オンラインストレージサーバ Proself に複数の脆弱性、悪用した攻撃も確認

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月18日、Proself における複数の脆弱性について「Japan Vulnerability Notes（JVN）」発表した。影響を受けるシステムは以下の通り。

Proself Enterprise/Standard Edition Ver5.61 およびそれ以前
Proself Gateway Edition Ver1.62 およびそれ以前
Proself Mail Sanitize Edition Ver1.07 およびそれ以前

　株式会社ノースグリッドが提供するオンラインストレージサーバ Proself には、下記の影響を受ける可能性がある複数の脆弱性が存在する。なお、本脆弱性を悪用した攻撃が既に確認されている。

・認証不備（CVE-2023-39415）
→認証情報を持たない遠隔の第三者によって、当該製品の管理画面にログインされ任意の操作を実行される

・OS コマンドインジェクション（CVE-2023-39416）
→当該製品に管理者権限でログイン可能な攻撃者によって、任意の OS コマンドを実行される

　JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。

　対策版を適用するまでの間、Proselfインストールフォルダ「/webapps/proself/WEB-INF/xml/process/external/admin」配下の下記 2ファイルを削除することで、本脆弱性の影響を軽減できる。

downloadhistory.xml
setclustermyid.xml