「アクセス解析CGI An-Analyzer」に複数の脆弱性（JVN）

IPAおよびJPCERT/CCは、アングラーズネットが提供する「アクセス解析CGI An-Analyzer」に、複数の脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2019.7.8 Mon 8:00

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は7月5日、有限会社アングラーズネットが提供する「アクセス解析CGI An-Analyzer」に、複数の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。CVSS v3による最大Base Scoreは6.3。株式会社STNetの渡邉優太氏が報告を行った。

2019年6月24日以前に公開されていた「アクセス解析CGI An-Analyzer」には、管理ページにおけるOSコマンドインジェクション（CVE-2019-5987）、管理ページにおける格納型のクロスサイトスクリプティング（CVE-2019-5988）、解析対象ページにおけるDOMベースのクロスサイトスクリプティング（CVE-2019-5989）、情報漏えい（CVE-2019-5990）の脆弱性が存在する。

これらの脆弱性により、当該製品にログイン可能なユーザによって、任意のOSコマンドを実行される（CVE-2019-5987）、ユーザのWebブラウザ上で、任意のスクリプトを実行される（CVE-2019-5988、CVE-2019-5989）、HTTPリファラからログイン用パスワードを取得される（CVE-2019-5990）といった影響を受ける可能性がある。JVNでは、開発者が提供する情報をもとに、当該製品の更新ファイルを適用し、解析用スクリプトを修正するよう呼びかけている。

《吉澤亨史（ Kouji Yoshizawa ）》