Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「サイボウズガルーン」にSQLiなど7件の脆弱性 - 修正版へ更新を

サイボウズは、グループウェア「サイボウズガルーン」に存在する複数の脆弱性へ対応するアップデートを公開した。

「SQLインジェクション」をはじめ、「クロスサイトスクリプティング(XSS)」「CSRF対策トークンの漏洩」「アクセス制限不備」など、あわせて7件の脆弱性が明らかとなった。脆弱性によって対象となるバージョンは異なるが、「同3.0.0」から「同4.2.3」までが影響を受けるという。

6件については、深刻度が4段階中上から3番目の「警告」とレーティングされており、のこる1件はもっとも低い「注意」だった。

アクセス制御不備の脆弱性「CVE-2017-2091」は、東内裕二氏がサイボウズに報告したもの。同社では他脆弱性とあわせてウェブサイトで脆弱性情報を公開するとともに、脆弱性を修正した最新版の提供を開始した。また周知を目的にJPCERTコーディネーションセンターへ報告。JVNを通じて情報が公開されている。

今回修正した脆弱性は以下のとおり。ただし、コマンドラインより削除したメッセージを復活させ、更新が可能となる深刻度「注意」の脆弱性については、CVE識別番号が割り当てられていない。

CVE-2017-2090
CVE-2017-2091
CVE-2017-2092
CVE-2017-2093
CVE-2017-2094
CVE-2017-2095

(Security NEXT - 2017/02/22 ) このエントリーをはてなブックマークに追加

PR

関連記事

Apple、「macOS Big Sur」「iOS/iPadOS」のゼロデイ脆弱性を修正 - 今月2度目の更新
Arcadyan製ルータソフトに脆弱性 - バッファロー製品にも影響
Geutebrück製産業用ネットワークカメラに深刻な脆弱性
トレンドマイクロのエンドポイント製品に脆弱性 - すでに悪用も、早急に更新を
米英豪、悪用多い脆弱性トップ30件を公表 - 早急に修正を
PEARライブラリ「Archive_Tar」に脆弱性 - 「Drupal」などにも影響
「Chrome 92」で35件のセキュリティ修正
Oracle、四半期定例パッチを公開 - 脆弱性のべ342件を修正
「Windows」に権限昇格のゼロデイ脆弱性 - MSが詳細を調査
Linuxカーネルにroot権限を取得できる脆弱性 - 1Gバイト超のパス長処理で