公開日：2023/06/22　最終更新日：2023/06/22

JVN#97818024
プリザンターにおける複数の脆弱性

概要

株式会社インプリムが提供するプリザンターには、複数の脆弱性が存在します。

影響を受けるシステム

  • プリザンター 1.3.39.2 およびそれ以前のすべてのバージョン
開発者によると、Commnunity Edition および Enterprise Edition のいずれも本脆弱性の影響を受けるとのことです。

詳細情報

株式会社インプリムが提供するプリザンターには、次の複数の脆弱性が存在します。

  • 格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-32607
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N 基本値: 5.4
    CVSS v2 AV:N/AC:M/Au:S/C:N/I:P/A:N 基本値: 3.5
  • ディレクトリトラバーサル (CWE-22) - CVE-2023-32608
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N 基本値: 4.3
    CVSS v2 AV:N/AC:L/Au:S/C:N/I:P/A:N 基本値: 4.0

想定される影響

想定される影響は各脆弱性により異なりますが、当該製品にログイン可能な攻撃者によって、次のような影響を受ける可能性があります。

  • 当該製品にログインした状態のユーザのウェブブラウザ上で、任意のスクリプトを実行される - CVE-2023-32607
  • システム上の任意のディレクトリにファイルをアップロードされる - CVE-2023-32608

対策方法

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者によると、本脆弱性はバージョン 1.3.40.0 で修正されています。

ベンダ情報

ベンダ リンク
株式会社インプリム プリザンターにおけるクロスサイトスクリプティングおよびディレクトリトラバーサルの脆弱性

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、次の方が開発者に報告し、製品利用者への周知を目的に、開発者が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
発見者: GMOサイバーセキュリティ byイエラエ株式会社 石井 健太郎 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2023-32607
CVE-2023-32608
JVN iPedia JVNDB-2023-000060