サイボウズGaroon に複数の脆弱性 | ScanNetSecurity
2024.07.04(木)

サイボウズGaroon に複数の脆弱性

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は5月13日、サイボウズGaroonにおける複数の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性

 独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は5月13日、サイボウズGaroonにおける複数の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。@bttthuan氏、東内裕二氏が報告を行っている。影響を受けるシステムは以下の通り。

・CVE-2024-31397、CVE-2024-31398、CVE-2024-31399、CVE-2024-31401、CVE-2024-31402
サイボウズ Garoon 5.0.0から5.15.2まで

・CVE-2024-31400
サイボウズ Garoon 5.0.0から5.15.0まで

・CVE-2024-31403
サイボウズ Garoon 5.0.0から6.0.0まで

・CVE-2024-31404
サイボウズ Garoon 5.5.0から6.0.0まで

 サイボウズ株式会社が提供するサイボウズGaroonには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・メールに関するデータの不適切な取り扱い(CVE-2024-31397)
→当該製品に管理者としてログイン可能なユーザによってサービス運用妨害(DoS)攻撃を受ける

・APIに関する閲覧制限不備の脆弱性(CVE-2024-31398)
→当該製品にログイン可能なユーザによってユーザ一覧の情報を取得される

・メールに関するサービスが高負荷となる脆弱性(CVE-2024-31399)
→当該製品で細工されたメールを受信するとサービス運用妨害(DoS)状態にされる

・スケジュールに関するクロスサイトスクリプティングの脆弱性(CVE-2024-31401)
→当該製品にログインしているユーザのウェブブラウザ上で任意のスクリプトを実行される

・共有ToDoに関する操作制限回避の脆弱性(CVE-2024-31402)
→当該製品にログイン可能なユーザによって共有ToDoに関するデータが削除される

・メールに関する情報漏えいの脆弱性(CVE-2024-31400)
→意図しないデータを取得される

・メモに関する閲覧および操作制限回避の脆弱性(CVE-2024-31403)
→当該製品にログイン可能なユーザによって、メモに関するデータを取得されたり、改ざんされたりする

・スケジュールに関する閲覧制限不備の脆弱性(CVE-2024-31404)
→当該製品にログイン可能なユーザによってスケジュールに関するデータが閲覧される

 JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。

《ScanNetSecurity》

関連記事

特集

PageTop

アクセスランキング

  1. 16 桁ランダム文字列パスワード突破か 広島県のメールアドレスアカウントでスパム配信

    16 桁ランダム文字列パスワード突破か 広島県のメールアドレスアカウントでスパム配信

  2. 国際手配のランサム犯 逮捕されずに世界中を旅行

    国際手配のランサム犯 逮捕されずに世界中を旅行

  3. KADOKAWA グループへのランサムウェア攻撃「犯罪行為には厳正に対処」

    KADOKAWA グループへのランサムウェア攻撃「犯罪行為には厳正に対処」

  4. デジタル庁「デジタル社会の実現に向けた重点計画」発表、気になるセキュリティの位置づけ

    デジタル庁「デジタル社会の実現に向けた重点計画」発表、気になるセキュリティの位置づけ

  5. ベルシステム24 のベトナム子会社に不正アクセス、影響範囲を調査

    ベルシステム24 のベトナム子会社に不正アクセス、影響範囲を調査

  6. 発覚後も繰り返し攻撃が行われる ~ KADOKAWA グループへのランサムウェア攻撃

    発覚後も繰り返し攻撃が行われる ~ KADOKAWA グループへのランサムウェア攻撃

  7. 千葉大学ウェブサイト経由し約 6 万件の迷惑メール送信

    千葉大学ウェブサイト経由し約 6 万件の迷惑メール送信

  8. 印西総合病院ウェブサイトが改ざん被害、本来とは異なるページが表示

    印西総合病院ウェブサイトが改ざん被害、本来とは異なるページが表示

  9. 危険なショッピングサイトを即確認「SAGICHECK」が日本語サイトに対応 ~ JC3 情報提供

    危険なショッピングサイトを即確認「SAGICHECK」が日本語サイトに対応 ~ JC3 情報提供

  10. 「3組織の取った情報非開示の方針は不適切」~ NTTデータグループ「グローバルセキュリティ動向四半期レポート」2023年度3Q版公開

    「3組織の取った情報非開示の方針は不適切」~ NTTデータグループ「グローバルセキュリティ動向四半期レポート」2023年度3Q版公開

ランキングをもっと見る