JVN#77560819
LogStare Collectorにおける複数の脆弱性

株式会社LogStareが提供するLogStare Collectorには、複数の脆弱性が存在します。

CVE-2025-58097、CVE-2025-61949、CVE-2025-62189、CVE-2025-62687、CVE-2025-64299

• LogStare Collector（Windows版）2.4.1およびそれ以前
• LogStare Collector（Linux版）2.4.1およびそれ以前

• LogStare Collector（Windows版）2.4.1およびそれ以前のインストーラ

株式会社LogStareが提供するLogStare Collectorには、次の複数の脆弱性が存在します。

• インストールディレクトリのファイルアクセス権設定が不適切（CWE-276）
  • CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N 基本値 6.8
  • CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N 基本値 5.5
  • CVE-2025-58097
• ユーザ管理機能における格納型クロスサイトスクリプティング（CWE-79）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N 基本値 4.8
  • CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N 基本値 5.4
  • CVE-2025-61949
• ユーザアカウント作成におけるアクセス制限不備（CWE-863）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N 基本値 5.3
  • CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N 基本値 4.3
  • CVE-2025-62189
• クロスサイトリクエストフォージェリ（CWE-352）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N 基本値 6.9
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N 基本値 6.5
  • CVE-2025-62687
• 送信データへの機微な情報の挿入（CWE-201）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N 基本値 6.9
  • CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N 基本値 4.9
  • CVE-2025-64299
• インストーラにおけるファイル検索パスの制御不備（CWE-427）
  • CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 8.4
  • CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値 7.8
  • CVE-2025-64695
  • 細工されたDLLファイルを危険なファイルと知らずにダウンロードしてインストーラと同じディレクトリに置き、その後、インストーラを実行した場合に本脆弱性の影響を受けます

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 管理者権限を持たない一般ユーザによって、当該製品のインストールディレクトリ内のファイルを操作され、管理者権限で任意のコードを実行される（CVE-2025-58097）
• 細工されたユーザ情報が入力されている場合、当該製品の管理画面にログインしたユーザのウェブブラウザ上で任意のスクリプトを実行される（CVE-2025-61949）
• 管理者権限を持たない一般ユーザが、細工されたHTTPリクエストにより新規ユーザアカウントを作成する（CVE-2025-62189）
• 当該製品にログインした状態のユーザが、細工されたページにアクセスした場合、意図しない操作をさせられる（CVE-2025-62687）
• 管理者権限を持つユーザによって、他のユーザのパスワードハッシュを取得される（CVE-2025-64299）
• インストーラを実行している権限で、任意のコードを実行される（CVE-2025-64695）

CVE-2025-58097、CVE-2025-61949、CVE-2025-62189、CVE-2025-62687、CVE-2025-64299
アップデートする
開発者が提供する情報をもとに、最新バージョンにアップデートしてください。
本脆弱性は、次のバージョンで修正されています。

• LogStare Collector（Windows版）2.4.2
• LogStare Collector（Linux版）2.4.2