ファイル転送製品「FileCatalyst」に深刻な脆弱性 - 2023年8月の更新で修正

Fortraは現地時間3月13日、ファイル転送ソリューション「FileCatalyst」に関する2件のセキュリティアドバイザリを公表した。特に「FileCatalyst Workflow」の脆弱性については影響が大きいが、報告を受けた2023年8月のアップデートで修正済みだという。

「FileCatalyst Workflow」のウェブポータルでは、ディレクトリトラバーサルの脆弱性「CVE-2024-25153」が明らかとなった。細工したPOSTリクエストにより本来保存されるディレクトリ以外へファイルをアップロードでき、ウェブシェルを実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。

2023年8月に発見され、同月公開した「FileCatalyst 5.1.6 Build 114」にて修正済みだという。同社は今回CVEを発行した経緯について、修正後にCVE番号を割り当てられるCNAとなり、発見者の要請を受けて対応したと説明している。

また同社は、拠点間のデータ送信が行える「FileCatalyst Direct」についてもアドバイザリを公開した。クロスサイトスクリプティング（XSS）の脆弱性「CVE-2024-25155」や情報漏洩につながるおそれがあるパストラバーサルの脆弱性「CVE-2024-25154」について明らかにしている。

CVSS基本値をそれぞれ「7.2」「5.3」、重要度をともに「中（Medium）」としており、2023年10月にリリースした「FileCatalyst Direct 3.8.9」にて修正した。同バージョン以降へアップデートするよう呼びかけている。

（Security NEXT - 2024/03/14 ） ツイート

PR

関連記事

女性向け情報サイトの管理画面に不正アクセス - ハルメクHD
オープンキャンパスの関連案内でメール誤送信 - 福岡女学院大
医療機器メーカー関係者が患者X線画像を持ち出し - 宝塚市立病院
川崎市施設のサイトに不正アクセス - サイト更新時に判明
「Next.js」の画像生成モジュールにRCEにつながる脆弱性
Adobe、7件のセキュリティアドバイザリを公開
「PHP」に複数の脆弱性 - セキュリティアップデートが公開
「ServiceNow AI Platform」にSQLiなど複数脆弱性 - 修正版を提供
MSP向け管理ツール「ManageEngine OpManager MSP」に深刻な脆弱性 - 8月に修正済み
米CISA、「Adobe Commerce」「WSO2」の脆弱性悪用を警告