LAC WATCH

セキュリティとITの最新情報

RSS

株式会社ラック

メールマガジン

サイバーセキュリティや
ラックに関する情報をお届けします。

登録する
Facebook X Instagram
注意喚起　|　

SHIRASAGIにおけるパストラバーサルの脆弱性（JVN#58721679）

熊丸 匠伍熊丸 匠伍
シェアボタンを表示

LAC Advisory No.138

技術統括部 APU デジタルペンテスト部の熊丸です。

SHIRASAGI Projectが提供するCMS（Contents Management System）のSHIRASAGIに、パストラバーサル（CWE-22）の脆弱性が存在することを発見し、IPAへ報告しました。この脆弱性が悪用されると、サーバ上の機微な情報を取得される可能性があります。官公庁や病院、大学、企業など、幅広いクライアントに活用されているCMSのため、利用している組織は早急な対策を行う必要があります。

メール

サイバーセキュリティやラックに関する様々な情報をお届けします。

注意喚起情報をタイムリーに受け取れるメールマガジンの登録はこちら

目次
  1. 影響を受けるシステム
  2. 解説
  3. 対策方法
  4. 発見者
  5. 公表までの経緯
  6. CVE番号

影響を受けるシステム

SHIRASAGI v1.19.1より前のバージョンすべて

解説

当該製品には、HTTPリクエスト中のURLの処理に不備があり、パストラバーサル（CWE-22）の脆弱性が存在します。ログインをする必要があるといった前提条件がないため、簡単に悪用される可能性があります。この脆弱性が悪用された場合、サーバ上の機微な情報を取得されるリスクがあります。

画像は、細工されたHTTPリクエストによる攻撃を実施し、機微な情報が取得できた際の様子の一部です。

機微な情報が取得できた際の様子（HTTPリクエスト）
機微な情報が取得できた際の様子（HTTPリクエスト）
機微な情報が取得できた際の様子（HTTPレスポンス）
機微な情報が取得できた際の様子（HTTPレスポンス）

対策方法

製品開発者が提供する情報をもとに、軽減・回避策を実施してください。

JVN#58721679 SHIRASAGI におけるパストラバーサル脆弱性 - SHIRASAGI公式サイト

発見者

熊丸 匠伍（技術統括部 APU デジタルペンテスト部）

公表までの経緯

本脆弱性は、情報セキュリティ早期警戒パートナーシップに基づき、ラックからIPAに報告し、JPCERT/CCによって開発者との調整が行われました。

CVE番号

CVE-2024-46898（https://www.cve.org/CVERecord?id=CVE-2024-46898）

JVN#58721679
JVNDB-2024-000111

この記事をシェアする

  • Xでシェア
  • Facebookでシェア
  • はてなブックマークに追加
  • noteで書く
  • noteで書く

メールマガジン

サイバーセキュリティや
ラックに関する情報を
お届けします。

登録する

この記事は役に立ちましたか？

はい いいえ

関連記事

LAC WATCH

関連記事をご紹介します

よく読まれている記事

タグ

page top