Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「サイボウズガルーン」にSQLiなど7件の脆弱性 - 修正版へ更新を

サイボウズは、グループウェア「サイボウズガルーン」に存在する複数の脆弱性へ対応するアップデートを公開した。

「SQLインジェクション」をはじめ、「クロスサイトスクリプティング(XSS)」「CSRF対策トークンの漏洩」「アクセス制限不備」など、あわせて7件の脆弱性が明らかとなった。脆弱性によって対象となるバージョンは異なるが、「同3.0.0」から「同4.2.3」までが影響を受けるという。

6件については、深刻度が4段階中上から3番目の「警告」とレーティングされており、のこる1件はもっとも低い「注意」だった。

アクセス制御不備の脆弱性「CVE-2017-2091」は、東内裕二氏がサイボウズに報告したもの。同社では他脆弱性とあわせてウェブサイトで脆弱性情報を公開するとともに、脆弱性を修正した最新版の提供を開始した。また周知を目的にJPCERTコーディネーションセンターへ報告。JVNを通じて情報が公開されている。

今回修正した脆弱性は以下のとおり。ただし、コマンドラインより削除したメッセージを復活させ、更新が可能となる深刻度「注意」の脆弱性については、CVE識別番号が割り当てられていない。

CVE-2017-2090
CVE-2017-2091
CVE-2017-2092
CVE-2017-2093
CVE-2017-2094
CVE-2017-2095

(Security NEXT - 2017/02/22 ) このエントリーをはてなブックマークに追加

PR

関連記事

SAP、4月の月例アップデートを公開 - CVSS基本値「9.9」のRCE脆弱性も
スマホアプリ「ぐるなび」に脆弱性 - 任意サイトへの誘導に悪用されるおそれ
「Chrome 89.0.4389.128」で脆弱性2件を修正 - いずれもエクスプロイトの報告あり
「Adobe Bridge」や「Photoshop」など複数Adobe製品に深刻な脆弱性
MS、月例セキュリティ更新で脆弱性108件に対応 - 一部でゼロデイ攻撃も
NEC製ルータ「Atermシリーズ」の複数製品に脆弱性
「Okta Access Gateway」にコマンドインジェクションの脆弱性
「Cisco SD-WAN vManage」に深刻な脆弱性 - アップデートが公開
一部シスコ製小規模向けVPNルータに深刻なRCE脆弱性
制御システム監視制御ソフト「ScadaBR」に脆弱性