tags:

GROWI 脆弱性対応のお知らせ (JVN#94169589)

日付: 2020-12-15

概要

弊社が公開している GROWI システム において、複数の脆弱性が判明いたしました。

以下の影響があります。

  • サービス運⽤妨害 (DoS) 攻撃を受ける可能性があります。
  • 細⼯されたファイルをアップロードされた場合、データが改ざんされる可能性があります。

以下のバージョンが影響を受けます。

  • GROWI v4.2.3 よりも前のバージョン (v4.2.x)
  • GROWI v4.1.12 よりも前のバージョン (v4.1.x)

v4.2.3 並びに、v4.1.12 にて修正対応が完了しております。
該当するバージョンをご利用中の方はアップデートをお願いいたします。

セキュリティ脆弱性の詳細

CVE, JVN が公開している以下のセキュリティアドバイザリ

対策

  • v4.2.x を使用しているユーザーは v4.2.3 以降のバージョンにアップデートしてください。
  • v4.0.x および v4.1.x を使用しているユーザーは v4.1.12 以降のバージョンにアップデートしてください。

v3系およびそれ以前のバージョンはすでにサポートを終了しており対策版をリリースいたしません。

アップデート版の入手場所

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。

  • CVE-2020-5682
    • 報告者: 情報科学専門学校 / 株式会社 Flatt Security 齋藤徳秀 氏
  • CVE-2020-5683
    • 報告者: 株式会社サイバーエージェント 高橋大輔 氏

ご報告いただきました方、ならびにご対応いただきました JPCERT/CC の関係者、皆様に感謝申し上げます。

関連ページ