公開日:2019/06/03 最終更新日:2019/06/04

JVNVU#91210160
Quest 製 Kace システム管理アプライアンス (K1000) における複数の脆弱性

概要

Quest 製 Kace システム管理アプライアンス (K1000) には、ブラインド SQL インジェクション、格納型のクロスサイトスクリプティングおよび不適切なアクセス制御の複数の脆弱性が存在しています。

影響を受けるシステム

  • KACE SMA Versions 9.1.317 より前のバージョン

詳細情報

Quest 製 Kace システム管理アプライアンス (K1000) には、次の複数の脆弱性が存在します。

ブラインド SQL インジェクション (CWE-89) - CVE-2018-5404
複数のブラインド SQL インジェクションの脆弱性が存在します。「User Console Only」ロールのユーザにより、データベース内の機微な情報を取得されたり、データベースを完全にコピーされたりする可能性があります。

格納型のクロスサイトスクリプティング (CWE-79) - CVE-2018-5405
入力値無害化処理の不備が存在し、チケット管理のページに任意の JavaScript コードを挿入される可能性があります。例えば「User Console Only」ロールのユーザにより他のユーザ (管理者の場合を含む) のセッションを乗っ取られる可能性があります。

不適切なアクセス制御 (CWE-284) - CVE-2018-5406
クロスオリジンリソース共有 (CORS) メカニズムの設定に不備があります。当該製品にアクセスできる遠隔の第三者によって、新たな管理者アカウントの追加や製品の設定変更などが実行される可能性があります。

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 当該製品にログインできるユーザによって、機微なデータを取得される - CVE-2018-5404
  • 当該製品にログインできるユーザによって、管理者を含む他のユーザのセッションを乗っ取られる - CVE-2018-5405
  • 当該製品にアクセスできる第三者によって、管理者アカウントを作成されたり、製品の設定を変更される - CVE-2018-5406

対策方法

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。

参考情報

  1. CERT/CC Vulnerability Note VU#877837
    Multiple vulnerabilities in Quest Kace System Management Appliance

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2018-5404
CVE-2018-5405
CVE-2018-5406
JVN iPedia

更新履歴

2019/06/04
タイトル、[概要]、[詳細情報]、[影響を受けるシステム]、[対策方法] および [参考情報] の修正を行い、[ベンダ情報] にリンクを追加しました