった。細工したPOSTリクエストにより本来保存されるディレクトリ以外へファイルをアップロードでき、ウェブシェルを実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。

2023年8月に発見され、同月公開した「FileCatalyst 5.1.6 Build 114」にて修正済みだという。同社は今回CVEを発行した経緯について、修正後にCVE番号を割り当てられるCNAとなり、発見者の要請を受けて対応したと説明している。

また同社は、拠点間のデータ送信が行える「FileCatalyst Direct」についてもアドバイザリを公開した。クロスサイトスクリプティング（XSS）の脆弱性「CVE-2024-25155」や情報漏洩につながるおそれがあるパストラバーサルの脆弱性「CVE-2024-25154」について明らかにしている。

CVSS基本値をそれぞれ「7.2」「5.3」、重要度をともに「中（Medium）」としており、2023年10月にリリースした「FileCatalyst Direct 3.8.9」にて修正した。同バージョン以降へアップデートするよう呼びかけている。

（Security NEXT - 2024/03/14 ） ツイート

PR

関連記事

コミュニケーションサポーターのメアド流出 - 茨城県国際交流協会
ランサムでシステム障害、配送遅延など影響 - センコーグループ子会社
職員が顧客情報をUSBメモリで持出、日次確認で判明 - 一関信金
「Erlang/OTP」脆弱性、一部Cisco製品で影響が判明
スポーツグッズ通販サイトで個人情報流出か - 不正プログラムや改ざんを確認
ランサム攻撃で暗号化被害、公共工事のデータも - 松永建設
「ActiveMQ NMS OpenWire Client」にRCE脆弱性 - 修正版が公開
「GitHub Enterprise Server」に複数脆弱性 - アップデートで修正
NVIDIA製GPUドライバに複数の脆弱性 - 権限昇格やDoSのおそれ
メール誤送信で事業所担当者のメアド流出 - やまがた産業支援機構