WESEEK提供のGROWIに複数の脆弱性、最新版へのアップデート呼びかけ

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月15日、GROWIにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

73 views

2020.12.16 Wed 10:05

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月15日、GROWIにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。情報科学専門学校/株式会社Flatt Security齋藤徳秀氏、株式会社サイバーエージェント高橋大輔氏が報告を行っている。影響を受けるシステムは以下の通り。

GROWI v4.2.3 よりも前のバージョン（v4.2系）
GROWI v4.1.12 よりも前のバージョン（v4.1系）
GROWI v3系およびそれ以前のバージョン

JVNによると、株式会社WESEEKが提供するGROWIには、入力値の検証不備に起因するサービス運用妨害（DoS）（CVE-2020-5682）とアップロードファイルの検証不備に起因するディレクトリトラバーサル（CVE-2020-5683）の脆弱性が存在する。

想定される影響としては、遠隔の第三者によってサービス運用妨害（DoS）攻撃を受ける（CVE-2020-5682）、第三者によって細工されたファイルを当該製品のユーザがアップロードした場合データが改ざんされる（CVE-2020-5683）可能性がある。

JVNでは、開発者が提供する情報をもとに最新版にアップデートするよう呼びかけている。

《ScanNetSecurity》