JVN#60969543: HL-SiteManager における SQL インジェクションの脆弱性

Heartlogic が提供する HL-SiteManager には、SQL インジェクションの脆弱性が存在します。

Heartlogic が提供する HL-SiteManager は、コンテンツ管理システムです。HL-SiteManager には、SQL インジェクションの脆弱性が存在します。

遠隔の第三者により、当該製品で管理している情報を閲覧されたり、変更されたりする可能性があります。

HL-SiteManager を使用しない
パッチ提供の予定が無いため、HL-SiteManager の使用を停止し、同等の機能が実装された他製品に切り替えることをお勧めします。

ベンダ	リンク
Heartlogic	HL-SiteManagerの脆弱性と公開停止のお知らせ

2010.04.02における脆弱性分析結果

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	匿名もしくは認証なしで攻撃が可能	高
攻撃成立に必要なユーザーの関与	ユーザが何もしなくても脆弱性が攻撃される可能性がある	高
攻撃の難易度	ある程度の専門知識や運 (条件が揃う確率は高い) が必要	中 - 高

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC がベンダとの調整を行いました。
報告者: bogus.jp 東内裕二氏

JVN#60969543 HL-SiteManager における SQL インジェクションの脆弱性