公開日：2023/02/14　最終更新日：2023/02/14

JVN#00712821
tsClinical Define.xml Generator および tsClinical Metadata Desktop Tools における XML 外部実体参照 (XXE) に関する脆弱性

概要

富士通株式会社が提供する tsClinical Define.xml Generator および tsClinical Metadata Desktop Tools には、XML 外部実体参照 (XXE) に関する脆弱性が存在します。

影響を受けるシステム

  • tsClinical Define.xml Generator すべてのバージョン (v1.0.0 から v1.4.0 まで)
  • tsClinical Metadata Desktop Tools Version 1.0.3 から Version 1.1.0 まで
※ tsClinical Metadata Desktop Tools は tsClinical Define.xml Generator をオープンソース化したものです。

詳細情報

富士通株式会社が提供する tsClinical Define.xml Generator および tsClinical Metadata Desktop Tools には、XML 外部実体参照 (XXE) に関する脆弱性 (CWE-611) が存在します。

想定される影響

細工された XML ファイルを読み込むことにより、特定の条件に合致した任意のファイルを攻撃者に取得される可能性があります。

対策方法

アップデートする
tsClinical Metadata Desktop Tools については、本脆弱性を修正した tsClinical Metadata Desktop Tools Version 1.1.1 がリリースされています。
開発者が提供する情報をもとに、最新版にアップデートしてください。

代替製品に移行する
tsClinical Define.xml Generator については開発が終了しており、修正アップデートが提供される予定はありません。
tsClinical Metadata Desktop Tools への移行が推奨されています。

ワークアラウンドを実施する
次のワークアラウンドを実施することで、本脆弱性の影響を回避することが可能です。

  • 以下のメニューを使用しない、または以下のメニューで不明な XML ファイルを読み込まない
    • tsClinical Define.xml Generator を使用している場合
      • Import Define.xml
      • Validate against XML Schema
    • tsClinical Metadata Desktop Tools を使用している場合
      • Convert from Define-XML to Excel
      • Convert from XML to HTML
      • Convert from ODM-XML to Excel
      • Validate against XML Schema

ベンダ情報

ベンダ ステータス ステータス
最終更新日		 ベンダの告知ページ
富士通株式会社 該当製品あり 2023/02/14

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

CVSS v3 CVSS:3.0/AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N
基本値: 2.5
攻撃元区分(AV) 物理 (P) ローカル (L) 隣接 (A) ネットワーク (N)
攻撃条件の複雑さ(AC) 高 (H) 低 (L)
必要な特権レベル(PR) 高 (H) 低 (L) 不要 (N)
ユーザ関与レベル(UI) 要 (R) 不要 (N)
スコープ(S) 変更なし (U) 変更あり (C)
機密性への影響(C) なし (N) 低 (L) 高 (H)
完全性への影響(I) なし (N) 低 (L) 高 (H)
可用性への影響(A) なし (N) 低 (L) 高 (H)
CVSS v2 AV:L/AC:H/Au:N/C:P/I:N/A:N
基本値: 1.2
攻撃元区分(AV) ローカル (L) 隣接 (A) ネットワーク (N)
攻撃条件の複雑さ(AC) 高 (H) 中 (M) 低 (L)
攻撃前の認証要否(Au) 複数 (M) 単一 (S) 不要 (N)
機密性への影響(C) なし (N) 部分的 (P) 全面的 (C)
完全性への影響(I) なし (N) 部分的 (P) 全面的 (C)
可用性への影響(A) なし (N) 部分的 (P) 全面的 (C)

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 日本電気株式会社 外山 拓 氏、榊 龍太郎 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2023-22377
JVN iPedia JVNDB-2023-000017