公開日:2013/11/05 最終更新日:2013/11/05
JVN#75720314
Tiki Wiki CMS Groupware における SQL インジェクションの脆弱性
Tiki Wiki CMS Groupware (Tiki) には、SQL インジェクションの脆弱性が存在します。
- Tiki 11.1 より前のバージョン
- Tiki 10.4 より前のバージョン
- Tiki 9.7LTS より前のバージョン
- Tiki 6.13LTS より前のバージョン
Tiki Wiki CMS Groupware (Tiki) は、コンテンツ管理システム (CMS) です。Tiki には、SQL インジェクションの脆弱性が存在します。
当該製品が参照しているデータベース上で任意の SQL コマンドを実行される可能性があります。
アップデートする
開発者が提供する情報をもとに最新版へアップデートしてください。
ワークアラウンドを実施する
アップデートを適用するまでの間、以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
- feature_search_fulltext (MySQL 全文検索) を無効にする
- tiki-searchresults.php ファイルをウェブサーバ上から削除する
2013.11.05における脆弱性分析結果
評価尺度 | 攻撃成立条件 | 評価値 |
---|---|---|
攻撃経路 | インターネット経由からの攻撃が可能 |
|
認証レベル | 匿名もしくは認証なしで攻撃が可能 |
|
攻撃成立に必要なユーザーの関与 | ユーザが何もしなくても脆弱性が攻撃される可能性がある |
|
攻撃の難易度 | 専門知識や運がなくとも攻撃可能 |
|
この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: bogus.jp 東内裕二 氏
JPCERT 緊急報告 |
|
JPCERT REPORT |
|
CERT Advisory |
|
CPNI Advisory |
|
TRnotes |
|
CVE |
CVE-2013-4715 |
JVN iPedia |
JVNDB-2013-000100 |