「サイボウズ ガルーン」にDoSや情報漏えいなど複数の脆弱性(JVN)
IPAおよびJPCERT/CCは、サイボウズが提供するグループウェア「サイボウズ ガルーン」に複数の脆弱性が存在すると「JVN」で発表した。
脆弱性と脅威
セキュリティホール・脆弱性
影響を受けるバージョンと脆弱性は次の通り。
「サイボウズ ガルーン 3.5.0 から 4.2.5 まで(CVE-2017-2254)」
「サイボウズ ガルーン 3.7.0 から 4.2.5 まで(CVE-2017-2255)」
「サイボウズ ガルーン 3.0.0 から 4.2.5 まで(CVE-2017-2256、CVE-2017-2257)」
「サイボウズ ガルーン 4.2.4 から 4.2.5 まで(CVE-2017-2258)」
」
これらには、アプリケーションメニューの編集機能におけるサービス運用妨害(CVE-2017-2254)、アプリ「スペース」の書式編集機能における格納型クロスサイトスクリプティング(CVE-2017-2255)、アプリ「メモ」の書式編集機能における格納型クロスサイトスクリプティング(CVE-2017-2256)、メール機能に関するクロスサイトスクリプティング(CVE-2017-2257)、連携API WorkflowHandleApplications に関するディレクトリトラバーサル(CVE-2017-2258)の脆弱性が存在する。JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。
《吉澤 亨史( Kouji Yoshizawa )》