「FileCatalyst Workflow」に深刻な脆弱性 - PoCも公開

ウェブベースで大容量のファイル共有や配布などを行う機能を提供するFortraのファイル転送ソリューション「FileCatalyst Workflow」に深刻な脆弱性が明らかとなった。実証コードも公開されている。

現地時間6月25日にセキュリティアドバイザリを公表し、「SQLインジェクション」の脆弱性「CVE-2024-5276」について明らかにしたもの。

「同5.1.6 Build 135」および以前のバージョンに影響がある。同製品に関しては、6月に入り「CVE-2024-5275」も公表されているが、異なる脆弱性となる。

匿名によるアクセスを許可している場合、リモートより認証なしに悪用が可能。データベースを不正に操作し、管理権限を持つユーザーの作成、データベースの改ざん、削除などが可能となる。SQLインジェクションを通じたデータの抽出などはできないとしている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

（Security NEXT - 2024/06/26 ）ツイート