ファイル転送製品「FileCatalyst」に深刻な脆弱性 - 2023年8月の更新で修正

Fortraは現地時間3月13日、ファイル転送ソリューション「FileCatalyst」に関する2件のセキュリティアドバイザリを公表した。特に「FileCatalyst Workflow」の脆弱性については影響が大きいが、報告を受けた2023年8月のアップデートで修正済みだという。

「FileCatalyst Workflow」のウェブポータルでは、ディレクトリトラバーサルの脆弱性「CVE-2024-25153」が明らかとなった。細工したPOSTリクエストにより本来保存されるディレクトリ以外へファイルをアップロードでき、ウェブシェルを実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。

2023年8月に発見され、同月公開した「FileCatalyst 5.1.6 Build 114」にて修正済みだという。同社は今回CVEを発行した経緯について、修正後にCVE番号を割り当てられるCNAとなり、発見者の要請を受けて対応したと説明している。

また同社は、拠点間のデータ送信が行える「FileCatalyst Direct」についてもアドバイザリを公開した。クロスサイトスクリプティング（XSS）の脆弱性「CVE-2024-25155」や情報漏洩につながるおそれがあるパストラバーサルの脆弱性「CVE-2024-25154」について明らかにしている。

CVSS基本値をそれぞれ「7.2」「5.3」、重要度をともに「中（Medium）」としており、2023年10月にリリースした「FileCatalyst Direct 3.8.9」にて修正した。同バージョン以降へアップデートするよう呼びかけている。

（Security NEXT - 2024/03/14 ） ツイート

PR

関連記事

「第一生命」かたるフィッシングメールに注意 - 「5000円相当プレゼント」と誘導
従業員メルアカが不正利用、取引先へ不審メール - トーホー
ランサムウェア被害を確認、詳細は調査中 - FA機器開発会社
委託先で顧客情報流出、無断転用のファイルに残存 - GMOあおぞら銀
「Cisco ISE」に複数の深刻な脆弱性 - 一部修正パッチを準備中
「Ivanti Neurons for ITSM」に脆弱性 - アップデートを提供
SAP、月例セキュリティアドバイザリ19件を公開 - 「クリティカル」も
「Cisco Webex」のSSO連携に深刻な脆弱性 - 証明書の更新を
「Chrome」が脆弱性31件を修正 - 5件は「クリティカル」
セミナー配布資料と同じ場所に参加者名簿を誤保存 - 社労士会連合会