ファイル転送製品「FileCatalyst」に深刻な脆弱性 - 2023年8月の更新で修正

Fortraは現地時間3月13日、ファイル転送ソリューション「FileCatalyst」に関する2件のセキュリティアドバイザリを公表した。特に「FileCatalyst Workflow」の脆弱性については影響が大きいが、報告を受けた2023年8月のアップデートで修正済みだという。

「FileCatalyst Workflow」のウェブポータルでは、ディレクトリトラバーサルの脆弱性「CVE-2024-25153」が明らかとなった。細工したPOSTリクエストにより本来保存されるディレクトリ以外へファイルをアップロードでき、ウェブシェルを実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。

2023年8月に発見され、同月公開した「FileCatalyst 5.1.6 Build 114」にて修正済みだという。同社は今回CVEを発行した経緯について、修正後にCVE番号を割り当てられるCNAとなり、発見者の要請を受けて対応したと説明している。

また同社は、拠点間のデータ送信が行える「FileCatalyst Direct」についてもアドバイザリを公開した。クロスサイトスクリプティング（XSS）の脆弱性「CVE-2024-25155」や情報漏洩につながるおそれがあるパストラバーサルの脆弱性「CVE-2024-25154」について明らかにしている。

CVSS基本値をそれぞれ「7.2」「5.3」、重要度をともに「中（Medium）」としており、2023年10月にリリースした「FileCatalyst Direct 3.8.9」にて修正した。同バージョン以降へアップデートするよう呼びかけている。

（Security NEXT - 2024/03/14 ） ツイート

PR

関連記事

「TeamCity」に深刻な脆弱性 - アップデートで修正
「VeloCloud Orchestrator」に脆弱性、悪用を確認 - 侵害調査を
米当局、「FortiOS」「VeloCloud Orchestrator」の脆弱性悪用を確認
フィッシング被害後、攻撃の踏み台に - スペース
ランサム感染の可能性、店舗に影響なし - ファイブフォックス
サイト公開のPDFファイルでマスキング処理に不備 - 南砺市
子会社SMS配信システムにサイバー攻撃 - ファブリカHD
2026年2Qの脆弱性届出、ソフト製品関連が3割増
「Zimbra」脆弱性にゼロデイ攻撃、露支援攻撃者が関与
Javaデータ変換ライブラリ「fastjson」に脆弱性 - 悪用攻撃も観測