ファイル転送製品「FileCatalyst」に深刻な脆弱性 - 2023年8月の更新で修正

Fortraは現地時間3月13日、ファイル転送ソリューション「FileCatalyst」に関する2件のセキュリティアドバイザリを公表した。特に「FileCatalyst Workflow」の脆弱性については影響が大きいが、報告を受けた2023年8月のアップデートで修正済みだという。

「FileCatalyst Workflow」のウェブポータルでは、ディレクトリトラバーサルの脆弱性「CVE-2024-25153」が明らかとなった。細工したPOSTリクエストにより本来保存されるディレクトリ以外へファイルをアップロードでき、ウェブシェルを実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。

2023年8月に発見され、同月公開した「FileCatalyst 5.1.6 Build 114」にて修正済みだという。同社は今回CVEを発行した経緯について、修正後にCVE番号を割り当てられるCNAとなり、発見者の要請を受けて対応したと説明している。

また同社は、拠点間のデータ送信が行える「FileCatalyst Direct」についてもアドバイザリを公開した。クロスサイトスクリプティング（XSS）の脆弱性「CVE-2024-25155」や情報漏洩につながるおそれがあるパストラバーサルの脆弱性「CVE-2024-25154」について明らかにしている。

CVSS基本値をそれぞれ「7.2」「5.3」、重要度をともに「中（Medium）」としており、2023年10月にリリースした「FileCatalyst Direct 3.8.9」にて修正した。同バージョン以降へアップデートするよう呼びかけている。

（Security NEXT - 2024/03/14 ） ツイート

PR

関連記事

サイトが改ざん被害、外部へ誘導 - アイサンテクノロジー
防災士向け研修会の案内メールで送信ミス - 本巣市
出張先の移動中にPCを置き忘れて紛失 - 高知工科大
「Interop Tokyo 2026」が開催中 - 「AI」関連ソリューションも充実
「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
「Arista EOS」ゼロデイ含む脆弱性3件を悪用リストに追加 - 米当局
「OpenSSL」にセキュリティアップデート - 脆弱性18件を修正
ビデオ会議ツール「Zoom」のモバイルクライアントなどに脆弱性
「Ivanti Sentry」に複数の深刻な脆弱性 - 修正版を公開
Adobe、「Adobe Acrobat Reader」に20件の脆弱性 - アップデートを公開