「baserCMS」にOSコマンドインジェクションなど複数の脆弱性、アップデートを呼びかけ | ScanNetSecurity
2024.07.14(日)

「baserCMS」にOSコマンドインジェクションなど複数の脆弱性、アップデートを呼びかけ

IPAおよびJPCERT/CCは、baserCMSユーザー会が提供する「baserCMS」に複数の脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性

 独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は2月27日、baserCMSユーザー会が提供する「baserCMS」に複数の脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。

 影響を受けるシステムは次の通り。

・baserCMS 5.0.8 およびそれ以前のバージョン

 これらのバージョンには、次の脆弱性が存在する。

・サイト内検索機能における反射型クロスサイトスクリプティング(CVE-2023-44379)CVSS v3基本値:6.1
・コンテンツ管理機能における格納型クロスサイトスクリプティング(CVE-2024-26128)CVSS v3基本値:5.4
・OS コマンドインジェクション(CVE-2023-51450)CVSS v3基本値:8.1

 想定される影響は各脆弱性により異なるが、次のような影響を受ける可能性がある。

・当該製品を使用しているサイトにアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される(CVE-2023-44379)
・当該製品の管理画面にアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される(CVE-2024-26128)
・遠隔の第三者によって、任意のOSコマンドを実行される(CVE-2023-51450)

 JVNでは、開発者が提供する情報をもとに最新版にアップデートするよう呼びかけている。この脆弱性は、「baserCMS 5.0.10」で修正されている。

 これらの脆弱性は、次の方々によりIPAに報告された。
・内田裕介氏(CVE-2023-44379)
・GMOサイバーセキュリティ byイエラエ株式会社の石井健太郎氏(CVE-2024-26128)
・谷崎俊介氏(CVE-2023-51450)

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

特集

PageTop

アクセスランキング

  1. 「ITパスポート試験」が1位に ~ 日本の資格検定アワード2023

    「ITパスポート試験」が1位に ~ 日本の資格検定アワード2023

  2. イセトーへのランサムウェア攻撃で豊田市の推定 42 万人分の個人情報が漏えい、被害発生時は契約に基づき対応

    イセトーへのランサムウェア攻撃で豊田市の推定 42 万人分の個人情報が漏えい、被害発生時は契約に基づき対応

  3. 裏目に出たサンドボックス/露北軍事同盟/MFAの穴 ほか [Scan PREMIUM Monthly Executive Summary 2024年6月度]

    裏目に出たサンドボックス/露北軍事同盟/MFAの穴 ほか [Scan PREMIUM Monthly Executive Summary 2024年6月度]

  4. NTTデータグループ ルーマニア拠点に不正アクセス、ランサムウェアによる攻撃の可能性含め解析を進める

    NTTデータグループ ルーマニア拠点に不正アクセス、ランサムウェアによる攻撃の可能性含め解析を進める

  5. 個人情報保護委員会、東京電力グループ 3 社に行政指導

    個人情報保護委員会、東京電力グループ 3 社に行政指導

  6. 「悪質な情報拡散を行う者には徹底的な法的措置」KADOKAWA グループへのランサムウェア攻撃

    「悪質な情報拡散を行う者には徹底的な法的措置」KADOKAWA グループへのランサムウェア攻撃

  7. 契約終了後もデータの削除を怠り保存が原因 ~ イセトーへのランサムウェア攻撃で和歌山市の個人情報も漏えい

    契約終了後もデータの削除を怠り保存が原因 ~ イセトーへのランサムウェア攻撃で和歌山市の個人情報も漏えい

  8. 「反社会的勢力への利益供与に応じず」ニデックインスツルメンツにランサムウェア攻撃

    「反社会的勢力への利益供与に応じず」ニデックインスツルメンツにランサムウェア攻撃

  9. 個人情報流出無し ~ 秋田県立医療療育センターウェブサイトが改ざん被害

    個人情報流出無し ~ 秋田県立医療療育センターウェブサイトが改ざん被害

  10. パルグループのサーバに不正アクセス、ポイント反映に影響

    パルグループのサーバに不正アクセス、ポイント反映に影響

ランキングをもっと見る