JVN#92720882
PMailServer および PMailServer2 付属 CGI における複数の脆弱性

A.K.I Software が提供する PMailServer および PMailServer2 付属の CGI には、複数の脆弱性が存在します。

• PMailServer フリー版
  * 本製品は CVE-2023-39223 (pmam.exe) の影響のみを受けます
• PMailServer Version 1.91 およびそれ以前のバージョン
  • スタンダード版
  • プロ版
  • スタンダード＋IMAP4対応版
  • プロ＋IMAP4対応版
• PMailServer2 Version 2.51a より前のバージョン
  • スタンダード版
  • プロ版
  • スタンダード＋IMAP4対応版
  • プロ＋IMAP4対応版
  • エンタープライズ版

• pmc.exe 2.5.1.720 およびそれ以前のバージョン
• pmam.exe 2.5.1.1411 およびそれ以前のバージョン
• pmmls.exe 2.5.1.561 およびそれ以前のバージョン
• pmum.exe (スタンダード版) 2.5.1.25451 およびそれ以前のバージョン
• pmum.exe (プロ版) 2.5.1.25452 およびそれ以前のバージョン
• pmum.exe (スタンダード版＋IMAP4対応版) 2.5.1.25453 およびそれ以前のバージョン
• pmum.exe (プロ＋IMAP4対応版 / エンタープライズ版) 2.5.1.25454 およびそれ以前のバージョン
• pmman.exe (スタンダード版) 2.5.1.12154 およびそれ以前のバージョン
• pmman.exe (プロ版) 2.5.1.12155 およびそれ以前のバージョン
• pmman.exe (スタンダード＋IMAP4対応版) 2.5.1.12156 およびそれ以前のバージョン
• pmman.exe (プロ＋IMAP4対応版) 2.5.1.12157 およびそれ以前のバージョン
• pmman.exe (エンタープライズ版) 2.5.1.12158 およびそれ以前のバージョン

A.K.I Software が提供する PMailServer および PMailServer2 付属の CGI には、次の複数の脆弱性が存在します。

• 格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-39223

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	基本値: 5.4
  CVSS v2	AV:N/AC:L/Au:S/C:N/I:P/A:N	基本値: 4.0

• 同報メール (pmc.exe) におけるアップロードファイルの検証不備 (CWE-434) - CVE-2023-39933

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N	基本値: 4.3
  CVSS v2	AV:N/AC:L/Au:S/C:N/I:P/A:N	基本値: 4.0

• メーリングリスト検索 (pmmls.exe) におけるディレクトリトラバーサル (CWE-22) - CVE-2023-40160

  CVSS v3	CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N	基本値: 3.7
  CVSS v2	AV:N/AC:M/Au:N/C:P/I:N/A:N	基本値: 4.3

• 簡易Webサーバ機能におけるディレクトリトラバーサル (CWE-22) - CVE-2023-40747

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N	基本値: 5.3
  CVSS v2	AV:N/AC:L/Au:N/C:P/I:N/A:N	基本値: 5.0

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該製品にログインした状態のユーザのウェブブラウザ上で、任意のスクリプトを実行される - CVE-2023-39223
• 当該製品を通じてファイルをアップロードする権限を持つユーザによって、任意の実行可能ファイルを Web サーバの権限で実行される - CVE-2023-39933
• 遠隔の第三者によって、サーバ上の任意のファイルを取得される - CVE-2023-40160
• 遠隔の第三者によって、DocumentRoot 外のファイルにアクセスされる - CVE-2023-40747

PMailServer2 向け対策：
更新ファイルを適用する
開発者が提供する情報をもとに、更新ファイルを適用してください。

PMailServer 向け対策：
旧製品で CGI を使用停止する、または後継製品に移行する
開発者によると、PMailServer は既に開発を終了しているため、更新ファイルは提供されないとのことです。
該当製品での CGI 使用停止、または後継製品 PMailServer2 への移行が推奨されています。

ワークアラウンドを実施する
開発者はワークアラウンドを提供しています。

詳しくは、開発者が提供する情報を確認してください。