「M-Files Server」に認証バイパスやローカルファイル読み取りの脆弱性

M-Filesが提供するドキュメント管理ソリューション「M-Files Server」に複数の脆弱性が明らかとなった。脆弱性を解消したアップデートが提供されている。

現地時間11月20日にアドバイザリ2件を公開し、明らかにしたもの。「CVE-2024-10127」は、LDAP認証におけるアルゴリズムの実装に問題があり、認証をバイパスされるおそれがある脆弱性。

「OpenLDAP」において匿名バインドをサポートする設定を有効化している場合に影響を受けるという。共通脆弱性評価システム「CVSSv4.0」のベーススコアは、「9.2」と評価されている。

あわせてローカルファイルインクルージョン（LFI）の脆弱性「CVE-2024-10126」が判明した。認証されたユーザーによって特定のファイルタイプをプレビュー機能経由で読み取ることが可能となる。CVSS基本値を「5.3」とした。

アドバイザリの公開時点で、脆弱性の悪用や公表は確認されていないとし、いずれも悪用される可能性は低いと説明している。

同社は「M-Files Server 24.11」「同24.8 LTS SR1」「同24.2 LTS SR3」「同23.8 LTS SR7」にて脆弱性へ対処した。

（Security NEXT - 2024/11/26 ）ツイート