Webメールシステム「Denbun」に深刻な複数の脆弱性(JVN) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2018.12.16(日)

Webメールシステム「Denbun」に深刻な複数の脆弱性(JVN)

IPAおよびJPCERT/CCは、ネオジャパンが提供するWebメールシステム「Denbun」に複数の脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は10月4日、株式会社ネオジャパンが提供するWebメールシステム「Denbun」に複数の脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSS v3による最大Base Scoreは9.8。影響を受けるバージョンは次の通り。

・Denbun POP 版 V3.3P R4.0 およびそれ以前
・Denbun IMAP 版 V3.3I R4.0 およびそれ以前
(CVE-2018-0680、CVE-2018-0681、CVE-2018-0682、CVE-2018-0683、CVE-2018-0686、CVE-2018-0687)

・Denbun POP 版 V3.3P R3.0 およびそれ以前
・Denbun IMAP 版 V3.3I R3.0 およびそれ以前
(CVE-2018-0684)

・Denbun POP 版 V3.3P R4.0 およびそれ以前
(CVE-2018-0685)

これらのバージョンには、ユーザアカウントに関する認証情報がハードコードされている問題(CVE-2018-0680)、管理設定画面に関する認証情報がハードコードされている問題(CVE-2018-0681)、セッション管理不備(CVE-2018-0682)、Cookie データの処理に起因するスタックベースのバッファオーバーフロー(CVE-2018-0683)、multipart/form-data 形式データの処理に起因するスタックベースのバッファオーバーフロー(CVE-2018-0684)、メール検索に関する HTTP リクエストの処理における SQL インジェクション(CVE-2018-0685)、任意の実行ファイルをアップロード可能な脆弱性(CVE-2018-0686)、HTML メールの表示機能にクロスサイトスクリプティング(CVE-2018-0687)の脆弱性が存在する。

JVNでは、CVE-2018-0686はワークアラウンドによる対応が必要であるが、それ以外の脆弱性については最新版へのアップデートで脆弱性を解消できるとしている。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

PageTop

特集

アクセスランキング

  1. 他の職員のOTPトークンを窃取し不正アクセス、盗撮の余罪も判明し懲戒免職に(奈良県)

    他の職員のOTPトークンを窃取し不正アクセス、盗撮の余罪も判明し懲戒免職に(奈良県)

  2. CSIRT 担当者は J. D. サリンジャーを読むべきか ~ やらかし事例から学ぶセキュリティ

    CSIRT 担当者は J. D. サリンジャーを読むべきか ~ やらかし事例から学ぶセキュリティ

  3. 働き方改革やIoTの進展で、企業も個人も標的に--2019年の脅威予測(トレンドマイクロ)

    働き方改革やIoTの進展で、企業も個人も標的に--2019年の脅威予測(トレンドマイクロ)

  4. セキュリティカンファレンス論文公募の受かり方

    セキュリティカンファレンス論文公募の受かり方

  5. きみに読んでほしい3冊:セキュリティブックガイド 第一回   NRIセキュアテクノロジーズ 小田島 潤「計算機基礎」

    きみに読んでほしい3冊:セキュリティブックガイド 第一回 NRIセキュアテクノロジーズ 小田島 潤「計算機基礎」

  6. 50歳以上向けセキュリティ教材を作成(カスペルスキー)

    50歳以上向けセキュリティ教材を作成(カスペルスキー)

  7. DLmarketへの不正アクセスで561,625件の会員情報が流出の可能性(ディー・エル・マーケット)

    DLmarketへの不正アクセスで561,625件の会員情報が流出の可能性(ディー・エル・マーケット)

  8. 全くの無知よりも予備知識がある方がフィッシング詐欺にかかりやすい:米大学研究結果(The Register)

    全くの無知よりも予備知識がある方がフィッシング詐欺にかかりやすい:米大学研究結果(The Register)

  9. アンケート回答で1万円、Amazon騙るフィッシングメール(フィッシング対策協議会)

    アンケート回答で1万円、Amazon騙るフィッシングメール(フィッシング対策協議会)

  10. EDR機能のAPIを提供、さまざまな活用を可能に(サイランス)

    EDR機能のAPIを提供、さまざまな活用を可能に(サイランス)

ランキングをもっと見る